Cyberangriffe: Warum Kommunikation von Beginn an mitlaufen muss

In Kürze:
Ein Cybervorfall ist selten nur ein IT-Problem. Ob er zur Vertrauenskrise wird, entscheidet sich wesentlich daran, wie schnell, klar und strukturiert ein Unternehmen spricht. Krisenkommunikation braucht deshalb Vorbereitung, klare Zuständigkeiten und Regeln für Aussagen, die auch unter Zeitdruck halten.

Cyberangriffe können fast jedes Unternehmen treffen. Die letzten Wochen mit den Angriffen auf Kühlanlagen in Supermärkten haben nur das nächste Beispiel geliefert. Gehackte Münchner Exzellenzuniversitäten oder kompromittierte Modehändler zeigen die Bandbreite. Cybervorfälle sind Krisenfälle – und damit auch Fälle für Krisenkommunikation.

In ihnen sind Geschäftsführung, IT, Recht, Datenschutz und Kommunikation gleichzeitig gefordert. Und sie bewegen sich in einem Umfeld, in dem sie auch Meldepflichten unterliegen – ihre Aussagen können damit operative wie rechtliche Folgen nach sich ziehen.

In der vernetzten Unternehmenswelt zeigen Vorfälle wie die angegriffenen Kühlaggregate auch: Ein Angriff über einen Dienstleister kann in den Filialen, bei Kunden und im laufenden Geschäft spürbar werden, auch wenn die IT des eigenen Hauses nicht direkt betroffen war. Für Unternehmen erhöht sich damit die Komplexität und das Ausmaß des Nichtwissens – trotzdem erwarten ihre Stakeholder eine klare Kommunikation von ihnen.

Warum Kommunikation den Schaden mitbestimmt

Der technische Vorfall ist selten das einzige Problem und oft nicht das folgenreichste. Entscheidend ist häufig, ob ein Angriff als vorübergehende Störung wahrgenommen wird oder als Beleg für strukturelles Versagen. Wer zu spät, zu defensiv, zu technisch oder widersprüchlich kommuniziert, verlängert die Krise.

Was Stakeholder erwarten

• Verantwortung: 79,7 Prozent der Befragten erwarten, dass das Top-Management nach einem Cyberangriff öffentlich Verantwortung übernimmt.
• Persönliche Folgen: 65 Prozent nennen den Missbrauch persönlicher Daten als Hauptsorge, gefolgt von Identitätsdiebstahl (55,5 Prozent) und finanziellen Verlusten (51 Prozent). Betroffene fragen also zuerst, was der Vorfall für sie selbst bedeutet, und erst danach, wie der Angriff ablief.
• Wiedergutmachung: 73,8 Prozent sehen das betroffene Unternehmen in der Verantwortung für die Schadenswiedergutmachung. Kommunikation muss daher konkrete Handlungsoptionen nennen, etwa Passwortänderungen, Kontaktwege oder Unterstützungsangebote.

Daraus folgt eine doppelte Anforderung. Stakeholder wollen rasch informiert werden, vertrauen aber nur Aussagen, die belastbar wirken. Geschwindigkeit ohne Struktur schadet ebenso wie übervorsichtiges Schweigen. Es geht um die anspruchsvolle Kombination aus Tempo und Belastbarkeit.

Die ersten Stunden: Was jetzt zählt

Drei Fragen entscheiden über die ersten Aussagen:

• Wer spricht? Ohne vorab benannte Sprecher:innen drohen Abstimmungsschleifen oder widersprüchliche Aussagen zwischen Geschäftsführung, IT und Rechtsabteilung.
• Was sagen wir? Es geht nicht um ein vollständiges Lagebild, sondern um ein belastbares Minimum: Was ist bekannt, welche Systeme sind betroffen, welche Maßnahmen laufen, welche Fragen sind noch offen?
• Wann sprechen wir? Zu frühe Aussagen müssen später oft korrigiert werden. Zu spätes Sprechen erzeugt ein Informationsvakuum, das durch Gerüchte, Medienanfragen und Spekulationen gefüllt wird.

Das wichtigste Instrument der ersten Stunde ist ein Holding Statement: eine kurze, freigegebene Erstmitteilung, die Unsicherheit offen benennt und dennoch Orientierung gibt.

Die ersten 72 Stunden. Hier entscheidet sich, ob ein Unternehmen als handlungsfähig wahrgenommen wird oder als getriebenes Objekt der Lage. Gegenüber Behörden steht die Erfüllung von Meldepflichten im Vordergrund. Betroffene brauchen Risikoeinordnung und konkrete Schutzmaßnahmen. Für Medien gilt: Konsistenz ist wichtiger als rhetorische Perfektion.

Nichtwissen kommunizieren, ohne zu täuschen

Nichtwissen ist kein Grund zu schweigen. Es ist ein Zustand, den Unternehmen sauber beschreiben müssen. Dafür hilft eine einfache Trennung: bestätigte Fakten, offene Fragen und Hypothesen werden ausdrücklich voneinander getrennt.

Unternehmen sollten insbesondere nicht behaupten, es seien keine Daten abgeflossen, solange die Untersuchung das nicht trägt. Spekulationen über Täter, Angriffsweg oder Schadenshöhe helfen ebenfalls nicht. Besser ist ein verlässlicher nächster Update-Zeitpunkt, auch wenn bis dahin nur wenige neue Fakten vorliegen.

Wer muss wann informiert werden?

Intern zuerst. Geschäftsführung, Krisenstab und betroffene Teams müssen dieselbe Lage kennen. Beschäftigte brauchen klare Anweisungen: Welche Systeme dürfen sie nutzen? Wo melden sie Verdachtsfälle? An wen verweisen sie Medien- und Kundenanfragen? Wenn E-Mail oder Kollaborationsplattformen kompromittiert sein könnten, braucht es einen unabhängigen Ersatzkanal, etwa eine vorbereitete Telefonliste oder ein Notfall-Postfach.

Extern früh, aber gezielt. Kunden, Geschäftspartner und Dienstleister sollten informiert werden, sobald eine konkrete Auswirkung auf ihre Leistungen oder Daten bekannt ist, nicht erst, wenn die Öffentlichkeit darüber spricht. Die Mitteilung nennt, was die Empfänger:innen tun sollen, über welchen Kanal sie Rückfragen stellen können und wann sie wieder von der Organisation hören.
Eine öffentliche Stellungnahme ist sinnvoll, wenn Services ausfallen, Gerüchte kursieren oder viele Menschen betroffen sein könnten. Sie arbeitet mit denselben bestätigten Fakten wie die direkte Information der Betroffenen.

Pflichten mit festen Fristen. Meldepflichten setzen zugleich den Takt der Kommunikation:

• DSGVO: Nach Artikel 33 muss eine Datenschutzverletzung mit Risiko für die Rechte natürlicher Personen unverzüglich und möglichst binnen 72 Stunden an die Aufsichtsbehörde gemeldet werden. Bei hohem Risiko müssen auch die Betroffenen ohne unangemessene Verzögerung informiert werden (Artikel 34). Ein Auftragsverarbeiter muss den Verantwortlichen unverzüglich benachrichtigen.

• NIS-2: Für Einrichtungen, die unter das deutsche Umsetzungsgesetz fallen, gelten bei erheblichen Sicherheitsvorfällen eine frühe Warnung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden und ein Abschlussbericht spätestens einen Monat danach. Ob ein Unternehmen betroffen ist, muss zuerst geprüft werden. Maßgeblich sind das BSI und das deutsche Umsetzungsgesetz.

Die Inhalte solcher Meldungen, also Art der Verletzung, betroffene Datenkategorien, wahrscheinliche Folgen und geplante Gegenmaßnahmen, sind zugleich die Grundlage belastbarer Krisenbotschaften. Eine formale Meldung an eine Behörde ersetzt aber nicht die Pflicht, Menschen verständlich zu erklären, was der Vorfall für sie bedeutet.

Vorbereitung: Kommunikation vor dem Vorfall klären

Krisenkommunikation funktioniert im Ernstfall nur, wenn Zuständigkeiten und Abläufe vorher geklärt sind. Schon ohne großen Aufwand lassen sich die wichtigsten Lücken schließen:

• Wer ist Sprecher:in, und wer gibt Aussagen frei?
• Wer koordiniert die Kommunikation, und wie erreicht man diese Person auch ohne E-Mail und Intranet?
• Welche Empfänger:innen müssen im Ernstfall informiert werden, und wer hat deren Kontaktdaten?
• Gibt es Textbausteine für eine Erstmitteilung, die nur noch angepasst werden müssen?
• Ist festgelegt, wie Medienanfragen und Kundenanrufe weitergeleitet werden?
• Wurde der Ablauf einmal gemeinsam mit IT, Recht und Datenschutz geübt?

Wer mehrere Fragen mit Nein beantworten muss, hat konkrete Lücken. Diese lassen sich in einem überschaubaren Zeitraum schließen, bevor der Ernstfall eintritt.

Nach der Krise: Lernen statt Tagesordnung

Die Phase nach der akuten Krise entscheidet, ob eine Organisation widerstandsfähiger wird. Dazu gehören die Analyse der Reaktionen, die Bewertung der internen und externen Kommunikation sowie die Überarbeitung von Prozessen, Rollen und Materialien. Ausdrücklich sollte auch die Kommunikation auf den Prüfstand: Welche Aussagen waren hilfreich, welche missverständlich? Wo gab es Reibungsverluste zwischen Recht, IT und Kommunikation? Welche Stakeholder fühlten sich zu spät informiert?
Nach außen wirkt eine transparente Nachbereitung ebenfalls. Wer offenlegt, welche Maßnahmen ergriffen und welche Konsequenzen gezogen wurden, stärkt das Vertrauen in die eigene Lernfähigkeit. Perfektion erwarten Stakeholder nicht. Erkennbares Lernen dagegen schon.

Fazit

Kommunikation kann die technische Wiederherstellung nicht beschleunigen und keine Schäden ungeschehen machen. Sie kann aber verhindern, dass Unsicherheit in widersprüchliche Aussagen, unklare Zuständigkeiten und vermeidbare Risiken für Betroffene umschlägt. Dafür muss sie parallel laufen, nicht erst dann beginnen, wenn alle Fakten vorliegen.
Die Frage ist deshalb nicht, ob ein Unternehmen von einem Cybervorfall betroffen sein wird, sondern ob es vorbereitet ist, verlässlich darüber zu sprechen. Wer heute Zuständigkeiten klärt und Textbausteine vorbereitet, muss im Ernstfall nicht improvisieren.