Advertorial
Der Krisenfall ist ein Kommunikationsfall
Eine geläufige Weisheit im Bereich IT-Sicherheit ist: Es gibt nur zwei Arten von Unternehmen. Die, die bereits gehackt wurden. Und die, die es noch nicht wissen. Doch egal, wie gut die Angreifer ihre Spuren verborgen haben, irgendwann kommt er eigentlich immer: Der Moment der Entdeckung.
Aktuell bedeutet das meist: Ransomware. Diese Schadprogramme sind für Cyberkriminelle nach wie vor lukrativ und attraktiv. Der potentielle Gewinn ist hoch, während das persönliche Risiko klein ist.
Für Unternehmen aber ist das Risiko real. Ein Produktionsstillstand führt schnell zu hohen Verlusten, kann gar die Existenz des Unternehmens gefährden. Hinzu kommt oft ein Reputationsschaden – bei Kunden, Geschäftspartnern und in der öffentlichen Wahrnehmung.
Deswegen muss im Krisenfall die Unternehmenskommunikation mit an den Tisch.
Was genau zu welchem Zeitpunkt kommuniziert wird, hängt stark von der Unternehmensform und -größe ab. Eine börsennotierte Gesellschaft muss anders reagieren als ein klassischer Mittelständler. Mittlerweile fast immer zwingend: Die Information der zuständigen Datenschutzbehörde – innerhalb von 72 Stunden. Natürlich sollte auch die eigene Belegschaft davon erfahren.
Für den Inhalt gilt: Möglichst einmal und vollständig informieren. Wer sehr schnell erste Erkenntnisse herausgibt, die noch nicht technisch abgesichert sind, muss sich eventuell später korrigieren. Das sollten Verantwortliche möglichst vermeiden. Wenn das hinzugezogene Incident-Response-Team die wesentlichen Erkenntnisse gesichert hat, sollten diese aber umgehend für die öffentliche Nutzung aufbereitet und veröffentlicht werden.
Was nicht hilft: Den Vorfall leugnen oder kleinreden. In der aktuellen Bedrohungslage können Sicherheitsvorfälle passieren. Es kommt also vor allem darauf an, richtig damit umzugehen. Der Krisenplan für den IT-Sicherheitsvorfall sollte also auch unbedingt den Punkt »Kommunikation« enthalten.
Kontakt:
https://www.linkedin.com/in/haukegierow/
Lesen Sie mehr zum Thema
