Ein typischer Verlauf: Am Montagmorgen lassen sich keine Dateien mehr öffnen, das Telefon klingelt, ein Kunde fragt nach einer verdächtigen Rechnung mit Ihrem Absender. Die IT arbeitet am Problem. Gleichzeitig wollen Beschäftigte wissen, ob sie weiterarbeiten dürfen, und ein Lieferant fragt, ob er Ihre E-Mails noch öffnen kann. Spätestens jetzt ist Krisenkommunikation gefragt.
Dieser Beitrag erklärt, wie kleine und mittlere Unternehmen bei einem Cyberangriff oder einem schweren IT-Ausfall intern und extern kommunizieren: wer spricht, wer wann informiert wird, über welche Wege und welche Meldungen gesetzlich vorgeschrieben sind. Den technischen Ablauf der Vorfallbehandlung beschreibt unser Beitrag zum Incident-Response-Plan.
Was Krisenkommunikation leisten soll
Das BSI behandelt das Thema im BSI-Standard 200-4 zum Business Continuity Management unter dem Begriff Notfall- und Krisenkommunikation. Nach dem Standard hängt es wesentlich von dieser Kommunikation ab, wie eine Organisation im Notfall wahrgenommen wird und ob man ihr die Bewältigung zutraut. Sie soll deshalb vorab vorbereitet, geplant und dokumentiert werden.
Dazu gehört mehr als eine Pressemitteilung. Der Standard nennt zum Beispiel auch, Geschäftspartnern Stornierungen mitzuteilen oder Kunden über Lieferverzögerungen zu informieren.
Pflicht und Kür: was gemeldet werden muss
Ein Teil der Kommunikation ist gesetzlich geregelt. Diese Meldungen haben Fristen. Sie sollten deshalb vorab wissen, welche davon Ihr Unternehmen treffen können.
| Anlass | Empfänger | Frist | Grundlage |
|---|---|---|---|
| Verletzung des Schutzes personenbezogener Daten | zuständige Datenschutzaufsicht | unverzüglich, möglichst binnen 72 Stunden nach Bekanntwerden; entfällt, wenn voraussichtlich kein Risiko für Betroffene besteht | Art. 33 DSGVO |
| dieselbe Verletzung mit voraussichtlich hohem Risiko für Betroffene | betroffene Personen | unverzüglich, in klarer und einfacher Sprache | Art. 34 DSGVO |
| Ihr Dienstleister bemerkt eine Datenschutzverletzung in Ihrem Auftrag | Sie als Verantwortlicher | unverzüglich | Art. 33 Abs. 2 DSGVO |
| erheblicher Sicherheitsvorfall bei einer wichtigen oder besonders wichtigen Einrichtung | gemeinsame Meldestelle von BSI und BBK | Erstmeldung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussmeldung spätestens einen Monat nach der Meldung | § 32 BSIG |
Die Meldepflicht nach dem BSI-Gesetz (BSIG) betrifft nur Unternehmen, die unter die deutsche Umsetzung der NIS2-Richtlinie fallen. Das BSI kann solche Einrichtungen außerdem anweisen, die Empfänger ihrer Dienste unverzüglich über einen erheblichen Sicherheitsvorfall zu informieren. Das darf auch über die eigene Website geschehen (§ 35 Abs. 1 BSIG). Wie Registrierung und Meldung über das BSI-Portal ablaufen, beschreibt unser Beitrag NIS2-Umsetzung in Deutschland.
Die Meldung an die Datenschutzaufsicht muss unter anderem die Art der Verletzung, eine Kontaktstelle, die wahrscheinlichen Folgen und die ergriffenen oder geplanten Maßnahmen beschreiben. Liegen nicht alle Angaben vor, dürfen sie schrittweise nachgereicht werden (Art. 33 Abs. 3 und 4 DSGVO). Sie müssen also nicht warten, bis alles geklärt ist.
Alles Weitere ist nicht vorgeschrieben, aber oft genauso wichtig: die Information von Beschäftigten, Kunden, Lieferanten, Versicherung und gegebenenfalls Presse. Für diesen Teil geben wir im Folgenden Empfehlungen, gestützt auf den BSI-Standard 200-4.
Vorher regeln: die Grundlagen
Der BSI-Standard 200-4 empfiehlt, vorab verbindliche Regeln festzulegen und zu dokumentieren. Er nennt diese Punkte:
- interne Kommunikation: Was dürfen oder müssen Beschäftigte wann erfahren?
- Äußerungen von Beschäftigten gegenüber Presse und in sozialen Medien: Was ist erlaubt, was nicht?
- Kommunikation durch die zuständige Rolle: Was wird wann und wie nach außen gegeben?
- Kontakt mit Polizei, Behörden und Hilfsorganisationen
- Meldepflichten, die sich aus einem Notfall ergeben
- Medienbeobachtung
Für mögliche Presseanfragen sollen laut Standard eine Sprecherin oder ein Sprecher und eine Vertretung namentlich benannt sein. In einem kleinen Unternehmen kann das die Geschäftsführung selbst sein. Das sorgt laut Standard für eine einheitliche und offizielle Kommunikation nach außen.
Kommunikationswege, die im Ernstfall funktionieren
Bei einem Cyberangriff kann genau das ausfallen, worüber Sie sonst kommunizieren: E-Mail, Telefonanlage, Kalender, Kontaktlisten. Der BSI-Standard 200-4 fordert deshalb ausfallsichere und redundante Kommunikationsmittel, Schutz vertraulicher Kommunikation und aktuelle Berechtigungen. Die Kanäle und Formate sollen vorab festgelegt sein.
Wir empfehlen für kleinere Unternehmen:
- Kontaktliste auf Papier: Geschäftsführung, IT-Dienstleister, Datenschutzbeauftragte, Versicherung, Polizei, wichtige Kunden und Lieferanten, mit Telefonnummern.
- Zweiter Kanal: Legen Sie fest, wie sich das Krisenteam erreicht, wenn das E-Mail-System betroffen oder in fremder Hand ist, zum Beispiel per Telefon.
- Vorbereitete Texte: Formulieren Sie kurze Bausteine für Beschäftigte, Kunden und Lieferanten vor. Im Ernstfall passen Sie sie nur noch an.
Intern zuerst informieren
Der Standard empfiehlt eine fortlaufende, sachliche interne Kommunikation. Beschäftigte müssen nicht jedes Detail kennen, aber alles, was ihre Arbeit und ihre Sicherheit betrifft. Wer Kontakt zu Kunden, Behörden oder Dienstleistern hat, braucht zusätzlich den aktuellen Stand der Bewältigung.
Als bewährte Praxis nennt das BSI: Beschäftigte sollten Informationen mindestens so früh erhalten wie die Öffentlichkeit. Was nach außen geht, wird also zeitgleich oder vorher intern mitgeteilt. Informationen, die keinesfalls nach außen dürfen, sollten auch nicht an alle Beschäftigten gehen.
Zur internen Information gehören auch klare Verhaltensregeln, etwa: Auffälligkeiten sofort an die benannte Stelle melden und Rückfragen von außen dorthin weiterleiten. Welche Regeln für Sie passen, stimmen Sie vorab mit Ihrem IT-Dienstleister ab. Klären Sie dabei auch, wer außerhalb der Geschäftszeiten erreichbar ist; worauf es dabei ankommt, beschreibt unser Beitrag IT-Support 24/7.
Extern: Kunden, Partner, Versicherung, Polizei
Der BSI-Standard 200-4 zeigt in einem Beispiel, wie Interessengruppen nach Priorität geordnet werden können. Die folgende Übersicht ist daran angelehnt und für ein kleineres Unternehmen vereinfacht. Wir empfehlen, sie vorab für Ihr Unternehmen auszufüllen:
| Gruppe | Anlass | Weg | Zuständig |
|---|---|---|---|
| Kunden | wenn sie direkt betroffen sind | Website, Telefon | Kundenservice |
| Öffentlichkeit und Medien | je nach Lage und öffentlichem Interesse | Stellungnahme, Website | Sprecherin oder Sprecher |
| Versicherung | bei versichertem Schaden | Telefon, E-Mail oder Brief | Geschäftsführung |
| Dienstleister und Lieferanten | wenn sie direkt betroffen sind | Telefon, E-Mail | Geschäftsführung |
Bei einem Angriff ist auch die Polizei ein Ansprechpartner. Für Unternehmen gibt es in jedem Land eine Zentrale Ansprechstelle Cybercrime (ZAC). Zuständig ist die Stelle am Firmensitz oder am Ort des Vorfalls. Sie gibt eine erste Einschätzung und leitet die Strafverfolgung ein. Halten Sie die Nummer Ihrer Landes-ZAC in der Kontaktliste bereit.
Haben Sie eine Cyberversicherung, prüfen Sie vorab, wann und wie Sie den Schaden melden müssen. Was eine solche Police abdeckt, lesen Sie in unserem Beitrag zur Cyberversicherung für KMU.
Was in eine Mitteilung gehört
Für die Benachrichtigung betroffener Personen schreibt die DSGVO eine klare und einfache Sprache vor. Sie soll die Art der Verletzung beschreiben, eine Kontaktstelle nennen, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen (Art. 34 Abs. 2 DSGVO). Diese Gliederung können Sie auch für freiwillige Mitteilungen an Kunden und Partner nutzen. Wir empfehlen außerdem:
- nur gesicherte Fakten nennen und kenntlich machen, was noch geprüft wird
- keine Vermutungen über Täter, Ursachen oder Schadenshöhe äußern
- sagen, was die Empfänger selbst tun sollen, etwa Zahlungsaufforderungen mit Ihrem Absender telefonisch prüfen
- einen Zeitpunkt für die nächste Information nennen und ihn einhalten
Beobachten Sie während der Krise, wie über Ihr Unternehmen berichtet wird. Das BSI empfiehlt diese Medienbeobachtung ausdrücklich: Nur wer weiß, wie über das Ereignis gesprochen wird, kann zeitnah reagieren.
Nach der Krise
Wir empfehlen, nach jedem Vorfall auszuwerten, was in der Kommunikation funktioniert hat und was nicht, und Kontaktliste, Textbausteine und Zuständigkeiten anzupassen. Wie Sie Ihr Unternehmen insgesamt auf den Ernstfall vorbereiten, beschreibt unser Beitrag zur Cyberresilienz.
Wie wir Sie unterstützen
Die Kommunikation in der Krise bleibt Aufgabe Ihrer Geschäftsführung. Wir unterstützen auf der technischen Seite. Gemeinsam mit unserem Partner Eye Security bieten wir mit CyberGuard eine Überwachung rund um die Uhr mit Unterstützung bei der Vorfallbehandlung an. Unsere Angebote zur Angriffserkennung stellen wir auf der Seite Managed Security und MDR vor. Mit einem Security-Check nehmen wir den Stand Ihrer IT-Sicherheit auf. Mit unseren Managed Services übernehmen wir den laufenden Betrieb Ihrer IT zum monatlichen Festpreis.
Sprechen Sie mit uns
Sie möchten Ihre Notfallplanung um die Kommunikation ergänzen? Wir betreuen Unternehmen in Rheinland-Pfalz und Hessen von Idar-Oberstein aus; im Raum Darmstadt arbeiten wir mit einem Partnersystemhaus zusammen. Nehmen Sie Kontakt mit uns auf, und wir besprechen Ihre Fragen in einem ersten Gespräch.