Nein – auch diesmal wird dies kein Beitrag darüber, wie Firewalls konfiguriert, Back-ups aufgesetzt oder Ransomware-Angriffe technisch abgewehrt werden. Schließlich sind wir Kommunikations- und keine IT-Experten. Aber wie hängt beides trotzdem zusammen?

Cyber-Angriffe sind für Unternehmen längst zu einem wesentlichen Geschäftsrisiko geworden. Deshalb investieren viele in sichere IT-Umgebungen, schulen ihre Mitarbeiter und erstellen Notfallpläne. Doch was passiert, wenn Angreifer trotzdem erfolgreich sind?

Dann wird aus dem IT-Problem sehr schnell auch eine Kommunikationsaufgabe. Denn sobald Systeme ausfallen, Daten möglicherweise abfließen oder Kunden betroffen sind, wollen viele wissen: Was ist passiert? Was bedeutet das für mich? Und was tut das Unternehmen jetzt?

Hinzu kommt NIS2. Die EU-Richtlinie zur Stärkung der Cybersicherheit verpflichtet betroffene Unternehmen unter anderem zu einem systematischen Cyber-Risikomanagement und zur schnellen Meldung erheblicher Sicherheitsvorfälle. Seit dem 6. Dezember 2025 gelten die neuen Vorgaben auch in Deutschland. Mit der Umsetzung von NIS2 wurde der Kreis der regulierten Unternehmen deutlich erweitert.

Gute Kommunikation beginnt vor der Krise

Ein Cyber-Angriff ist eine Unternehmenskrise – und wie bei jeder Krise haben diejenigen die besseren Karten, die vorbereitet sind. NIS2 unterstreicht diesen Gedanken zusätzlich: Cybersicherheit ist kein reines IT-Thema mehr, sondern Aufgabe der Unternehmensleitung. Und auch wenn die Kommunikation im Gesetz nicht im Mittelpunkt steht, sollte sie im Krisenmanagement von Anfang an mitgedacht werden.

Wen müssen Unternehmen nach einem Cyber-Angriff informieren?

Ein Cyber-Angriff kann gleichzeitig Kommunikationsbedarf gegenüber Mitarbeitern, Kunden, Partnern und Öffentlichkeit sowie Meldepflichten gegenüber Behörden auslösen. Für Unternehmen, die unter die NIS2-Regelungen fallen, gelten bei erheblichen Sicherheitsvorfällen sogar festgelegte Meldefristen: Eine erste Meldung muss grundsätzlich innerhalb von 24 Stunden erfolgen, eine ausführlichere Meldung innerhalb von 72 Stunden. Spätestens einen Monat danach folgt grundsätzlich eine Abschlussmeldung beziehungsweise bei noch laufenden Vorfällen zunächst eine Fortschrittsmeldung.

Sind personenbezogene Daten betroffen, kommt zusätzlich die DSGVO ins Spiel: Eine Datenschutzverletzung ist bei entsprechendem Risiko grundsätzlich binnen 72 Stunden der zuständigen Aufsichtsbehörde zu melden. Besteht voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Betroffenen, müssen gegebenenfalls auch diese unverzüglich informiert werden.

Was sollte ein Unternehmen unmittelbar nach einem Cyber-Angriff kommunizieren?

Ein Unternehmen sollte auf keinen Fall abtauchen. Kommuniziert werden sollten zunächst nur gesicherte Fakten: dass ein Vorfall festgestellt wurde, dass er untersucht wird, welche Maßnahmen bereits laufen und wann weitere Informationen folgen.

Das klingt zunächst wenig spektakulär, ist aber wesentlich besser als Spekulationen oder vorschnelle Schuldzuweisungen. Und: Auch ein „Das wissen wir derzeit noch nicht“ ist eine legitime Antwort, wenn gleichzeitig deutlich wird, was das Unternehmen bereits unternimmt. Dabei sollte die interne Kommunikation nicht hinter der externen zurückstehen. Mitarbeiter müssen wissen, was sie sagen können, wohin sie Anfragen weiterleiten sollen und welche Verhaltensregeln aktuell gelten. Idealerweise erfahren sie relevante Entwicklungen intern und nicht zuerst aus den Medien.

Sollte ein Cyber-Angriff überhaupt aktiv öffentlich kommuniziert werden?

Ob ein Cyber-Angriff aktiv öffentlich kommuniziert werden sollte, hängt vom Einzelfall ab. Ist das Unternehmen öffentlich sichtbar, fallen Dienstleistungen aus oder bemerken Kunden die Folgen unmittelbar? Dann spricht vieles für eine frühe aktive Kommunikation. Wer selbst informiert, kann die Fakten einordnen und Spekulationen zumindest entgegenwirken. Bei einem wenig sichtbaren B2B-Unternehmen mit begrenztem Betroffenenkreis kann die Situation anders aussehen. Nicht jeder IT-Sicherheitsvorfall verlangt nach einer Pressemitteilung. Entscheidend ist deshalb weniger die Frage, ob grundsätzlich kommuniziert werden muss, sondern wie wahrscheinlich es ist, dass der Vorfall von öffentlichem Interesse ist – und ob das Unternehmen darauf vorbereitet ist. Unabhängig von dieser kommunikativen Abwägung können im Einzelfall gesetzliche Unterrichtungspflichten bestehen oder Behörden eine Information von Kunden beziehungsweise Öffentlichkeit verlangen.

Wie lässt sich Cyber-Krisenkommunikation vorbereiten?

Viele Dinge lassen sich bereits in ruhigen Zeiten erledigen. Dazu gehören beispielsweise:

• Mitglieder und Zuständigkeiten des Cyber-Krisenstabs festlegen
• interne Freigabe- und Alarmierungswege definieren
• Ansprechpartner bei Behörden und externen Beratern dokumentieren
• Holding Statements für typische Szenarien vorbereiten
• Mitarbeiter-, Kunden- und Medienkommunikation vordenken
• einen Sprecher festlegen und trainieren
• alternative Kommunikationskanäle für einen IT-Ausfall schaffen

Dabei gehört die Kommunikationsabteilung möglichst früh an den Tisch – und nicht erst dann, wenn ein fertiges Statement geschrieben werden soll. Eine gute Vorbereitung verkürzt im Ernstfall Reaktionszeiten, reduziert Abstimmungschaos und schafft die Voraussetzung dafür, schnell und glaubwürdig zu kommunizieren.

Und danach?

Mit der Wiederherstellung der Systeme endet ein Cyber-Vorfall nicht automatisch. Kunden wollen wissen, welche Konsequenzen gezogen wurden. Mitarbeiter fragen sich, was sich verändert. Partner möchten sicher sein, dass die Zusammenarbeit weiterhin zuverlässig funktioniert. Auch diese Phase sollte kommunikativ begleitet werden. Dabei muss niemand aus einem Cyber-Angriff eine Erfolgsgeschichte machen. Glaubwürdiger ist es, transparent zu zeigen, wo die Painpoints lagen, was gelernt wurde und welche Maßnahmen daraus folgen.

Und irgendwann sollte dann auch wieder Normalität einkehren. Denn jedes Unternehmen hat eine Geschichte, die weit über einen Cyber-Vorfall hinausgeht. Gute Krisenkommunikation hilft nicht nur dabei, den Ernstfall zu bewältigen. Sie sorgt auch dafür, möglichst schnell wieder über das sprechen zu können, wofür das Unternehmen eigentlich stehen möchte.

Kurz erklärt: Cyber-Krisenkommunikation und NIS2

Was ist NIS2?
NIS2 ist eine EU-Richtlinie zur Stärkung der Cybersicherheit. Sie verpflichtet betroffene Unternehmen unter anderem zu Risikomanagementmaßnahmen und zur Meldung erheblicher Sicherheitsvorfälle.

Welche Meldefristen gelten nach NIS2?
Bei erheblichen Sicherheitsvorfällen gilt grundsätzlich: erste Meldung innerhalb von 24 Stunden, ausführlichere Meldung innerhalb von 72 Stunden, spätestens einen Monat später grundsätzlich eine Abschlussmeldung.

Warum ist Kommunikation bei einem Cyber-Angriff so wichtig?
Weil Mitarbeiter, Kunden, Geschäftspartner, Investoren und Medien schnell belastbare Informationen benötigen – parallel zu möglichen gesetzlichen Melde- und Unterrichtungspflichten.

Was ist das wichtigste Prinzip der Cyber-Krisenkommunikation?
Schnell kommunizieren – aber nur das, was gesichert ist.

Ist dein Unternehmen kommunikativ auf einen Cyber-Angriff vorbereitet?