Krisenkommunikation bei Cyberangriffen - Teil 2 von 3: Krisenkommunikationsplan: Von der Masterstory zum laufenden Update

Die Masterstory: eine Position, die auf unsicherem Sachstand tragen muss

Die Masterstory ist das schriftlich fixierte Kernbotschaftenset, aus dem alle weiteren Materialien abgeleitet werden - intern wie extern. Sie sichert die One-Voice-Policy. Bewährt haben sich folgende Inhalte:

• 1. Sachstand: Was ist gesichert, was wird geprüft, was ist offen? Diese Trennung verhindert, dass vorläufige Annahmen später als falsche Aussagen zurückkommen.

• 2. Haltung und Verantwortung: Wie ordnet die Organisation den Vorfall ein, welche Verantwortung übernimmt sie für Aufklärung und Folgen? Dieser Teil ist früh formulierbar und bleibt vergleichsweise stabil.

• 3. Vorgehen und Zusage: Wer prüft was, welche nächsten Schritte stehen an und wie wird informiert? Dieser Teil ersetzt in der Frühphase fehlende Fakten durch nachvollziehbare Verbindlichkeit.

• 4. Persönliches Statement: Betroffene dürfen immer (!) erwarten, dass sich die Organisation persönlich an sie wendet, Bedauern ausdrückt oder (falls erforderlich und möglich) eine Enstchuldigung ausspricht.

Nicht in die Masterstory gehören Spekulationen über Ursache oder Täterschaft, Superlative zum eigenen Sicherheitsniveau, vorschnelle Entwarnungen zur Datenlage oder Details zu einer möglichen Erpressung.

Abgestimmt wird die Masterstory zwischen Krisenstab, Kommunikation, Rechtsabteilung, Datenschutz und den forensisch Verantwortlichen. Der zeitkritische Engpass ist in der Praxis häufig nicht das Schreiben, sondern diese Freigabe.

Fortschreibung: die Masterstory als lebendes Dokument

Der zweite, oft unterschätzte Schritt ist die Fortschreibung. Forensische Erkenntnisse kommen schrittweise, und mit jeder neuen Erkenntnis kann sich die Kommunikationslage verschieben. Ohne geregelte Fortschreibung entstehen widersprüchliche Stände und damit eine zweite, selbstverursachte Krise.

• Versionierung mit Datum und Uhrzeit. Jede Fassung ist eindeutig identifizierbar, und alle Auskunftgebenden wissen, welcher Stand gilt.

• Konsistenzprüfung gegen frühere Aussagen. Vor jeder neuen Fassung wird geprüft, ob sie Veröffentlichungen oder Zusagen widerspricht. Abweichungen werden aktiv erklärt statt still korrigiert.

• Stabile und variable Teile trennen. Haltung und Verantwortung bleiben weitgehend konstant, der Sachstand wächst. Wer beides vermischt, wirkt bei jedem Update, als ändere sich auch die Haltung.

• Verlässlicher Update-Takt. Updates erfolgen in angekündigten Abständen. Auch ein unveränderter Stand kann eine Information sein, wenn er angekündigt und eingehalten wird.

Darksite oder Statusseite: ein zentraler Ort für verlässliche Updates

Eine eigene Krisen-Microsite, Darksite oder Statusseite ist im Cyberfall eines der wirksamsten Kommunikationsinstrumente. Sie bündelt den aktuellen Stand an einem Ort und reduziert die Zahl widersprüchlicher Einzelinformationen.

Dort können Updates chronologisch mit Datum und Uhrzeit stehen, der Status wichtiger Services, alternative Erreichbarkeiten und ausgewählte öffentliche Fragen und Antworten. Für Medien entsteht eine zitierfähige Primärquelle, für Kunden ein verlässlicher Referenzpunkt und für interne Stellen ein Anlaufpunkt zur Klärung wichtiger Fragen des Arbeitsalltags.

Zwei Bedingungen entscheiden über den Nutzen. Erstens muss die Seite unabhängig von der betroffenen Infrastruktur erreichbar sein. Zweitens muss sie gepflegt werden. Eine Statusseite mit veraltetem Stand dokumentiert Stillstand statt Handlungsfähigkeit.

Das Materialset: sieben Bausteine und ihr Zeitpunkt

Aus der Masterstory leiten sich die konkreten Materialien ab. Entscheidend ist weniger ihr fertiger Wortlaut als die Frage, wann sie greifen, wer sie freigibt und über welchen Kanal sie ausgespielt werden. Da die Masterstory auf Basis erster gesicherter Erkenntnisse verfasst wird, ist ihr zeitlicher Vorläufer in der frühen Phase die Haltebotschaft. Sie überbückt die ersten kritischen Stunden.

• Erstinformation Mitarbeitende: Enthält Betriebshinweise (Notbetrieb), Sicherheits- und Verhaltenshinweise sowie eine Sprachregelung für externe Anfragen.

• Kundeninformation: Nennt Kenntnisstand, konkrete Auswirkungen und alternative Erreichbarkeit. Servicenutzen geht vor Erklärung.

• Presseinformation: Reaktiv oder proaktiv. Bei sichtbarem Betriebsausfall ist frühe Information oft notwendig, bei Datenabfluss braucht es eine bewusste Abwägung.

• Interne Q&A / Sprachregelung: Sichert die One-Voice-Policy für Hotline, Vertrieb, Empfang, Führungskräfte und Kommunikation.

• Öffentliche FAQ: Beantwortet ausgewählte Kunden- und Medienfragen in veröffentlichungsfähiger Tiefe, ohne sensible Sicherheitsdetails offenzulegen.

• Betroffeneninformation (v.a. bei Datenabfluss): Rechtlich geprägt, und dennoch vertrauensbildend; klar und verständlich, mit konkreten Handlungs- und Sicherheitshinweisen.

Anforderungen an das Q&A Dokument

Die interne Q&A ist das Arbeitspferd der One-Voice-Policy. Hotline, Vertrieb, Empfang, Führungskräfte und Kommunikationsabteilung müssen auf dieselbe Frage dieselbe Antwort geben - über Wochen hinweg und bei wechselndem Sachstand.

• Nicht-Antworten gehören hinein. Auf Fragen nach Angriffsweg, Täterschaft, Abwehrmaßnahmen oder Erpressung kann die Antwort lauten, dass dazu keine Auskunft gegeben wird.

• Die Q&A folgt der Versionierung der Masterstory. Beide Dokumente müssen im Sinne der One Voice-Policy stets aktuell und inhaltlich auf demselben Kenntnisstand aufbauen.

• Profi- und Laienversion. Technische Details (z.B. zu Sicherungssystemen) sind oft Gegenstand von Rückfragen. Je nach Quelle der Anfrage, müssen diese entsprechend tiefergehend oder allgemeinverständlich beantwortet werden. Wir unterscheiden z.B. zwischen Anfragen von Profi-Portalen zur IT-Sicherheit von (regionalen) Medienanfragen.

• Vorbereitung ist hilfreich: Empfehlenswert ist es, zentrale Fragen rund um IT- und Cyber-Sicherheit bereits als Teil des Handbuch Krisenkommunikation vorbereitet zu haben. Diese können im Ernstfall dann scheller aktualisiert werden.

Daneben kann eine öffentliche Q&A-Liste sinnvoll sein. Sie beantwortet nur freigegebene Fragen von Kunden, Betroffenen und Medien. Für SEO und generative Suchsysteme ist dieses Format zusätzlich hilfreich, weil konkrete Fragen mit klaren Antworten auffindbar werden. Zu veröffentlichen sind diese augewählten Q&A zum Beispiel auf der Microsite.

Cyber-Mailings: Sicherheit mitdenken

Nach einem Cyberangriff werden Empfänger gleichzeitig informiert und zu erhöhter Skepsis aufgefordert. Genau deshalb müssen Mailings so gestaltet sein, dass sie Folgeangriffe nicht erleichtern.

• Informationspflichten. Welche Informationen in ein Mailing müssen, wird mit Recht und Datenschutz abgestimmt. Welche Inhalte zusätzlich für Vertrauen und Reputation hilfreich sind, legt die Krisenkommunikation fest.

• Empathie gegen rechtliche Prüfung. Bedauern über Folgen und Verantwortung für Aufklärung lassen sich ausdrücken, ohne eine noch ungeklärte Ursache oder Haftung vorwegzunehmen.

• Links und Anhänge sparsam einsetzen. In der Erstkommunikation möglichst darauf verzichten. Wenn Sie z.B. auf die Sicherheitsempfehlungen des Bundesamtes für Sicherheit in der Informationstechnologie (BSI) verweisen, immer ohne Link! – Hintergrund ist, dass das Öffenen von Links oder Anhängen oft den Angreifern das Tor zum Cyber-Angriff öffnet.

• Keine Zugangsdaten über einen mitgesendeten Weg ändern lassen. Wenn Passwortänderungen nötig sind, wird der bekannte Weg beschrieben, nicht ein neuer Login-Link bereitgestellt.

• Weitere Nachrichten ankündigen. Wer weiß, dass ein Schreiben kommt, kann es leichter verifizieren.

• Verifikationsregel ausdrücklich nennen. Zum Beispiel: Das Unternehmen wird niemals unaufgefordert nach Passwörtern, Zugangsdaten oder Kontoinformationen fragen.

Was in den Krisenkommunikationsplan gehört

So complex und dynamisch Cyber-Angriffe sind, so gut kann man sich auf sie vorbereiten: Und zwar durch Strukturen, vorbereitete Textbausteine und Übungen.

• Freigabekette. Definition des Kernteams aus Kommunikation, Recht/Datenschutz und Forensik zur Erstellung von Haltebotschaft und Masterstory. Danach Freigabe im Krsienstab.

• Ersatzinfrastruktur. Verteiler außerhalb der eigenen Systeme, externe Mailadressen, telefonische Rückfallebene, unabhängig gehostete Statusseite (Darksite/Microsite) und offline verfügbare Unterlagen.

• Textbausteine. Vorbereitete Q&A, Mailing-Textbausteine, Haltebotschaften – gut vorformulierte Texte helfen im Krisenfall, schneller und besser einsatzbereit zu sein.

• Krisenübungen. Krisenstäbe, aber auch Kommunikationsteams können Cyber-Angriffe in realitätsnahen Übungen und Krisensimulationen gezielt üben und sich damit optimal auf den Erbstfall vorbereiten.