Krisenmanagement & Krisenkommunikation bei Cyberangriffen

Oft haben wir in den letzten Monaten über Cyberangriffe und deren Folgen gesprochen – Insbesondere in Bezug auf die Verletzlichkeit von Systemen und Präventionsmaßnahmen. Doch ein ganz wichtiger Baustein kam bisher zu kurz: das übergeordnete Krisenmanagement und die Krisenkommunikation.

Im Sinne unserer Kunden arbeiten wir in diesem Kontext sehr eng mit der Unternehmensberatung ZIEGLER Company zusammen, die sich auf die Beratung von Unternehmen in besonders herausfordernden Situationen spezialisiert hat. Hieraus entstand eine sehr synergetische und energetische Verbindung.

In unserer kleinen Reihe zu dem Thema starten wir mit den Implikationen von Cyberangriffen für das Krisen- und Kommunikationsmanagement.

Ganzheitliche Krisenprävention durch IT-Security, übergeordnetes Krisenmanagement und Krisenkommunikation

Wenn auch bei Cyberangriffen oder deren Prävention primär an den Bereich IT-Security gedacht wird, deckt dieser nur einen Teilbereich des Krisenmanagements derartiger Vorfälle ab. Ebenso wichtig ist die Vorbereitung der Organisation und deren Verantwortlichen auf das übergeordnete Krisenmanagement und die Krisenkommunikation des Vorfalls.

Zentrales Element ist hier insbesondere eines: Zu wissen, was im Fall der Fälle zu tun ist. Das bedeutet neben der IT-technischen Betreuung des Vorfalls auch die richtige und gezielte organisatorische Abwicklung anhängiger Maßnahmen zur Sicherstellung der internen Handlungsfähigkeit, dem Schutz der Reputation sowie der Kommunikation mit relevanten Stakeholdern.

Hier lauern Fallstricke, die Unternehmen je nach Größenordnung nicht nur schnell an ihre organisatorischen Grenzen bringen, sondern aufgrund falschen Krisenhandlings auch erhebliche finanzielle Schäden verursachen können. Als Beispiel sei an dieser Stelle etwa der Fahrdienstleister UBER genannt, der einen Sicherheitsvorfall in 2016 zwar schnell beheben konnte, aufgrund der falschen Kommunikationsstrategie jedoch Schadensersatz in Multimillionenhöhe leisten musste.

Cyberangriffe – Verlust der operativen Handlungsfähigkeit und ein gefährliches Spiel mit der Reputation

Cyberangriffe – Verlust der operativen Handlungsfähigkeit und ein gefährliches Spiel mit der Reputation

Immer häufiger – und für Unternehmen besonders herausfordernd – werden die sogenannten Ransomware-Angriffe. Diese Art des Angriffs ist für Unternehmen besonders tückisch, da sie im Worst Case mit dem Diebstahl und Leak sensibler Daten einhergeht und gleichzeitig durch eine Vollverschlüsselung der Systeme den kompletten Verlust der operativen Handlungsfähigkeit zur Folge hat.

Dies impliziert enorme Herausforderungen für das betroffene Unternehmen:

• Das Management der Krise und der Krisenstab müssen organisiert werden
• Die ausgefallenen, kritischen Organisationsprozesse müssen schnellstmöglich identifiziert und gesichert werden
• Es gilt die gesetzlichen Meldepflichten gegenüber den Datenschutzbehörden und ggf. betroffenen Mitarbeitern und Kunden einzuhalten
• Gestohlene Daten des Unternehmens und/ oder externer Partner beinhalten enorme Risikopotentiale für die Wettbewerbsfähigkeit, Haftung und Reputation
• Da ein Ausfall der internen und externen Kommunikationsinfrastruktur wahrscheinlich ist, gilt es diese neu aufzubauen bzw. Alternativen zu implementieren
• Zum Schutz der Reputation im Kontext eines möglichen Vertrauensverlustes bei Datendiebstahl und/ oder Selbstverschulden aufgrund unzureichender IT-Sicherheit bedarf es einer klaren Kommunikationsstrategie gegenüber den Stakeholdern
• Haftungsfragen und Versicherungsansprüche sind ebenso wie das Einschalten der Ermittlungsbehörden im Detail zu prüfen

Neben der IT-forensischen sowie juristischen Expertise sind in derartigen Fällen daher immer auch organisatorische und kommunikative Experten gefragt. Das gilt insbesondere für Unternehmen, die bis dato kein präventives Krisen- und Krisenkommunikationsmanagement betrieben haben. Dass Prävention beim Thema Cyberkriminalität jedoch essentiell ist, wird auch dadurch deutlich, dass solche Sicherheitsvorfälle die Unternehmen im Durchschnitt 3,35 Mio. Euro kosten.

Interdisziplinäre Planung ist entscheidend

Entscheidend ist die übergreifende Vorbereitung. Neben einem IT-Notfallplan sollte deshalb auch eine Guideline für das Krisenmanagement und die Krisenkommunikation zur Verfügung stehen. Erst dann sind alle Verantwortlichkeiten und Prozesse ausreichend definiert und gewährleisten ein reibungsloses Krisenmanagement des Gesamtvorfalls.

Informationen, wie Sie diesen Herausforderungen begegnen, finden Sie im zweiten Teil unserer Reihe zum Thema Krisenmanagement & Krisenkommunikation bei Cyberangriffen.