18.09.2023 Datenschutzvorfälle

Die unterschätzte Bedeutung guter Krisenkommunikation

Von: Michael Daum

Datenschutzvorfälle gehören zu den schwerwiegendsten Cyberbedrohungen, mit denen es Unternehmen zu tun haben. Zugleich reagieren viele Unternehmen im Falle eines Vorfalls auf eine Art und Weise, die bei Kunden oder Behörden Misstrauen weckt. Wie lässt sich durch eine gute Vorbereitung und effektives Krisenmanagement der Schaden begrenzen?

Das Vorgehen beim Thema „Krisenkommunikation“ sollte Bestandteil des Gesamtplans zur Krisenbewältigung im Fall von Cybervorfällen sein.

Immer mehr Unternehmen sind von Datenlecks betroffen, bei denen personenbezogene Daten in die falschen Hände geraten. Unmittelbar nach einem solchen Cyberangriff gibt es einen knappen Zeitraum von wenigen Stunden bis Tagen, in dem Unternehmen Entscheidungen treffen, die den weiteren Verlauf des Vorfalls erheblich beeinflussen können. Mit entsprechender Vorbereitung können Verantwortliche diesen kurzen Zeitraum bestmöglich nutzen und negative Auswirkungen und minimieren.

Die nötigen Kenntnisse können sich Firmen erarbeiten, indem sie sich akribisch auf Vorfälle vorbereiten, einen Krisenstab aufbauen und Notfallpläne entwickeln. Zur Vorbereitung gehört es im Übrigen auch, mögliche Szenarien im Rahmen praktischer Übungen zu testen. Das Ziel ist ein gut eingespieltes Team, welches Rollen, Aufgaben und Verantwortlichkeiten im Krisenfall kennt.

Unternehmen wissen um die Risiken von Cybervorfällen, wie das jährliche AGCS-Risk-Barometer zeigt: Von den weltweit 2.700 teilnehmenden Fachleuten nennen 34 Prozent Cybervorfälle das zweite Jahr in Folge als größte Bedrohung. Beunruhigend ist die steigende Zahl an Datenschutzverletzungen, etwa aufgrund von Ransomware-Angriffen oder eigenen Fehlern der Unternehmen. Welche großen finanziellen Auswirkungen Cybervorfälle haben, zeigt der IBM-Bericht „The Cost of a Data Breach Report“: Die durchschnittlichen Kosten solcher Vorfälle haben laut dem Bericht im Jahr 2022 mit 4,35 Mio. US-Dollar ein Allzeithoch erreicht und übersteigen 2023 voraussichtlich die Schwelle von 5 Mio. US-Dollar.

Steigender Regulierungsdruck

Regulierungsbehörden gehen derweil härter gegen Unternehmen vor, die Datensicherheitsmaßnahmen auf die leichte Schulter nehmen – auch in Deutschland. Prominentes Beispiel ist die schwedische Textilkette H&M, die 2020 vom Hamburgischen Datenschutzbeauftragten zu einer Geldstrafe von rund 35 Mio. Euro verdonnert wurde – das hierzulande bislang höchste Bußgeld.

Da Regulierungsbehörden und Strafverfolger genauer hinschauen, steigern größere Firmen ihre Investitionen in Cybersicherheit und Datenschutz. Das wiederum führt dazu, dass Hacker kleine und mittelständische Unternehmen (KMU) verstärkt in den Fokus nehmen: Hier sind die Schutzmaßnahmen oftmals schwächer, weil finanzielle und personelle Ressourcen fehlen.

Kampf gegen die Zeit

Ist es zu einem Datenschutzvorfall gekommen, beginnt ein Kampf gegen die Zeit. Innerhalb der EU sind Unternehmen laut der europäischen Datenschutz-Grundverordnung (EU-DSGVO) verpflichtet, Vorfälle innerhalb von 72 Stunden zu melden – gerechnet ab dem Zeitpunkt, an dem sie davon erfahren. Dieselbe Zeitspanne schreibt das Information Commissioner‘s Office (ICO), der britische Datenschutzbeauftragte, für das Vereinigte Königreich vor. In den USA ist die Lage weniger eindeutig: Hier besteht ein Flickwerk an Vorschriften und teilweise können Vorfälle innerhalb von 60 Tagen gemeldet werden. Ein von Präsident Biden 2022 unterzeichnetes Bundesgesetz könnte nun jedoch die Frist für die Meldung solcher Vorfälle an das Heimatschutzministerium auf ebenfalls 72 Stunden verkürzen.

Ein Cybervorfall, bei dem Daten und Systeme verschlüsselt werden, ist schwer zu handhaben, führt schnell zu weitreichenden Betriebsstörungen und lässt sich anders als bei einer Naturkatastrophe oder einem Brand nur schwer lokal begrenzen. Hinzu kommt, dass sich das Verhalten der Kriminellen häufig nicht voraussehen lässt. Deren Maschen verändern und verfeinern sich laufend. Bei Ransomware-Angriffen sind mittlerweile sogenannte „doppelte Erpressungen“ Standard: Daten, Systeme und Backups werden nicht nur verschlüsselt, sondern die Cyberkriminellen erpressen zugleich mit der Preisgabe/Veröffentlichung sensibler Informationen.

Umso mehr zeigt sich im Falle des Falles der Wert eines Notfallplans. Dieser kann beispielsweise in sechs Schritten entstehen: Zunächst stellt das Unternehmen ein Team zusammen, das Krisen managen soll. Zu den Funktionsbereichen, die sinnvollerweise Teil des Teams sind, gehören u.a. Human Resources (HR), Legal, Kommunikation, Finance und Fachleute, die Auswirkungen auf Produkte oder Kunden einschätzen können. Dieses Team bewertet in einem nächsten Schritt Risiken und bestimmte Risikobereiche. Sind die wichtigsten Risiken geklärt, sollten die Verantwortlichen deren jeweiligen Auswirkungen durchdenken und in einem weiteren Schritt adäquate Reaktionen vorbereiten. Dazu könnten Maßnahmen wie ein Abschalten betroffener Module, die Analyse des Fehlers und die Information von Kunden gehören.

Sind Risiken und Maßnahmen geklärt, wird der Plan verfeinert: Wer sind Notfallkontakte? Wann tritt ein Krisenplan in Kraft und das Krisenteam zusammen? Wann wird die Geschäftsleitung informiert? Welche Gruppen im und außerhalb des Unternehmens müssen informiert werden? Stehen schließlich Plan und Vorgehen, dürfen sie nicht in der Schublade verschwinden: Sie sollten fortlaufend aktualisiert und der Umgang mit Vorfällen trainiert werden, etwa durch simulierte Krisen, die das Team und die Abläufe auf die Probe stellen.

Neben interner Vorbereitung und Betreuung des Vorfalls können externe Fachleute unterstützen – vor und nach dem Vorfall. Denn für Unternehmen, vor allem im KMU-Umfeld, wird es zunehmend schwieriger, die nötige Expertise intern aufzubauen, um Cyberkrisen zu bewältigen.

Weltweite Partnernetzwerke

Hier profitieren Unternehmen, die eine Cyberversicherung abgeschlossen haben: Kommt der Versicherer ins Spiel, stehen Incident Response Services zur Verfügung, die in der Regel Bestandteil von Cyberdeckungen sind. Versicherer wie die Allianz verfügen über weltweite Partnernetzwerke und die Fachleute aus diesen Netzwerken bieten Versicherten Hilfe: Dazu zählen Services rund um IT-Forensik, Krisenkommunikation oder juristische Beratung durch auf Datenschutz und Cyber-Security spezialisierte Anwaltskanzleien. Da Betroffene oft von der Situation überfordert sind, können solche Partner des Versicherers entscheidend helfen, gut durch die Krise zu kommen und Schaden zu begrenzen.

Der Krisenstab sollte nicht vergessen, einen umfassenden Kommunikationsplan zu entwickeln, der alle betroffenen Gruppen abdeckt – Mitarbeiter, Kunden, Investoren, Partnerunternehmen und andere Stakeholder. Viele Fragen, die diese Gruppen haben, lassen sich antizipieren und sollten in den Botschaften des Unternehmens angemessen und zielgruppengerecht berücksichtigt werden. Die Bedeutung von richtiger Kommunikation ist nicht zu unterschätzen: Gute oder schlechte Kommunikation nach einem Vorfall kann erheblich dazu beitragen, den Reputationsschaden zu vergrößern oder zu begrenzen – bis hin zu einem Einfluss auf den Aktienkurs.

Bildquelle: Getty Images / iStock / Getty Images Plus