Krisenkommunikation bei einem IT-Ausfall mit Personenbezug
Ein mittelständisches Unternehmen (450 Beschäftigte) wird am Freitagabend von einem Ransomware-Angriff getroffen. Betroffen sind das Zutrittskontrollsystem, das Besuchermanagement und Teile der Personalverwaltung. Der Zutritt zum Gebäude funktioniert nur noch manuell über den Werkschutz. Erste Hinweise deuten darauf hin, dass personenbezogene Daten (u. a. Ausweiskopien von Besuchern) betroffen sein könnten. Die Geschäftsführung will am Montagmorgen eine Presseerklärung veröffentlichen, in der von einem „IT-Vorfall ohne Datenabfluss“ die Rede ist. Die IT-Forensik ist noch nicht abgeschlossen. Ein Betriebsrat und der Datenschutzbeauftragte sind informiert. Ein Kunde mit laufendem Produktionsauftrag fragt bereits nach dem Status.
1. Wie bewerten Sie den Vorschlag der Geschäftsführung für die Presseerklärung? Welche Risiken entstehen durch die gewählte Formulierung?
Read the worked answer
Bewertung: Die Formulierung ist riskant und fachlich nicht gedeckt.
Risiken:
- Tatsachenbehauptung ohne Beleg: „Ohne Datenabfluss“ ist eine Feststellung, die die Forensik noch nicht bestätigt hat. Stellt sich später das Gegenteil heraus, entsteht ein Glaubwürdigkeits- und Reputationsschaden, der größer ist als der ursprüngliche Vorfall.
- Rechtliche Risiken: Bei möglichem Bezug zu personenbezogenen Daten bestehen Informations- und ggf. Meldepflichten. Eine vorschnelle Entwarnung kann diese Pflichten verletzen und die Position gegenüber Aufsicht und Betroffenen verschlechtern.
- Kommunikationsrisiko: Widersprüchliche Aussagen (erst „kein Datenabfluss“, später Meldung an Betroffene) untergraben Vertrauen bei Beschäftigten, Kunden und Öffentlichkeit.
Empfehlung: Keine abschließende Entwarnung. Stattdessen eine sachliche, vorläufige Erklärung: Vorfall bestätigt, Untersuchung läuft, Schutzmaßnahmen eingeleitet, nächste Aktualisierung zu einem benannten Zeitpunkt. Keine Spekulation über Datenabfluss in beide Richtungen.
2. Welche Sofortmaßnahmen priorisieren Sie am Wochenende, und wie koordinieren Sie Sicherheitsdienst, IT, Datenschutz und Geschäftsführung?
Read the worked answer
Priorisierung nach Personenschutz → Betrieb → Recht → Kommunikation.
Sofortmaßnahmen:
- Zutritt sichern: Manueller Zutrittsprozess mit definierter Liste, Ausweiskontrolle, Dokumentation. Werkschutz erhält klare Anweisung und Ansprechpartner; keine improvisierten Einzelregelungen.
- Besuchermanagement: Manuelle Erfassung, Begleitpflicht, Aufbewahrung der Listen an sicherem Ort (nicht auf kompromittierten Systemen).
- IT/Sicherheit verzahnen: Forensik beauftragt, betroffene Systeme isoliert, Beweise gesichert; keine voreiligen Löschungen.
- Datenschutz einbinden: DSB bewertet Meldepflichten und Informationspflichten; Fristen im Blick behalten.
- Lagebild: Einheitliche Lageübersicht mit Zeitstempeln, damit alle Beteiligten denselben Stand haben.
Koordination: Klare Rollen und ein benannter Krisenstab mit festen Lagebesprechungen (z. B. 2× täglich). Einheitlicher Kommunikationskanal; nur eine Stelle spricht nach außen. Der Sicherheitsdienst liefert den operativen Status (Zutritt, Personen im Gebäude), die IT den technischen, der DSB den rechtlichen. Entscheidungen werden protokolliert.
3. Der Kunde mit laufendem Produktionsauftrag fragt nach dem Status. Wie kommunizieren Sie gegenüber dem Kunden, ohne die Untersuchung zu gefährden oder falsche Zusagen zu machen?
Read the worked answer
Grundsätze: ehrlich, begrenzt, verbindlich im Prozess – nicht in unbelegten Ergebnissen.
Inhalte der Kundenkommunikation:
- Was bestätigt ist: Es gab einen IT-Sicherheitsvorfall; die Zutritts- und Betriebsabläufe sind aufrechterhalten bzw. gesichert (konkret benennen, was für den Kunden relevant ist: Lieferfähigkeit, Ansprechpartner, Zutrittsregelung).
- Was nicht bestätigt ist: Keine Aussage zu Datenabfluss oder Ursache; Verweis auf laufende Untersuchung.
- Verbindliche Zusagen nur zu Prozessen: Benannter Ansprechpartner, nächster Update-Zeitpunkt, Eskalationsweg.
Vermeiden: Beschwichtigung, Schuldzuweisung, technische Details, die Angreifern oder der Presse schaden könnten.
Abstimmung: Aussage mit Geschäftsführung und DSB abstimmen, damit Kunde, Presse und Behörden dieselbe Linie hören. Der Kunde erhält die für ihn relevante Betriebsinformation – nicht die interne Krisendarstellung. So bleibt die Beziehung belastbar, auch wenn später weitere Informationen nachgeliefert werden müssen.