Cyberangriff: Krisenkommunikation für KMU

Kommunikation ist Teil der Vorfallsbewältigung

Ein Cybervorfall ist ein Ereignis, das Vertraulichkeit, Integrität oder Verfügbarkeit von Systemen oder Daten beeinträchtigen kann. Eine Krise entsteht, wenn der Vorfall bedeutende Auswirkungen hat, rasch eskaliert oder das Vertrauen wichtiger Anspruchsgruppen berührt. Die technische Untersuchung und die Kommunikation müssen dann eng zusammenarbeiten, dürfen sich aber nicht gegenseitig ersetzen.

Das BACS ordnet ein Krisenkommunikationskonzept ausdrücklich dem Notfallkonzept zu. Dieses umfasst auch Krisenorganisation, zentrale Notfallkontakte und konkrete Massnahmen. Bei schwerwiegenden Auswirkungen koordiniert die Notfallorganisation beziehungsweise der Krisenstab die interne und externe Kommunikation.^[2] Verankern Sie die Kommunikationsarbeit daher in Ihrer IT-Notfallplanung, nicht in einem isolierten Medienordner.

Die organisatorische Vorbereitung ist dabei keine Nebenaufgabe. Das BACS hält in seiner am 22. Oktober 2026 veröffentlichten Mitteilung zur Studie «KMU Cybersicherheit 2026» fest, dass neben technischen Schutzmassnahmen gerade klare Verantwortlichkeiten, Mitarbeiterschulungen und Notfallkonzepte wichtig sind und bei organisatorischen Massnahmen weiterhin Lücken bestehen. Die Mitteilung begründet keine neue rechtliche Pflicht. Sie unterstreicht aber, weshalb Rollen, Vertretungen und Notfallkommunikation vor einem Vorfall geübt werden sollten.^[10]

Die Geschäftsleitung trägt die Entscheidung über Geschäftsunterbruch, Prioritäten, Offenlegung und Ressourcen. Die IT beziehungsweise Incident Response liefert die belastbare Lage: Was ist beobachtet, was wurde gesichert, welche Systeme sind betroffen und welche Massnahmen laufen? Kommunikation übersetzt diese Lage für die jeweilige Zielgruppe. Datenschutz, Recht, Versicherer oder externe Forensik können je nach Fall zusätzliche Perspektiven einbringen. Eine gute Lagebesprechung unterscheidet konsequent zwischen bestätigt, in Abklärung und nicht zur Veröffentlichung freigegeben.

Einen schlanken Freigabeweg definieren

Definieren Sie vorab eine verantwortliche Person für die Lage sowie eine stellvertretende Person. Ergänzen Sie diese um eine Freigabeinstanz aus Geschäftsleitung und eine Kommunikationsverantwortung. Für Aussagen mit Datenschutz-, Vertrags-, Arbeits- oder Strafverfolgungsbezug muss klar sein, welche Fachperson beizuziehen ist. Halten Sie Namen, private Erreichbarkeit und Ersatzwege offline verfügbar.

Jede Aussage durchläuft denselben kurzen Weg: Die technische Leitung bestätigt die Tatsachen; Datenschutz und Recht beurteilen, soweit erforderlich, Risiken und Pflichten; Geschäftsleitung und Kommunikation geben Wortlaut, Zielgruppe, Kanal und Zeitpunkt frei. Dokumentieren Sie die Version, die Freigabe und die Quellen der Aussage. So kann Ihr Unternehmen später nachvollziehen, weshalb es zu einem bestimmten Zeitpunkt so kommuniziert hat.

Die Interessen einer polizeilichen Ermittlung und der Forensik gehören ausdrücklich in die Offenlegungsentscheidung. Das BACS nennt daneben die verifizierte Informationslage sowie den Grundsatz, intern vor extern und über eigene Kanäle vor Medien zu informieren.^[1] Bei einer möglichen Strafanzeige empfiehlt das BACS, Strafverfolgungsbehörden früh einzubeziehen; vor Reparaturversuchen oder Neustarts können fachgerechte Sicherungen für eine forensische Untersuchung entscheidend sein.^[6]

Intern zuerst: Menschen handlungsfähig machen

«Intern vor extern» bedeutet nicht, dass jede Person vor allen anderen informiert werden muss. Es bedeutet, dass Betroffene im Unternehmen nicht zuerst aus Medien oder sozialen Netzwerken von einer Lage erfahren sollten. Beginnen Sie mit dem Krisenkreis, den Führungskräften und den Teams, die konkrete Anweisungen benötigen. Danach folgen alle Mitarbeitenden über einen verlässlichen Kanal. Fällt das E-Mail-System aus, müssen ein vorbestimmter Telefonbaum, ein geschützter alternativer Kanal oder ausgedruckte Kontaktlisten bereitstehen.

Die erste interne Nachricht beantwortet nur das Nötigste: Was ist bekannt? Was sollen Mitarbeitende jetzt tun oder unterlassen? An wen gehen Beobachtungen oder Medienanfragen? Wann folgt das nächste Update? Fordern Sie insbesondere dazu auf, keine Vermutungen intern weiterzuleiten und keine Auskünfte nach aussen zu geben. Das ist keine Einschüchterung, sondern schützt Kolleginnen und Kollegen vor widersprüchlichen Aussagen.

Für externe Gruppen braucht es getrennte, zielgruppengerechte Texte. Kundinnen und Kunden benötigen vor allem konkrete Handlungsanweisungen und einen erreichbaren Kontaktweg. Lieferanten und IT-Provider müssen technische oder operative Massnahmen kennen. Bei Medienanfragen spricht eine festgelegte Person. Bereiten Sie eine Sicherheitsanalyse nicht als Kommunikationsersatz vor, sondern nutzen Sie Erkenntnisse daraus, um kritische Systeme, Datenflüsse und Abhängigkeiten schon im Vorfeld zu kennen. Diese Übersicht verbessert die Geschwindigkeit und Qualität der Lagekommunikation.

Die drei BACS-Phasen: stabil informieren statt einmalig senden

Das BACS gliedert die Krisenkommunikation bei einem Cyberangriff in drei Phasen. Die Kernbotschaften können über alle Phasen konsistent bleiben: Die Organisation hat Massnahmen eingeleitet, untersucht den Vorfall und informiert bei verifizierten neuen Erkenntnissen. Aussagen zur Sicherheit von Daten oder Dienstleistungen dürfen nur gemacht werden, soweit sie belegt sind.^[1]

Phase 1: Information über den Cyberangriff

In der ersten Phase kommunizieren Sie das bestätigte Ereignis und die sofortigen Massnahmen. Nennen Sie den Zeitpunkt der nächsten Information, auch wenn die Untersuchung noch läuft. Ein mögliches, bewusst zurückhaltendes Muster lautet: «Wir untersuchen derzeit einen IT-Sicherheitsvorfall. Wir haben Schutzmassnahmen eingeleitet und prüfen die Auswirkungen. Für Kundinnen und Kunden mit erforderlichen Handlungen folgen konkrete Hinweise über unsere offiziellen Kanäle.»

Vermeiden Sie Aussagen zur Täterschaft, zum Einfallsweg, zur Zahl betroffener Personen oder zur Wiederherstellungsdauer, wenn diese noch nicht belastbar sind. Auch ein Satz wie «Es besteht keine Gefahr» ist nur zulässig, wenn der konkrete Gegenstand dieser Aussage eindeutig geprüft wurde. Halten Sie stattdessen offen fest, was noch abgeklärt wird.

Phase 2: Information über die Bewältigung des Cyberangriffs

In der zweiten Phase beschreiben Sie den Fortschritt und die Wirkung Ihrer Massnahmen. Dazu gehören beispielsweise wieder verfügbare Leistungen, weiterhin bestehende Einschränkungen und konkrete Handlungen für Kundinnen, Kunden oder Partner. Erklären Sie in verständlicher Sprache, was eine Unterbrechung bedeutet. Veröffentlichen Sie keine technischen Details, die Angreifern helfen oder Ermittlungen beeinträchtigen könnten.

Setzen Sie einen festen Aktualisierungstakt, den Sie tatsächlich einhalten können. «Nächstes Update bis [Zeit]» ist besser als eine nicht haltbare Zusage zur vollständigen Behebung. Wenn sich die Lage ändert, korrigieren Sie frühere Informationen offen mit Datum und Uhrzeit. Transparenz bedeutet nicht Vollständigkeit zu jedem Zeitpunkt, sondern korrekte und nachvollziehbare Einordnung der bestätigten Lage.^[1]

Phase 3: Information über das Ende der Bewältigung

Die dritte Phase beginnt erst, wenn die Bewältigung abgeschlossen ist. Informieren Sie, welche Dienstleistungen wieder normal laufen, welche Nacharbeiten noch andauern und wie Betroffene bei Fragen Unterstützung erhalten. Erläutern Sie allenfalls die wesentlichen Verbesserungen, die aus dem Vorfall folgen. Verwechseln Sie den technisch wiederhergestellten Betrieb jedoch nicht mit einer abgeschlossenen Ursachenanalyse. Falls die Untersuchung weiterläuft, benennen Sie diesen Umstand.

Ein Abschlussbericht für interne Führung und zuständige Stellen kann detaillierter sein als eine öffentliche Mitteilung. Der öffentliche Text bleibt bei überprüfbaren Aussagen, relevanten Auswirkungen und nächsten Kontaktmöglichkeiten.

Holding Statement und Fragen-Antworten-Dokument vorbereiten

Ein Holding Statement ist eine kurze, vorläufige Erstmitteilung. Es hält die Kommunikation handlungsfähig, während die technische und rechtliche Abklärung läuft. Es ist kein Freipass für eine verfrühte Entwarnung und ersetzt keine individuelle Information von Betroffenen, wenn diese erforderlich wird.

Erstellen Sie das Statement nicht erst im Stress. Die druckbare Holding-Statement-Vorlage (Version 1.2, Stand 1. November 2026) führt durch bestätigte Fakten, Auswirkungen, ergriffene Massnahmen, Kontakt und nächsten Updatezeitpunkt. Füllen Sie nur Felder aus, die der Freigabeweg bestätigt hat. Ein «wir» ohne konkrete Verantwortung ist ebenso wenig hilfreich wie das Nennen eines Angreifernamens ohne Beleg.

Ergänzen Sie die Vorlage durch ein internes Q&A. Darin stehen zu jeder wahrscheinlichen Frage eine abgestimmte Kurzantwort, der Freigabestatus und die verantwortliche Fachperson. Typische Fragen sind: «Sind Personendaten betroffen?», «Muss ich mein Passwort ändern?», «Kann ich bestellen?», «Wurde Lösegeld bezahlt?» und «Wann ist der Betrieb wieder vollständig verfügbar?» Wenn die Antwort offen ist, lautet die freigegebene Antwort nicht «kein Kommentar», sondern etwa: «Das prüfen wir derzeit. Wir informieren über unseren offiziellen Kanal, sobald eine verifizierte Erkenntnis vorliegt.» Das BACS stellt selbst Vorlagen für Medienanfragen und für Phasenmitteilungen bereit.^[1]

Melde- und Informationspflichten getrennt prüfen

Kommunikation an Kundschaft, Mitarbeitende und Öffentlichkeit ist nicht identisch mit einer Behördenmeldung. Nach Artikel 24 DSG meldet der Verantwortliche dem EDÖB eine Verletzung der Datensicherheit so rasch als möglich, wenn sie voraussichtlich zu einem hohen Risiko für Persönlichkeit oder Grundrechte führt. Die Meldung nennt mindestens Art der Verletzung, Folgen sowie ergriffene oder vorgesehene Massnahmen. Betroffene Personen sind zu informieren, wenn dies zu ihrem Schutz erforderlich ist oder der EDÖB es verlangt.^{[3] [4]}

Betreiber kritischer Infrastrukturen unterstehen unter den gesetzlichen Voraussetzungen zusätzlich der BACS-Meldepflicht. Cyberangriffe sind dort innerhalb von 24 Stunden nach Entdeckung zu melden; fehlende Angaben der Erstmeldung können innerhalb von 14 Tagen ergänzt werden.^[5] Diese Pflicht trifft nicht pauschal jedes KMU. Das BACS verweist für den Kreis der meldepflichtigen Behörden und Organisationen auf Artikel 74b ISG und die Ausnahmen in der Cybersicherheitsverordnung.^[5]

Binden Sie diese Prüfung in den Freigabeweg ein. Warten Sie nicht auf einen fertigen öffentlichen Text, bevor Sie mögliche Fristen intern eskalieren. Der Wissensartikel zur Datenpanne hilft bei der operativen Einordnung; die ersten 60 Minuten bei Ransomware zeigen die technische Sofortreaktion. Ein Cyber-Risikomanagement sorgt dafür, dass Verantwortlichkeiten und Risiken vor dem Ereignis sichtbar werden.

Aktueller Kontext: Datenbearbeiter, Faktenlage und Softech

Ein Vorfall bei einem Software- oder anderen Datenbearbeiter verändert die Kommunikationsaufgabe nicht: Der Krisenkreis muss zuerst klären, welche Tatsachen für welche Daten, Systeme und Anspruchsgruppen bestätigt sind. Dazu gehören erreichbare Lieferantenkontakte, der vereinbarte Informationsweg und die Datenflüsse. Diese Punkte sind in der Lageübersicht festzuhalten, bevor Kundschaft oder Öffentlichkeit auf Grundlage von Vermutungen informiert werden.

Der EDÖB teilte am 23. Oktober 2026 mit, dass die PK Softech AG ihn am 8. Oktober über einen Cyberangriff auf ihre IT-Infrastruktur und mögliche Verletzungen der Datensicherheit informiert hatte. Nach der Mitteilung wurden Daten mehrerer Vorsorgeeinrichtungen abgezogen; der EDÖB eröffnete am 22. Oktober eine formelle Untersuchung gegen die Softech AG. Er will unter anderem klären, welche Personendaten den betroffenen Pensionskassen für die Software-Lösungen übermittelt wurden, welche rechtlichen Rahmenbedingungen und tatsächlichen Datenübertragungen vorlagen und welchen Umfang die abgeflossenen Informationen haben.^[9]

Diese Mitteilung enthält keinen Abschlussentscheid und keine allgemeine neue Meldefrist. Der EDÖB bezeichnet das Verfahren als hängig und erteilt dazu keine weiteren Auskünfte. Nicht als feststehend behandeln dürfen Sie deshalb insbesondere einen abschliessend festgestellten Datenschutzverstoss, die rechtliche Bewertung der einzelnen Datenübertragungen oder den vollständigen Umfang der abgeflossenen Informationen. Für die eigene Vorbereitung ist der Fall lediglich ein Anlass, Lieferantenrollen, Vorfallkontakte und freigegebene Fakten im Kommunikations- und Notfallkonzept nachvollziehbar zu halten.^[9]

In sieben Schritten vor dem Ereignis arbeitsfähig werden

1. Krisenkreis und Stellvertretung bestimmen. Benennen Sie Geschäftsleitung, technische Lageführung, Kommunikation und fachliche Prüferinnen oder Prüfer. Speichern Sie die Kontaktdaten offline.
2. Faktenprotokoll einführen. Führen Sie ein zeitgestempeltes Lageblatt mit Quelle, Status und Freigabestatus. Trennen Sie Beobachtung, Annahme und Entscheidung.
3. Zielgruppen und Kanäle festlegen. Ordnen Sie Mitarbeitende, Kundschaft, Lieferanten, Behörden und Medien den vorgesehenen Kanälen sowie Ersatzkanälen zu.
4. Holding Statement und Q&A vorformulieren. Prüfen Sie Vorlagen regelmässig auf Geschäftsmodell, Sprache, Kontakt- und Updatewege.
5. Freigabeweg verkürzen. Legen Sie fest, wer welche Aussage prüft und wer bei Nichterreichbarkeit entscheidet. Die Vorfreigabe eines leeren Rahmens ersetzt nicht die Freigabe der Fakten.
6. Meldeentscheid vorbereiten. Halten Sie den Zugang zu EDÖB- und BACS-Informationen, zuständige Fachpersonen und die erforderlichen Dokumentationspunkte bereit.^{[3] [5]}
7. Üben und nacharbeiten. Testen Sie den Ablauf mit einem realistischen Szenario und führen Sie die Verbesserungen mit Verantwortlichkeit und Termin nach.^[2]

Tabletop-Übung: Freigaben unter Zeitdruck erproben

Eine Tabletop-Übung ist eine moderierte, diskussionsbasierte Übung. Personen mit Rollen in einem IT-Plan besprechen anhand eines Szenarios ihre Aufgaben und validieren damit den Planinhalt.^[7] Sie ist keine technische Angriffssimulation. Gerade deshalb lässt sie sich in einem KMU mit Geschäftsleitung, IT, Kommunikation und einem Prozessverantwortlichen wirksam durchführen.

Hypothetisches Praxisbeispiel: An einem Montagmorgen meldet ein IT-Provider verdächtige Verschlüsselungen auf einem gemeinsam genutzten Laufwerk. Kurz darauf fragt ein Kunde per E-Mail, ob seine Auftragsdaten betroffen seien. Der Moderator gibt diese Informationen schrittweise als «Einspielungen» in die Übung. Das Team muss entscheiden: Wer führt die Lage? Was ist gesichert? Welche interne Nachricht geht sofort heraus? Welcher Satz gehört in das Holding Statement? Wer prüft Meldepflichten? Wann und durch wen folgt das nächste Update?

Planen Sie die Übung mit einem klaren Ziel: etwa die erste freigegebene Meldung innert einer selbst gesetzten Zeit zu erstellen oder die Stellvertretung zu testen. CISA stellt für solche Planungsübungen anpassbare Szenarien, Ziele und Diskussionsfragen bereit; die Unterlagen umfassen auch Rollen für Planung, Moderation und Auswertung.^[8] Bewerten Sie nicht nur die Geschwindigkeit. Prüfen Sie, ob Fakten sauber von Annahmen getrennt wurden, ob Ersatzkanäle funktionierten, ob die Freigabe nachvollziehbar war und ob Mitarbeitende eine eindeutige Handlungsanweisung erhalten hätten.

Schliessen Sie mit einem Debriefing ab. Halten Sie Lücken, Ursache, Massnahme, verantwortliche Person und Termin fest. Das BACS empfiehlt in der Nachbearbeitung eine strukturierte Auswertung, um Vorfall-, Notfall- und Krisenplanung fortlaufend zu verbessern.^[2]

Typische Fehler, die Vertrauen kosten

Der erste Fehler ist Schweigen, obwohl Mitarbeitende oder Kundschaft den Vorfall bereits bemerken. Dadurch entsteht ein Informationsvakuum. Der zweite Fehler ist die Spekulation: Vermutete Ursachen, Täter oder Datenabflüsse werden schnell zur öffentlichen «Tatsache», obwohl die Forensik anderes ergeben kann. Der dritte Fehler sind voneinander abweichende Aussagen von IT, Geschäftsleitung und Kundendienst. Eine Sprachregelung vor der externen Kommunikation verhindert genau das.^[1]

Ebenfalls riskant sind absolute Zusagen wie «alle Daten sind sicher» oder «morgen ist alles gelöst». Kommunizieren Sie stattdessen den bestätigten Stand, die laufenden Schutzmassnahmen und den nächsten Updatezeitpunkt. Schliesslich darf ein vorbereitetes Dokument nicht veralten: Prüfen Sie Kontakte, Kanäle, Rollen, Provider-Abhängigkeiten und Sprachversionen nach jeder Übung sowie nach wesentlichen Veränderungen.

Nächster Schritt

Eine gute Cyberkommunikation entsteht nicht aus einem Textbaustein, sondern aus geübten Rollen, belastbaren Fakten und einem funktionierenden Notfallplan. Für organisatorische Fragen erreichen Sie DKSchV über den Kontakt. Eine Beratung ersetzt keine Prüfung von Meldepflichten oder Vertragsfragen im konkreten Vorfall.

Quellen