Kommunikation nach einem Hackerangriff: Was der Vorstand tun muss, wenn die Server stehen

Transparente Krisenkommunikation schützt die Reputation bei Cyberangriffen. Wie Vorstände Krisenstäbe strukturieren und Informationsflüsse steuern.

Trifft ein schwerwiegender Hackerangriff ein Unternehmen, bricht innerhalb von Minuten nicht nur die digitale Infrastruktur zusammen, sondern auch die gewohnte interne und externe Kommunikation. Wenn E-Mail-Server verschlüsselt, IP-Telefonanlagen außer Betrieb gesetzt und zentrale ERP-Systeme nicht mehr erreichbar sind, entsteht ein vollständiges Informationsvakuum. Während die IT-Abteilung und externe Forensik-Teams in den ersten Stunden unter Hochdruck daran arbeiten, das Ausmaß der Kompromittierung zu analysieren und den Einbruchspfad zu isolieren, wächst außerhalb des Rechenzentrums der Druck auf die Unternehmensführung.

Kunden können keine Bestellungen aufgeben, Zulieferer erhalten keine Lieferbestätigungen, Aufsichtsbehörden erwarten gesetzlich verankerte Meldungen und Medienvertreter stellen erste Anfragen zu möglichen Datenabflüssen. In dieser Phase zeigt sich, dass ein Cyberangriff nicht allein eine technologische Störung darstellt, sondern in erster Linie eine Krise der Unternehmensführung und der Reputation ist. Wer in den ersten vierundzwanzig Stunden nach dem Ausfall zu lange schweigt, Spekulationen unbeantwortet lässt oder widersprüchliche Aussagen tätigt, verliert die Lufthoheit über die Berichterstattung. Die Wiederherstellung von Vertrauen bei Investoren, Geschäftspartnern und Kunden dauert in der Regel um ein Vielfaches länger als das reine Einspielen bereinigter System-Backups.

Die rechtlichen und regulatorischen Meldepflichten im Krisenfall

Die Kommunikationsstrategie des Vorstands bewegt sich im Falle eines IT-Ausfalls in einem eng abgesteckten rechtlichen Rahmen. Die Gesetzgebung hat in den vergangenen Jahren die Anforderungen an Transparenz und Ad-hoc-Meldungen drastisch verschärft. Unternehmen können das Ausmaß eines Angriffs nicht mehr im Verborgenen behandeln, ohne schwerwiegende Bußgelder und persönliche Haftungsrisiken für Organmitglieder einzugehen. Zu den zentralen gesetzlichen Berichtspflichten gehören:

• Die Datenschutz-Grundverordnung (DSGVO): Liegt der begründete Verdacht nahe, dass personenbezogene Daten von Kunden oder Mitarbeitern durch den Angriff entwendet oder unbeabsichtigt offengelegt wurden, muss die zuständige Datenschutzbehörde unverzüglich und grundsätzlich innerhalb von 72 Stunden nach Bekanntwerden des Vorfalls informiert werden. Ist von einem hohen Risiko für die Rechte und Freiheiten der betroffenen Personen auszugehen, müssen auch diese direkt benachrichtigt werden.
• Die NIS-2-Richtlinie und das IT-Sicherheitsgesetz: Unternehmen, die als Betreiber kritischer Infrastrukturen oder als wichtige und wesentliche Einrichtungen eingestuft sind, unterliegen gestaffelten Pflichten. Eine Erstmeldung (Frühwarnung) muss bereits innerhalb von 24 Stunden nach Kenntnisnahme eines Sicherheitsvorfalls an das Bundesamt für Sicherheit in der Informationstechnik oder die zuständige nationale Behörde erfolgen. Ein detaillierter Zwischenbericht ist nach 72 Stunden einzureichen.
• Kapitalmarktrechtliche Ad-hoc-Publizität: Börsennotierte Unternehmen müssen gemäß der Marktmissbrauchsverordnung (MAR) prüfen, ob die Betriebsunterbrechung oder der drohende finanzielle Schaden eine Insiderinformation darstellt. Ist dies der Fall, muss unverzüglich eine Ad-hoc-Mitteilung veröffentlicht werden, um eine Irreführung des Kapitalmarktes zu verhindern.
• Vertraulichkeitsvereinbarungen und Lieferketten-Verträge: In zahlreichen B2B-Lieferverträgen sind spezifische Informationspflichten verankert. Geschäftspartner verlangen oft eine Benachrichtigung innerhalb von 12 bis 24 Stunden, wenn Schnittstellen oder gemeinsame Datenaustauschkanäle von einem Sicherheitsvorfall betroffen sein könnten.

Zusammensetzung des operativen Krisenstabs nach einem Hackerangriff

Um die Handlungsfähigkeit der Organisation sicherzustellen, wenn die regulären Berichtswege ausfallen, muss der Vorstand am Tag X unverzüglich einen dedizierten Krisenstab einberufen. Dieser Stab agiert als oberstes Entscheidungsorgan für die Dauer der Krise und bündelt alle Informationen aus den Bereichen Technik, Recht, Personal und PR. Die Zusammensetzung muss im Rahmen des Business Continuity Managements bereits vor dem Eintritt eines Schadensfalls personell und vertretungsweise festgelegt sein. Der operative Krisenstab setzt sich aus folgenden Schlüsselrollen zusammen:

• Der Gesamtleiter Krisenstab: In der Regel ein Mitglied des Vorstands oder der Geschäftsführung mit uneingeschränkter Entscheidungsbefugnis. Diese Person koordiniert die Gesamtlage und gibt Budgets sowie strategische Maßnahmen frei.
• Der Chief Information Security Officer (CISO) beziehungsweise der IT-Incident-Manager: Liefert kontinuierlich den aktuellen technischen Ermittlungsstand, steuert die externen Forensik-Dienstleister und bewertet die Sicherheit von Wiederanlauf-Szenarien.
• Der Chefjurist oder externe Spezialanwalt für IT-Sicherheitsrecht: Bewertet die Rechtmäßigkeit von Kommunikationsentwürfen, überwacht die Fristen der Behördenmeldungen und steuert die Interaktion mit Ermittlungsbehörden wie dem Landeskriminalamt.
• Der Leiter Unternehmenskommunikation: Entwickelt die interne und externe Sprachregelung, bereitet Medien-Briefings vor und überwacht die Berichterstattung in Sozialen Netzwerken und der Fachpresse.
• Der Leiter Human Resources: Steuert die Information der Belegschaft, regelt Arbeitszeit- und Ausfallfragen und unterstützt betroffene Mitarbeiter, falls Personalakten vom Datenabfluss betroffen sind.

Die Arbeit des Krisenstabs erfolgt in festen Zeitintervallen, sogenannten Lagezentren-Zyklen. In der Regel trifft sich das Gremium alle drei bis vier Stunden für ein maximal dreißigminütiges Update, um den aktuellen Status zu bewerten, Entscheidungen zu treffen und die Aufgaben für den nächsten Zyklus zu definieren.

Vergleich der Kommunikationskanäle und Strategien im Krisenmodus

Fällt die reguläre IT-Infrastruktur aus, stehen gewohnte Kommunikationskanäle wie das firmeninterne Intranet, E-Mail-Verteiler oder zentrale Server-Laufwerke nicht zur Verfügung. Der Vorstand muss im Vorfeld alternative, technisch isolierte Kommunikationswege etablieren. Die folgende Übersicht vergleicht die Einsetzbarkeit und Risiken verschiedener Kanäle im Ausnahmezustand:

Die Ausgestaltung von Sprachregelungen und das Single-Spokesperson-Prinzip

Eine der größten Gefahren im Rahmen einer Krise ist das Entstehen von Spekulationen und widersprüchlichen Aussagen durch unautorisierte Mitarbeiter. Wenn ein Abteilungsleiter gegenüber einer Lokalzeitung von einem mutmaßlichen Totalschaden spricht, während der Vorstand in einer offiziellen Pressemitteilung lediglich von einer Wartung berichtet, wird die Glaubwürdigkeit des Unternehmens nachhaltig beschädigt.

Aus diesem Grund gilt im IT-Krisenfall das strikte Prinzip der einzigen Sprecherquelle, das sogenannte Single-Spokesperson-Prinzip. Ausschließlich der benannte Unternehmenssprecher oder das dafür autorisierte Vorstandsmitglied dürfen Äußerungen gegenüber Medien, Behörden oder Geschäftspartnern tätigen. Allen übrigen Mitarbeitern wird die Vergabe von Auskünften verfahrensseitig untersagt. Sie werden angewiesen, sämtliche eingehenden Anfragen direkt an das Krisenkommunikations-Team weiterzuleiten.

Bei der inhaltlichen Ausgestaltung der Sprachregelung hat sich in der modernen Krisenkommunikation das Prinzip der schrittweisen Transparenz bewährt. In den ersten Stunden nach dem Entdecken des Angriffs stehen in der Regel keine verlässlichen technischen Details fest. Ein vorschnelles Dementieren eines Datenabflusses, das nach späteren forensischen Analysen widerlegt werden muss, führt zu schweren Haftungs- und Reputationsschäden. Die Erstkommunikation konzentriert sich daher auf die Bestätigung des Vorfalls, die Benennung der eingeleiteten Gegenmaßnahmen und das Versprechen regelmäßiger Updates.

Ein beispielhaftes Muster für eine Erstmitteilung umfasst folgende Kernpunkte:

• Bestätigung der Störung: Das Unternehmen teilt mit, dass ein Sicherheitsvorfall festgestellt wurde und vorsorglich bestimmte Systeme vom Netz getrennt wurden.
• Darstellung der Handlungsfähigkeit: Es wird klargestellt, dass externe Sicherheitsexperten und die zuständigen Ermittlungsbehörden eingeschaltet wurden, um den Vorfall zu analysieren.
• Ausblick auf das weitere Vorgehen: Das Unternehmen benennt konkrete Zeitfenster, in denen die nächsten gesicherten Erkenntnisse über die eingerichtete Krisen-Website veröffentlicht werden.

Operativer Leitfaden für die Vorstandskommunikation am Tag X

Die erfolgreiche Durchsteuerung einer IT-Sicherheitskrise erfordert ein strukturiertes Vorgehen, das organisatorische Disziplin mit klarer Führung verbindet. Der Vorstand sollte sich am Tag X an folgendem Phasenmodell orientieren:

• Unverzügliche Aktivierung des Krisenstabs und Umstellung auf Out-of-Band-Kommunikationsmittel innerhalb der ersten sechzig Minuten nach Feststellung der Störung.
• Überprüfung der gesetzlichen Meldefristen für Behörden und Vorbereitung der Erstmeldungen durch das juristische Team zur Vermeidung von Bußgeldern.
• Aktivierung der externen Krisen-Website und Veröffentlichung des ersten gehaltenen Statements zur Schließung des Informationsvakuums.
• Durchführung einer internen Informationsveranstaltung oder Versendung einer Anweisung an die Führungskräfte zur Sicherung des Single-Spokesperson-Prinzips im gesamten Unternehmen.
• Einrichtung regelmäßiger Briefing-Intervalle für Hauptkunden und Lieferanten zur Aufrechterhaltung der wichtigsten B2B-Beziehungen.
• Dokumentation sämtlicher Kommunikationsmaßnahmen und Veröffentlichungen im Krisenstab-Kulturbuch zur späteren Nachbereitung und Vorlage bei Versicherern und Auditoren.

Die professionelle Steuerung der Kommunikation am Tag X stellt eine Kernkompetenz moderner Unternehmensführung dar. Eine transparente, wohlüberlegte und gesetzlich konforme Informationspolitik schützt die Reputationswerte einer Organisation wirksamer als der Versuch, Incidents zu vertuschen. Wenn die IT schweigt, muss der Vorstand mit einer klaren, verlässlichen Stimme sprechen, um die Handlungsfähigkeit, das Vertrauen des Marktes und den langfristigen Unternehmenswert sicherzustellen.