Kommunikation in Cyber-Krisen

Die Bedeutung der Krisenkommunikation

Während eines Sicherheitsvorfalls kann eine unzureichende Kommunikation den Reputationsschaden der Organisation ebenso verstärken wie der Angriff selbst. Eine gut umgesetzte Kommunikationsstrategie zeigt Transparenz, Kontrolle und Engagement gegenüber den Stakeholdern.

Grundsätze der Krisenkommunikation

  • Schnelligkeit: Erste Kommunikation in den ersten Stunden nach der Entdeckung
  • Transparenz: Ehrlich sein über das Geschehene und seine Auswirkungen
  • Konsistenz: Eine einheitliche, koordinierte Botschaft über alle Kanäle
  • Empathie: Die Auswirkungen auf die Betroffenen anerkennen
  • Proaktivität: Fragen und Bedenken vorwegnehmen
  • Kontinuität: Regelmäßige Updates auch ohne wesentliche Neuigkeiten

Stakeholder und Zielgruppen

Intern

  • C-Level und Vorstand: Executive Briefings, finanzielle/rechtliche Auswirkungen
  • Mitarbeitende: Praktische Anweisungen, Beruhigung
  • IT und Sicherheit: Technische Details, Koordination der Reaktion
  • Recht und Compliance: Rechtliche und regulatorische Implikationen

Extern

  • Kunden: Direkte Auswirkungen, Schutzmaßnahmen
  • Partner/Lieferanten: Exposition in der Lieferkette, Zusammenarbeit
  • Medien: Pressemitteilungen, kontrollierte Interviews
  • Regulierungsbehörden: ANPD, CVM, BACEN - formelle Meldungen
  • Allgemeine Öffentlichkeit: Soziale Netzwerke, Unternehmenswebsite

Struktur des Kommunikationsteams

  • Crisis Communication Lead: Zentraler Koordinator der Kommunikation
  • Offizieller Sprecher: CEO, CTO oder benannte Führungskraft
  • Pressestelle: Medienmanagement und Pressemitteilungen
  • Social Media Manager: Monitoring und Reaktionen in den Netzwerken
  • Customer Support Lead: Skripte für den Kundenservice
  • Legal Advisor: Prüfung der Kommunikation auf Konformität

Zeitplan der Kommunikation

Erste 2 Stunden:

  • Interne Kommunikation an C-Level und CSIRT
  • Aktivierung des Krisenkommunikationsplans
  • Vorbereitung eines Holding Statements

Erste 6-12 Stunden:

  • Kommunikation an die Mitarbeitenden (interne E-Mail)
  • Benachrichtigung der direkt betroffenen Kunden
  • Erste öffentliche Kommunikation (Website/soziale Netzwerke)
  • Vorbereitung einer FAQ für die Support Teams

Erste 24-48 Stunden:

  • Offizielle Pressemitteilung mit bestätigten Details
  • Meldung an die Regulierungsbehörden (ANPD: innerhalb von 2 Werktagen)
  • Breite Kommunikation an den gesamten Kundenstamm
  • Briefing der Aktionäre/Investoren, sofern zutreffend

Folgende Wochen:

  • Regelmäßige Updates zum Fortschritt der Untersuchung
  • Ankündigung der umgesetzten Korrekturmaßnahmen
  • Abschlussbericht und Lessons Learned (nach der Behebung)

Kommunikationsvorlagen

Holding Statement (initial):

„Uns ist ein Sicherheitsvorfall bekannt, der [Systeme/Daten] betroffen hat. Unsere Teams untersuchen den Vorfall aktiv und ergreifen Maßnahmen, um die Auswirkungen einzudämmen. Wir halten unsere Stakeholder auf dem Laufenden, sobald neue Informationen verfügbar sind.“

Kundenbenachrichtigung:

„Wir haben festgestellt, dass [Beschreibung des Vorfalls] am [Datum] aufgetreten ist. [Datenarten] könnten offengelegt worden sein. Wir haben keine Hinweise auf [missbräuchliche Nutzung] gefunden. Wir empfehlen Ihnen, [konkrete Maßnahmen: Passwort ändern, Kontoauszüge überwachen]. Wir bieten [Schutz-/Überwachungsdienste] an. Für weitere Informationen: [Kontaktkanal].“

Medien- und Pressemanagement

  • Einziger Sprecher: Widersprüche durch mehrere Stimmen vermeiden
  • Media Training: Sprecher auf schwierige Fragen vorbereitet
  • Bridging: Technik, um unbequeme Fragen umzulenken
  • „No comment“ ist schlecht: Immer eine Information anbieten, auch wenn sie begrenzt ist
  • Schnelle Korrektur: Bei Ungenauigkeiten in den Medien sofort korrigieren
  • Monitoring: Verfolgung von Erwähnungen in traditionellen und sozialen Medien

Kommunikation in sozialen Netzwerken

Strategie für soziale Medien:

  • 24/7-Monitoring während der Krise
  • Schnelle Reaktionen (Ziel: < 1 Stunde)
  • Empathie und Menschlichkeit (automatisierte Antworten vermeiden)
  • Weiterleitung an geeignete Kanäle (Support, Datenschutz)
  • Negative Kommentare nicht löschen (Transparenz)
  • Korrektur von Falschinformationen mit Fakten

Was zu vermeiden ist

Häufige Kommunikationsfehler in Krisen:

  • Die Schwere herunterspielen („geringfügiger Vorfall“)
  • Dritten ohne Beweise die Schuld geben
  • Versprechen, was nicht eingehalten werden kann („es wird nie wieder vorkommen“)
  • Übermäßiger technischer Jargon gegenüber einem Laienpublikum
  • Längeres Schweigen ohne Updates
  • Defensive oder kämpferische Kommunikation
  • Widersprüchliche Informationen zwischen den Kanälen
  • Gesetzliche Meldepflichten ignorieren

Best Practices

  • [OK] Rechtlich vorab genehmigte Vorlagen bereithalten
  • [OK] Sprecher vor der Krise schulen
  • [OK] Eine aktuelle Kontaktliste pflegen (24/7)
  • [OK] Vor externer Kommunikation mit der Rechtsabteilung abstimmen
  • [OK] Alle Kommunikationen dokumentieren
  • [OK] Tabletop Exercises einschließlich Kommunikation durchführen
  • [OK] Stimmung überwachen und die Botschaft anpassen
  • [OK] Post-mortem einschließlich Analyse der Kommunikation