Alert-Fatigue: Das stille Problem in On-Call-Teams
Wer regelmäßig On-Call-Dienst hat, kennt das Muster: Das Telefon klingelt um 3 Uhr morgens. Ein Alert aus dem Monitoring-System. Man verbringt zehn Minuten damit herauszufinden, ob das ein echtes Problem ist – und stellt dann fest, dass es sich um ein bekanntes, harmloses Muster handelt, das bereits zweimal in dieser Woche getriggert hat. Der Schaden ist trotzdem eingetreten: unterbrochener Schlaf, verschwendete Aufmerksamkeit, und über Wochen hinweg ein schleichendes Nachlassen der Reaktionsbereitschaft.
Alert-Fatigue ist keine persönliche Schwäche, sondern ein strukturelles Problem: Wenn Systeme zu viele Alerts auslösen – und viele davon keine sofortige Handlung erfordern – verlieren Teams das Vertrauen in ihr eigenes Alerting. Die Konsequenz ist gefährlich: Kritische Alerts werden übersehen, weil das Rauschen zu laut ist. Genau hier setzt KI-gestützte Alert-Triage an.
Was KI-gestützte Triage im Alerting bedeutet
Unter Alert-Triage versteht man die automatisierte oder halbautomatisierte Bewertung eingehender Alerts: Ist dieser Alert wirklich kritisch? Handelt es sich um ein bekanntes Muster? Kann er mit ähnlichen Alerts aus der Vergangenheit korreliert werden? Braucht es eine sofortige Eskalation, oder reicht eine Benachrichtigung beim nächsten Arbeitstag?
Klassische regelbasierte Systeme stoßen dabei schnell an ihre Grenzen. Regeln lassen sich gut schreiben für bekannte Szenarien – aber reale Infrastrukturen sind komplexer, und neue Fehlermuster entstehen ständig. Machine-Learning-Modelle, die auf historischen Alert-Daten und Incident-Protokollen trainiert werden, können dagegen Zusammenhänge erkennen, die sich nicht in eine einfache Wenn-Dann-Regel übersetzen lassen.
Wie Machine-Learning-Modelle Alerts bewerten
Typische ML-basierte Triage-Systeme arbeiten mit mehreren Eingabegrößen: dem Alert-Typ, dem auslösenden Service, dem Zeitpunkt des Auftretens, der Häufigkeit ähnlicher Alerts in der Vergangenheit, dem historischen Muster des jeweiligen Monitors sowie den Ergebnissen früherer Incidents mit ähnlicher Signatur.
Daraus berechnen sie einen Score, der angibt, wie dringend eine manuelle Prüfung erforderlich ist. Alerts unterhalb eines bestimmten Schwellenwerts werden automatisch als niedrige Priorität eingestuft oder gebündelt – sie landen zwar im Protokoll, wecken aber niemanden um 3 Uhr morgens auf. Alerts, die auf echte Probleme hinweisen, erhalten eine hohe Priorität und werden sofort eskaliert.
Korrelation: Aus hundert Alerts wird ein Incident
Ein besonders wertvoller Anwendungsfall ist die Alert-Korrelation. Statt hundert einzelner Alerts – einer pro betroffene Instanz, Service oder Region – erzeugt ein gut konfiguriertes Triage-System einen zusammengefassten Incident: „Mögliche Netzwerkunterbrechung in Region EU-West, betrifft 47 Services, wahrscheinliche Ursache: upstream BGP-Änderung." Das spart nicht nur Aufmerksamkeit, sondern beschleunigt auch die Diagnose erheblich.
Agentenbasierte Systeme gehen noch einen Schritt weiter: Sie können – wenn entsprechend konfiguriert – erste Schritte der Untersuchung automatisch einleiten, Logs durchsuchen, ähnliche vergangene Incidents abrufen und einen strukturierten Kontext für die On-Call-Person aufbereiten, bevor diese den Alert überhaupt öffnet.
Konkrete Vorteile für On-Call-Rotationen
- Weniger nächtliche Unterbrechungen: Wenn nur noch echte Probleme eskalieren, sinkt die Anzahl der nächtlichen Weckrufe. Das schützt die Gesundheit der Team-Mitglieder und erhöht langfristig die Reaktionsqualität.
- Schnellere Erstdiagnose: Wenn der Alert mit Kontext ankommt – welche Services betroffen sind, was historisch ähnliche Ursachen waren – kann die On-Call-Person schneller handeln.
- Bessere Rotation: Teams, die Alert-Triage einsetzen, berichten häufig von weniger Burnout-Risiken und einer gleichmäßigeren Belastungsverteilung, weil weniger triviale Störungen die Rotationszyklen dominieren.
- Datengetriebene Systemverbesserung: Triage-Protokolle zeigen, welche Monitore am häufigsten falsch positiv auslösen. Das erlaubt gezielte Schwellenwert-Anpassungen und Monitor-Konfigurationen.
Was gute Triage-Systeme leisten müssen
Nicht jede KI-gestützte Lösung ist automatisch besser als ein gut konfiguriertes Regelwerk. Gute Triage-Systeme müssen transparente Entscheidungen treffen: Die On-Call-Person muss nachvollziehen können, warum ein Alert als niedrig priorisiert wurde. Blackbox-Systeme, die Alerts stillschweigend unterdrücken, ohne Erklärung zu liefern, schaffen neues Vertrauen-Risiko.
Außerdem müssen Triage-Systeme kontinuierlich nachjustiert werden: Wenn ein System lernt, dass bestimmte Alerts oft falsch positiv sind, aber dann ein echter Ausfall denselben Muster produziert, darf er nicht gefiltert werden. Feedback-Loops – in denen On-Call-Personen Alerts als „war relevant" oder „war kein echter Incident" markieren – sind für die Modellqualität essenziell.
EU AI Act und Alerting-Systeme: Was Teams jetzt beachten müssen
Seit Juni 2026 gelten die Enforcement-Regeln des EU AI Act für Hochrisiko-KI-Systeme. Alerting-Systeme in kritischer Infrastruktur können unter diese Klassifizierung fallen, insbesondere wenn sie autonome Entscheidungen über Eskalation oder Unterdrückung von Alerts treffen. In solchen Fällen sind nachvollziehbare Reasoning-Traces, Audit-Logs und menschliche Überprüfungsoptionen keine optionalen Extras mehr, sondern regulatorische Pflicht.
IT-Teams sollten prüfen, welche ihrer KI-gestützten Alerting-Werkzeuge unter die neue Regulierung fallen könnten – und sicherstellen, dass Anbieter entsprechende Compliance-Dokumentation bereitstellen.
On-Call-Qualität messbar machen
KI-Triage ist kein Selbstzweck. Der eigentliche Wert liegt in messbaren Verbesserungen: Wie viele Alerts wurden in der letzten Woche produziert? Wie viele davon führten zu echten Incidents? Wie lange dauerte es von Alert bis Incident-Bestätigung? Mit diesen Kennzahlen lässt sich die Qualität des Alerting-Systems über Zeit bewerten – und gezielt verbessern.
Tools wie FreshCore bieten neben Monitoren und Heartbeats auch Statusseiten, Notification-Handler und API-Zugang, mit denen sich Alerting-Daten zentral aggregieren und auswerten lassen. Wer seine On-Call-Qualität ernst nimmt, braucht nicht nur bessere Alerts, sondern auch eine klare Datenbasis, um Fortschritte nachzuweisen.
Fazit
KI-gestützte Alert-Triage ist kein Luxus für große Engineering-Teams, sondern zunehmend ein notwendiges Werkzeug für jeden Betrieb, der verlässlich auf Störungen reagieren muss. Wer Alert-Fatigue strukturell bekämpft, schützt nicht nur die Nerven seiner On-Call-Personen, sondern verbessert messbar die Systemverfügbarkeit. Der Schlüssel liegt in Transparenz, Feedback-Schleifen und einem konservativen Umgang mit Automatisierung: KI soll priorisieren und kontextualisieren – die Entscheidung trifft der Mensch.
Bildquelle: IUPUI Network Operations Center / Wikimedia Commons (CC BY-SA 3.0)
Quellen:
Riseup Labs: AI Automation for Incident Response 2026 | Radiant Security: Incident Response in 2026 | Simbian: Automated Incident Response 2026 | EU AI Act (Enforcement ab Juni 2026)
