Kommunikation im IT-Notfall

Notfall- und Krisenkommunikation nach BSI-Standard 200-4

Der BSI-Standard 200-4 behandelt die Kommunikation als festen Teil der Notfallbewältigung und nennt sie Notfall- und Krisenkommunikation (NuK-Kommunikation). Das Glossar beschreibt sie als Tätigkeiten vor, während und nach einem Notfall oder einer Krise, um relevante Informationen zu sammeln, zu verifizieren und zielgruppengerecht nach innen und außen zu kommunizieren. Dafür werden vorab Konzepte für die verschiedenen Interessengruppen erarbeitet und im Ereignis angepasst.

Krisenkommunikation IT: die Zielgruppen

Der Standard nennt als typische externe Interessengruppen Medien, Kunden, Dienstleister, Aufsichtsbehörden, Polizei und Angehörige von Mitarbeitenden. Für einen kleinen Betrieb lohnt eine einfache Tabelle:

Interne Kommunikation

Der Standard weist darauf hin, dass sich bewährt hat, Mitarbeitende mindestens zeitgleich mit der Öffentlichkeit zu informieren. Das beugt Gerüchten vor und verhindert, dass Beschäftigte Neuigkeiten aus den Medien erfahren. Informationen, die nicht nach außen dürfen, sollten auch nicht an alle intern gehen.

Inhalte einer ersten internen Information:

• was passiert ist, soweit bekannt,
• was jetzt gilt, etwa Rechner nicht einschalten, keine USB-Sticks, Arbeit auf Papier,
• wer Ansprechperson ist,
• dass Anfragen von außen an die benannte Person weitergeleitet werden,
• wann die nächste Information kommt.

Externe Kommunikation

Eine Person spricht

Für Presseanfragen sollten eine Sprecherin oder ein Sprecher und eine Vertretung namentlich benannt sein. Das sichert eine einheitliche Kommunikation.

Kanäle

Der Standard nennt unter anderem E-Mail, Telefon, Notfall-Hotline, Website mit Informationen und FAQ, eine vorbereitete alternative Notfall-Website («Dark Site»), soziale Medien und Pressemitteilungen. Für kleine Betriebe sind meist Telefon, ein Hinweis auf der Website und persönliche Gespräche mit wichtigen Kunden die wirksamsten Wege.

Medien beobachten

Im Notfall ist es empfehlenswert, Berichte und soziale Medien zu verfolgen, um falsche Darstellungen früh zu erkennen und gezielt reagieren zu können.

Kommunikationswege, die ohne eigene IT funktionieren

Bei Cyberangriffen ist die eigene Kommunikation oft gestört oder kompromittiert:

• E-Mail-Server oder Postfächer können verschlüsselt oder von Angreifern mitgelesen werden. Besprechen Sie Reaktionsmaßnahmen nicht über möglicherweise kompromittierte Konten.
• Telefonanlagen hängen häufig am selben Netz.
• Kontaktlisten liegen oft nur auf dem Server.

Vorsorge: eine gedruckte Kontaktliste mit Mobilnummern, eine Messenger-Gruppe auf privaten oder dienstlichen Mobilgeräten außerhalb der Firmen-IT, Zugang zur Website-Verwaltung unabhängig vom Firmennetz.

Was Sie nicht sagen sollten

• Keine Vermutungen über Täter, Ursache oder Umfang, die sich später als falsch erweisen.
• Keine Verharmlosung, solange der Umfang unklar ist, etwa «es sind keine Daten betroffen».
• Keine Details, die Angreifern helfen, etwa über noch offene Schwachstellen.
• Keine Aussagen zu Lösegeldverhandlungen.

Stimmen Sie Aussagen zu personenbezogenen Daten mit der Datenschutzbeauftragten ab. Die Benachrichtigung Betroffener nach Art. 34 DSGVO hat eigene inhaltliche Anforderungen.

Beispiel einer ersten Kundeninformation

Eine Vorlage, die sich im Ernstfall schnell anpassen lässt:

Sehr geehrte Damen und Herren, seit [Datum, Uhrzeit] ist unser Betrieb von einem IT-Sicherheitsvorfall betroffen. Wir haben sofort Maßnahmen ergriffen und arbeiten mit Fachleuten an der Aufklärung. Nach heutigem Stand [ist / ist noch nicht geklärt, ob] [Beschreibung der möglichen Betroffenheit]. Bitte seien Sie bei E-Mails, die angeblich von uns stammen und Zahlungen oder Anmeldedaten verlangen, besonders vorsichtig und fragen Sie im Zweifel telefonisch nach. Wir informieren Sie spätestens am [Datum] erneut. Ihre Ansprechperson ist [Name, Telefon].

Die Vorlage enthält bewusst keine Vermutungen zur Ursache, nennt aber eine konkrete Verhaltensempfehlung, einen nächsten Informationstermin und eine erreichbare Person. Der Hinweis auf gefälschte E-Mails ist wichtig, weil Angreifer erbeutete Kontakte häufig für weitere Betrugsversuche nutzen.

Ende der Krise kommunizieren

Wenn der Notfall bewältigt ist, wird er offiziell für beendet erklärt, und zwar über dieselben Kanäle, über die er ausgerufen wurde. So wissen alle, dass wieder die normalen Abläufe gelten. Kunden, die informiert wurden, erhalten eine Abschlussinformation.

Vorbereitung

Erstellen Sie Textbausteine für die häufigsten Szenarien, benennen Sie Zuständige und Vertretungen und üben Sie die Kommunikation in einer Planbesprechung mit. Eine eingespielte Presseanfrage zeigt schnell, ob die Rollen klar sind.