Im Falle eines Cybersecurity-Vorfalls und insbesondere bei Ransomware-Angriffen gilt es nicht nur, schnell technisch zu reagieren – sondern ebenso schnell strategisch zu kommunizieren.

Während der technische Part darin besteht, den Angriff zu analysieren, Schäden zu begrenzen und den laufenden Betrieb so rasch wie möglich wiederherzustellen, bleibt die Kommunikation in vielen Unternehmen chaotisch, verspätet oder schlicht nicht existent – und verschärft so den Schaden zusätzlich. Dabei dürfen auch rechtliche Meldepflichten und Fristen nicht außer Acht gelassen werden. Ein IT-Sicherheitsvorfall kann so schnell zu einer Vertrauenskrise führen. Dem lässt sich mit einer wirksamen Krisenkommunikationsstrategie entgegenwirken.

comm:unications-Geschäftsführerin und Kommunikationsexpertin Sabine Pöhacker beantwortet die wichtigsten Fragen rund um die richtige Krisenkommunikation im Cybersecurity-Fall

Warum ist Cybersecurity nicht nur ein technisches, sondern auch ein kommunikatives Thema?

„Wenn eine Cyberattacke das Unternehmen lahmlegt, kann oftmals nicht mehr per Knopfdruck kommuniziert werden. Mitarbeiter:innen, Kunden und Partner:innen müssen dennoch – auch abseits der üblichen Kommunikationskanäle – informiert werden, und das so rasch, prägnant und lückenlos wie möglich.“

Welche Rolle spielt Kommunikation bei der Prävention von Cyberangriffen?

„Eine wesentliche. Hier geht es vor allem darum, Mitarbeiter:innen zu sensibilisieren und ihnen vor Augen zu führen, dass auch unscheinbare Mails gefährlich sein können, und ein Unternehmen binnen kürze lahmlegen können. Workshops und Webinare tragen dazu bei, das Bewusstsein zu schärfen.“

Wie können Kommunikationsstrategien bei tatsächlichen Cyberangriffen helfen?

„Wie immer in der Krisenkommunikation ist die Prävention das Um und Auf. Wir erarbeiten bereits im Vorfeld mit unseren Kunden unterschiedliche Szenarien, definieren, wer für die Kommunikation verantwortlich ist und legen die Kommunikationskaskade fest. Doch nicht nur, wer wann mit wem kommuniziert ist wesentlich, sondern auch ob reaktiv oder proaktiv vorgegangen werden muss.“

Warum scheitern viele Unternehmen weniger an der Technik als an der Kommunikation rund um Cybersecurity?

„Weil in den meisten Fällen verabsäumt wurde, die Kommunikationsstrukturen im Vorfeld festzulegen, abzubilden und regelmäßig zu aktualisieren. Wenn Feuer am Dach ist, hat niemand Zeit, in Ruhe über etwas nachzudenken, und dann ist das Chaos vorprogrammiert. Wer im Ernstfall über ein aktuelles Krisenhandbuch verfügt, wird das sehr zu schätzen wissen.“

Was sind die größten Kommunikationsfehler während eines Cybervorfalls?

„Nicht zu kommunizieren oder noch schlimmer, den Kopf in den Sand zu stecken!“

Wie und wie schnell sollte ein Unternehmen kommunizieren – intern und extern?

„Die gesamte Krisenmaschinerie muss anlaufen, sobald Unregelmäßigkeiten gemeldet werden. Je nach Schwere des Vorfalls müssen entweder nur die neuralgischen Stellen wie die Führungsriege und Entscheider:innen informiert werden, oder wie in den meisten Fällen, alle relevanten Stakeholder.“

Welche Stakeholder müssen in welcher Reihenfolge informiert werden?

„Direkt Betroffene müssen immer zuerst informiert werden. Danach ist zu klären, wann auch indirekt Betroffene folgen. Entscheidend sind klare Zuständigkeiten und abgestimmte Inhalte: Externe Stakeholder wie Kund:innen oder Medienvertreter:innen brauchen nicht alle Details, Mitarbeitende hingegen konkrete und eindeutige Handlungsanweisungen.
Zudem sind rechtliche Vorgaben zu beachten: Datenschutzverletzungen müssen gemäß Art. 33 DSGVO binnen 72 Stunden an die Datenschutzbehörde gemeldet und Betroffene informiert werden. In regulierten Bereichen – etwa nach NIS2 – gelten teils noch kürzere Fristen, etwa 24 Stunden für erhebliche Sicherheitsvorfälle, sowie weitere branchenspezifische Meldepflichten.“

Wie kann Vertrauen nach einem Cyberangriff wieder aufgebaut werden?

„Vertrauen wird durch transparente und kontinuierliche Kommunikation wieder aufgebaut. Unternehmen sollten den Vorfall und seine Ursachen offen erklären, Learnings und konkrete Maßnahmen darlegen sowie zusätzliche Sicherheitsvorkehrungen klar kommunizieren. Wurden Daten kompromittiert, sind eine Entschuldigung und ehrliche Information über mögliche Risiken entscheidend. Wichtig ist: keine Panik schüren, sondern verantwortungsvoll, ehrlich und aufrichtig handeln.“

Braucht es neue Rollen oder Prozesse an der Schnittstelle von Cyber & Kommunikation?

„Wir wissen, dass vier von fünf Krisen in Unternehmen schlecht gemeistert werden, und dass aufgrund mangelnder oder schlechter Kommunikation. Deshalb ist das Zusammenspiel von IT und Kommunikationsabteilungen entscheidend. Cyberattacken frühzeitig zu thematisieren und klare Handlungsabläufe festzulegen, ist ein wichtiger erster Schritt.“

Awareness ist entscheidend, denn Cyberangriffe sind längst tägliche Realität – auch in Österreich. Sie werden gezielter, professioneller und finanziell folgenschwerer, während Phishing-Mails kaum noch erkennbar sind. Cyber Awareness darf aber nicht bei Technik enden: Wer Zuständigkeiten und Botschaften erst im Ernstfall klärt, verliert Zeit und Kontrolle. Frühzeitig entwickelte Kommunikationsstrategien sichern klare Informationsflüsse, Vertrauen in der Krise und so eine Krisenresilienz.

Save the Date: IT-Krisen & Kommunikation

Welche Schritte in der Vorbereitung wichtig sind und wie Sie ihre Kommunikationsabläufe krisenfest machen, vermittelt comm:unications-Geschäftsführerin und Kommunikationsexpertin Sabine Pöhacker gemeinsam mit den erfahrenen IT-Sicherheitsexperten von Purple-Tec und weiteren Vortragenden bei einem halbtägigen kostenfreien Business Brunch vormittags am 22.04. Informationen zur Anmeldung erhalten Sie in unserem März-Newsletter – abonnieren Sie ihn hier.