---

---

Ein kritischer IT-Service fällt aus, vertrauliche Daten stehen möglicherweise im Internet oder ein Lieferant kann seine Leistung nicht mehr erbringen. In den ersten Minuten entscheidet nicht allein die technische Störungsbeseitigung über die Folgen. Wer Krisenkommunikation vor dem Notfall planen will, muss klare Entscheidungen, belastbare Informationen und abgestimmte Ansprechpartner vorbereiten. Andernfalls entstehen Informationslücken genau dann, wenn Mitarbeitende, Kunden, Behörden und Medien Orientierung erwarten.

Krisenkommunikation ist kein separates Kommunikationsthema. Sie ist ein operativer Bestandteil von Business Continuity Management (BCM), IT Service Continuity Management (ITSCM) und Krisenmanagement. Ihr Zweck besteht darin, die Handlungsfähigkeit der Organisation zu erhalten, Fehlinterpretationen zu begrenzen und nachvollziehbar zu kommunizieren, was bekannt ist, was geprüft wird und welche Maßnahmen folgen.

1. Krisenkommunikation im Notfall planen beginnt mit Szenarien

Ein allgemeiner Kommunikationsplan hilft wenig, wenn seine Anwendung im konkreten Ereignis unklar bleibt. Ausgangspunkt sollten daher die Szenarien sein, die aus Business Impact Analyse, Risikoanalyse, ITSCM und Lieferkettenbetrachtung hervorgehen. Ein Ransomware-Angriff, ein längerfristiger Ausfall eines Rechenzentrums, eine Datenschutzverletzung oder der Ausfall eines kritischen Dienstleisters stellen unterschiedliche Anforderungen an Geschwindigkeit, Inhalt und Empfängerkreise.

Dabei geht es nicht darum, jedes denkbare Ereignis vollständig vorwegzunehmen. Sinnvoll ist eine Priorisierung nach Auswirkung auf kritische Geschäftsprozesse, betroffene Personen, rechtliche Meldepflichten und erwartbare öffentliche Aufmerksamkeit. Für jedes priorisierte Szenario sollte festgelegt sein, wann aus einer Störung eine kommunikationsrelevante Krise wird. Technische Eskalationsstufen und kommunikative Eskalationsstufen müssen zueinander passen.

2. Entscheidungsrechte verbindlich festlegen

In einer Krise entsteht Verzögerung oft nicht durch fehlende Textbausteine, sondern durch ungeklärte Freigaben. Wer darf eine Erstinformation auslösen? Wer bewertet rechtliche Risiken? Wer spricht mit Kunden? Und wer entscheidet, wann die Geschäftsführung, Behörden oder Öffentlichkeit informiert werden?

Diese Fragen gehören in eine Krisenstabsorganisation mit klaren Rollen. Die Leitung des Krisenstabs verantwortet die Lagebewertung und Priorisierung. Kommunikation bereitet Aussagen, Kanäle und Empfängersteuerung vor. IT, Informationssicherheit, Datenschutz, Recht, Fachbereiche und gegebenenfalls Personalwesen liefern Fakten und bewerten Folgen. Entscheidend ist, dass nicht alle Beteiligten jede Nachricht freigeben müssen. Für zeitkritische Erstinformationen braucht es definierte Entscheidungsvollmachten und Vertretungsregelungen.

Eine Kontaktliste allein genügt nicht. Sie muss gepflegt, außerhalb der potenziell betroffenen Infrastruktur verfügbar und regelmäßig getestet werden. Dasselbe gilt für sichere Kommunikationswege. Wenn E-Mail, Telefonie oder Kollaborationsplattformen vom Vorfall betroffen sind, benötigen Krisenstab und Notfallteams vorab festgelegte Alternativen.

3. Zielgruppen nach Informationsbedarf unterscheiden

Eine gute Krisenmeldung ist nicht zwangsläufig eine einheitliche Meldung für alle. Mitarbeitende benötigen konkrete Handlungsanweisungen: Welche Systeme dürfen genutzt werden? Wie wird gearbeitet? An wen werden Beobachtungen gemeldet? Kunden und Geschäftspartner erwarten Informationen über Leistungen, Einschränkungen und nächste Aktualisierungen. Behörden benötigen gegebenenfalls formale, fristgerechte Meldungen mit belastbaren Angaben.

Die Kommunikation muss deshalb Zielgruppen, Informationsbedarf und mögliche Risiken unterscheiden. Zu breite Aussagen können interne Ermittlungen oder Sicherheitsmaßnahmen beeinträchtigen. Zu knappe Aussagen führen hingegen zu Spekulationen und belasten Vertrauen. Ob eine proaktive externe Kommunikation erforderlich ist, hängt unter anderem von der Reichweite des Ereignisses, vertraglichen Verpflichtungen, regulatorischen Vorgaben und der Wahrscheinlichkeit ab, dass Informationen nach außen gelangen.

Besondere Aufmerksamkeit verdienen Dienstleister und Lieferanten. Sie können selbst betroffen sein, benötigen Anweisungen für die Zusammenarbeit oder verfügen über Informationen, die für die Lagebewertung entscheidend sind. Supply-Chain-Continuity-Management und Krisenkommunikation sollten daher nicht getrennt geplant werden.

4. Aussagen vorbereiten, ohne den Einzelfall vorwegzunehmen

Vorbereitete Textbausteine sparen Zeit, sofern sie nicht zu pauschal formuliert sind. Geeignet sind Vorlagen für eine Erstinformation, ein internes Lageupdate, eine Kundeninformation und eine Rückmeldung an Anfragende. Jede Vorlage sollte Platz für Ereigniszeitpunkt, betroffene Leistungen, aktuelle Maßnahmen, Handlungshinweise und den nächsten geplanten Informationszeitpunkt enthalten.

Die erste Aussage muss nicht alle Fragen beantworten. Sie muss zutreffend sein und Verlässlichkeit schaffen. Formulierungen wie „Wir prüfen derzeit die Auswirkungen“ sind dann sinnvoll, wenn klar ergänzt wird, was bereits bekannt ist, welche Schutzmaßnahmen laufen und wann ein Update erfolgt. Unbelegte Schuldzuweisungen, voreilige Entwarnungen und technische Details ohne Einordnung sind zu vermeiden.

Gerade bei Cybervorfällen entsteht ein Spannungsfeld: Transparenz stärkt Vertrauen, kann aber Angreifern zusätzliche Informationen liefern oder forensische Maßnahmen gefährden. Die richtige Detailtiefe hängt vom Einzelfall ab. Deshalb sollten Informationssicherheit, Recht, Datenschutz und Krisenkommunikation bereits bei der Vorbereitung abgestimmt zusammenarbeiten.

5. Meldepflichten in den Ablauf integrieren

Regulierte Organisationen können bei erheblichen IT-Störungen, Sicherheitsvorfällen oder Datenschutzverletzungen an verbindliche Fristen gebunden sein. Anforderungen aus NIS-2, DORA, KRITIS-Vorgaben, BSI-Standards, Datenschutzrecht sowie vertraglichen Vereinbarungen dürfen nicht erst im Ereignisfall recherchiert werden.

Ein wirksamer Plan ordnet jeder Meldepflicht einen Auslöser, eine verantwortliche Rolle, einen Freigabeweg und die erforderlichen Mindestinformationen zu. Wichtig ist die Trennung zwischen Krisenkommunikation und formaler Meldung: Beide Prozesse müssen abgestimmt sein, verfolgen aber nicht immer denselben Zweck oder denselben Zeitplan. Eine Behördenmeldung ersetzt keine Kundeninformation, und eine öffentliche Stellungnahme erfüllt nicht automatisch regulatorische Anforderungen.

Dokumentation ist dabei mehr als ein Compliance-Nachweis. Ein nachvollziehbares Lageprotokoll hält fest, wann welche Erkenntnisse vorlagen, welche Entscheidungen getroffen wurden und welche Kommunikation erfolgte. Das unterstützt spätere Auswertungen, Audits und die kontinuierliche Verbesserung der Notfallvorsorge.

6. Krisenkommunikation technisch verfügbar machen

Ein Kommunikationskonzept scheitert, wenn es nur auf einem nicht erreichbaren Fileserver liegt oder Kontaktlisten veraltet sind. Notfallpläne, Rollenprofile, Vorlagen, Eskalationswege und Lageinformationen müssen auch bei einem Ausfall zentraler Systeme verfügbar sein. Dabei sind Zugriffsschutz und Aktualität ebenso relevant wie Verfügbarkeit.

Digitale Notfallmanagement-Software kann BCM-, ITSCM- und Krisenmanagement-Informationen konsolidieren: kritische Prozesse, Abhängigkeiten, Wiederanlaufpläne, Alarmierungsdaten, Aufgaben und Nachweise. Mit [alive-IT] lassen sich diese Inhalte strukturiert pflegen und für die operative Krisenbewältigung bereitstellen. Die Software ersetzt jedoch keine Führungsentscheidung. Ihr Nutzen entsteht durch gepflegte Daten, etablierte Prozesse und Verantwortliche, die die Informationen im Ernstfall anwenden können.

7. Den Ablauf unter realistischen Bedingungen üben

Krisenkommunikation wird nicht durch das Ablegen eines Handbuchs belastbar. Erst Übungen zeigen, ob Zuständigkeiten verstanden werden, Kontaktwege funktionieren und Aussagen rechtzeitig abgestimmt werden können. Besonders aussagekräftig sind Krisenstabsübungen mit zeitversetzten Lageeinspielungen: Eine neue technische Erkenntnis, eine Kundenanfrage oder eine Medienmeldung zwingt den Stab, Informationen neu zu bewerten und Entscheidungen sichtbar zu machen.

Bewertet werden sollte nicht nur, ob eine Nachricht versendet wurde. Relevante Kriterien sind Reaktionszeit, Qualität der Lagebilder, Abstimmung zwischen Fachdisziplinen, Nachvollziehbarkeit der Freigaben und Verständlichkeit für die jeweilige Zielgruppe. Aus den Ergebnissen müssen konkrete Verbesserungsmaßnahmen folgen, etwa bei Alarmierungsdaten, Vertretungsregeln, Vorlagen oder Schnittstellen zu Dienstleistern.

Die Frequenz hängt von Risikoprofil, Regulierung und Veränderungsgeschwindigkeit ab. Organisationen mit kritischen IT-Services, hoher Lieferantenabhängigkeit oder strengen Meldepflichten benötigen meist engere Übungszyklen als Unternehmen mit überschaubaren Abhängigkeiten. Nach wesentlichen organisatorischen oder technischen Änderungen sollte der Kommunikationsplan ohnehin überprüft werden.

Krisenkommunikation schafft keine Sicherheit durch perfekte Formulierungen. Sie schafft Orientierung, wenn Fakten noch unvollständig sind und Entscheidungen unter Zeitdruck getroffen werden müssen. Wer Zuständigkeiten, Inhalte, Kanäle und Übungen als festen Bestandteil der Resilienz organisiert, schützt nicht nur Reputation, sondern vor allem die Fähigkeit der Organisation, im Notfall verantwortungsvoll zu handeln.