Krisenkommunikation

Was ist Krisenkommunikation?

Krisenkommunikation ist nach der Definition des Bundesamts für Bevölkerungsschutz und Katastrophenhilfe (BBK) der gezielte Austausch von Informationen während einer Krise, um Schäden zu verhindern oder zu begrenzen. Im Kontext der Cyber-Sicherheit bezeichnet Krisenkommunikation die geplante interne und externe Kommunikation während eines schweren IT-Sicherheitsvorfalls, etwa eines Ransomware-Angriffs oder eines großflächigen Datenabflusses. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) verankert die Disziplin im Standard 200-4 als Notfall- und Krisenkommunikation (NuK-Kommunikation) im Business Continuity Management. Damit ergänzt Krisenkommunikation die technische Vorfallsbewältigung (Incident Response).

Rund um Krisenkommunikation haben sich verwandte Begriffe etabliert, die teils synonym verwendet werden und teils eigene Schwerpunkte setzen:

Notfallkommunikation: Wird häufig synonym verwendet. Der BSI-Standard 200-4 fasst beide Ebenen als NuK-Kommunikation zusammen. Streng genommen ist der Notfall eine Lage, die sich noch mit vorbereiteten Plänen beherrschen lässt. Die Krise geht darüber hinaus.

Krisen-PR: Stammt aus der PR (Public Relations) und betont die Kommunikation mit Medien und Öffentlichkeit. Krisenkommunikation bei Cyber-Vorfällen umfasst darüber hinaus die interne Abstimmung und die Behördenmeldungen.

Krisen-Öffentlichkeitsarbeit: Die deutsche Entsprechung der Krisen-PR mit demselben Fokus auf der öffentlichen Wahrnehmung.

Die Kernaufgaben der Krisenkommunikation bei Cyber-Vorfällen:

• Informationen sammeln, verifizieren und für Entscheider aufbereiten
• Mitarbeitende, Kunden, Partner, Presse und Behörden zielgruppengerecht informieren
• Gesetzliche Melde- und Benachrichtigungspflichten fristgerecht erfüllen
• Einheitliche, wahrheitsgemäße Botschaften sicherstellen (One-Voice-Prinzip)
• Vertrauen der Stakeholder erhalten und Reputationsschäden begrenzen

Was macht Krisenkommunikation bei Cyber-Vorfällen besonders?

Cyber-Krisen unterscheiden sich deutlich von klassischen Unternehmenskrisen. Der Angriff trifft häufig genau die Kanäle, über die kommuniziert werden soll. E-Mail, Intranet, Telefonie und Chat-Systeme fallen aus oder sind kompromittiert. Nach einem Hacking-Verdacht ist damit zu rechnen, dass der Angreifer den E-Mail-Verkehr mitliest. Läuft die Krisenkommunikation weiter über die Unternehmens-E-Mail, erreicht sie auch den Täter. Deshalb benötigen Organisationen Out-of-Band-Kanäle, die unabhängig von der eigenen IT-Infrastruktur funktionieren.

In den ersten Stunden herrscht zudem große Unsicherheit über das Ausmaß. Oft ist unklar, welche IT-Systeme betroffen und welche Daten abgeflossen sind. Die Organisation muss dennoch kommunizieren und beschränkt sich auf gesicherte Erkenntnisse, ohne zu spekulieren.

Ransomware-Gruppen erzeugen zusätzlich gezielten Erpressungsdruck. Sie drohen mit der Veröffentlichung gestohlener Daten (Double Extortion), um das Opfer zu Lösegeldzahlungen zu zwingen. Das BSI und das BKA empfehlen, nicht auf Lösegeldforderungen einzugehen.

Interne und externe Krisenkommunikation

Intern benötigen Mitarbeitende klare Anweisungen, etwa welche IT-Systeme sie nutzen dürfen und was sie nach außen sagen dürfen. Führungskräfte, Krisenstab und Fachbereiche müssen auf demselben Informationsstand sein, damit keine widersprüchlichen Aussagen entstehen. Der Leitfaden Krisenkommunikation des Bundesinnenministeriums betont genau diesen einheitlichen Informations- und Wissensstand aller Verantwortlichen.

Extern richtet sich die Krisenkommunikation an mehrere Zielgruppen mit unterschiedlichen Bedürfnissen:

Kunden und Partner: Sie werden frühzeitig und ehrlich informiert, besonders wenn ihre Daten oder Lieferketten betroffen sind.

Behörden: Meldungen gehen an das BSI beziehungsweise die zuständigen Aufsichts- und Meldestellen (zum Beispiel zuständige Datenschutzaufsichtsbehörde). Das Landeskriminalamt (oder eine andere Polizeidienststelle) nimmt die Strafanzeige entgegen, das Landes-CERT (Computer Emergency Response Team) unterstützt bei der Bewältigung.

Presse und Öffentlichkeit: Medien werden über eine festgelegte Sprecherregelung informiert, möglichst umfassend, schnell, einheitlich und wahrheitsgemäß.

Versicherer und Rechtsbeistand: Cyber-Versicherung und Anwälte werden früh eingebunden. Formulierungen können haftungsrelevant sein.

Welche Meldepflichten gelten nach DSGVO und NIS-2?

Nach Artikel 33 der Datenschutz-Grundverordnung (DSGVO) muss der Verantwortliche eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst binnen 72 Stunden, der zuständigen Datenschutz-Aufsichtsbehörde melden. Die Pflicht entfällt nur, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Betroffenen führt. Besteht ein hohes Risiko, verlangt Artikel 34 DSGVO zusätzlich die Benachrichtigung der betroffenen Personen selbst, in klarer und einfacher Sprache.

Die NIS-2-Richtlinie verpflichtet wichtige und besonders wichtige Einrichtungen zu einem dreistufigen Meldeverfahren an das BSI. In Deutschland ist sie über das NIS2UmsuCG umgesetzt (§ 32 BSIG). Die Frühwarnung erfolgt binnen 24 Stunden, die Folgemeldung binnen 72 Stunden und der Abschlussbericht spätestens einen Monat nach der Folgemeldung. Für die Frühwarnung genügt eine erste Einschätzung. Die Frist beginnt, sobald die Einrichtung Kenntnis vom Vorfall erlangt. Betrifft ein Vorfall personenbezogene Daten, laufen die NIS-2-Meldung und die DSGVO-Meldung parallel.

Wie bereitet ein Krisenkommunikationsplan auf den Ernstfall vor?

Ein Krisenkommunikationsplan gehört als Baustein in das Business Continuity Management nach BSI-Standard 200-4 und regelt die folgenden Punkte:

Sprecherregelung: Der Plan legt fest, wer nach außen spricht. Alle anderen verweisen konsequent auf diese Stelle.

Zielgruppen- und Stakeholder-Liste: Sie ordnet, wer in welcher Reihenfolge informiert wird, inklusive der Meldekontakte der Behörden.

Vorbereitete Textbausteine: Vorlagen für Informationen der Mitarbeitenden, Kundenschreiben, Pressemitteilung und Behördenmeldung werden im Ernstfall nur noch angepasst.

Out-of-Band-Kanäle: Unabhängige, DSGVO-konforme Kommunikationswege bleiben auch bei einer verschlüsselten IT-Infrastruktur verfügbar. Dazu zählen ein separater Messenger, eine Notfall-E-Mail außerhalb der eigenen Domäne und Telefonketten mit ausgedruckten Kontaktlisten.

Übungen: Regelmäßige Übungen testen Kommunikationswege und Zuständigkeiten unter realistischen Bedingungen.

Vorteile der Krisenkommunikation, Risiken & Herausforderungen

Vorteile der Krisenkommunikation

Handlungsfähigkeit durch Vorbereitung: Vorbereitete Pläne und Textbausteine sparen im Ernstfall Stunden. Gerade bei der 24-Stunden-Frist der NIS-2-Frühwarnung ist dieser Zeitgewinn entscheidend.

Vertrauensschutz durch Ehrlichkeit: Schnelle und wahrheitsgemäße Kommunikation erhält das Vertrauen von Kunden, Partnern und Öffentlichkeit. Wer offen informiert, wird auch nach dem Vorfall als verlässlich wahrgenommen.

Rechtssicherheit durch fristgerechte Meldungen: Wer die Fristen aus DSGVO und NIS-2 einhält, vermeidet Bußgelder und Sanktionen. Die dokumentierten Meldungen entlasten die Organisation auch bei der späteren Aufarbeitung.

Deutungshoheit durch proaktive Information: Eine Organisation, die selbst zuerst informiert, bestimmt die öffentliche Darstellung des Vorfalls mit. Drohungen mit einer Datenveröffentlichung verlieren dadurch an Wirkung.

Risiken der Krisenkommunikation

Kompromittierte Kommunikationskanäle: Kommunikation über infizierte IT-Systeme informiert den Angreifer mit. Der Täter gewinnt Einblick in die Eindämmungspläne und kann Betroffene zusätzlich gefährden.

Vorschnelle Aussagen: Spekulationen über Ausmaß oder Ursache müssen später oft korrigiert werden. Jede Korrektur beschädigt die Glaubwürdigkeit der gesamten Kommunikation.

Haftungsfallen durch unabgestimmte Formulierungen: Aussagen ohne rechtliche Prüfung können Ansprüche von Kunden oder Versicherern auslösen. Rechtsbeistand und Versicherer prüfen wichtige Formulierungen vor der Veröffentlichung.

Herausforderungen der Krisenkommunikation

Tempo gegen Genauigkeit: Meldefristen zwingen zur Kommunikation, bevor alle Fakten vorliegen. Der Krisenstab muss ehrlich benennen, was gesichert ist und was noch geprüft wird.

Viele Zielgruppen gleichzeitig: Mitarbeitende, Kunden, Behörden und Presse erwarten unterschiedliche Detailtiefe. Die begrenzten Ressourcen des Krisenstabs müssen dafür klar priorisiert werden.

Erpressungsdynamik der Angreifer: Leak-Drohungen setzen die Kommunikation unter zusätzlichen Zeitdruck. Der Kommunikationsplan muss zusätzlich für dieses Szenario eine abgestimmte Linie vorgeben.

Krisenkommunikation: Fragen und Antworten

Häufige Fragen (FAQ)

Quellenangabe:

BBK (Glossar-Eintrag Krisenkommunikation)

BSI (Standard 200-4, Business Continuity Management)

BMI/BBK (Leitfaden Krisenkommunikation, PDF)

BSI (Ransomware: Erste Hilfe bei einem schweren IT-Sicherheitsvorfall, PDF)

DSGVO (Artikel 33, Meldung von Verletzungen an die Aufsichtsbehörde)

DSGVO (Artikel 34, Benachrichtigung der betroffenen Person)

BSIG (§ 32, Meldepflichten)

Verwandte Einträge:

Incident Response

Ransomware

IT-Notfall

Cyber-Sicherheit

Autor:
Prof. Dr. Norbert Pohlmann
Informatikprofessor für Cyber-Sicherheit und Leiter des Instituts für Internet-Sicherheit an der Westfälischen Hochschule.

Stand: 28. Oktober 2026

Weitere Informationen zum Begriff “Krisenkommunikation”:

„Return on Security Investment-Analyse des Cyberdomes – Modellrechnung sieht auch im konservativen Szenario milliardenschweren Nutzen"

„Digitale Verantwortung ist (IT)-Sicherheit ein Wert oder benötigen wir Werte für die IT-Sicherheit?"

„Die Lage der Cybersicherheit in Deutschland im internationalen Vergleich"

„Lehrbuch-Cyber-Sicherheit"

„Übungsaufgaben und Ergebnisse zum Lehrbuch-Cybersicherheit“

„Bücher im Bereich Cyber Security und IT-Sicherheit zum kostenlosen Download"

„Vorlesungen zum Lehrbuch-Cyber-Sicherheit“

„Forschungsinstitut für Internet-Sicherheit (IT-Sicherheit, Cybersicherheit)“

„Master-Studiengang Internet-Sicherheit (IT-Sicherheit, Cybersicherheit)“

„Marktplatz IT-Sicherheit“

„IT-Notfall- Marktplatz IT-Sicherheit“

„IT-Sicherheitstools - Marktplatz IT-Sicherheit“

„Selbstlernangebot - Marktplatz IT-Sicherheit“

„Köpfe der IT-Sicherheit - Marktplatz IT-Sicherheit “

„Vertrauenswürdigkeits-Plattform"

Summary

Article Name

Krisenkommunikation

Description

Krisenkommunikation steuert bei Cyber-Vorfällen die interne und externe Information, erfüllt Meldepflichten fristgerecht und sichert das Vertrauen von Kunden, Partnern und Öffentlichkeit.

Author

Prof. Norbert Pohlmann

Publisher Name

Institut für Internet-Sicherheit – if(is)

Publisher Logo