5min Lesezeit

Krisenkommunikation bei Cyberangriffen - Teil 1 von 3: Was Unternehmen in den vier Phasen beachten müssen

Cyber-Angriffe gehören zu den größten Risiken unserer Zeit – für Wirtschaft, Politik und Gesellschaft. Durch die beschleunigte Entwicklung von KI werden zudem immer neue und immer subtilere Angriffsformen möglich. Tritt der Ernstfall ein, stehen Unternehmen vor einer dreifachen Herausforderung: die Bewältigung des Angriffs, der möglichen Erfüllung von Rechtspflichten bei Datenabfluss sowie der Kommunikation mit allen relevanten internen und externen Stakeholdern – von Mitarbeitenden, über die Betroffenen bis hin zu Kunden und Medien.

Warum ein Cyberangriff kommunikativ herausfordernd ist

Ein Produktrückruf, ein Betriebsunfall, ein Compliance-Vorwurf gegen eine Führungskraft: Solche Krisen sind kommunikativ anspruchsvoll, folgen aber häufig einer vertrauten Mechanik. Beim Cyberangriff werden gleich mehrere Grundannahmen klassischer Krisenkommunikation herausgefordert:

Die Faktenlage entsteht schrittweise. Forensische Untersuchungen liefern Zwischenstände. Ob Daten nur verschlüsselt oder auch abgeflossen sind, lässt sich in den ersten Tagen häufig nicht abschließend beantworten. Kommuniziert werden muss trotzdem - genau dann, wenn am wenigsten gesichert ist und am meisten gefragt wird.
Es gibt einen Gegenspieler mit eigener Kommunikationsstrategie. Bei Erpressungsangriffen kann der Angreifer die Eskalation gezielt steuern: mit Countdowns, Leak-Seiten, dosierten Veröffentlichungen oder direkter Ansprache von Kunden und Medien. Der Verlust von Deutungshoheit ist hier eines der wesentlichen Risiken.
Die Organisation ist Opfer und verantwortlich zugleich. Ein Cyberangriff ist eine Straftat gegen das Unternehmen. Gleichzeitig wird sofort gefragt, ob Schutzmaßnahmen, Reaktion und Informationsverhalten angemessen waren. Diese Doppelrolle macht Cyber-Krisenkommunikation besonders heikel.
Die Kanäle sind Teil des Vorfalls. E-Mail, Intranet, Telefonanlage, Website oder CRM können gleichzeitig ausfallen. Mit ihnen verschwinden Verteiler, Kontaktdaten und vorbereitete Unterlagen. Liegt der Krisenkommunikationsplan auf dem verschlüsselten Laufwerk, ist er im entscheidenden Moment wertlos. Ersatzkanäle und offline verfügbare Kontaktdaten gehören deshalb zur Vorbereitung.

Vier Angriffsarten - vier Kommunikationslogiken

"Cyberangriff" ist kein einzelnes Szenario, sondern eine Kategorie. Für die Kommunikationsplanung ist die Unterscheidung wichtig, weil Sichtbarkeit, Zeitdruck und Adressatenkreis deutlich variieren.

Verschlüsselung und Erpressung (Ransomware): Service- und Systemausfälle werden schnell deutlich – meist bevor die Ursache klar ist. Eine Haltebotschaft und das Aufsetzen von geeigneten Tools für die Prozesskommunikation gehören zu den wichtigen frühen Kommunikationsmaßnahmen. Die Erpressung Selbst ist nicht Gegenstand der Kommunikation, sondern Ursache (Cyber-Angriff), interne und externe Auswirkungen, ggfs. Datenverlust und später die Wiederanlaufplanung.
Datenabfluss ohne Betriebsstörung: Nach außen kann zunächst alles normal wirken. Der Kommunikationsanlass entsteht aus rechtlichen Pflichten, Verantwortung gegenüber Betroffenen und Reputationsrisiken. Kritisch wird es, wenn Dritte zuerst berichten, etwa über eine Leak-Seite oder durch die Kommunikation der Hacker selbst, die Betroffene direkt anschreiben.
Betriebsstörung und Sabotage, z. B. DDoS: Kunden bemerken die Störung möglicherweise, bevor die Ursache geklärt ist. Der Zeitdruck ist hoch, ein Datenabfluss kann, muss aber nicht vorliegen. Hier zählt zuerst Servicekommunikation: Was funktioniert, was nicht und über welche Ersatzwege ist das Unternehmen erreichbar, die Services verfügbar?
Angriff über Dienstleister und Lieferkette: Das Unternehmen kann betroffen sein, ohne selbst angegriffen worden zu sein. Die Informationshoheit liegt teilweise bei einem Dritten, die Erklärungspflicht gegenüber Kunden bleibt trotzdem bestehen. Vertraglich geregelte Informationsketten werden dann zum Kommunikationsfaktor ebenso wie die Erwartungshaltung der Zielgruppen, von wem sie wie informiert werden möchten.

Die vier Phasen der Cyber-Krisenkommunikation

Cyberkrisen verlaufen nicht als ein einzelnes Ereignis. Sie entwickeln sich in Phasen, sind dynamisch mit jeweils eigener Kommunikationsaufgabe.

Phase 1: Verdacht - Störung ohne gesicherte Ursache

Etwas funktioniert nicht, und niemand weiß verlässlich warum. Die Kommunikationsaufgabe lautet: handlungsfähig bleiben, ohne sich früh festzulegen. Das Mittel ist die Haltebotschaft. Sie benennt den bekannten Zustand, sagt Bearbeitung zu und kündigt das nächste Update an.

Entscheidend ist ihr Verfallsdatum. Von einer technischen Störung zu sprechen, ist korrekt, solange dies dem tatsächlichen Kenntnisstand entspricht. Ist der Cyberangriff intern bestätigt, muss die Sprachregelung angepasst werden. Sonst entsteht neben der technischen Krise eine Glaubwürdigkeitskrise.

Phase 2: Bestätigung - der Angriff wird benannt

Sobald der Angriff verifiziert ist, verschiebt sich die Aufgabe von Überbrückung zu Einordnung. Jetzt werden Reihenfolge und Zielgruppen wichtig: Mitarbeitende, Kunden, Betroffene, Medien und gegebenenfalls weitere Stakeholder brauchen unterschiedliche Informationen. Parallel können gesetzliche Melde- und Informationsfristen laufen.

Der zentrale Aufgabe in dieser Phase ist das Verfassen einer Masterstory zum Angriff mit allen Inhalten aus Concern, Control und Commit. Sie ist die Basis, auf der alle Zielgruppen gemäß dem One-Voice-Prinzip informiert werden. Wichtig: Von Datenverlust Betroffene brauchen stets eine individuelle Information, die sowohl den gesetzlichen Pflichten entspricht als auch das Vertrauen nicht verspielt.

Phase 3: Aufklärung und Prozesskommunikation

Forensische Erkenntnisse kommen oft schrittweise, die Datenlage wird präziser, mögliche Veröffentlichungen im Darknet werden sichtbar. Kommunikativ heißt das: Updates in einem verlässlichen Takt, mit sauberer Trennung zwischen gesichertem Sachstand, offenen Fragen und nächsten Schritten. Dazu sind geeignete Tools und Instrumente festzulegen, z.B. Microsites (oft unabhängig von den Servern, so dass deren Verfügbarkeit gesichert werden kann).

Jede weitere Lage-Entwicklung kann hier sauber und transparent abgebildet werden.

Phase 4: Wiederanlauf und Nachbereitung

Der technische Wiederanlauf ist ein wichtiges, abschließendes Kapitel: Die Verfügbarkeit der Services für Kunden, der Zugriff auf Systeme für Mitarbeitende, Informationen über ggfs. erweiterte Sicherheitsmaßnahmen, die Anerkennung für das Team – das alles sind wichtige Schritte hin zum Normalbetrieb.

Was Unternehmen vor dem Cyberangriff entscheiden müssen

Cyberangriffe gehören zu den Krisenarten, bei denen die Kommunikationsinfrastruktur selbst Teil des Schadensbildes sein kann. Kommunikative Handlungsfähigkeit im Ernstfall muss deshalb unbedingt vorab vorbereitet und gesichert werden. Sie ist zentraler Bestandteil von Handbüchern Krisenkommunikation: Festegelgt werden müssen beispielsweise: geeignete Ersatzkanäle für den Austausch im Team, Verfügbarkeit von Adressen wichtiger Stakeholder (Mails von Mitarbeitenden, Medienkontakte etc.), Darksites (Websiten, die im Ernstfall live geschaltet werden können und unabhängig von den Systemen gehostet werden).

Häufige Fragen zur Krisenkommunikation bei Cyberangriffen

Wie kommuniziert man in den ersten Stunden nach einem Cyberangriff?

Mit einer kurzen Haltebotschaft, die nur den gesicherten Sachstand, die aktuellen Auswirkungen, das Vorgehen und den nächsten Informationszeitpunkt nennt. Spekulationen und vorschnelle Entwarnungen gehören nicht hinein.

Wann sollte ein Cyberangriff öffentlich benannt werden?

Sobald der Angriff intern verifiziert ist, sollte die Sprachregelung nicht weiter bei einer bloßen "technischen Störung" stehen bleiben. Ob darüber hinaus proaktiv öffentlich informiert wird, hängt von Sichtbarkeit, Betroffenheit, Informationspflichten und der konkreten Lage ab.

Was ist eine Haltebotschaft im Cyberfall?

Eine Haltebotschaft ist eine kurze, vorläufige Aussage für die frühe Krisenphase. Sie hält die Organisation sprechfähig, ohne ungesicherte Ursachen, Täter oder Folgen zu behaupten.

Warum ist eine frühe Entwarnung bei Datenabfluss riskant?

Weil forensische Untersuchungen häufig erst später zeigen, ob und in welchem Umfang Daten abgeflossen sind. Wird zu früh Entwarnung gegeben, muss sie später möglicherweise korrigiert werden. Das beschädigt Glaubwürdigkeit stärker als eine von Anfang an sauber benannte Unsicherheit.

Ein Cyberangriff lässt sich nie vollständig ausschließen. Die kommunikative Handlungsfähigkeit im Ernstfall lässt sich sehr wohl vorbereiten.

Kontaktieren Sie uns für ein individuelles Krisenkommunikationskonzept mit Cyber-Szenario.

Autor:in

Tina Hunstein-Glasl

Tina Hunstein-Glasl ist Inhaberin von Tina Glasl Strategie & Kommunikation. Sie zählt zu den führenden Expertinnen für Krisenkommunikation und strategische Veränderungsbegleitung im deutschsprachigen Raum. Seit über 20 Jahren begleitet sie Unternehmen, Organisationen und Institutionen bei der erfolgreichen Navigation durch komplexe Aufgaben, Krisen und Transformationen. Als Mitgründerin der ORVIETO ACADEMY for Communicative Leadership stärkt sie zudem kommunikative Kompetenz und innere Stabilität von Führungskräften im Kontext des 21. Jahrhunderts. Sie studierte Kommunikationswissenschaft, Politik und Soziologie an der LMU München und ist ausgebildeter Coach mit Weiterbildungen in Organisationsentwicklung.