Krisenkommunikation

2. Einordnung

Krisenkommunikation bewegt sich an der Schnittstelle von Unternehmenskommunikation, Risikomanagement, Recht und Geschäftsführung. Anders als klassische PR-Disziplinen zielt sie auf Schadensbegrenzung, Vertrauenserhalt und Handlungsfähigkeit unter Druck.
Besonders wichtig ist Krisenkommunikation für Unternehmen mit hoher öffentlicher Sichtbarkeit, Kritischer Infrastruktur, regulierten Branchen oder digitalen Geschäftsmodellen. Hier können einzelne Vorfälle (Cyberangriffe, Datenschutzverletzungen, Unfälle, Produktrückrufe, Lieferkettenprobleme) sehr schnell zu existenziellen Reputationsrisiken werden. Cyberangriffe können aber jede Art von Unternehmen treffen – und zu einem großen Risiko werden.

Mit dem Inkrafttreten neuer regulatorischer Anforderungen wie NIS-2, der DSGVO und dem Cyber Resilience Act (CRA) steigen zudem die Melde- und Kommunikationspflichten für Unternehmen erheblich – mit eng getakteten Fristen für Erst- und Folgemeldungen.

Krisenkommunikation wirkt dabei über verschiedene Kanäle hinweg:

• Presse- und Medienarbeit
• Social Media und eigene Kanäle
• Interne Kommunikation (Mitarbeiter:innen, Betriebsrat)
• Investor Relations
• Kunden- und Partnerkommunikation

Die Grenzen zwischen Krisenkommunikation, Issue Management und Reputationsmanagement verschwimmen dabei zunehmend. Gute Krisenvorsorge beginnt lange vor dem eigentlichen Ereignis.

3. Zielsetzung

Krisenkommunikation verfolgt das Ziel, Unternehmen in Ausnahmesituationen handlungsfähig zu halten und ihr Vertrauen bei zentralen Stakeholdern zu bewahren.

Handlungsfähigkeit unter Druck sicherstellen
Klare Prozesse, Verantwortlichkeiten und vorbereitete Materialien ermöglichen es, im Ernstfall sofort und koordiniert zu reagieren, statt in der Krise improvisieren zu müssen.

Reputationsschäden begrenzen
Schnelle, transparente und konsistente Kommunikation verhindert, dass sich Informationslücken mit Spekulationen und negativen Narrativen füllen.

Vertrauen von Stakeholdern erhalten
Mitarbeiter:innen, Kunden, Investor:innen und Medien bewerten Unternehmen danach, wie sie mit Krisen umgehen.

Kontrolle über die Deutungshoheit behalten
Wer schnell und proaktiv kommuniziert, bestimmt die öffentliche Einordnung des Ereignisses mit, statt sie Medien, Kritiker:innen oder Social Media zu überlassen.

4. Unser Angebot

Wir unterstützen Unternehmen in technologiegetriebenen, regulierten und öffentlich sichtbaren Branchen dabei, sich auf Krisen vorzubereiten, und begleiten sie im Ernstfall operativ durch die akute Phase.

Unsere Leistungen umfassen:

Krisenvorsorge & Strategie

• Krisen-Playbooks und Eskalationsprozesse
• Q&A-Vorbereitung
• Stakeholder- und Risikoanalysen
• Definition von Rollen, Verantwortlichkeiten und Freigabeprozessen

Krisentraining & Simulation

• Medientrainings für Sprecher:innen und Führungskräfte
• Krisensimulationen und Workshops

Operative Krisenbegleitung

• 24/7-Erreichbarkeit und Beratung im Ernstfall
• Erstellung von Statements, Pressemitteilungen und Sprachregelungen
• Steuerung der Medien- und Social-Media-Kommunikation
• Koordination mit Rechtsabteilung, Behörden und Geschäftsführung

Nachsorge & Reputationsaufbau

• Auswertung und Lessons Learned nach der Krise
• Reputationsmonitoring und Nachsteuerung der Kommunikation
• Weiterentwicklung von Krisenhandbüchern auf Basis realer Erfahrungen

Krisenkommunikation verbindet vorausschauende Planung, schnelle operative Umsetzung und einen kühlen Kopf unter Druck – damit unsere Kunden in jeder Phase der Krise handlungsfähig bleiben.

5. Was ist wichtig bei Cybersicherheits-Krisen

Cyberangriffe gehören zu den häufigsten und komplexesten Krisenszenarien, mit denen Unternehmen heute konfrontiert sind. Sie unterscheiden sich in wichtigen Punkten von klassischen Krisen und stellen die Kommunikation vor besondere Herausforderungen. Laut Allianz Risk Barometer sind Cybervorfälle in Deutschland seit Jahren das am häufigsten genannte Geschäftsrisiko – 2025 nannten 47 Prozent der befragten Unternehmen sie als Top-Risiko, noch vor Betriebsunterbrechungen und Naturkatastrophen.

Auch die Kostenseite unterstreicht den Handlungsdruck: Laut IBM Cost of a Data Breach Report 2025 kostet ein Datenleck Unternehmen in Deutschland im Schnitt 3,87 Millionen Euro (2024: 4,9 Millionen Euro).

Hohe technische Unsicherheit in der Anfangsphase: Direkt nach einem Angriff ist oft unklar, wie weit er reicht, welche Daten betroffen sind und ob der Angriff noch aktiv läuft.

Enge Abstimmung mit IT-Forensik, Recht und Behörden: Kommunikation darf laufende forensische Untersuchungen nicht gefährden und muss gesetzliche Meldepflichten einhalten: Die DSGVO verlangt die Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden, NIS-2 schreibt ein dreistufiges Verfahren vor (Frühwarnung innerhalb 24 Stunden, Meldung innerhalb 72 Stunden, Abschlussbericht innerhalb eines Monats), und der Cyber Resilience Act verpflichtet Hersteller vernetzter Produkte zu einer Frühwarnung innerhalb von 24 Stunden sowie einer Folgemeldung innerhalb von 72 Stunden. Eine enge, vorab geklärte Zusammenarbeit zwischen Kommunikation, IT-Security, Recht und Geschäftsführung ist entscheidend, weil diese Fristen parallel zur öffentlichen Kommunikation laufen.

Mehrstufige Zielgruppenansprache: Bei einer Cybersicherheits-Krise sind sehr unterschiedliche Stakeholder gleichzeitig zu informieren: Betroffene Kund:innen und Partner, Mitarbeiter:innen, Aufsichtsbehörden, Investoren und Medien. Jede Gruppe hat einen anderen Anspruch an technische Tiefe und Tonalität.

Transparenz über den Umgang mit dem Vorfall: Unternehmen müssen nachvollziehbar erklären, wie der Vorfall eingedämmt wurde, welche Schutzmaßnahmen folgen und was betroffene Personen konkret tun sollten. Vorbildliche Beispiele zeigen: Wer proaktiv und im Schulterschluss mit Betroffenen informiert, stärkt Vertrauen, statt es zu beschädigen.

Wahrheitsprinzip: Kommuniziert werden nur gesicherte Fakten. Offene Fragen werden als offen benannt, nicht überspielt. Sobald neue Erkenntnisse vorliegen, werden frühere Aussagen nachvollziehbar korrigiert, falls erforderlich. Nichts wird versprochen, was zum jeweiligen Zeitpunkt noch nicht gesichert ist – das schützt Glaubwürdigkeit auch dann, wenn sich das Lagebild ändert.

Vorbereitung ist entscheidend: Da Cyberangriffe meist ohne Vorwarnung eintreten, entscheidet die Qualität der Vorbereitung über den Erfolg der Krisenkommunikation: Klare Abläufe, definierte Eskalationsketten mit IT-Security, trainierte Sprecher:innen, adaptierbare Statement-Grundstrukturen und ein klarer Entscheidungsprozess für die Frage, wann und wie breit informiert wird.

Nachhaltige Reputationsarbeit nach dem Vorfall: Auch nach der akuten Phase bleibt Cybersicherheit ein Vertrauensthema. Unternehmen, die transparent über Lessons Learned und verbesserte Schutzmaßnahmen kommunizieren, können gestärkt aus der Krise hervorgehen.

6. Das Playbook für die Cyber-Krise

Ein belastbares Kommunikations-Playbook für Krisen rund um das Thema Cybersicherheit sollte vollständig vorbereitet sein, bevor der Ernstfall eintritt. Im Kern klärt es Prozesse und Verantwortlichkeiten – wer entscheidet, wer gibt frei, wer spricht nach außen, wer informiert wen bis wann. Ergänzend enthält es vorformulierte Textbausteine und Statement-Vorlagen. Diese sind ein Startpunkt für die erste Reaktion, kein Fix-und-Fertig-Produkt: Jeder Baustein muss im konkreten Vorfall an die tatsächliche Lage, den aktuellen Wissensstand und die jeweilige Zielgruppe angepasst werden. Das Playbook sollte mindestens folgende Bausteine enthalten:

Eskalations- und Alarmierungskette: Definition, wer bei einem Verdacht auf einen Cybervorfall innerhalb welcher Zeitspanne informiert wird – inklusive Geschäftsführung, Kommunikation, Recht, Datenschutzbeauftragte:r und ggf. Aufsichtsrat. Dazu zählen Namen, Vertretungsregelungen und 24/7-Erreichbarkeit.

Krisenstab & Rollenverteilung: Ein definierter Krisenstab mit Rollen: Wer entscheidet, wer gibt frei, wer spricht nach außen, wer koordiniert mit Behörden? Entscheidungswege müssen auch funktionieren, wenn einzelne Personen nicht erreichbar sind.

Vorformulierte Sprachregelungen und Statement-Bausteine: Modulare Textbausteine für die erste Stunde („Holding Statement“) sowie Varianten für unterschiedliche Schweregrade (Verdachtsfall, bestätigter Vorfall, Datenverlust, Betriebsunterbrechung). Sie liefern einen schnellen Ausgangspunkt für die erste Reaktion, ersetzen aber nicht die fallbezogene Prüfung und Anpassung im konkreten Vorfall.

Q&A-Katalog: Antworten auf die zu erwartenden kritischen Fragen von Medien, Kunden und Mitarbeitenden – zu Umfang des Vorfalls, betroffenen Daten, Haftung, Zeitplan und Schutzmaßnahmen. Wird im Ernstfall laufend aktualisiert, nicht neu erstellt.

Meldepflicht-Fahrplan: Übersicht der gesetzlichen Melde- und Informationspflichten mit Fristen, Verantwortlichkeiten und Ansprechstellen.

Stakeholder-Kontaktliste: Aktuelle Kontaktdaten zentraler externer Partner: zuständige Aufsichtsbehörden, forensische IT-Dienstleister, Cyber-Versicherung, externe Rechtsberatung, Schlüsselmedien und Branchenverbände.

Interne Kommunikationsvorlagen: Vorbereitete Informationen für Mitarbeiter:innen, damit diese nicht aus den Medien von einem Vorfall erfahren und gegenüber Dritten (Familie, Kunden, Social Media) keine unautorisierten Aussagen treffen.

Freigabeprozess unter Zeitdruck: Ein verschlankter, aber verbindlicher Freigabeweg für Statements im Krisenfall – abgestimmt mit Recht und Geschäftsführung, damit Kommunikation nicht durch normale Abstimmungsschleifen ausgebremst wird.

Trainings- und Testrhythmus: Das Playbook ist nur so gut wie sein letzter Test: Regelmäßige Simulationen und Tabletop-Übungen stellen sicher, dass alle Beteiligten ihre Rolle kennen und das Playbook im Ernstfall tatsächlich funktioniert.

7. FAQs

Was ist Krisenkommunikation?
Alle Kommunikationsmaßnahmen, mit denen ein Unternehmen auf Ereignisse reagiert, die seinen Geschäftsbetrieb, seine Reputation oder das Vertrauen von Stakeholdern akut gefährden.

Was ist der Unterschied zwischen Krisenkommunikation und Issue Management?
Issue Management erkennt Themen frühzeitig, bevor sie eskalieren. Krisenkommunikation bereitet die Kommunikation auf Krisen und ihre Prozesse präventiv vor. Aktiv setzt sie ein, wenn ein Ereignis bereits eingetreten ist und sofortiges Handeln erfordert.

Für welche Unternehmen ist Krisenkommunikation besonders wichtig?
Vor allem für Unternehmen mit hoher öffentlicher Sichtbarkeit, kritischer Infrastruktur, regulierten oder digitalen Geschäftsmodellen – Cyberangriffe können aber fast jedes Unternehmen treffen.

Wie bereitet man sich am besten auf eine Krise vor?
Mit einem aktuellen Krisenhandbuch, vorbereiteten – aber anpassbaren – Statements und Dark Sites, regelmäßigen Trainings sowie einer vorab geklärten Abstimmung zwischen Kommunikation, Recht, IT-Security und Geschäftsführung.

Wie misst man den Erfolg von Krisenkommunikation? Typische Kennzahlen sind:

• Reaktionsgeschwindigkeit nach Bekanntwerden des Vorfalls
• Tonalität und Reichweite der medialen Berichterstattung
• Entwicklung von Vertrauens- und Reputationswerten vor und nach der Krise
• Mitarbeiterzufriedenheit und interne Kommunikationsresonanz
• Dauer bis zur Wiederherstellung des Normalbetriebs in der Kommunikation

Welche Rolle spielt interne Kommunikation in der Krise?
Mitarbeiter:innen sind zentrale Stakeholder und oft die ersten Multiplikatoren nach außen. Frühzeitige, transparente interne Information schützt Motivation und Loyalität und verhindert unautorisierte Aussagen nach außen.

Was unterscheidet klassische von Cybersicherheits-Krisenkommunikation?
Cybersicherheits-Krisen sind durch hohe technische Unsicherheit sowie enge, fristgebundene Meldepflichten (DSGVO, NIS-2, Cyber Resilience Act) gekennzeichnet und erfordern eine besonders enge Verzahnung mit IT-Forensik und Recht.