Auf Cyberangriffe richtig reagieren Was CEOs für einen Cyber-Ernstfall wissen müssen

Anbieter zum Thema

FAST LTA GmbH

Cyberangriffe sind längst keine abstrakte Bedrohung mehr, sondern eine alltägliche Gefahr für Unternehmen jeder Größe. Doch nicht jede IT-Störung ist ein Angriff. Entscheidend ist die schnelle Identifikation eines Ernstfalls, um gezielt reagieren zu können und im Notfall braucht es dann auch die richtige Krisenkommunikation.

Ein kritischer Hinweis auf eine mögliche Sicherheitsverletzung sind ungewöhnliche Systemaktivitäten. Plötzliche Sperrungen von Benutzerkonten oder nicht autorisierte Änderungen an sensiblen Daten sollten immer umgehend geprüft werden. Gleiches gilt für verdächtige Netzwerkaktivitäten, wie unerklärliche Datenabflüsse oder der Zugriff von unbekannten IP-Adressen. Noch eindeutiger sind Alarme aus Sicherheitssystemen, die vor Malware, Ransomware oder nicht autorisierten Zugriffen warnen - sie erfordern sofortiges Handeln. Wer solche Hinweise ignoriert oder zögerlich handelt, riskiert die Eskalation eines Vorfalls.

Security-Insider Podcast – Folge 84

Gehackt! Was jetzt?

Erste Schritte: Was jetzt zählt

Tritt der Ernstfall ein und ein Angriff liegt vor, muss ein besonderes Gleichgewicht gehalten werden. Einerseits muss sofort reagiert werden, unkoordiniertes und überstürztes Handeln kann allerdings den Schaden noch vergrößern .Es muss eine strukturierte Vorgehensweise eingeleitet werden. Ein Krisenstab, bestehend aus IT-Verantwortlichen, Datenschutzbeauftragten und der Geschäftsleitung, sollte umgehend zusammentreten, um Entscheidungen zu koordinieren. Infizierte Systeme müssen isoliert werden, um eine weitere Verbreitung des Schadens zu verhindern. Gleichzeitig ist die Sicherung von Beweisen entscheidend – Systemprotokolle und Netzwerkaktivitäten müssen dokumentiert werden, um den Angriff später forensisch analysieren zu können.

Wen anrufen? Behörden und Notfall-Hotlines

Die richtige Eskalation ist entscheidend. Liegt ein krimineller Hintergrund vor, sollte sofort das Landeskriminalamt informiert werden. Bei Vorfällen mit nationaler Relevanz ist zudem das Bundesamt für Sicherheit in der Informationstechnik (BSI) einzuschalten – für Betreiber kritischer Infrastrukturen ist dies sogar verpflichtend. Viele Unternehmen setzen außerdem auf externe IT-Sicherheitsdienstleister, die rund um die Uhr Notfall-Hotlines anbieten. Ihre Reaktionsgeschwindigkeit ist entscheidend, um Folgeschäden zu minimieren. Allerdings sollten CEOs bereits im Vorfeld vertraglich geklärt haben, welche Leistungen und Reaktionszeiten zugesichert sind.

Mangelhafte Notfallplanung

Nur jedes zweite Unternehmen hat einen Notfallplan für Cyberattacken

Prävention ist entscheidend

Jede Krise ist auch eine Chance zur Optimierung. Unternehmen, die frühzeitig investieren, minimieren ihr Risiko erheblich. Ein durchdachter Incident-Response-Plan sorgt für klare Zuständigkeiten und Abläufe im Ernstfall. Regelmäßige Notfallübungen stellen sicher, dass alle Beteiligten wissen, was zu tun ist. Gleichzeitig müssen Systeme und Netzwerke kontinuierlich gehärtet werden – durch regelmäßige Updates, Schwachstellenanalysen und den konsequenten Einsatz von Sicherheitsmaßnahmen wie Penetrationstests.

Ein weiterer zentraler Punkt ist die Implementierung sicherer Backup-Strategien. Backups sollten automatisiert, regelmäßig und vor allem isoliert erfolgen. So bleibt die Wiederherstellung möglich, selbst wenn Angreifer versuchen, die Hauptsysteme zu verschlüsseln.

Neben technischen Maßnahmen ist die Unternehmenskultur ein nicht zu unterschätzender Faktor. Eine offene Fehlerkultur, in der Sicherheitsvorfälle ohne Angst vor Repressalien gemeldet werden können, ist ein entscheidender Vorteil. Ebenso gilt: Jeder Mitarbeitende ist eine potenzielle Schwachstelle – und gleichzeitig eine erste Verteidigungslinie. Regelmäßige Awareness-Trainings zu Themen wie Phishing, Social Engineering und Passwortsicherheit sind daher unerlässlich.

Okay Güler

Die neue Risiken einer digitale Unternehmens-Krise

Die Zeit ist reif für Cyber-Krisenmanagement

Krisenmanagement – Die Stunde der Wahrheit

Neben den technischen Herausforderungen ist der Ernstfall eines Cyberangriffs auch immer eine kommunikative Zerreißprobe für Unternehmen. CEOs sehen sich in kürzester Zeit mit existenziellen Fragen konfrontiert: Wie lange dauert der Stillstand? Welche Informationen gibt es für Kunden und Mitarbeitende? Wer trägt die Verantwortung? Während intern Hektik herrscht, erwartet die Außenwelt rasche und präzise Antworten.

Kommunikation unter Hochdruck

Eine klare Kommunikationsstrategie ist in der Krise essenziell. Mitarbeitende müssen wissen, welche Systeme betroffen sind, wie sie sich verhalten sollen und was sie an ihre Ansprechpartner kommunizieren sollen und dürfen. Unklare oder widersprüchliche Aussagen verschärfen die Verunsicherung und führen ggf. dazu, dass sich Gerüchte verselbstständigen. Gleichzeitig müssen Kunden und Partner rechtzeitig informiert werden. Wer zu lange schweigt, riskiert, dass die ersten Meldungen über den Vorfall aus unkontrollierten Quellen kommen – etwa durch Mitarbeitende, Medienberichte oder andere Quellen.

Leitfaden für Incident-Reponse-Plan

In der Krise richtig kommunizieren

Neben interner und externer Kommunikation spielen auch juristische Aspekte eine Rolle. Datenschutzverletzungen müssen nach der DSGVO innerhalb von 72 Stunden an die zuständige Behörde sowie umgehend an Betroffene gemeldet werden. Auch branchenspezifische Vorgaben, etwa für Betreiber kritischer Infrastruktur oder für Banken, müssen berücksichtigt werden.

Informationsfluss managen: Wer muss was wissen?

In derartigen Krisensituationen wollen plötzlich alle Antworten – und zwar sofort. CEOs müssen viele Aspekte gleichzeitig bedenken, u.a. folgende:

• Human Resources: Wie gehen wir mit der Zeiterfassung von Mitarbeitenden um, die nicht arbeiten können? Müssen bspw. Urlaubstage “geopfert” werden?

• Datenschutz & Recht: Welche Meldepflichten bestehen gegenüber welcher Behörde? Müssen Mitarbeitende, Kunden und Geschäftspartner über den Abfluss personenbezogener Daten informiert werden?

• IT-Wiederherstellung: Wie lange dauert es, bis zentrale Systeme wieder funktionieren? Welche Übergangslösungen können etabliert werden?

• Geschäftsleitung & Investoren: Welche finanziellen und operativen Folgen hat der Vorfall? Muss in Verhandlung mit den Angreifern gegangen oder ggf. sogar eine Lösegeldzahlung in Betracht gezogen werden?

• Öffentlichkeit & Medien: Welche Details können zu welchem Zeitpunkt kommuniziert werden – und welche nicht?

Pessimistische Prozesskommunikation

Eine der schwierigsten Fragen in der Krise lautet: „Wann funktioniert wieder alles?“ Hier ist Transparenz gefragt. Gerade in der Außenkommunikation müssen Verantwortliche realistische Zeitpläne liefern – auch wenn sie unangenehm sind. Eine zu optimistische Einschätzung kann schnell zum nächsten PR-Desaster werden.

Die beste Strategie ist daher pessimistische Prozesskommunikation: Unternehmen sollten ihre Mitarbeitenden, Kunden und Partner durch regelmäßige Updates auf dem Laufenden halten – und dabei lieber etwas pessimistisch planen als zu optimistische Zusagen machen, die nicht gehalten werden können. Wenn eine Wiederherstellung in sieben Tagen möglich erscheint, sollte bspw. nach außen ein Zeitraum von zehn Tagen genannt werden - so sind technische Komplikationen mit einkalkuliert.

7 Schritte für eine stärkere Cybersecurity

Sicher durch die nächste Cyber-Krise

Lernen aus der Krise

Wurde der Cyberangriff bewältigt, ist eine gründliche Nachbereitung essentiell. Jedes Unternehmen sollte auf technischer wie auch auf Management- und Kommunikationsebene eine Post-Mortem-Analyse durchführen, um aus den gemachten Fehlern zu lernen.

• War der Krisenstab mit den richtigen Rollen/Personen besetzt? Haben die Meldewege innerhalb der vorgegebenen Zeiten funktioniert? Waren die Notfall-Kontaktlisten vollständig und aktuell?

• Wurden die betroffenen Stakeholder korrekt priorisiert und fortlaufend informiert? Konnten benötigte Kommunikationskanäle genutzt bzw. schnell neu etabliert werden?

• Welche Vorlagen (für Leitfragen, Wording etc.) können in das Krisen-Kommunikationshandbuch aufgenommen werden?

Fazit: Krisensicherheit beginnt vor der Krise

Für CEOs gibt es zwei Wahrheiten in der Cybersecurity: Erstens, die Frage ist nicht, ob es zu einem erfolgreichen Angriff kommt, sondern wann. Zweitens, die Art und Weise, wie professionell eine Organisation eine solche Krise bewältigt und darüber transparent kommuniziert, ist entscheidend. Entscheidend über die Wahrnehmung der Stakeholder, den Fortbestand der Kundenbeziehungen und damit letzten Endes des gesamten Geschäftsbetriebs.

Wer vorbereitet ist, bleibt handlungs- und sprechfähig. Wer Krisenkommunikation als strategische Disziplin begreift, kann die Kontrolle behalten. Und wer offen und transparent mit Stakeholdern umgeht, kann Erwartungen managen und so die eigene Reputation bestmöglich schützen.

Janka Kreißl

Über die Autoren

Okay Güler ist Gründer von CLOUDYRION. Nachdem er im Banking und Automotive-Bereich Erfahrung als Ethical Hacker sammeln konnte, gründete Güler 2020 CLOUDYRION. Seine Motivation: Unternehmen zu helfen, die neuen Herausforderungen im Cyberspace zu bewältigen und Awareness für Secure-byesign zu schaffen.

Janka Kreißl ist Partnerin bei Dunkelblau, einer auf Krisenkommunikation und -management spezialisierten Beratung in Leipzig. Mit ihrem Team unterstützt sie Organisationen dabei, Cyberangriffe professionell zu bewältigen und auch unter Zeitdruck und bei unklarer Faktenlage professionell zu kommunizieren.

(ID:50404841)