Krisen-PR bei Cyberangriffen: damit aus einem Sicherheitsvorfall keine Unternehmenskrise wird

Die Server stehen still. E-Mails kommen nicht mehr an. Kundenportale sind offline. Cyberangriffe sind für Unternehmen immer ärgerlich, teuer und nervenaufreibend. Doch ob daraus eine existenzbedrohende Krise wird, entscheidet sich selten im Serverraum, sondern in der Kommunikation.

Ransomware verschlüsselt Systeme, Phishing-Mails täuschen Mitarbeiterinnen und Mitarbeiter, Daten werden kopiert oder gestohlen, Betriebsgeheimnisse veröffentlicht, Produktion, Buchhaltung oder Logistik fallen aus … Ist ein Unternehmen von einem Cyberangriff betroffen, herrschen zunächst einmal Chaos und Stillstand. IT-Teams arbeiten dann unter Hochdruck. Externe Spezialistinnen und Spezialisten werden eingeschaltet. Alles dreht sich um Schadensbegrenzung und den Wiederanlauf der Systeme. Was dabei oft nicht im Fokus steht: Kommunikation. Warum auch, es geht doch schließlich um ein technisches Problem, oder?

Cyberangriffe sind immer auch eine Kommunikationsaufgabe

Tatsächlich entscheidet die Kommunikation, ob aus einem beherrschbaren Vorfall eine ausgewachsene Unternehmenskrise wird. Denn: Partner, Kunden, Lieferanten, MitarbeiterInnen und Öffentlichkeit möchten von einem Sicherheitsvorfall nicht aus dritter Hand erfahren.

Ein geglückter Cyberangriff allein führt selten zum Vertrauensverlust. Kritisch wird es durch:

• Fehlende oder widersprüchliche Informationen
• Unklare Verantwortlichkeiten
• Zu spätes oder rein defensives Handeln

Anders gesagt: Der Angriff ist der Auslöser. Die (Nicht-)Kommunikation bestimmt das Ausmaß des Schadens.

Jede erfolgreiche Krisenbewältigung beginnt inhouse

Um Vertrauensverlust während eines Cybervorfalls möglichst zu vermeiden, gilt: intern vor extern, wie so oft in der Unternehmenskommunikation. Bevor eine einzige Information nach außen gehen sollte, muss intern Klarheit herrschen:

• Was ist passiert und was bedeutet das für die Mitarbeitenden?
• Wer informiert intern und über welche Kanäle?
• Wer spricht mit Kunden und Partnern?
• Wer ist MedienansprechpartnerIn?
• Wer entscheidet, welche Informationen veröffentlicht werden?

Idealerweise sind diese und andere Fragen in einem Krisenkommunikationsplan vorab geregelt. So müssen zentrale Zuständigkeiten nicht erst akut im Ernstfall geklärt werden.

Vorbereitung schlägt Ausnahmezustand

Sobald die interne Kommunikation steht, folgt die externe. Dabei gilt: Gute Krisenkommunikation entsteht nicht spontan im Ausnahmezustand. Sie wird vorbereitet.

Bewährte Maßnahmen:

• Gemeinsame Risikoanalysen von IT und Kommunikation, um typische Szenarien wie Datenleck, Erpressung oder Systemausfall durchzuspielen
• Systemexterne, cloudbasierte Listen mit Medien- und Stakeholderkontakten
• Alternative Kommunikationskanäle für den Notbetrieb, falls interne Systeme ausfallen
• Eine „Darksite“ (vorbereitete Internet-Seite), die bei Bedarf sofort aktiviert und mit Informationen für Kunden, Partner und Öffentlichkeit gefüllt werden kann
• Kontinuierliche Abstimmung im Tagesgeschäft: auf belastbare Beziehungen lässt sich in der Krise bauen
• Vorbereitete Textbausteine für erste Statements und Pressemitteilungen

Die Phasen der Krisen-PR bei Cyberangriffen

1. Kurz nach Bekanntwerden eines Angriffs: erstes, faktenbasiertes Statement; muss nicht vollständig sein, aber ehrlich, empathisch und nachvollziehbar
2. Ursache und Ausmaß der Krise sind geklärt: strukturierte Information für Kunden, Partner und Medien; vorbereitete Textbausteine sparen hier wertvolle Zeit (lassen sich für verschiedene Szenarien entwickeln)
3. Laufende Updates: ergänzende Informationen zum Vorfall, Erläuterung der Gegenmaßnahmen, konkrete Hinweisen für Betroffene
4. Nach der Krise: Abschlusskommunikation: Was wurde gelernt? Welche Maßnahmen wurden verbessert? Wie wird zukünftig Sicherheit gewährleistet?

Du möchtest dich kommunikativ auf mögliche Cyberangriffe vorbereiten oder steckst gerade mitten in einem Sicherheitsvorfall? Dann sprich gern unsere Expertin Ilka Stiegler an: +49 351 43755 11 stiegler@abg-partner.de