Kurz gesagt: Gute Krisenkommunikation nach einem Cyberangriff ist schnell, ehrlich und einheitlich. Informieren Sie zuerst intern, dann Betroffene und Partner, und sagen Sie nur, was gesichert ist, klar getrennt von dem, was noch untersucht wird. Pflichten zur Benachrichtigung, etwa nach Art. 34 DSGVO, sind mit Datenschutzbeauftragtem und Rechtsberatung abzustimmen; diese Seite ist keine Rechtsberatung.
Warum Kommunikation Teil der Vorfallsbearbeitung ist
Ein Angriff auf einen Webserver ist zunächst ein technisches Problem. Sehr schnell wird er aber auch eine Frage des Vertrauens: Kunden bemerken eine nicht erreichbare Website, Partner erhalten auffällige Mails, Mitarbeitende fragen nach. Wer dann schweigt oder widersprüchlich antwortet, verliert mehr Vertrauen als durch den Vorfall selbst.
Die aktuelle Lage um PHP2Shell macht das greifbar. Viele Unternehmen haben ihre Websites vorsorglich offline genommen oder kurzfristig gewartet. Das bedeutet nicht automatisch, dass sie gehackt wurden. Genau diese Unterscheidung sollten Sie nach außen klar und ruhig erklären können.
Krisenkommunikation nach Cyberangriff: die richtige Reihenfolge
Eine bewährte Reihenfolge verhindert, dass wichtige Gruppen aus der Presse oder von Dritten erfahren:
- Krisenteam intern: Geschäftsleitung, Technik, Datenschutz, gegebenenfalls Rechtsberatung und Versicherer. Hier wird entschieden, was gesagt wird.
- Mitarbeitende: kurze interne Information mit der Bitte, Anfragen an die benannte Stelle weiterzuleiten, und Hinweisen zu Vorsicht bei verdächtigen Mails.
- Behörden, wo nötig: etwa Datenschutz-Aufsicht nach Art. 33 DSGVO, BSI bei NIS2-Pflicht, Polizei bei Anzeige. Die Reihenfolge stimmen Sie mit Ihrer Rechtsberatung ab.
- Betroffene Kunden und Partner: direkt und vor einer öffentlichen Erklärung, wenn möglich.
- Öffentlichkeit: Hinweis auf der Website, gegebenenfalls Presseerklärung.
Nach Art. 34 DSGVO sind Betroffene unverzüglich zu benachrichtigen, wenn eine Datenschutzverletzung voraussichtlich ein hohes Risiko für sie zur Folge hat. Die Grundzüge erklärt DSGVO-Meldepflicht: 72 Stunden.
Was in eine Mitteilung gehört
Eine gute Mitteilung ist kurz und beantwortet die Fragen, die sich Betroffene stellen. Diese Gliederung hat sich bewährt:
| Abschnitt | Inhalt |
|---|---|
| Was ist passiert? | Sachliche Beschreibung in einfachen Worten, mit Zeitraum |
| Was wissen wir, was nicht? | Gesicherte Fakten getrennt von laufender Untersuchung |
| Wer ist betroffen? | Gruppen von Personen oder Daten, soweit bekannt |
| Was haben wir getan? | Sofortmaßnahmen, Einbindung von Fachleuten und Behörden |
| Was sollten Sie tun? | Konkrete Empfehlungen, etwa Passwort ändern, auf Phishing achten |
| Wie erreichen Sie uns? | Feste Anlaufstelle für Rückfragen |
Kündigen Sie an, wann Sie wieder informieren, und halten Sie diese Zusage ein. Auch ein „noch keine neuen Erkenntnisse“ zur angekündigten Zeit schafft Vertrauen.
Bereiten Sie Vorlagen für interne Information, Kundenmitteilung und Website-Hinweis vor, bevor etwas passiert. Im Ernstfall müssen dann nur noch die Fakten eingesetzt werden.
Was Sie besser vermeiden
Einige Formulierungen und Verhaltensweisen schaden regelmäßig:
- Vorschnelle Entwarnung: „Es wurden keine Daten abgegriffen“ ist nur zulässig, wenn es belegt ist. Ein eingespielter Patch beweist nicht, dass vorher nichts passiert ist.
- Verharmlosung: Begriffe wie „kleiner technischer Zwischenfall“ wirken unehrlich, wenn später mehr bekannt wird.
- Schuldzuweisung: Hinweise auf Hoster, Dienstleister oder Hersteller helfen Betroffenen nicht und können rechtliche Folgen haben.
- Technische Details mit Angriffsnutzen: Konkrete Schwachstellen Ihrer Systeme gehören nicht in öffentliche Mitteilungen.
- Garantien: Aussagen wie „vollständig sicher“ oder „unhackbar“ lassen sich nicht halten.
Website, Suchmaschinen und Phishing-Welle
Nach einem Angriff auf eine Website kommen oft zwei Begleiterscheinungen hinzu. Erstens kann Google eine Warnung anzeigen, wenn Schadcode gefunden wurde; wie Sie diese nach der Bereinigung entfernen lassen, steht unter Google-Warnung entfernen. Zweitens nutzen Betrüger bekannte Vorfälle für gefälschte Mails im Namen des betroffenen Unternehmens. Warnen Sie Ihre Kunden aktiv davor und nennen Sie, über welche Wege Sie tatsächlich kommunizieren.
Nehmen Sie die Website vorsorglich offline, reicht eine schlichte statische Seite mit einem kurzen Hinweis und einem Kontaktweg, der nicht vom betroffenen Server abhängt.
Ist der Vorfall abgeschlossen, lohnt eine abschließende Mitteilung an alle, die Sie zuvor informiert haben: was die Untersuchung ergeben hat, welche Maßnahmen dauerhaft umgesetzt wurden und an wen man sich weiterhin wenden kann. Viele Unternehmen lassen diesen Schritt aus, weil der Druck nachlässt. Gerade er zeigt aber, dass Sie den Vorfall ernst genommen haben. Werten Sie intern außerdem aus, was in der Kommunikation gut lief und was nicht, und passen Sie Vorlagen und Zuständigkeiten in Ihrem Notfallplan entsprechend an.
Wie hilft PHP SOS konkret?
- Wir liefern die technischen Fakten verständlich aufbereitet und trennen klar zwischen belegt, wahrscheinlich und unbekannt.
- Wir prüfen Entwürfe Ihrer Mitteilungen auf technische Richtigkeit und auf Details, die Angreifern helfen könnten.
- Wir stellen kurzfristig eine statische Wartungsseite bereit, die unabhängig vom betroffenen System läuft.
- Über Incident Response halten wir die Technik im Takt Ihrer Kommunikation, damit Zusagen zum Informationsstand eingehalten werden können.
Häufige Fragen
Sollen wir einen Angriff öffentlich machen, solange noch nicht alles klar ist?
Das hängt von Lage, Pflichten und Betroffenen ab. Häufig ist eine kurze, sachliche Mitteilung mit dem bekannten Stand besser als Schweigen, weil Kunden und Partner sonst aus anderen Quellen erfahren. Stimmen Sie den Zeitpunkt mit Rechtsberatung und Versicherer ab.
Was sollte in einer Kundenmitteilung auf keinen Fall stehen?
Vermutungen, die als Tatsachen erscheinen, Schuldzuweisungen an Dritte, technische Details, die Angreifern helfen, und Zusagen, die Sie nicht sicher einhalten können. Formulierungen wie vollständig ausgeschlossen sollten Sie nur verwenden, wenn sie belegt sind.
Wer sollte nach außen sprechen?
Eine benannte Person, meist aus der Geschäftsleitung oder der Unternehmenskommunikation, unterstützt von Technik und Rechtsberatung. Alle anderen verweisen auf diese Stelle. So bleiben die Aussagen einheitlich.
Müssen wir unsere Website offline nehmen und das erklären?
Wenn Sie die Website vorsorglich vom Netz nehmen, hilft ein kurzer Hinweis, etwa auf einer statischen Wartungsseite. Er muss nicht technisch sein. Ein vorsorgliches Offline-Nehmen bedeutet nicht automatisch, dass ein Angriff erfolgreich war.