Praxisorientierte Einordnung zu Krisenkommunikation nach einem Cyberangriff: Intern und extern handlungsfähig bleiben: Anforderungen verstehen, Risiken priorisieren und eine belastbare Umsetzung für Krisenmanagement aufbauen.
Krisenkommunikation nach einem Cyberangriff muss zwei widersprüchlich wirkende Ziele verbinden: schnell Orientierung geben und zugleich keine unbestätigten Aussagen verbreiten. In den ersten Stunden ändern sich Umfang, Ursache und mögliche Datenbetroffenheit laufend. Schweigen erzeugt Gerüchte und operative Unsicherheit; voreilige Gewissheit kann Kunden täuschen, Ermittlungen beeinträchtigen und spätere Korrekturen erzwingen.
Ein belastbares Kommunikationsmodell arbeitet deshalb mit einem bestätigten Faktenkern, klar gekennzeichneten Unsicherheiten, zielgruppenspezifischen Botschaften und festem Update-Rhythmus. Der folgende Leitfaden verbindet interne Führung, Kundeninformation, Behörden, Medien und Angreiferkommunikation mit der technischen Incident Response.
Kommunikation ist Teil der Response, nicht deren Begleitprogramm
CISA empfiehlt, Incident-Response- und Kommunikationsplan gemeinsam vorzubereiten, vom CEO oder einer vergleichbaren Rolle genehmigen zu lassen und Holding Statements vorab zu entwickeln. Der Grund ist praktisch: Kommunikation benötigt Fakten aus der Analyse und beeinflusst zugleich Eindämmung, Mitarbeitendenverhalten, Kundenreaktionen und Meldepflichten.
Wenn Mitarbeitende eine verdächtige Nachricht weiter öffnen, weil sie keine Anweisung erhalten, wächst der technische Schaden. Wenn ein Kunde aus den Medien von einer Störung erfährt, sinkt Vertrauen. Wenn eine öffentliche Aussage den Angreifer über erkannte Zugänge informiert, kann die Untersuchung erschwert werden.
Deshalb gehört Kommunikation in den Krisenstab. Sie besitzt eine eigene verantwortliche Rolle, arbeitet aber mit Technik, Recht, Datenschutz und Business Continuity aus einem gemeinsamen Lagebild.
Der Single Source of Truth
Ein zentraler Faktenkern wird in festem Rhythmus aktualisiert. Er enthält bestätigte Ereignisse, Zeitpunkte, betroffene Leistungen, aktuelle Auswirkungen, ergriffene Maßnahmen, bekannte Datenbetroffenheit, offene Fragen und nächsten Updatezeitpunkt. Jede Aussage erhält Quelle und Vertrauensniveau.
Trennen Sie konsequent:
- Bestätigt: durch technische oder fachliche Evidenz verifiziert.
- Wahrscheinlich: mehrere Indikatoren stützen die Annahme, Analyse läuft.
- Unbekannt: derzeit keine ausreichende Evidenz.
- Widerlegt: geprüft und nicht bestätigt.
Nur bestätigte Fakten und bewusst formulierte Unsicherheiten fließen in externe Kommunikation. „Wir haben derzeit keine Hinweise auf Datenabfluss“ darf nicht als „Es sind keine Daten abgeflossen“ verkürzt werden. Der Unterschied ist rechtlich und vertrauensbezogen wesentlich.
Die Kommunikationsrollen
Communications Lead: koordiniert Zielgruppen, Botschaften, Kanäle, Freigaben, Monitoring und Dokumentation. Er ist Teil des Kernkrisenstabs.
Faktenverantwortlicher: meist der technische Lageverantwortliche; bestätigt, welche technischen Aussagen tragfähig sind. Er schreibt nicht zwangsläufig Pressetexte.
Legal und Datenschutz: prüfen Meldepflichten, Haftungsrisiken, Vertraulichkeit und notwendige Formulierungen. Sie dürfen den Prozess nicht durch den Anspruch vollständiger Gewissheit blockieren.
Business Owner: bestätigt Auswirkungen auf Leistung, Kunden und Lieferfähigkeit. Technische Verfügbarkeit kann von fachlicher Betriebsfähigkeit abweichen.
Sprecher: eine oder wenige vorbereitete Personen kommunizieren nach außen. Social-Media-, Support- und Vertriebsteams erhalten klare Weiterleitungsregeln.
Freigabeinstanz: vorab festgelegte Person oder Vertretung genehmigt wesentliche Aussagen innerhalb kurzer Frist. Ein langer Umlauf über zahlreiche Führungskräfte macht schnelle Kommunikation unmöglich.
Zielgruppe 1: Mitarbeitende
Mitarbeitende benötigen zuerst handlungsbezogene Informationen. Welche Systeme oder Kanäle dürfen nicht genutzt werden? Wie melden sie Beobachtungen? Welche Ersatzverfahren gelten? Dürfen Geräte neugestartet werden? Wie erkennen sie offizielle Anweisungen?
Die erste Nachricht sollte kurz sein und über einen vertrauenswürdigen Kanal kommen. Bei kompromittierter E-Mail oder Identität wird ein vorbereiteter alternativer Weg genutzt. Vorgesetzte erhalten ein Briefing, damit sie Fragen konsistent beantworten und keine eigenen Erklärungen erfinden.
Interne Kommunikation respektiert Unsicherheit, ohne Angst zu verstärken. Beispiel: „Wir untersuchen eine Sicherheitsstörung, die Teile der Auftragsbearbeitung betrifft. Bitte verbinden Sie bis auf Weiteres keine privaten Datenträger und folgen Sie ausschließlich Anweisungen über Kanal X. Der nächste Status folgt um 14 Uhr.“
Zielgruppe 2: Geschäftsleitung und Aufsicht
Die Leitung benötigt keine öffentliche Botschaft, sondern eine Entscheidungsgrundlage. Der Bericht umfasst Geschäftsauswirkung, technische Lage, Unsicherheit, regulatorische Fristen, Kommunikationsrisiko und konkrete Optionen. Er nennt die nächste Entscheidung und den Zeitpunkt des Updates.
Vorstände oder Geschäftsführer müssen wissen, welche Aussagen bereits extern sind und welche noch vorbereitet werden. Aufsichtsgremien erhalten einen angemessenen Rhythmus und protokollierte Information. Einzelne Führungskräfte sollten nicht parallel bei technischen Teams abfragen und dadurch widersprüchliche Daten erzeugen.
Zielgruppe 3: Kunden und Geschäftspartner
Kundeninformation orientiert sich an ihrer möglichen Betroffenheit und Handlungsnotwendigkeit. Relevante Inhalte sind Leistungsstatus, mögliche Daten- oder Zugangsauswirkung, konkrete Schutzmaßnahmen, empfohlene Kundenaktion, Supportkontakt und nächstes Update.
Segmentieren Sie Empfänger. Direkt betroffene Kunden benötigen detailliertere und frühere Information als die allgemeine Öffentlichkeit. Strategische Kunden und Partner mit technischen Verbindungen können eigene Incident-Teams aktivieren. Vertrieb und Account Management erhalten freigegebene Q&A, aber keine Interpretationsfreiheit bei unbestätigten Fakten.
Versprechen Sie keine Wiederherstellungszeit, die Technik und Business Continuity nicht bestätigt haben. Eine belastbare Bandbreite mit Abhängigkeiten ist besser als ein optimistischer Einzeltermin, der mehrfach verschoben wird.
Zielgruppe 4: Behörden, Regulatoren und Versicherer
Formale Meldungen folgen ihrer jeweiligen Rechtsgrundlage. NIS2, Datenschutz, DORA, sektorale Regeln, Strafverfolgung, Verträge und Versicherung können unterschiedliche Kriterien, Fristen und Inhalte haben. Ein zentrales Notification Register verhindert versäumte oder widersprüchliche Meldungen.
Frühe Meldungen werden mit dem aktuellen Wissensstand erstellt. Sie enthalten klar gekennzeichnete Unsicherheit und werden fortgeschrieben. Chronologie und Entscheidungsprotokoll zeigen, welche Fakten zu welchem Zeitpunkt bekannt waren.
Die Meldung an eine Behörde ersetzt nicht automatisch Kunden- oder Betroffeneninformation. Umgekehrt erfüllt eine Pressemitteilung keine formale Meldepflicht. Verantwortlichkeiten bleiben getrennt, der Faktenkern gemeinsam.
Zielgruppe 5: Medien und Öffentlichkeit
Öffentliche Kommunikation sollte früh vorbereitet werden, bevor Anfragen eintreffen. Ein Holding Statement bestätigt das bekannte Ereignis, beschreibt unmittelbare Schutzmaßnahmen und nennt einen nächsten Informationspunkt. Es vermeidet Schuldzuweisung, Spekulation über Angreifer und unbelegte Aussagen über Daten.
Ein mögliches Grundmuster lautet: „Wir untersuchen derzeit einen Cybersecurity-Vorfall, der bestimmte Systeme beeinträchtigt. Unsere Notfallprozesse wurden aktiviert und externe Spezialisten unterstützen die Untersuchung. Der Schutz unserer Kunden und die sichere Wiederherstellung haben höchste Priorität. Sobald belastbare weitere Informationen vorliegen, informieren wir über Kanal X.“
Dieses Muster muss an reale Fakten angepasst werden. Floskeln wie „höchste Sicherheitsstandards“ wirken nach einem Vorfall defensiv und können später gegen das Unternehmen verwendet werden. Besser sind konkrete, belegbare Maßnahmen.
Zielgruppe 6: Kommunikation mit einem Erpresser
Die Kontaktaufnahme eines Angreifers ist keine normale Kundenkommunikation. Sie benötigt spezialisiertes Incident Response, Recht, Versicherung und gegebenenfalls Strafverfolgung. Mitarbeitende dürfen nicht eigenständig antworten oder Dateien öffnen.
Das Unternehmen entscheidet vorab, wer Zugang zum Kommunikationskanal hat, wie Beweise gesichert und welche Informationen nicht preisgegeben werden. Verhandlungen oder Zahlungen haben rechtliche, sanktionsbezogene, ethische und operative Folgen und müssen durch qualifizierte Stellen bewertet werden.
CISA und Partner raten von Lösegeldzahlungen ab und weisen darauf hin, dass Zahlung keine Datenwiederherstellung garantiert. Unabhängig von der Entscheidung bleibt eine saubere Recovery- und Eindämmungsstrategie notwendig.
Der Freigabeprozess unter Zeitdruck
Definieren Sie drei Kommunikationsstufen. Operative Anweisungen an Mitarbeitende können durch Incident Commander und Communications Lead schnell freigegeben werden. Formale Kunden- und Behördenmeldungen benötigen Recht und zuständige Geschäftsverantwortung. Öffentliche strategische Aussagen werden durch benannte Leitung und Kommunikation genehmigt.
Für jede Stufe gelten maximale Reaktionszeiten und Vertretungen. Vorlagen reduzieren Aufwand, dürfen aber nicht blind verwendet werden. Variablen wie Incident, Service, Zeitraum, bestätigte Auswirkung und nächstes Update müssen bewusst ausgefüllt werden.
Jede veröffentlichte Version wird archiviert. Korrekturen nennen transparent, was sich geändert hat. Ein gelöschter alter Post ohne Erklärung kann Misstrauen erhöhen.
Ein Kommunikationsrhythmus, der Vertrauen schafft
Der erste Updatezeitpunkt wird auch dann eingehalten, wenn es wenig Neues gibt. „Die Untersuchung läuft, Scope unverändert, nächstes Update um 18 Uhr“ ist besser als Funkstille. Zielgruppen können mit festen Zeitpunkten planen und belasten Support weniger.
Interne technische Updates können stündlich erfolgen, Kundenupdates mehrmals täglich und öffentliche Updates nach wesentlichen Änderungen. Der Rhythmus richtet sich an Auswirkung und Sichtbarkeit. Zu viele Updates mit Spekulation schaffen ebenso Verwirrung wie zu wenige.
Nach Wiederherstellung folgt eine Abschlusskommunikation: aktueller Status, bekannte Auswirkung, getroffene Verbesserungen und erreichbarer Kontakt. Details zu Schutzmaßnahmen werden so gewählt, dass sie transparent, aber nicht sicherheitsschädlich sind.
Q&A für Vertrieb und Support vorbereiten
Ein lebendes Q&A enthält freigegebene Antworten und klar gekennzeichnete offene Fragen. Typische Themen:
- Welche Dienste und Zeiträume sind betroffen?
- Sind Kundendaten oder Zugangsdaten betroffen?
- Müssen Kunden Passwörter ändern oder Verbindungen trennen?
- Wann ist die Leistung wieder verfügbar?
- Welche externen Spezialisten und Behörden sind eingebunden?
- Wie erhalten Kunden Updates und individuelle Unterstützung?
- Welche Maßnahmen verhindern eine Wiederholung?
Für unbekannte Punkte gibt es eine ehrliche Antwort und einen Updateweg. Support dokumentiert häufige Fragen und neue Hinweise, damit der Krisenstab Kommunikationsbedarf erkennt.
Monitoring und Gerüchtemanagement
Beobachten Sie Medien, soziale Netzwerke, Dark-Web-Hinweise, Supportvolumen, Kundenfeedback und interne Gerüchte. Monitoring dient nicht nur Reputationsschutz; es kann technische Evidenz liefern, etwa veröffentlichte Datenproben oder Angreiferbehauptungen.
Nicht jede falsche Behauptung benötigt öffentliche Widerlegung. Priorisieren Sie Aussagen, die Sicherheit, Kundenhandlung oder erhebliches Vertrauen beeinflussen. Korrekturen bleiben sachlich und verweisen auf den offiziellen Kanal.
Intern sollten Führungskräfte wissen, dass fehlende Antwort nicht automatisch Geheimhaltung bedeutet. Ein zentraler FAQ- und Updatekanal reduziert informelle Parallelkommunikation.
Typische Kommunikationsfehler
- Absolute Aussagen über Datenabfluss, bevor die Forensik ausreichend ist.
- Technische und geschäftliche Verfügbarkeit werden verwechselt.
- Kunden erfahren wesentliche Einschränkungen zuerst aus Medien oder Statusportalen.
- Mehrere Sprecher nutzen unterschiedliche Zahlen und Zeitpunkte.
- Rechtliche Prüfung blockiert jede frühe Orientierung.
- Ein optimistischer Recovery-Termin wird ohne Abhängigkeiten versprochen.
- Interne Kommunikationskanäle werden trotz möglicher Kompromittierung genutzt.
- Support und Vertrieb erhalten keine Q&A und improvisieren.
- Das Unternehmen verteidigt seine Sicherheitsreife statt Betroffene zu informieren.
- Nach technischer Wiederherstellung endet Kommunikation ohne Abschluss.
Vorbereitungspaket für die nächsten vier Wochen
- Zielgruppen, Kontakte und Kommunikationskanäle erfassen.
- Faktenkern, Lagebild und Versionsablage definieren.
- Freigabestufen, Vertretungen und maximale Zeiten vereinbaren.
- Holding Statements für Ransomware, Datendiebstahl und Cloud-Ausfall entwerfen.
- Notification Matrix mit Recht und Datenschutz aufbauen.
- Out-of-Band-Kommunikation praktisch testen.
- Q&A-Prozess für Vertrieb, Support und Führungskräfte vorbereiten.
- Eine Tabletop-Übung mit externer Medienanfrage durchführen.
Fazit: Vertrauen entsteht durch belastbare, nicht perfekte Information
Gute Krisenkommunikation wartet nicht auf vollständige Gewissheit. Sie teilt bestätigte Fakten, kennzeichnet Unsicherheit, gibt konkrete Handlungsanweisungen und nennt verlässlich den nächsten Updatepunkt. Ein gemeinsamer Faktenkern verbindet Mitarbeitende, Leitung, Kunden, Behörden und Öffentlichkeit, während Zielgruppen unterschiedliche Details erhalten. Diese Fähigkeit muss vor dem Vorfall vorbereitet und geübt werden.
BlackMount entwickelt Kommunikationspläne und integriert sie in realistische Cyberkrisenübungen. Weitere Informationen finden Sie unter Cyberkrisenmanagement.
