Cybercrime ist die größte Herausforderung Im Ernstfall richtig kommunizieren

Anbieter zum Thema

SEPPmail - Deutschland GmbH

Wegen der enormen Abhängigkeit vom Internet und der starken gegenseitigen Verflechtung von ICT-Systemen, ist es extrem schwierig sich schnell ein klares Bild über eine Cyber-Krise zu verschaffen. Dementsprechend sollten die elementaren Prüfungskriterien alle wichtigen Unternehmensbereiche und –Prozesse beinhalten.

Allerdings zeigt der Alltag, dass sich trotz der wachsenden Bedrohungslage über die Hälfte der Unternehmen mit dem Thema Krisenkommunikation kaum oder überhaupt nicht auseinandergesetzt haben. Häufig fehlt es den Mitarbeitern schlicht am nötigen Wissen über Datenschutz/Cyber-Security und die damit in Verbindung stehende Kommunikation. Jedoch zeigt die gewachsene Erfahrung mit Cyber-Angriffen: Neben der technischen Wiederherstellung der Systeme entscheidet eine gute Krisenkommunikation darüber, welchen Gesamtschaden ein digitaler Angriff bei dem „Opfer-Unternehmen“ hinterlässt.

An dieser Stelle sei auch darauf hin gewiesen, dass Krisenkommunikation bei Cyberangriffen nicht gleichzusetzen ist mit analoger Krisenkommunikation. Wenn ein Pressesprecher die IT-Abteilung seines Unternehmens konsultiert, spricht er mit Kollegen, die solche Vorfälle nicht nur erklären, sondern darüber auch Rechenschaft ablegen müssen. Jedoch kann ein Kommunikator nicht erwarten, dass in der IT-Abteilung umfassende Kenntnisse über öffentliche Reaktionsketten vorliegen. Umso wichtiger ist es, zu einem gemeinsamen Verständnis der Lage zu kommen.

In der Hektik unmittelbar nach einem Cyberangriff eine klare Kommunikationslinie von Grund auf zu entwickeln, ist nahezu unmöglich. Genau deshalb sollte ein entsprechender Krisenplan inklusive Kommunikationsempfehlung schon in der Schublade bereit liegen.

Der richtige Zeitpunkt

Unternehmen sollten im Vorfeld am besten ein szenarienbasiertes Krisen-Manual entwickeln, das nicht nur notwendige Maßnahmen aus IT-Sicht beinhaltet, sondern auch die Perspektiven der Unternehmenskommunikation, des Managements und möglichst auch der Rechtsabteilung einbezieht.

Bei einer unbedachten, zu schnellen Reaktion auf Cyber-Krisenfälle besteht immer auch die Gefahr, dass unvollständige oder falsche Informationen herausgegeben werden und die Kommunikation vage wirkt. Zudem kann eine frühe öffentliche Reaktion auch bedeuten, den Angreifer zu warnen. Häufig wissen Hacker zu einem frühen Zeitpunkt möglicherweise noch gar nicht, dass man ihnen auf die Schliche gekommen ist.

Krise proben: Verschiedene Arten von Cyberangriffen durchspielen

Das bedeutet aber auch: So unangenehm es ist, Unternehmen sollten etwaige Krisenszenarien vorab und möglichst realitätsnah durchspielen. Welche Handlungsoptionen gibt es beispielsweise, wenn Festplatten durch Angriffe mit Erpressungssoftware wie Wannacry oder Petya verschlüsselt werden, wie im Sommer 2017 unter anderem bei dem Konsumgüterkonzern Beiersdorf? Wann und in welcher Form sollten Kunden und Geschäftspartner bei einem Datendiebstahl am besten informiert werden?

Welche Handlungsoptionen existieren für die IT, Presse-Abteilung und Rechtsabteilung. spezifische Empfehlungen, wie durch eine zielgerichtete Kommunikation mögliche Reputationsschäden vermieden werden können. Ein guter Notfallplan sollte für jedes Szenario die Handlungsoptionen aller Beteiligten koordiniert skizzieren.

Für die Kommunikationsstrategie bedeutet dies etwa, festzulegen, welche Informationen das Unternehmen wann und an wen weitergibt. Auch über Kommunikationswege sollten sich die Verantwortlichen früh Gedanken machen: Je nach Art der Attacke stehen vielleicht Firmennetzwerk und E-Mail-Kommunikation im Notfall nicht zur Verfügung.

Sonderfall Datenschutz-Vorfälle (Datenpannen)

Der wichtigste Schritt zuerst: Es muss eine unverzügliche Meldung innerhalb von 72 Stunden an die zuständige Aufsichtsbehörde erfolgen. Sinn und Zweck dieser Regelung ist es, einen potentiellen Schaden durch eine angemessene und schnelle Reaktion zu minimieren bzw. ganz zu vermeiden.

Die erste Meldung muss lediglich eine Meldung der bekannten Gefahrenlage enthalten, wie z.B. Dritte hatten unbefugt Zugriff auf personenbezogene Daten, oder die Identität einer Führungskraft wurde genutzt um unerlaubte Überweisungen zu veranlassen oder Rechnungen zu schreiben. Als erste Meldung muss weder ein genauer Tathergang beschrieben werden und auch das Ausmaß und die Betroffenen können nach geliefert werden.

7 goldene Regeln

• 1. Immer erreichbar sein (für Rückfragen seitens der Kunden und Medien);

• 2. Sofort auf Anfragen reagieren (damit erst gar keine Gerüchte aufkommen);

• 3. Kommunikation steuern (schlechte Nachrichten sollte das Unternehmen immer selbst verkünden und nicht darauf warten, dass andere zuerst darüber berichten);

• 4. Die Zielgruppen im Auge behalten (welche Informationen müssen wie für welche Zielgruppen verarbeitet werden);

• 5. Ehrlich und offen kommunizieren; Agieren, nicht reagieren

• 6. Zuerst die Mitarbeiter informieren, danach umgehend die Kunden und danach die Medien (nicht, dass es die Betroffenen aus der Zeitung erfahren müssen);

• 7. Ist eine Krise ausgestanden, ist eine eingehende Manöverkritik noch einmal genauso wichtig: Was ist gut, was schlecht gelaufen, welche Medien haben wie berichtet, wie gut vorbereitet war man auf den Vorfall.

(ID:47266828)