„Cyber-Attacke bei Beiersdorf“, „Chemiekonzern Lanxess wurde gehackt“, „Sicherheitsleck bei Marriott“ – Schlagzeilen über Unternehmen, die Hackern zum Opfer fallen, sind mittlerweile keine Seltenheit mehr. Im Gegenteil: Die Anzahl der Cyberangriffe auf Organisationen, Forschungseinrichtungen und den öffentlichen Sektor wächst in rasantem Tempo mit weitreichenden Konsequenzen, wie z.B. jüngst der Solarwinds-Hack oder der Angriff auf die Funke Mediengruppe. Ein Rückgang ist Prognosen zufolge kaum denkbar. Cyberkrisen stellen vor allem Unternehmen, aber auch Behörden und Persönlichkeiten des öffentlichen Lebens zunehmend vor Herausforderungen. Zudem verändert die verstärkte Digitalisierung die Anforderungen an das Krisenmanagement. Insbesondere in der Corona-Krise ist es daher von existenzieller Bedeutung, in der Unternehmenskommunikation gut vorbereitet zu sein und eine effiziente Kommunikationsstrategie bereitzuhalten.
Im Rahmen der Vortragsreihe WISSENschafftPRAXIS des LPRS e.V. – Leipziger Public Relations Studierende e.V. am 26.11.2020 referierte Suntka von Halen, Director der internationalen Kommunikationsberatung Brunswick Group, zum Thema „Congrats. You've just been hacked. Krisenvorbereitung und -kommunikation bei Cyberangriffen“. So konnten alle Fragen rund um die kommunikativen Herausforderungen bei Cyberangriffen diskutiert werden: Welchen Beitrag kann die Kommunikation zur Vorbereitung auf einen Cyberangriff leisten? Wie sieht eine professionelle Reaktion im Ernstfall aus und wie kann die Unternehmensreputation geschützt bzw. wieder aufgebaut werden?
Cyberkrisen bergen eine Vielzahl von unbekannten Faktoren, wie zum Beispiel Beginn und Dauer eines Angriffs oder die Ausbeute der Täter. Hinzu kommen Meldepflichten gegenüber Behörden und häufig begrenztes Verständnis seitens Kunden oder Öffentlichkeit und entsprechend heftige Reaktionen, die es zu managen gilt. Eine gute Kommunikation nach innen und nach außen sowie die Bereitschaft, Verantwortung zu übernehmen und zu handeln, sind daher der Schlüssel einer erfolgreichen Krisenbewältigung. Sie gelingt, wenn alle Beteiligten an einem Strang ziehen.
Weitere spannende Einblicke in das Thema Cyberkrisen und den richtigen kommunikativen Umgang damit gewährte Suntka von Halen im anschließenden Interview.
Warum ist die Cyberkrise als Sonderfall in der Krisenkommunikation zu betrachten und welche kommunikativen Risiken stellt eine solche Krise für Unternehmen dar?
Suntka von Halen: Am stärksten unterscheidet sich eine Cyberkrise von einer klassischen Krise durch den meist undefinierten Zeitrahmen. Wenn die Attacke bemerkt wird, ist der eigentliche Angriff nicht selten mehrere Monate zuvor passiert. Oft ist nicht klar, ob und in welchem Umfang Daten in der Zwischenzeit extrahiert wurden. Darüber hinaus haben Unternehmen beim Bekanntwerden des Angriffes meist noch keinen Überblick, welche Systembestandteile betroffen sind.
Um eine konsistente Kommunikation sicherzustellen und Aussagen nicht später revidieren zu müssen, empfiehlt es sich, am Anfang einer Krise lieber wenige, dafür gesicherte Sachstände zu kommunizieren. Das heißt nicht, nichts zu sagen.
Im Gegensatz zu regional begrenzten Krisen, muss bei Cyberkrisen in globalen Unternehmen die Reaktion über Ländergrenzen hinweg mit unterschiedlichen Rechtsprechungen und behördlichen Vorgaben koordiniert werden. Und nicht zuletzt kann der gute Wille, so transparent und umfangreich wie möglich mit sämtlichen Zielgruppen zu kommunizieren, zum kommunikativen Risiko werden: Oftmals werden im Verlauf der Krise Informationen der ersten Stunden durch neue Erkenntnisse der Forensik ergänzt oder manchmal auch widerlegt. Um eine konsistente Kommunikation sicherzustellen und Aussagen nicht später revidieren zu müssen, empfiehlt es sich, am Anfang einer Krise lieber wenige, dafür gesicherte Sachstände zu kommunizieren. Das heißt nicht, nichts zu sagen. Aber anstelle von Spekulationen kann man kurz umreißen, was passiert ist und darüber hinaus vor allem das Bedauern über den Vorfall und Verständnis für die Auswirkungen auf die betroffenen Zielgruppen zum Ausdruck bringen.
Es zeichnet sich ab, dass die Anzahl der Cyberangriffe verstärkt zunimmt. Wie wirkt sich diese Entwicklung auf die Zukunft der Kommunikation aus? Sehen Sie möglicherweise sogar Chancen für die Unternehmenskommunikation sich dahingehend zu positionieren?
Suntka von Halen: In jedem Fall gibt es eine zunehmende Notwendigkeit, gut auf solche Krisen vorbereitet zu sein. Zum einen geht es um die Schnelligkeit der Reaktion, Unternehmen müssen responsive sein. Dazu müssen sie ihre strategischen und taktischen Optionen kennen und z.B. Zielgruppen und Ansprechpartner, erste Holding Statements und Prozesse vorbereitet haben. Darüber hinaus spielt das Thema Vernetzung eine wichtige Rolle. Wir erleben zunehmend komplexe Angriffe, auf die sich die Kommunikation global vorbereiten muss.
Die Herausforderung liegt darin, global die richtigen Funktionen im Unternehmen und extern zu koordinieren. Die Unternehmenskommunikation arbeitet (hoffentlich) grundsätzlich hochvernetzt im Unternehmen und ist daher ein guter Treiber, um dafür zu sorgen, dass der Vorbereitungs- und Response-Prozess richtig laufen. Eine Chance für die Unternehmenskommunikation ist außerdem der aktive Schutz der Reputation.
Bei Cyberangriffen fallen in allen Schritten der Krise wichtige Aufgaben der Kommunikation zu. Sind sich dessen die Mandant:innen bewusst?
Suntka von Halen: Sie sind sich der Tatsache bewusst, dass es Kommunikation braucht. Sie unterschätzen aber oft, was die Kommunikation tatsächlich für sie leisten kann. Interne Kommunikation beispielsweise ist ja mehr als ein Intranetbeitrag. Es geht darum, gute Briefings und angemessene Wordings vorzubereiten, mit denen Führungskräfte ihre Teams informieren können. Es muss geklärt werden, wer extern für das Unternehmen spricht und wie Reputationsschäden minimiert werden können, d.h. welche Kommunikationsaktivitäten über eine Pressemeldung hinaus nötig und hilfreich sind.
Das leisten Kommunikator:innen, und deren unterstützende, mitdenkende und vor allem auch implementierende Funktion wird manchmal noch unterschätzt. Wenn aber alles gut funktioniert, wird nach meiner Erfahrung die Leistung der Unternehmenskommunikation extrem wertgeschätzt und anerkannt.
Viele Unternehmen und Organisationen betrachten Cybersecurity als ein Thema, das lediglich ein Problem für die IT-Abteilung darstellt. Dennoch ist es so, dass viele interne und externe Stakeholder in eine Cyberkrise involviert und möglicherweise betroffen sind. Welche Stakeholder sind Ihrer Meinung nach für die Kommunikationsarbeit während der Krise am wichtigsten und warum?
Man muss dafür sorgen, dass diejenigen Zielgruppen, die am stärksten von der Krise betroffen sind, vernünftig informiert werden: zügig, wertschätzend, in einem geschützten Rahmen
Suntka von Halen: Die Mitarbeiter:innen sind immer am wichtigsten, weil jedes Unternehmen mit Mitarbeiter:innen auf Augenhöhe umgehen muss. Gute interne Kommunikation bewirkt außerdem, dass die Führungsmannschaft mitbekommt, was die Teams bewegt, und was im Unternehmen vor sich geht. Darüber hinaus muss man dafür sorgen, dass diejenigen Zielgruppen, die am stärksten von der Krise betroffen sind, vernünftig informiert werden: zügig, wertschätzend, in einem geschützten Rahmen. Wie das konkret umgesetzt wird, muss vor dem Hintergrund der gegebenen Situation abgewogen werden. Es gibt auch Fälle, in denen sich Unternehmen bewusst dagegen entscheiden, breit zu informieren, z.B. wenn die herausgegebenen Informationen ein weiteres Sicherheitsrisiko darstellen könnten. Das hängt also von der jeweiligen Situation und Strategie ab.
Im Krisenmanagement ist eine starke Zusammenarbeit von Rechtsabteilungen und Kommunikation empfehlenswert. Sollte sich aus Ihrer Sicht die Zusammenarbeit von Kommunikation und Rechtsabteilung durch die Zunahme von Cyberangriffen intensivieren?
Suntka von Halen: Klar ist: Beide Abteilungen müssen früh im Krisenprozess eingebunden werden und ab da integriert im Krisenstab zusammenarbeiten, z.B. bei der Ausarbeitung der Responsestrategie. Dabei beurteilt die Rechtsabteilung letztendlich, welche Informationen überhaupt gegeben werden dürfen. Der Job der Kommunikationsabteilung ist, zu möglichen Szenarien zu beraten, die notwendigen strategischen Schritte der Kommunikation zu planen und letztendlich die Wordings zu machen – und da muss bekanntlich jeder Satz sitzen.
Was sind für Sie die wichtigsten Werte, welche die Vorstandsebene im Falle einer Cyberkrise nach außen tragen sollte?
Suntka von Halen: Cyberkrisen sind der Moment, in dem die Haltung eines Unternehmens sehr deutlich wird. Je nach Krisenverlauf wird man unterschiedliche Informationen veröffentlichen oder nicht, transparent kommunizieren oder nicht.
Der kommunikative Job des Vorstands ist es, den Zielgruppen des Unternehmens zu vermitteln, dass das Problem und insbesondere die damit verbundenen Issues der Zielgruppen ernst genommen und gelöst werden
Aber der kommunikative Job des Vorstands ist es, den Zielgruppen des Unternehmens zu vermitteln, dass das Problem und insbesondere die damit verbundenen Issues der Zielgruppen ernst genommen und gelöst werden. Diese „kundenorientierte“ Haltung braucht es und ein klares Commitment, dass alles getan wird, um die Krise zu managen. Diese Empathie sollte ein CEO mitbringen, die kann ihr oder ihm kein Kommunikationsteam antrainieren.
Welche abschließenden Tipps können Sie einer jeden Kommunikationsabteilung für den Fall einer Cyberkrise mit auf den Weg geben?
Suntka von Halen: Ich würde alle Kommunikator:innen ermutigen, sich im Falle einer Krise selbstbewusst an den Entscheidertisch zu setzen und sich einzubringen. Kommunikationsteams sind gut vernetzt im Unternehmen und haben einen guten Überblick. Sie sind es gewohnt, aus Zielgruppensicht und über Bereichsgrenzen hinweg zu denken, und sie sind oft die ersten Ansprechpartner:innen intern und extern – also diejenigen, die einen Großteil der unterschiedlichen Zielgruppen managen müssen. Im Krisenstab können sie das Krisenmanagement des Unternehmens entscheidend mitgestalten, und das sollten sie tun.
Der LPRS – Leipziger Public Relations Studierende e.V. bedankt sich bei Suntka von Halen für die spannenden und wertvollen Einblicke zum Thema Cybersecurity und bei allen Teilnehmer:innen für das rege Interesse.
Text und Interview von Diana Elschner & Luise Charlotte Bauer
