Noch vor einigen Jahren galten Cyberangriffe als Gefahren, die in erster Linie Großunternehmen treffen können. Das hat sich verändert. Nicht wenige IT-Experten sagen heute: „Die Hälfte der Unternehmen ist gehackt worden, die andere Hälfte weiß es nur noch nicht.“ Das ist zwar etwas überspitzt formuliert, macht aber deutlich, dass das Thema wirklich alle angeht. Denn aktuelle Zahlen zeigen, dass jedes fünfte kleine und mittelständische Unternehmen bereits gehackt wurde oder im Fokus von Cyberkriminellen steht. Unternehmen egal welcher Größe, wollen sich für Szenarien wie Hackerangriffe und Databreach wappnen.
Wie intensiv sich KMU mit Notfallplänen, Krisenkommunikation und IT-Security beschäftigen, ist immer noch sehr unterschiedlich ausgeprägt. Oft stehen bei der Auseinandersetzung mit potentiellen Cyberangriffen die technischen Themen im Vordergrund. Wenn tatsächlich ein Cyberangriff stattgefunden hat, stellen IT-Sicherheit und Datenrettung zunächst die drängendsten Herausforderungen dar. Kommunikation nach innen und außen gerät dabei schnell ins Hintertreffen, was ein großer Fehler ist, weil sie – im Idealfall gut vorbereitet – am besten dabei hilft, auch in einer Krise das Vertrauen in Ihr Unternehmen aufrecht zu erhalten und weiterführenden Schaden abzuwenden.
Wo und wie ist der Databreach möglich gewesen? Sind Daten gestohlen worden? Wenn ja, wie viele? Wie können wir den Angriff unterbrechen und kritische Systeme isolieren? Was sind unsere Informationspflichten?
Es gilt also, das Datenleck zügig technisch zu schließen. Dafür gibt es Ablaufpläne mit Prozessbeschreibungen und technischen Vorgaben, wie im Falle eines Cyber Incident vorzugehen ist. Wir empfehlen hier, den BSI-Leitfaden „Cybersicherheit“ zu beachten, verweisen aber auch gerne auf unsere Kooperation mit Kramer & Crew. Mit ihrem 365° Security Ansatz kümmern sie sich nicht nur um das Datenleck und die Ransomware, sondern sind in der Lage, innerhalb kürzester Zeit eine komplett neue Hardware zur Verfügung zu stellen und so eine weitere Durchdringung der Systeme zu verhindern. Egal, wie sie sich an dieser Stelle entscheiden, es ist wichtig schon im Vorfeld zu wissen, welche Nummer Sie im Notfall anrufen. Die Herrschaft über die Daten wiederzuerlangen, ist dabei essenziell.
Für Ihr Unternehmen als Ganzes ist langfristig aber noch relevanter, das Vertrauen in das eigene Unternehmen wiederherzustellen – und das bei ganz unterschiedlichen Stakeholdern: zuvorderst bei den Mitarbeiter*innen, Kund*innen, aber z.B. auch bei Lieferanten und Behörden.
Denn natürlich haben Sie als Unternehmen nach einem Datenangriff auch Informationspflichten, denen Sie unbedingt nachkommen müssen:
Schweigen, Vertuschen oder die berühmte Salami-Taktik, bei der Informationen immer nur auf Nachfrage herausgegeben werden, bewirken das genaue Gegenteil. Sie wirken als Unternehmen inkonsistent und getrieben. Sie erinnern sich bestimmt an den VW-Diesel-Skandal? Der ist ein Paradebeispiel für Kommunikation nach der Salamitaktik und war ein Image-Desaster für den Autokonzern. Vertrauen in Sie als Unternehmen ist Ihre wertvollste Ressource – dieses Vertrauen erst mühsam wieder aufbauen zu müssen, kann teurer werden als jede Lösegelderpressung nach einem Databreach.
Sich im Falle eines Cyberangriffs am liebsten verstecken und in Ruhe die technischen Fragen lösen zu wollen, ist menschlich nachvollziehbar, unternehmerisch aber ein großer Fehler. Dabei müssen Sie nicht alles allein machen – arbeiten sie Kompetenz-basiert. Die IT soll sich ruhig um die Hard- und Software kümmern. Sorgen Sie nur dafür, dass die Kommunikation parallel dazu losläuft. Nehmen Sie also das Heft in die Hand und bereiten die Krisenkommunikation ebenso detailliert vor wie die technischen Notfallpläne.
Unsere Erfahrung zeigt, dass sich viele KMU mit genau diesem Part, der Krisenkommunikation, schwer tun. Und auch das ist sehr verständlich, weil sie oft keine eigene Kommunikationsabteilung haben, die die Geschäftsleitung im Krisenfall entsprechend unterstützen und beraten kann. Denn klar ist:
Aber wie kann diese sich auf den Tag X, den Tag des Cyberangriffs vorbereiten?
Üben, üben, üben. So knapp lässt es sich auf den Punkt bringen. Was das konkret heißt? Krisenszenarien durchspielen und Notfall- und Kommunikationspläne ausarbeiten. Denn das übergeordnete Ziel jeder Krisenkommunikation ist, die Krise so gut wie möglich zu bewältigen und so zu agieren, dass das Unternehmen und die beteiligten Personen möglichst wenig Schaden nehmen. Und das bedeutet: schnell. Je schneller Sie aktiv kommunizieren, desto besser. Deshalb hilft gute Vorbereitung, sich gedanklich und langfristig auf derartige Situationen einzustellen und nicht von ihnen überrollt zu werden. Sie benötigen in dem Fall zwei gut vorbereitete Szenarien: Das Szenario der akuten Krise mit einer Ad-hoc-Krisenkommunikation und präventiv einen Krisenplan, damit Sie für den Fall der Fälle vorbereitet sind.
Ganz grundsätzlich gilt: Geschwindigkeit ist bei der Krisenkommunikation der größte Hebel: Der erste, der spricht, bestimmt das Narrativ. Der erste, der spricht, hat Recht. Unser erstes Ziel für die Kommunikation im Falle einer Krise ist daher, den Diskurs zu bestimmen. Selbst rausgehen, „den Notruf absetzen“. Und nicht darauf warten, dass betroffene Personen oder gar die Medien diesen in Gang bringen.
Wer ist in Ihrem Unternehmen die Person, die an die Öffentlichkeit geht? Und wie bereitet sie sich auf verschiedene Szenarien vor? Nicht jedem Menschen liegt es, in einer emotionalen Gemengelage zu kommunizieren, denn auch das will gelernt sein. Holen Sie sich auch hier Expert*innen für Kommunikation ins Boot. Diese begleiten Sie mit Ihrem Know-how durch die Krise, treten aber selbstverständlich nie selbst an die Öffentlichkeit. Sicherheit in Ihre Kommunikation zu bringen, hat dabei oberste Priorität, um Ihrer IT-Abteilung den Rücken freizuhalten, damit diese sich um die technischen Tasks kümmern kann, für die sie die Expert*innen sind.
Wie Sie das am besten angehen? Wie bereits geschildet: Der Krisenfall muss vorbereitet sein. Spielen sie präventiv Szenarien durch und entwickeln Sie Strukturen wie einen Krisenplan, der Ihnen in der Krise Sicherheit gibt.
Im ersten Schritt funktioniert er nach diesem sehr simplen Rezept und kann immer weiter verfeinert werden:
‚Wer‘ sagt ‚wann‘ ‚was‘ zu ‚wem‘?
So könnte Ihre Krisenkommunikation im Idealfall aussehen:
Involvieren sie auch Ihre Führungskräfte individuell und in enger Absprache bei dieser präventiven Vorbereitung. Deren Bedürfnisse sind naturgemäß sehr verschieden. Es gibt „geborene Redner“, die einfach durch Begleitung noch mehr Sicherheit bekommen. Es gibt Menschen, die Statements samt Frage-Antwort-Spiel lieber üben und auch solche, deren Texte externe Expert*innen vorbereiten oder diese gegenlesen. Unterstützen Sie ihre Führungskräfte dabei, dass Sie nicht selbst „Krise“ sind, sondern emotional gesteuert und transparent auftreten können. Dabei profitieren auch Ihre Mitarbeiter*innen : Es gibt klar definierte Prozesse und Assets für den Ernstfall. Außerdem werden alle bei den Übungen sensibilisiert und für Krisensituationen geschult.
Atmen Sie erstmal durch und gönnen sich eine Pause. Aber dann empfehlen wir dringend – noch mit den frischen Eindrücken – eine Fehleranalyse: Was ist passiert? Was war gut? Was nicht? Was lernen wir fürs nächste Mal?
Vielleicht bieten Learnings aus der Krise direkt die nächsten – jetzt durchweg positiven – Kommunikationsanlässe? Manchmal können Unternehmen sich aus einer so fundamentalen Krise gar mit einer Erfolgsstory weiterentwickeln. Vielleicht nutzen Sie nach den Erfahrungen nur noch deutsche Server? Sind kreative Ideen entstanden, die das Vertrauen in Ihr Unternehmen weiter stärken können? Denn auch nach der Krise gilt: Ehrlich, offen und direkt zu kommunizieren, schafft Vertrauen. Und das ist auch nach der Krise wichtiges Kapital für Ihr Unternehmen!