Während eines Cyberangriffs richtet sich die Aufmerksamkeit ganz natürlich auf die Technik: isolieren, analysieren, wiederherstellen. Doch das Unternehmen verliert nicht nur Dateien. Es verliert, Stunde für Stunde, das Vertrauen von Menschen, die nicht verstehen, was passiert.
Ein Kunde, dessen Bestellung nicht ankommt, ein Lieferant, der keine Antwort mehr erhält, eine Mitarbeiterin, die am Telefon nicht weiss, was sie sagen soll: Jede und jeder macht sich seine eigene Erklärung. Und die erfundene Erklärung ist fast immer schlimmer als die Realität.
Warum ist Schweigen die schlechteste Option?
Das Argument des Schweigens wirkt im Moment vernünftig. Man weiss noch nicht, was passiert ist, man fürchtet, die Lage zu verschlimmern, man wartet lieber, bis alles klarer ist. Das Problem ist: Während man wartet, sehen die anderen längst, dass etwas nicht stimmt.
Ihre Website ist nicht erreichbar. Ihre E-Mails bleiben unbeantwortet. Lieferungen verspäten sich, Rechnungen werden nicht versendet, das Telefon läutet ins Leere. Ihre Kunden entdecken den Vorfall nicht erst durch Ihre Ankündigung: Sie haben ihn schon vorher festgestellt und versuchen lediglich, ihn zu verstehen.
Schweigen schützt also gar nichts. Es überlässt die Erzählung nur jemand anderem: einem Kunden, der einem anderen davon erzählt, einem Konkurrenten, einer Mitarbeiterin, die sich jemandem anvertraut, manchmal sogar einer Nachricht des Angreifers selbst. Sie verlieren das Einzige, was tatsächlich noch in Ihrer Hand liegt: die Version der Fakten.
Kunden wissen, dass Unternehmen angegriffen werden. Was sie schlecht verzeihen, ist, es von jemand anderem erfahren zu haben, oder eine beruhigende Information erhalten zu haben, die drei Tage später widerlegt wird. Glaubwürdigkeit entscheidet sich nicht am Ausmass des Vorfalls, sondern an der Verlässlichkeit dessen, was Sie sagen.
Das eigentliche Dilemma: zu früh oder zu spät
Das Dilemma ist real und sollte nicht kleingeredet werden. Früh zu kommunizieren bedeutet, das Risiko einzugehen, falsche Dinge zu behaupten, denn am Anfang eines Vorfalls weiss man fast nichts. Spät zu kommunizieren bedeutet, die Lücke sich ausbreiten zu lassen und die Kontrolle über die Erzählung zu verlieren.
Der Ausweg aus diesem Dilemma liegt in einer einfachen Unterscheidung. Trennen Sie, was Sie wissen, von dem, was Sie vermuten, und kommunizieren Sie nur über Ersteres.
Sie wissen, dass Ihr System nicht verfügbar ist. Sie wissen, was konkret für Ihre Gesprächspartnerin oder Ihren Gesprächspartner nicht mehr funktioniert. Sie wissen, dass Sie einen Dienstleister mobilisiert und eine Analyse eingeleitet haben. Diese Elemente sind gesichert, sie werden morgen nicht widerlegt, Sie können sie sofort mitteilen.
Sie wissen dagegen noch nicht, auf welchem Weg der Angreifer eingedrungen ist, welche Daten eingesehen oder kopiert wurden, oder wann alles wieder hergestellt sein wird. Genau diese drei Fragen werden Ihnen gestellt werden, und genau bei diesen sollten Sie sich nicht zu weit vorwagen. “Wir wissen es noch nicht, wir informieren Sie, sobald es feststeht” ist eine professionelle Antwort, kein Zeichen von Schwäche.
Daraus ergibt sich eine praktische Regel: Eine kurze, verlässliche Nachricht alle paar Stunden ist besser als eine vollständige, aber riskante Nachricht nach drei Tagen. Der Rhythmus beruhigt ebenso sehr wie der Inhalt.
Wen zuerst informieren? Ihre Mitarbeitenden
Das ist der häufigste Fehler, und gleichzeitig der am leichtesten zu vermeidende. Man bereitet eine schöne Nachricht für die Kunden vor und vergisst dabei, dass diejenigen, die sie tatsächlich weitertragen, die Personen sind, die das Telefon und den Empfang bedienen.
Eine Mitarbeiterin ohne Information schweigt nicht einfach. Sie improvisiert, oder sie schweigt unbeholfen, was noch schlimmer ist: Ein verlegenes “Ich kann Ihnen nichts sagen” lässt vermuten, dass etwas Schwerwiegendes verborgen wird.
Informieren Sie also zuerst das Team, und geben Sie ihm drei Dinge: Was in wenigen Sätzen passiert, was es einem anrufenden Kunden sagen darf, und den Namen der Person, an die Fragen weiterzuleiten sind, die es nicht selbst beantworten kann. Legen Sie auch fest, was es nicht tun darf, insbesondere nichts in sozialen Medien oder in Fachforen zu veröffentlichen.
Das ist auch der richtige Moment, um die unmittelbaren technischen Anweisungen weiterzugeben, die in unserem Artikel über die ersten 24 Stunden eines Cyberangriffs im Detail beschrieben werden.
Was sollten Sie einem Kunden sagen, und in welcher Reihenfolge?
Eine gute Krisenbotschaft ist kurz und beantwortet vier Fragen, immer in dieser Reihenfolge, plus eine fünfte, die oft die nützlichste ist.
| Was der Kunde wissen möchte | Was Sie schreiben |
|---|---|
| Was ist passiert? | Ein sachlicher Satz, ohne Fachjargon und ohne technische Details |
| Was ändert sich für mich? | Was nicht verfügbar ist, was sich verzögert, was weiterhin funktioniert |
| Was unternehmen Sie? | Die eingeleiteten Massnahmen, in einfachen Worten |
| Wann höre ich wieder von Ihnen? | Ein Datum oder eine Uhrzeit für die nächste Information, das Sie einhalten können |
| Muss ich mich vor etwas hüten? | Der Hinweis auf betrügerische Nachrichten, die in Ihrem Namen versendet werden |
Diese letzte Zeile verdient besondere Aufmerksamkeit. Ist ein geschäftliches E-Mail-Konto kompromittiert, nutzen Angreifer es, um Ihren Kunden aus Ihren eigenen Nachrichtenverläufen zu schreiben: eine gefälschte Rechnung, eine Änderung der Bankverbindung, eine dringende Anfrage. Die Nachricht wirkt legitim, weil sie es fast ist. Ihre Kunden zu warnen und sie daran zu erinnern, jede Änderung der Kontodaten telefonisch, unter einer ihnen bekannten Nummer, zu prüfen, verhindert konkrete finanzielle Verluste. Dieser Mechanismus wird in unserem Artikel über die Kompromittierung geschäftlicher E-Mail-Konten beschrieben.
Welche Fehler kosten am meisten?
Drei Reflexe kommen immer wieder vor, und alle drei fallen auf das Unternehmen zurück.
Verharmlosen. “Ein kleines technisches Problem”, “nichts Ernstes”: Zeigt sich später das tatsächliche Ausmass, wird jedes beruhigende Wort zum Beweis von Unaufrichtigkeit, obwohl meist nur der Wunsch bestand, niemanden zu beunruhigen.
Ein Datum versprechen, das nicht eingehalten werden kann. Eine Rückkehr zur Normalität für den nächsten Tag anzukündigen, wenn niemand das garantieren kann, verurteilt Sie dazu, ein zweites Mal zu enttäuschen. Geben Sie stattdessen eine Uhrzeit für die nächste Information an, die Sie kontrollieren, statt eine Uhrzeit für die Wiederherstellung, die Sie nicht kontrollieren.
Über einen kompromittierten Kanal kommunizieren. Das ist der unauffälligste und der gefährlichste Fehler.
Die Reaktion über die E-Mails des Unternehmens zu koordinieren, während ein Eindringling darauf Zugriff hat, bedeutet, ihm in Echtzeit Ihre Strategie, Ihre Fristen und Ihre Schwachstellen mitzuteilen. Er weiss dann genau, wann er den Druck erhöhen und an wen er schreiben soll, indem er sich als Sie ausgibt. Solange das System nicht als unbedenklich erklärt ist, findet die Krisenbewältigung ausserhalb des Systems statt.
Dies setzt voraus, dass Ersatzkanäle im Voraus vorbereitet wurden: die Liste der privaten Telefonnummern des Krisenteams, auf Papier oder ausserhalb des Unternehmensnetzwerks, eine Messaging-Gruppe auf einem unabhängigen Dienst, sowie die direkten Kontaktdaten Ihres IT-Dienstleisters, Ihrer Versicherung und Ihrer Rechtsberatung. Diese Liste nützt nichts, solange nichts passiert, und ist unersetzlich am Tag, an dem Sie keinen Zugriff mehr auf Ihr Verzeichnis haben. Die vollständige Liste der Ansprechpartner finden Sie unter wen bei einem Cyberangriff kontaktieren.
Kommunikation und gesetzliche Pflicht, zwei verschiedene Dinge
Kunden zu informieren, um die Beziehung zu erhalten, und die betroffenen Personen zu informieren, weil das Gesetz es verlangt, sind nicht dasselbe. Die erste Aufgabe ist kommerzieller, die zweite rechtlicher Natur, und die Erfüllung der einen erfüllt nicht automatisch die andere.
Grundsätzlich sieht das Datenschutzgesetz zwei Stufen vor. Die Meldung an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten ist nur bei einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen fällig, und sie muss so rasch als möglich erfolgen. Entgegen einer verbreiteten Annahme legt das Schweizer Recht keine feste Frist fest: Die 72 Stunden stammen aus der europäischen Verordnung, nicht aus dem Schweizer Recht. Die Information der betroffenen Personen selbst ist fällig, wenn sie zu ihrem Schutz notwendig ist oder wenn der Beauftragte es verlangt.
Eine beruhigende kommerzielle Nachricht erfüllt daher nicht zwingend die gesetzliche Pflicht, die präzise Angaben zu den betroffenen Daten und den zu ergreifenden Massnahmen voraussetzt. Umgekehrt sagt eine rechtliche Meldung einem Kunden nichts über das, was ihn im Alltag interessiert. Die Details des Verfahrens werden behandelt in der Meldung einer Datenschutzverletzung und in Ihren gesetzlichen Pflichten nach einem Cyberangriff.
Eine jetzt vorzubereitende Vorlage
Der beste Zeitpunkt, diese Nachricht zu schreiben, ist heute, mit klarem Kopf. Am Tag des Vorfalls müssen nur noch die Lücken gefüllt werden.
Sehr geehrte Damen und Herren,
Unser Unternehmen ist derzeit von einem IT-Vorfall betroffen. Unsere Teams arbeiten mit einem spezialisierten Dienstleister an dessen Behebung.
Konkret für Sie: [was nicht verfügbar oder verzögert ist]. [Was normal funktioniert] bleibt weiterhin zugänglich.
Ein Hinweis zur Vorsicht: Seien Sie vorsichtshalber misstrauisch gegenüber jeder Nachricht, die Sie in unserem Namen erhalten, insbesondere zu einer Rechnung oder einer Änderung der Bankverbindung. Wir ändern unsere Kontodaten niemals per E-Mail. Im Zweifelsfall rufen Sie uns unter [Nummer] an.
Nächste Information: [Tag und Uhrzeit].
Wir sind weiterhin unter [Nummer] erreichbar und danken Ihnen für Ihr Verständnis.
Diese Vorlage gibt es in drei kurzen Varianten: eine für Kunden, eine für Lieferanten und Partner, eine für Mitarbeitende. Bewahren Sie sie zusammen mit Ihren Ersatznummern auf, ausserhalb des Unternehmensnetzwerks, und lesen Sie sie einmal jährlich erneut durch.
Was Sie selbst vorbereiten können, und was einen externen Blick braucht
Alles bisher Beschriebene lässt sich sehr gut intern und ohne besonderes Budget umsetzen: Ersatzkanäle auflisten, eine Sprecherin oder einen Sprecher bestimmen, die Vorlagen verfassen, das Team darauf vorbereiten, dass es zuerst informiert wird. Ein KMU, das dies getan hat, liegt bereits deutlich über dem Durchschnitt und gewinnt dadurch mehrere wertvolle Stunden.
Am Tag des Vorfalls ändert sich die Aufgabe jedoch grundlegend. Es muss entschieden werden, was gesagt und was verschwiegen wird, während die Fakten unsicher sind, die technische Analyse noch nicht abgeschlossen ist, die rechtliche Verantwortung des Unternehmens und manchmal die seiner Geschäftsleitung auf dem Spiel steht, und ein schlecht gewählter Satz sowohl die Kundenbeziehung als auch den Versicherungsfall belasten kann. Diese Entscheidung in Echtzeit lässt sich nicht improvisieren: Genau in diesem Moment macht ein externer, mit solchen Situationen vertrauter Blick, der technische Analyse und rechtliche Pflichten miteinander in Einklang bringen kann, wirklich den Unterschied.
Mit anderen Worten: Die Vorbereitung der Krisenkommunikation ist eine unverzichtbare Grundlage, ersetzt aber nicht die Begleitung im Moment der Entscheidung. Um Ihren allgemeinen Vorbereitungsstand einzuschätzen, deckt der Cyber-Check-up die wesentlichen Punkte in wenigen Minuten ab, und die übrigen Reflexe für die Krisenbewältigung sind im Bereich Auf einen Angriff reagieren zusammengefasst.