Nicht nur Systeme wiederherstellen – sondern auch Vertrauen
- vor 2 Tagen
- 7 Min. Lesezeit
Erfolgreich durch digitale Krisen steuern
289 Milliarden Euro. So hoch beziffert der Bitkom den jährlichen Schaden durch Cyberkriminalität in Deutschland. Zahlen wie diese sind es, die immer wieder das Augenmerk auf die Auswirkungen von Zwischenfällen im Cyber- und Informationsraum lenken. Und das völlig zurecht. Dabei gerät jedoch oft ein weiterer zentraler Aspekt aus dem Blickfeld: Denn es geht nicht nur um Kosten für Produktionsausfälle, die Wiederherstellung von Systemen oder Strafzahlungen für Datenschutzverstöße. Ein nicht unwesentlicher Teil der Gesamtkosten entfällt auf Vertrauens- und Reputationsverlust: Auf Kundenabwanderung, einbrechende Aktienkurse oder steigende Kapitalkosten durch erhöhte Risikowahrnehmung am Markt. Bei der Bewältigung dieser Schäden hilft meist nicht der Incident-Response-Dienstleister.
Verwundbarkeit im Cyber- und Informationsraum ist in erster Linie eine technische und kulturelle. Das reicht von fehlenden Schutzvorkehrungen über ein unzureichendes Schwachstellenmanagement bis hin zu einer Unternehmenskultur, die Sicherheit nicht ausreichend priorisiert. Doch ein weiterer Aspekt der Verwundbarkeit liegt im Vertrauen – und in der Fähigkeit, dieses Vertrauen in der Krise zu behalten. Es ist nämlich nicht die Frage, ob ein Unternehmen Ziel eines Cyberangriffs wird, sondern wann. Entscheidend ist, wie es damit umgeht. In einer Zeit, in der Desinformation Fakten untergräbt, Deepfakes Realitäten verschwimmen lassen und gesellschaftliche Polarisierung zunimmt, ist Glaubwürdigkeit essenziell. Ein Cyberzwischenfall stellt diese auf die Probe. Und nicht die Attacke selbst zerstört Reputation – sondern der Umgang damit.
Cybercrime Inc. – ein Milliardengeschäft mit Servicehotline
Cyberkriminalität ist kein Hinterzimmerphänomen mehr, sondern ein hochprofessionelles, arbeitsteiliges Ökosystem. Die großen Cybergruppierungen agieren längst wie Unternehmen, mit eigener Personalgewinnung, Buchhaltung, Qualitätssicherung und klar definierten Umsatzzielen. Ransomware as-a-Service-Modelle ermöglichen es zudem auch technisch wenig versierten Akteuren, Angriffe durchzuführen – inklusive Supporthotline für die Angreifer.
Gleichzeitig nutzen Kriminelle KI-Technologien, um Schwachstellen systematisch zu identifizieren, Angriffe zu automatisieren und Social Engineering-Attacken mit realistischen Deepfakes durchzuführen. Phishing-Mails, einst an holpriger Sprache erkennbar, sind durch sich stetig verbessernde LLMs kaum noch von legitimer Geschäftskommunikation zu unterscheiden. Die Professionalisierung der Täterseite schreitet mindestens so schnell voran wie der technologische Fortschritt auf Seiten der Verteidiger.
Wenn nichts mehr geht – und alle Antworten erwarten
Digitale Krisen können viele Formen annehmen – von Phishing Kampagnen über CEO-Fraud bis hin zu Überlastungsangriffen auf Unternehmenswebsites. Zwei Szenarien stellen Kommunikationsverantwortliche vor besonders große Herausforderungen: Angriffe, bei denen Systeme verschlüsselt und Lösegeld erpresst werden, sowie Datendiebstähle, bei denen sensible Daten abfließen und im Darknet auftauchen. Nicht selten passiert beides zusammen – die sogenannte Double Extortion.
Was beide Szenarien für Kommunikationsmanager so herausfordernd macht: Am Anfang ist fast nichts klar. Welche Daten betroffen sind, wer die Angreifer waren, ob sie noch im System sind – all das bleibt oft über längere Zeit unklar. Eine forensische Analyse kann Wochen dauern. Ganz zu schweigen von der Rückkehr in den Normalbetrieb. Gleichzeitig erwarten Stakeholder schnelle, verlässliche Informationen.
Dieses Spannungsfeld zwischen Informationsbedürfnis und Informationsunsicherheit ist der kommunikative Kern jeder Cyberkrise. Genau hier entscheidet sich, ob Vertrauen erhalten bleibt oder erodiert.
Erschwerend kommt hinzu: Bei Ransomware-Angriffen kommunizieren die Täter häufig selbst – oftmals auf Darknet-Kanälen, die außerhalb des regulären Monitorings liegen. Die Kommunikationsinfrastruktur des Unternehmens kann durch den Angriff lahmgelegt sein. Die Autoren haben bereits Krisencalls mit CEOs erlebt, die sich mit dem Schullaptop der Tochter einwählen mussten. Krisenkommunikation beginnt dann nicht mit der Suche nach der richtigen Botschaft, sondern mit der Suche nach einem noch funktionierenden Kanal.
Weiterhin gilt bei Cyberkrisen eine besondere Dynamik: Medien fokussieren sich nur zu gerne auf die bekannte Marke, nicht auf die kriminelle Gruppierung im Hintergrund, deren Namen die Leser noch nie gehört haben. Das Ergebnis: Das angegriffene Unternehmen steht in der öffentlichen Wahrnehmung zumeist nicht als Opfer da, sondern als Angeklagter. Akteure nutzen das gezielt, um Druck aufzubauen entweder durch die Drohung, an die Öffentlichkeit zu gehen, oder indem sie Kunden und Partner aktiv ansprechen.
Vom Lagebild zur Botschaft
Die erste Aufgabe nach Entdeckung eines Angriffs lautet, die richtigen Leute an einen Tisch zu bringen. Eine Krisen-Taskforce, die IT-Sicherheit, Rechtsabteilung, Datenschutz, HR, Investor Relations (falls börsennotiert) und Unternehmenskommunikation zusammenführt, ist keine organisatorische Kür – sie ist Pflicht. Bei schwerwiegenden Vorfällen gehört ein Mitglied der Geschäftsleitung sichtbar in diese Runde. Wer hier Silos zulässt, verliert die Kontrolle über das Narrativ, bevor es überhaupt eines gibt.
Kommunikationsverantwortliche nehmen dabei eine wichtige Rolle ein: als Koordinatoren zwischen den Disziplinen und als Übersetzer, die technisch-juristische Sachverhalte in eine Sprache bringen, die Stakeholder verstehen. Dafür brauchen sie ein Grundverständnis der IT-Sicherheitsarchitektur, der regulatorischen Anforderungen und der forensischen Abläufe. Wer sich das erst im Ernstfall aneignen will, wird vermutlich scheitern.
In der initialen Kommunikation gelten klare Prinzipien: Transparenz, Empathie und Verantwortungsbewusstsein.
Das bedeutet konkret: Kommuniziert werden sollte, was bekannt ist, welche Maßnahmen ergriffen werden und wann mit weiteren Informationen zu rechnen ist. Die Botschaft muss glaubwürdig vermitteln, dass das Unternehmen alles tut, um die Auswirkungen zu begrenzen – und dass die Interessen der Betroffenen Priorität haben. So verlockend es klingt: Die Aussicht, alles unter den Teppich zu kehren und lieber gar nichts zu sagen, ist nicht nur unrealistisch, sondern auch aus Reputationssicht keine gute Idee.
Die eigenen Leute nicht vergessen
Häufig unterschätzt wird bei Cybervorfällen die interne Kommunikation. Mitarbeitende wollen wissen, ob ihre eigenen Daten sicher sind, ob der Arbeitgeber die Lage unter Kontrolle hat und wie sie mit Kundenanfragen umgehen sollen. Ehrliche, offene Kommunikation nach innen schafft nicht nur Orientierung – sie macht Beschäftigte zu Verbündeten. Wer seine Belegschaft im Unklaren lässt, riskiert intern Unruhe und extern Leaks und Kontrollverlust. Dann knallt es an zwei Fronten gleichzeitig.
Gegenüber externen Stakeholdern gilt: Die direkt Betroffenen – Kunden, Geschäftspartner, Anteilseigner – haben Vorrang. Gerade der Kapitalmarkt reagiert allergisch auf Unsicherheit: Studien zeigen, dass der Aktienkurs nach Bekanntwerden eines Cybervorfalls im Schnitt um drei bis sieben Prozent einbricht. Eine Zahl, die sich durch konsistente, glaubwürdige Kommunikation deutlich begrenzen lässt. Der frühzeitige Schulterschluss mit Datenschutz- und Strafverfolgungsbehörden ist nicht nur regulatorisch geboten, sondern strategisch klug: Behörden, die als Partner wahrgenommen werden, stärken die Glaubwürdigkeit des angegriffenen Unternehmens.
Entscheidend ist: Der Informationsfluss muss kontinuierlich aufrechterhalten werden – durch regelmäßige Updates, dedizierte Ansprechpartner und klare Feedback-Kanäle. Wer nur einmal kommuniziert und dann verstummt, überlässt die weitere Ausgestaltung des Narrativs anderen. Und Medien wie Märkte füllen Informationslücken zuverlässig mit Worst-Case-Annahmen.
Nicht warten, bis es brennt
Prävention ist kein optionales Nice-to-have, sondern eine strategische Notwendigkeit – unabhängig von Unternehmensgröße und Branche. Wer sie unterlässt, spart nicht. Er spekuliert.
Gelungene Cyberprävention beginnt mit einer ehrlichen Bestandsaufnahme: Gibt es abgestimmte Prozesse und vorbereitete Kommunikationsmaterialien? Oder würde das Unternehmen im Ernstfall improvisieren? Darauf aufbauend werden Kernmaterialien entwickelt – Holding Statements, Q-&-A-Dokumente, Sprachregelungen für verschiedene Krisenszenarien – in enger Abstimmung zwischen Kommunikation, IT, Recht und Investor Relations. Diese Toolbox verschafft im Krisenfall wertvolle Minuten und stellt sicher, dass die kommunikative Grundlinie von Anfang an konsistent ist – gegenüber Regulatoren, Mitarbeitenden, Kunden und dem Kapitalmarkt gleichermaßen.
Doch die beste Toolbox nützt wenig, wenn sie Staub fängt. Regelmäßige Krisensimulationen, bei denen die gesamte Entscheidungskette unter Zeitdruck getestet wird, sind unverzichtbar. Siedecken Schwachstellen auf und trainieren die interdisziplinäre Zusammenarbeit unter realistischen Bedingungen. Wer einmal erlebt hat, wie schnell zwei Stunden Simulation vergehen, bewertet den Stand der eigenen Vorbereitung radikal anders.
Dieser Ansatz wird zunehmend auch regulatorisch vorgegeben: Die EU-Richtlinie NIS-2 verpflichtet Unternehmen, Krisenszenarien zu entwickeln, Notfallpläne zu testen und Mitarbeitende regelmäßig zu schulen – bei persönlicher Haftung des Managements. Auch andere Staaten wie China, Japan und die USA haben ihre Anforderungen an Incident Response, Meldepflichten und Nachweisführung in letzter Zeit erhöht. Die globale Botschaft ist klar: Cyberresilienz ist kein reines IT-Thema mehr, sondern eine Frage der Unternehmensführung. Und damit auch eine, bei der Kommunikationsmanager nicht auf Einladung warten sollten.
Raus aus der zweiten Reihe
Kaum eine andere Funktion im Unternehmen versteht so gut, was auf dem Spiel steht, wenn Vertrauen erodiert. Kommunikationsmanager wissen, dass ein Cyberangriff nicht nur Systeme bedroht, sondern das, was Unternehmen langfristig zusammenhält: die Glaubwürdigkeit gegenüber Kunden, Mitarbeiten den, Investoren und der Öffentlichkeit. Genau dieses Wissen macht sie zu starken Fürsprechern für Krisenprävention.
Sie sollten diese Rolle aktiv annehmen: sich mit IT-Sicherheit und Rechtsabteilung vernetzen, interdisziplinäre Übungen anstoßen und Resilienz auf die Vorstandsagenda bringen – nicht als technisches Spezialproblem, sondern als Führungsaufgabe. Für Reputationsschutz gibt es keinen Patch. Aber es gibt Kommunikationsverantwortliche, die verstanden haben, dass sich Vertrauen in der Krise nur bewahren lässt, wenn man lange vor der Krise begonnen hat, sich vorzubereiten.
DOS & DON´TS
Dos:
Interdisziplinäre Krisen-Taskforce aus IT, Recht, Kommunikation, Investor Relations und Management sofort einberufen und sich regelmäßig updaten.
Betroffene Stakeholder priorisieren und transparent sowie empathisch über bekannte Fakten, ergriffene Maßnahmen und nächste Schritte informieren.
Interne Kommunikation von der ersten Stunde an mit-denken, um Mitarbeitende als Verbündete und Fürsprecher für die eigene Strategie zu gewinnen.
Datenschutz- und Strafverfolgungsbehörden frühzeitig als Partner einbinden – nicht erst bei regulatorischem Zwang.
Vorbereitete Kernmaterialien (Holding Statements, Q&A, Darksite) nutzen und situativ auf den konkreten Vorfall adaptieren.
Don´ts:
Nicht in eine Wagenburgmentalität verfallen – Abschottung signalisiert Kontrollverlust und verstärkt den Reputationsschaden.
Nicht spekulieren – ungesicherte Aussagen lassen sich nach Veröffentlichung kaum noch korrigieren.
Nicht auf vollständige Informationen warten – Stakeholder akzeptieren Unsicherheit, aber kein Schweigen.
Nicht kleinreden oder beschwichtigen – wer den Vorfall herunterspielt, verliert Glaubwürdigkeit, sobald das tatsächliche Ausmaß bekannt wird.
Nicht auf eine einmalige Stellungnahme beschränken und dann verstummen – Märkte und Medien füllen Informationslücken zuverlässig mit Worst-Case-Annahmen.
Johannes Steger ist Managing Director bei FGS Global in Berlin. Als Head of Digital Crisis Management berät er Unternehmen bei Vorfällen im Cyber- und Informationsraum und entwickelt präventive Strategien für Reputationsschutz und digitale Resilienz. Zuvor leitete er die Fachredaktion der „Tagesspiegel“-Background-Briefings Digitalisierung & KI, Cybersecurity und Smart City. Er ist Co-Autor des Buches „Deutschland im Ernstfall: Was passiert, wenn wir angegriffen werden“ (Hoffmann & Campe) und wird regelmäßig zu kritischen Infrastrukturen und Sicherheitskommunikation zitiert.
Till Valentin Staschik ist Berater im Hongkonger Büro von FGS Global. Er berät asiatische Unter nehmen mit Aktivitäten in Europa ebenso wie europäische Organisationen bei der strategischen Positionierung und der Kommunikation gegenüber relevanten Stakeholdern in Asien. Ein besonderer Schwerpunkt seiner Arbeit liegt auf der Krisenprävention sowie der Ad-hoc-Steuerung reputationskritischer Sondersituationen. Staschik ist Co-Autor des Buchs „Professionelle Krisenkommunikation“ (Springer Gabler).
