In den ersten Stunden eines Sicherheitsvorfalls kannst du dir noch kein vollständiges technisches Bild davon machen, was passiert ist. Dein Team versucht möglicherweise noch zu verstehen, welches Konto gefährdet wurde, auf welche Daten zugegriffen wurde, wie weit der Angreifer gekommen ist oder ob der Vorfall noch aktiv ist.
Parallel zu deinen Untersuchungen beginnt der Druck zu handeln sofort. Mitarbeiter hören Fragmente und müssen wissen, was zu tun ist. In der Zwischenzeit bemerken Kunden möglicherweise Dienstunterbrechungen, verdächtige Aktivitäten oder ungewöhnliche Anfragen zum Zurücksetzen von Passwörtern. Geschäftspartner fragen möglicherweise, ob ihre Systeme oder Daten betroffen sind, und die Führungsebene muss entscheiden, wer spricht, was bestätigt werden kann und wann Schweigen zu einem eigenen Risiko wird.
Die Kommunikation bei Sicherheitsvorfällen ist schwierig, weil ein Unternehmen transparent sein muss, bevor es alle Antworten hat, aber gleichzeitig gut genug informiert sein muss, um nicht zu raten. Zu früh gesendete Mitteilungen können Verwirrung stiften, aber wenn sie zu spät gesendet werden, können sie Vertrauen schädigen, Schutzmaßnahmen verzögern und regulatorische Fragen aufwerfen.
Es ist unwahrscheinlich, dass kleine und mittlere Unternehmen ihren Notfallplan erstellt oder geprobt haben, und dies kann zusätzliches Chaos verursachen. Selbst bei größeren Unternehmen mit einem Plan sind die technischen Schritte möglicherweise dokumentiert: den Vorfall eindämmen, Zugriff zurücksetzen, Beweise sichern, Systeme wiederherstellen. Die Kommunikation bleibt möglicherweise liegen, bis der Vorfall plötzlich eskaliert oder sich ändert.
Ein Teil der Vorbereitung auf einen Vorfall bedeutet zu wissen, wer von dir hören muss, was er wissen muss, wer die Nachricht genehmigt und wie du Fakten klar kommunizierst, während die Untersuchung noch läuft.
Kommunikationsplanung gehört zur Incident Response
Die Zwei-Spur-Struktur für deine Reaktion
Beginne mit der Zielgruppe, nicht mit der Ankündigung
Was du intern kommunizieren musst
Wie du Kunden über ein Datenleck informierst
Wann du Aufsichtsbehörden benachrichtigen musst
Bereite Nachrichten vor, bevor du sie brauchst
Wie Proton Pass for Business helfen kann
Kommunikationsplanung gehört zur Incident Response
Die Incident Response wird oft als technischer Prozess beschrieben, aber ein echter Vorfall wird schnell abteilungsübergreifend. IT-Teams können die Bedrohung eindämmen, aber Führungsebene, Recht, Kundensupport, Personalwesen, Kommunikation und Betrieb müssen alle wissen, was passiert und was sie sagen dürfen.
Die Leitlinien des NCSC zu effektiver Kommunikation bei einem Cybervorfall(neues Fenster) – allgemeine Best Practices, die weit über das Vereinigte Königreich hinaus gelten – machen diesen Punkt deutlich: Organisationen priorisieren oft die technische Reaktion und drängen die Kommunikation in den Hintergrund, obwohl Kommunikation bestimmt, wie Mitarbeiter, Kunden, Stakeholder und die Medien die Organisation während einer Krise wahrnehmen.
Nicht jeder Vorfall erfordert eine öffentliche Erklärung. Aber das Unternehmen sollte im Voraus wissen, wer entscheidet, was kommuniziert wird, wer externe Nachrichten genehmigt, wer mit Kunden spricht und wer die regulatorische Berichterstattung übernimmt.
Ein starker Plan zur Reaktion auf Datenlecks muss eine Kommunikationsebene enthalten. Dazu gehören praktische Details:
- Kontaktlisten
- Entwurfsvorlagen
- Genehmigungswege
- Rechtliche Prüfung
- Gesprächspunkte für den Kundensupport
- Zuständigkeiten für die Benachrichtigung von Aufsichtsbehörden
- Aufzeichnungen darüber, was wann an wen gesendet wurde.
Die Zwei-Spur-Struktur für deine Reaktion
Die Incident Response benötigt zwei Spuren: die technische Reaktion und die Kommunikationsreaktion. Sie laufen parallel zueinander und der Incident Lead/Response Owner verbindet beide.
| Linke Spur: Technische Reaktion | Rechte Spur: Kommunikationsreaktion |
| Den Vorfall eindämmen | Das interne Team aktualisieren |
| Betroffene Konten sichern | Betroffene Kunden oder Partner benachrichtigen |
| Beweise sichern | Benachrichtigung der Aufsichtsbehörden bewerten |
| Systeme wiederherstellen | Nachrichten konsistent halten, während sich die Fakten ändern |
Dadurch kannst du deine Reaktion strukturieren und sicherstellen, dass die Zusammenarbeit weiterläuft, während Teammitglieder verschiedene Aufgaben übernehmen.
Beginne mit der Zielgruppe, nicht mit der Ankündigung
Die Kommunikation bei Sicherheitsvorfällen scheitert, wenn eine einzige Nachricht versucht, allen gerecht zu werden. Mitarbeiter, Kunden, Partner und Aufsichtsbehörden benötigen unterschiedlich detaillierte Informationen, weil sie unterschiedliche Entscheidungen treffen müssen.
Dein internes Team braucht zuerst Klarheit
Sie brauchen nicht jedes Detail – besonders während die Untersuchung noch läuft –, aber sie brauchen Klarheit darüber, was bestätigt ist, was jetzt zu tun ist und wer die Reaktion leitet. Das bedeutet zu wissen, welche Systeme oder Konten zu meiden sind, welche Maßnahmen sofort zu ergreifen sind und welche Fragen noch offen sind.
Mitarbeiter müssen auch wissen, was sie nicht tun dürfen. Zum Beispiel:
- Den Vorfall nicht öffentlich diskutieren
- Anmeldedaten nicht außerhalb des genehmigten Prozesses zurücksetzen
- Kunden nicht mit improvisierten Erklärungen kontaktieren
- Verdächtige Nachrichten nicht ohne Anleitung weiterleiten.
Kunden und Partner müssen wissen, wie sie betroffen sind
Sie möchten wissen, ob ihre Daten, Zugriffe, Zahlungen, Dienste oder Betriebsabläufe betroffen sind. Eine gute Kundenbenachrichtigung sollte erklären:
- Was bekannt ist
- Welche Art von Daten betroffen sein könnte
- Was das Unternehmen tut
- Was Kunden jetzt tun sollten, falls überhaupt etwas
- Wo sie Aktualisierungen erhalten können.
Der Ton sollte einfach und direkt sein. Ein Kunde braucht auch keine forensischen Details, er braucht nur genügend Informationen, um sich selbst zu schützen.
Regulierungsbehörden benötigen eine sachliche Aufzeichnung
Eine GDPR-Datenleck-Benachrichtigung an die zuständige Aufsichtsbehörde (die ICO(neues Fenster) in Großbritannien, die nationale Datenschutzbehörde in jedem EU-Mitgliedstaat) ist keine Marketingnachricht oder eine beruhigende Kundenmitteilung. Stattdessen muss sie eine sachliche Aufzeichnung dessen sein, was passiert ist, wer betroffen ist und was Sie dagegen unternehmen. Wir behandeln genau, was in den Abschnitt zur Benachrichtigung der Aufsichtsbehörden unten gehört.
Interne Kommunikation
Ihre Mitarbeiter sind Teil der Reaktion, auch wenn sie nicht im Incident-Team sind. Ein verwirrtes Team kann versehentlich mehr Unruhe stiften, ungenaue Informationen teilen oder die Eindämmung verlangsamen. Andererseits kann ein gut informiertes Team helfen, Konten zu schützen, Kunden zum richtigen Kanal zu leiten und zu verhindern, dass Spekulationen zunehmen.
Eine interne Ankündigung eines Sicherheitsvorfalls sollte Folgendes abdecken:
- Eine klare Zusammenfassung dessen, was bisher bestätigt wurde, in einfacher Sprache
- Welche Systeme, Konten, Teams oder Daten potenziell betroffen sind
- Was das Unternehmen jetzt tut
- Was Mitarbeiter sofort tun sollten
- Wer nach außen kommunizieren darf
- Wo Aktualisierungen veröffentlicht werden
- Wie verdächtige Aktivitäten im Zusammenhang gemeldet werden können
Es gibt Aspekte, die nicht enthalten sein sollten: Angriffsvektoren, Ursachenanalyse und spezifische Schwachstellen werden in der Regel nicht intern geteilt, solange ein Vorfall aktiv ist, und oft auch danach nicht, da diese Details anderen Angreifern helfen, rechtliche Risiken schaffen oder Lücken offenlegen können, die noch nicht geschlossen wurden.
Die erste interne Nachricht muss nicht jede Frage beantworten, sie muss Ordnung schaffen. Zum Beispiel müssen Mitarbeiter Passwörter möglicherweise nur über einen genehmigten Prozess zurücksetzen, die Nutzung eines bestimmten Systems vermeiden, verdächtige E-Mails aufbewahren oder die Verwendung gemeinsam genutzter Anmeldedaten einstellen, bis das Reaktionsteam die Überprüfung abgeschlossen hat.
Die Bewertung Ihrer bestehenden Zugriffskontrollen anhand von Best Practices für die Passwortverwaltung ist ebenfalls unerlässlich. Während eines Vorfalls kann veraltete oder informelle Weitergabe von Anmeldedaten es erschweren zu verstehen, was exponiert wurde.
Protons Leitfäden zu Schutz vor Datenlecks und Prävention von Datenlecks für Unternehmen erklären, wie mehrschichtige Kontrollen die Exposition vor einem Datenleck verringern. Sichere Verwaltung von Anmeldedaten ist eine dieser Schichten, weil sie dem Unternehmen hilft zu wissen, welche Konten existieren, wer darauf zugreifen kann und was schnell geändert werden muss.
Wie Kunden über ein Datenleck informiert werden
Eine Benachrichtigung über ein Datenleck an Kunden ist schwieriger, weil sie reputations- und rechtliche Bedeutung hat. Menschen könnten besorgt über Identitätsdiebstahl, Kontoübernahme, Finanzbetrug oder die Offenlegung privater Informationen sein. Sie könnten auch frustriert sein, dass das Unternehmen den Vorfall nicht verhindert hat.
Eine gute Kundennachricht sollte ehrlich sein, ohne alarmierend zu wirken. Sie sollte technischen Jargon vermeiden, aber klar sein. Kunden müssen verstehen, welche Daten betroffen waren, welches Risiko dadurch entsteht und was sie als Nächstes tun sollten.
Eine nützliche Struktur ist:
- Was passiert ist, in einem für Kunden angemessenen Detailgrad
- Wann das Unternehmen davon Kenntnis erlangte
- Welche Informationen oder Dienste betroffen sein könnten
- Welche Schritte das Unternehmen unternommen hat
- Was Kunden jetzt tun sollten
- Wie das Unternehmen Aktualisierungen bereitstellen wird
- An wen sich Kunden mit Fragen wenden können
Wenn die Untersuchung noch läuft, sollte dies offengelegt werden. Genauigkeit und Transparenz helfen, Vertrauen wiederherzustellen. Offenheit über die Auswirkungen erfordert nicht die Offenlegung technischer Details, die jemandem helfen würden, den Angriff zu wiederholen.
Bei schwerwiegenden Vorfällen benötigen Kunden möglicherweise praktische Anweisungen: Ändern Sie ein Passwort, aktivieren Sie MFA, achten Sie auf Phishing-E-Mails, kontaktieren Sie Ihre Bank und ignorieren Sie Nachrichten, die vorgeben, vom Unternehmen zu stammen, es sei denn, sie kommen über einen offiziellen Kanal. Die Benachrichtigung sollte diese Schritte leicht verständlich machen.
Wann und wie Aufsichtsbehörden benachrichtigt werden
Nicht jeder Sicherheitsvorfall muss den Aufsichtsbehörden gemeldet werden. Ein meldepflichtiges Datenleck nach UK- und EU-GDPR hängt davon ab, ob ein Verstoß gegen personenbezogene Daten wahrscheinlich ein Risiko für die Rechte und Freiheiten von Personen darstellt.
Die Leitlinien des ICO zu Verstößen gegen personenbezogene Daten(neues Fenster) spiegeln eine Anforderung wider, die sowohl für die UK- als auch die EU-GDPR gilt: Organisationen müssen ein meldepflichtiges Datenleck unverzüglich und spätestens 72 Stunden nach Kenntnisnahme melden. Ein verspäteter Bericht erfordert Gründe für die Verzögerung.
Dieses 72-Stunden-Fenster kann Druck erzeugen, insbesondere wenn die Untersuchung noch nicht abgeschlossen ist. Die GDPR erkennt an, dass Organisationen möglicherweise nicht jedes Detail innerhalb der ersten 72 Stunden haben, sodass Informationen in Phasen bereitgestellt werden können, solange weitere Aktualisierungen unverzüglich erfolgen.
Eine Benachrichtigung an die zuständige Aufsichtsbehörde (die ICO in Großbritannien oder die nationale Datenschutzbehörde in der EU) sollte in der Regel Folgendes enthalten:
- Die Art des Datenschutzverstoßes
- Die Kategorien und die ungefähre Anzahl der betroffenen Personen
- Die Kategorien und die ungefähre Anzahl der betroffenen personenbezogenen Datensätze
- Der Name und die Kontaktdaten des DPO oder einer anderen Kontaktstelle
- Die wahrscheinlichen Folgen des Datenlecks
- Die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung
Die ICO bietet auch eine zentrale Seite, um ein Datenleck zu melden(neues Fenster) und Organisationen zum geeigneten Meldeverfahren zu leiten.
Für betroffene Personen ist die Schwelle anders. Wenn ein Verstoß gegen personenbezogene Daten wahrscheinlich ein hohes Risiko für die Rechte und Freiheiten von Personen zur Folge hat, müssen sie unverzüglich informiert werden. Dies ist eine Situation, in der Rechts-, Datenschutz- und Führungsteams frühzeitig einbezogen werden sollten, auch in einem kleinen Unternehmen.
Bereiten Sie Nachrichten vor, bevor Sie sie benötigen
Der schlechteste Zeitpunkt, um einen Kommunikationsprozess zu entwerfen, ist während eines Vorfalls. Es ist nicht hilfreich, Erklärungen oder Anleitungen herauszugeben, die aktualisiert und geändert werden müssen.
Deshalb ist es hilfreich, die Struktur Ihrer Nachrichten vorzubereiten, bevor Sie sie benötigen. Nicht den endgültigen Wortlaut, denn jeder Vorfall wird anders sein, sondern die Struktur: Wer muss die Nachricht genehmigen, welche Details müssen enthalten sein, wo werden Aktualisierungen festgehalten und wer ist für welches Publikum verantwortlich.
Ein einfaches Kommunikationskit reicht aus, um die erste Stunde weniger chaotisch zu gestalten. Es kann Folgendes umfassen:
- Eine Vorlage für die interne Ankündigung eines Sicherheitsvorfalls
- Eine Vorlage für Kundenbenachrichtigungen
- Eine Vorlage für Partner- oder Anbieter-Aktualisierungen
- Gesprächspunkte für den Kundensupport
- Checkliste zur Benachrichtigung der Aufsichtsbehörde
- Liste der freigegebenen Sprecherinnen und Sprecher
- Eskalationskontakte für Recht, IT, Privatsphäre, Führung und Kommunikation
- Ein Ort, an dem alle Aktualisierungen und Entscheidungen festgehalten werden
Vorbereitung gibt einem Team einen sicheren Ausgangspunkt, wenn Geschwindigkeit und Genauigkeit gleichermaßen wichtig sind. Eine vorbereitete Vorlage lässt mehr Aufmerksamkeit für die Fakten des Vorfalls: was passiert ist, wer betroffen ist, was bereits getan wurde und was als Nächstes zu tun ist.
Wie Proton Pass for Business helfen kann
Die Kommunikation bei Sicherheitsvorfällen basiert auf Fakten. Je klarer ein Unternehmen den Zugriff vor einem Vorfall verwaltet, desto einfacher ist es zu erklären, was passiert ist, was betroffen sein könnte und was geändert wurde.
Ein Passwort-Manager für Unternehmen wie Proton Pass for Business hilft Teams, die Gefährdung durch Anmeldedaten zu verringern. Mitarbeitende können starke Passwörter generieren, sie in verschlüsselten Passwort-Tresoren speichern, automatisches Ausfüllen nutzen, Anmeldedaten sicher teilen, Passkeys verwalten und die integrierte Zwei-Faktor-Authentifizierung verwenden. Administratorinnen und Administratoren können Passwortrichtlinien anwenden, Aktivitätsprotokolle prüfen, Zugriff mit rollenbasierten Steuerungen verwalten und die Bereitstellung über SCIM- und SSO-Integrationen unterstützen.
Während eines Vorfalls können diese Funktionen Unternehmen helfen, mit mehr Zuversicht zu handeln. Wenn ein Mitarbeiterkonto gefährdet ist, können Administratorinnen und Administratoren Zugriffe prüfen, gemeinsam genutzte Anmeldedaten identifizieren, die möglicherweise rotiert werden müssen, eine stärkere Authentifizierung durchsetzen und die Abhängigkeit von Passwörtern verringern, die über Chat oder Tabellen kopiert werden.
Sei bereit zu reagieren, bevor es zu einem Datenleck kommt – mit einem Passwort-Manager für Unternehmen.
