Montag, 7:40 Uhr: Die ersten Mitarbeiter melden, dass Outlook keine Verbindung bekommt und Teams leer bleibt, kurz darauf stellt sich heraus, dass Dateien auf dem Server verschlüsselt sind. Jetzt entscheidet die Notfallkommunikation darüber, ob das Unternehmen handlungsfähig bleibt: vorab festgelegte Wege, auf denen die richtigen Personen einander erreichen, wenn die gewohnten Kanäle ausgefallen oder in fremder Hand sind. Dieser Beitrag zeigt Geschäftsführern, IT-Verantwortlichen und Büroleitungen, wie sie das für ihr Unternehmen aufbauen, mit Alarmierungskette, Telefonliste, Ausweichkanal und Vorlagen.
Notfallkommunikation: drei Szenarien, ein gemeinsames Problem
Nicht jeder Ausfall ist gleich, aber alle haben eine Gemeinsamkeit: Der gewohnte Kanal ist nicht mehr verlässlich.
Ransomware oder anderer Angriff im eigenen Netz. Erpressersoftware verschlüsselt Daten und legt Systeme lahm. Häufig waren die Angreifer schon Tage oder Wochen im Netz und haben Konten übernommen. Wer jetzt im Firmen-Postfach oder in Teams den Krisenstab organisiert, kann davon ausgehen, dass mitgelesen wird.
Ein einzelnes Konto ist übernommen. Ein Angreifer hat Zugriff auf das Postfach der Buchhaltung oder der Geschäftsführung. Er kann E-Mails lesen, Weiterleitungsregeln anlegen und in fremdem Namen schreiben. Eine Warnung an alle Mitarbeiter über genau dieses Postfach ist wertlos, im schlimmsten Fall löscht der Angreifer sie oder antwortet selbst.
Störung beim Anbieter. Microsoft 365 oder der Internetanschluss fällt für einige Stunden aus. Bei einem Teams-Ausfall ist nichts kompromittiert, aber niemand erreicht niemanden, weil Telefonnummern im Outlook-Adressbuch und Absprachen im Teams-Kanal liegen.
Die Konsequenz ist in allen drei Fällen dieselbe: Sie brauchen einen zweiten Weg, der unabhängig von der betroffenen IT funktioniert und vorher eingerichtet wurde.
Warum Sie nicht über betroffene Systeme kommunizieren dürfen
Bei einem Angriff gilt als Grundregel: Alles, was am kompromittierten System hängt, ist potenziell unter Beobachtung. Das betrifft E-Mail, Teams, das Ticketsystem, die Telefonanlage, wenn sie über einen Server im selben Netz läuft, und auch gemeinsame Dokumente in SharePoint.
Wer dort über Gegenmaßnahmen, Lösegeld, die Polizei oder den Versicherer spricht, liefert dem Angreifer Informationen. Er erfährt, welche Systeme schon entdeckt sind, wann Konten gesperrt werden sollen und wo noch Backups liegen. Zusätzlich besteht die Gefahr, dass Mitarbeiter sich weiter an infizierten Rechnern anmelden und den Schaden vergrößern.
Deshalb gehört in jeden IT-Notfallplan ein klarer Satz: „Bei Verdacht auf einen Angriff wird nicht über Firmen-E-Mail, Teams oder Firmengeräte kommuniziert, bis die IT den Kanal freigibt.“ Wie Sie den Plan insgesamt aufbauen, beschreibt unser Beitrag zum IT-Notfallplan.
Die Alarmierungskette gehört auf Papier
Eine Alarmierungskette legt fest, wer wen in welcher Reihenfolge informiert. Typisch ist: Wer einen Vorfall bemerkt, meldet ihn an eine feste Stelle (IT-Verantwortlicher oder externer Dienstleister). Diese Stelle informiert die Geschäftsführung, die Geschäftsführung entscheidet über weitere Schritte und benennt, wer intern und extern kommuniziert.
Wichtig ist, dass diese Kette nicht nur im Intranet steht. Drucken Sie sie aus und legen Sie sie an mindestens zwei Orten ab, etwa im Büro der Geschäftsführung und am Empfang. Ein Exemplar gehört zusätzlich in die private Ablage der wichtigsten Personen. Eine kompakte Vorlage für den ersten Schritt bietet unsere Notfallkarte für den Phishing- und Angriffsfall, die Sie ausdrucken und neben jeden Arbeitsplatz hängen können.
Die Telefonliste: dienstlich und privat
Die meisten Telefonnummern stehen im Firmenadressbuch und damit genau dort, wo man im Notfall nicht hinkommt. Legen Sie eine Telefonliste an, die folgende Angaben enthält:
- Geschäftsführung und Stellvertretung, jeweils dienstliche Mobilnummer und eine private Nummer (mit Einverständnis)
- IT-Verantwortliche intern und Notfallnummer des IT-Dienstleisters
- Datenschutzbeauftragte und, falls vorhanden, Informationssicherheitsbeauftragte
- Ansprechpartner bei Cyberversicherung, Bank und Steuerberatung
- Abteilungsleitungen, die ihre Teams informieren
- Wichtige Lieferanten und Großkunden mit direkter Durchwahl
Private Nummern sind personenbezogene Daten. Klären Sie mit den Betroffenen, dass die Nummer ausschließlich für den Notfall verwendet wird, und bewahren Sie die Liste verschlossen auf. Aktualisieren Sie sie mindestens halbjährlich und bei jedem Personalwechsel.
Methoden der Notfallkommunikation: einen Ausweichkanal festlegen
Telefonate reichen für die ersten Minuten. Sobald mehrere Personen koordiniert werden müssen, brauchen Sie einen Gruppenkanal, der unabhängig von der Firmen-IT läuft.
Messenger-Gruppe
Eine vorbereitete Gruppe in einem Messenger mit Ende-zu-Ende-Verschlüsselung ist für einen kleinen Krisenstab praktikabel. Achten Sie darauf, dass der Dienst nicht mit Ihrem Microsoft-365-Konto verknüpft ist und die Anmeldung nicht über die Firmen-E-Mail-Adresse läuft. Legen Sie die Gruppe vorab an, nicht erst im Ernstfall, und prüfen Sie, ob die Nutzung mit Ihrer Datenschutzbewertung vereinbar ist. Für die Abstimmung weniger Führungskräfte ist das in der Regel gut begründbar, für die gesamte Belegschaft eher nicht.
SMS- oder Alarmierungsdienst
Für die Alarmierung aller Mitarbeiter eignet sich ein SMS- oder Alarmierungsdienst, über den eine Nachricht an viele Nummern gleichzeitig geht. Prüfen Sie, wo der Dienst betrieben wird, wer Zugang hat und ob die Anmeldung mit Mehrfaktor-Authentifizierung geschützt ist. Der Zugang darf nicht im Passwortmanager liegen, der selbst nur über das Firmennetz erreichbar ist.
Notfallgeräte und Notfallkonten
Für größere Unternehmen kann es sinnvoll sein, einige Notfall-Mobiltelefone mit eigener SIM-Karte vorzuhalten und separate E-Mail-Konten außerhalb des eigenen Mandanten anzulegen. So lässt sich auch ein längerer Wiederanlauf koordinieren, ohne private Geräte zu nutzen.
Krisenkommunikation mit Kunden und Lieferanten
Spätestens nach einigen Stunden fragen Kunden, warum niemand antwortet, und Lieferanten wundern sich über ausbleibende Bestellungen. Hier geht die Notfallkommunikation in die Krisenkommunikation des Unternehmens über: Es zählt nicht mehr nur, erreichbar zu sein, sondern was Sie nach außen sagen. Gleichzeitig ist die Gefahr groß, dass Angreifer die Situation ausnutzen, zum Beispiel mit gefälschten Rechnungen und geänderten Bankverbindungen.
Bewährt hat sich:
- Eine verantwortliche Person für externe Kommunikation, damit keine widersprüchlichen Aussagen entstehen.
- Sachliche, kurze Information ohne technische Details: Es gibt eine IT-Störung, man arbeitet an der Lösung, man ist telefonisch unter folgender Nummer erreichbar.
- Warnung vor Betrugsversuchen: Weisen Sie Geschäftspartner darauf hin, dass Sie Bankverbindungen niemals per E-Mail ändern und Zahlungsaufforderungen nur nach telefonischer Rückfrage gelten.
- Abstimmung mit Versicherung und Rechtsberatung, bevor Sie Angaben zu Ursache oder Datenabfluss machen. Ob und wem gegenüber Meldepflichten bestehen, sollten Sie im Einzelfall mit Ihrem Datenschutzbeauftragten oder Anwalt klären.
Ist die eigene Website nicht betroffen, kann ein kurzer Hinweis dort sinnvoll sein. Liegt die Website auf derselben Infrastruktur, braucht es auch dafür einen anderen Weg, etwa telefonische Ansagen oder die Ansage auf der Zentrale.
Vorlagen vorbereiten
Im Notfall schreibt niemand gern unter Zeitdruck Texte. Bereiten Sie deshalb Vorlagen vor und legen Sie sie ausgedruckt sowie außerhalb der Firmen-IT ab:
- Erstinformation an alle Mitarbeiter („Rechner nicht einschalten, nicht anmelden, auf weitere Anweisungen warten“)
- Kurze Information an Kunden und Lieferanten
- Ansage für die Telefonzentrale oder Mailbox
- Gesprächsleitfaden für die Meldung an Versicherung und Dienstleister
- Protokollvorlage: Uhrzeit, wer hat was festgestellt, welche Entscheidung wurde getroffen
Das Protokoll wird oft unterschätzt. Versicherer, Behörden und Forensiker fragen später genau nach, wann was bekannt war und wer welche Maßnahme ergriffen hat.
Checkliste: Notfallkommunikation in sieben Schritten
- Szenarien festlegen: Angriff, kompromittiertes Konto, Anbieterstörung.
- Alarmierungskette definieren und schriftlich festhalten, wer wen informiert.
- Telefonliste mit dienstlichen und privaten Nummern erstellen, Einwilligungen einholen.
- Ausweichkanal für den Krisenstab einrichten und testen, unabhängig von Microsoft 365.
- Kanal für die Information aller Mitarbeiter festlegen, etwa SMS- oder Alarmierungsdienst.
- Vorlagen für interne und externe Kommunikation erstellen und ausgedruckt hinterlegen.
- Einmal im Jahr eine Übung durchführen, bei der ausdrücklich nicht über E-Mail und Teams kommuniziert wird, zum Beispiel als Tabletop-Übung zum Ransomware-Fall.
Wie DAVINCI unterstützt
DAVINCI hilft Ihnen dabei, Alarmkette, Telefonliste und Ausweichkanäle in Ihren Notfallplan einzubauen und regelmäßig zu üben. Im Ernstfall erreichen Sie uns über die Seite IT-Notfall. Unser Team für Incident Response unterstützt bei Eindämmung und Wiederanlauf. Für ein Vorgespräch nutzen Sie gern unser Kontaktformular.
Häufige Fragen
Was ist der Unterschied zwischen Notfallkommunikation und Krisenkommunikation?
Notfallkommunikation sorgt dafür, dass im Ereignisfall die richtigen Personen überhaupt erreichbar sind und Anweisungen ankommen: Alarmierungskette, Telefonliste, Ausweichkanal. Krisenkommunikation im Unternehmen betrifft die Inhalte gegenüber Mitarbeitern, Kunden, Partnern und gegebenenfalls der Öffentlichkeit: wer spricht, was gesagt wird und was nicht. Das eine ist die Voraussetzung für das andere, denn ohne funktionierenden Kanal nützt die beste Botschaft nichts.
Reicht es nicht, im Notfall einfach WhatsApp zu nutzen?
Spontan auf private Messenger auszuweichen ist besser als nichts, aber ohne Vorbereitung fehlt meist die Hälfte der Kontakte, und niemand weiß, wer die Gruppe verwaltet. Legen Sie vorher fest, welcher Dienst für welchen Personenkreis gilt, und prüfen Sie die Nutzung datenschutzrechtlich.
Woran erkenne ich, ob ein Ausfall eine Störung oder ein Angriff ist?
In den ersten Minuten oft gar nicht. Bei Microsoft-Diensten zeigt die Statusseite im Admin Center, ob eine bekannte Störung vorliegt. Verschlüsselte Dateien, unbekannte Programme oder Anmeldungen zu ungewöhnlichen Zeiten sprechen für einen Angriff. Behandeln Sie den Fall im Zweifel als Angriff, bis die IT etwas anderes feststellt.
Wann darf wieder über E-Mail und Teams kommuniziert werden?
Erst wenn die betroffenen Konten zurückgesetzt, Weiterleitungen und Fremdzugriffe entfernt und die Systeme geprüft sind. Diese Freigabe sollte ausdrücklich von der IT oder dem Incident-Response-Team kommen, nicht stillschweigend.
Verwandte Themen: Wer hier weiterdenkt, liest bei IT-Notfallplan, Teams-Gastzugriff und Tabletop-Übung weiter.
