Insights

von Sandra Klein (Redakteurin) und Hanna Greve (Account Director)

Ein Cyberangriff trifft einen externen Dienstleister oder Partner. Daten sind abgeflossen, die Schlagzeilen sind da und plötzlich steht das eigene Unternehmen selbst im Rampenlicht. Nicht, weil es Ziel der Attacke war, sondern weil es irgendwie dazugehört. Willkommen in der vielleicht unerquicklichsten Disziplin der Krisenkommunikation: der fremdverschuldeten Krise in der eigenen Supply Chain. Dieser Beitrag zeigt, wie Unternehmen in genau diesem Szenario reagieren sollten – nämlich schnell, präzise und ohne kommunikative Selbstsabotage.

In der Theorie mag die Lage klar sein: Der Angriff fand woanders statt, die eigene IT ist nicht kompromittiert. In der Praxis gilt jedoch etwas anderes: Wer zur gleichen Unternehmensgruppe gehört oder mit einem kompromittierten Dienstleister zusammenarbeitet, wird in der Wahrnehmung automatisch Teil der Geschichte. Für Medien ist das logisch, für Kunden auch und für Mitarbeitende sowieso.

Das Ergebnis: Es prasseln Fragen ein, bevor intern überhaupt Klarheit herrscht. Und genau hier beginnt das Problem.

Der Kardinalfehler: Abwarten, bis „alles geklärt“ ist

Viele Organisationen reagieren in dieser Situation reflexartig defensiv. Erst prüfen, dann abstimmen und dann kommunizieren. Das klingt auf den ersten Blick vernünftig, ist strategisch jedoch falsch. Denn Krisenkommunikation folgt keiner internen Governance, sondern externer Dynamik. Und diese ist in der Regel schnell, laut und selten geduldig.

Das heißt: Wer in den ersten Stunden nichts sagt, überlässt anderen die Deutungshoheit. Und die geben sie erfahrungsgemäß nicht freiwillig wieder ab. Um eine solche Situation bestmöglich zu vermeiden, müssen Unternehmen verschiedene Maßnahmen in einer festen Reihenfolge ergreifen.

Bevor jedoch die ersten Aussagen nach außen gehen, müssen zunächst zentrale Fakten geklärt, Zuständigkeiten definiert und mögliche Auswirkungen realistisch eingeordnet werden. Genau diese vorbereitenden Schritte entscheiden darüber, ob Kommunikation in einer Krisensituation Orientierung schafft oder zusätzlichen Schaden verursacht.

Erste Maßnahme: Klarheit über den eigenen Status schaffen

Im ersten Schritt braucht es intern eine saubere Lagebewertung. Kein Blabla, keine Mutmaßungen. Die eine entscheidende Frage lautet:

• Sind wir betroffen – ja oder nein?

Darauf aufbauend:

• Was ist gesichert bekannt?
• Welche Aussagen vom Dienstleister oder Mutterkonzern sind rechtlich belastbar?
• Wo gibt es noch Unsicherheiten?

Wichtig: Fakten und Vermutungen müssen strikt voneinander getrennt werden. Kommunikation auf Basis von Annahmen ist einer der schnellsten Wege in die nächste Eskalationsstufe.

Zweite Maßnahme: Mitarbeitende sind Multiplikatoren

Wer jetzt zuerst an Pressearbeit denkt, hat das Spiel bereits verloren. Denn die eigentliche Kommunikationsfront verläuft intern. Mitarbeitende werden unmittelbar angesprochen – von Kunden, Partnern oder im privaten Umfeld. Wenn sie keine Antworten haben, entstehen eigene Narrative und die sind selten hilfreich.

Deshalb gilt kompromisslos:

• interne Erstinformation vor externer Kommunikation
• klare Sprachregelungen statt Interpretationsspielraum
• konkrete „Do’s and Don’ts“ im Umgang mit Anfragen

Dritte Maßnahme: Mit Holding Statement Präsenz zeigen

Der Anspruch „erst alles zu wissen“ ist in Cyberkrisen nicht haltbar. Was zählt, ist ein früher, kontrollierter Einstieg in die Kommunikation. Genau dafür gibt es das Holding Statement. Es bildet die erste offizielle Reaktion eines Unternehmens auf einen Vorfall – zu einem Zeitpunkt, an dem viele Details oft noch ungeklärt sind. Ziel ist es, den aktuellen Kenntnisstand transparent einzuordnen, Verantwortungsbewusstsein zu zeigen und zugleich deutlich zu machen, dass die Situation aktiv bearbeitet wird. Gleichzeitig schafft eine solche Erstmeldung den nötigen Spielraum, um weitere Informationen strukturiert zu prüfen und später fundiert kommunizieren zu können.

Eine funktionierende Minimalaussage ist beispielsweise: „Der Vorfall betrifft den Mutterkonzern. Nach aktuellem Stand sind wir nicht betroffen. Wir prüfen die Lage fortlaufend. Bitte verweisen Sie externe Anfragen an das Kommunikationsteam.“ Diese Aussage mag nicht elegant klingen, ist aber wirksam.

Unternehmen sollten sich Folgendes klar machen: Niemand wird dafür kritisiert, nicht sofort alle Details zu kennen. Sehr wohl aber dafür, nichts zu sagen.

Vierte Maßnahme: Ein Narrativ statt fünf Versionen

Sobald die ersten Anfragen eingehen, entscheidet sich, ob die Situation stabil bleibt oder kippt. Der größte Risikofaktor dabei ist eine inkonsistente Kommunikation. Wenn Vertrieb, Personalabteilung und Geschäftsführung unterschiedliche Aussagen treffen, entsteht genau das, was in Krisen maximal schädlich ist – nämlich Widerspruch.

Die Lösung dagegen ist unspektakulär, aber zwingend notwendig:

• drei bis fünf Kernbotschaften definieren
• ein zentrales Q&A-Dokument aufsetzen
• alle internen Sprecher synchronisieren

Das Ziel ist klar: Egal, wen man fragt, die Antwort sollte immer die gleiche sein.

Fünfte Maßnahme: Stakeholder differenziert bedienen

Krisenkommunikation verlangt Geschwindigkeit. Dennoch darf der Zeitdruck nicht dazu führen, dass Unternehmen mit pauschalen Botschaften arbeiten. Genau das passiert jedoch häufig: Dieselbe Mitteilung geht gleichzeitig an Kunden, Partner, Mitarbeitende und Medien. In der Praxis funktioniert dieses Gießkannenprinzip selten. Denn jede Zielgruppe bewertet einen Vorfall aus einer anderen Perspektive, hat unterschiedliche Informationsbedürfnisse und erwartet Antworten auf jeweils andere Risiken und Konsequenzen:

• Kunden wollen wissen, ob ihre Daten sicher sind
• Medien suchen nach Zusammenhängen und Verantwortlichkeiten
• Mitarbeitende brauchen Orientierung und Sicherheit

Die Kunst besteht darin, all diese Perspektiven zu bedienen, ohne die zentrale Linie zu verlassen.

Cyberfälle sind besonders: Schweigen ist hier keine Option

Während in anderen Krisen ein taktisches Abwarten möglich sein kann, gilt bei Cyberangriffen eine andere Logik. Sobald Daten potenziell betroffen sind, entsteht ein legitimes öffentliches Interesse. Wer dann nicht aktiv kommuniziert, riskiert mehr als nur schlechte Presse – nämlich einen nachhaltigen Vertrauensverlust.

Oder zugespitzt: Lieber selbst unangenehme Wahrheiten formulieren als später fremde Interpretationen korrigieren zu müssen.

Externe Unterstützung: kein Luxus, sondern Beschleuniger

In der Theorie lässt sich all das intern abbilden. In der Praxis fehlt oft genau das, was in der Krise am knappsten ist: die Zeit. Externe Kommunikationsexperten übernehmen deshalb vor allem drei Funktionen:

• Struktur in eine dynamische Lage bringen
• Entscheidungsprozesse beschleunigen
• Kommunikation konsequent auf Linie halten

Besonders wertvoll ist ein kontinuierliches Monitoring der Medien-Landschaft. Denn was intern wie ein kontrollierter Prozess wirkt, kann extern längst eine Eigendynamik entwickelt haben.

Fazit: Über den Reputationsschaden entscheidet nicht die Ursache der Krise, sondern der Umgang damit.

Ein Cyberangriff in der Supply Chain – ob nun auf einen Partner, einen Dienstleister oder die Muttergesellschaft – ist kein rein technisches Problem. Er ist ein Reputationsrisiko, das rasend schnell um sich greift. Und er trifft auch diejenigen, die operativ gar nicht betroffen sind. Die entscheidende Frage ist daher nicht, ob kommuniziert wird, sondern wie schnell, wie klar und wie konsistent dies geschieht.