Dein Blog zum Thema digitales Business

Die zweite Uhr, die bei einem Vorfall mitläuft

Ein Sicherheitsvorfall läuft auf zwei Uhren gleichzeitig. Die eine läuft in der Pipeline und im System: Ursache finden, eindämmen, wiederherstellen. Die andere läuft nach außen: Was sagst du wem, in welcher Reihenfolge, und wie oft. Die zweite Uhr wird regelmäßig unterschätzt, dabei entscheidet sie in den ersten 24 Stunden mehr über das Vertrauen deiner Kunden als der technische Fortschritt selbst. Dieser Text behandelt genau diese zweite Uhr: den Kommunikationsprozess nach außen, nicht die technische Analyse und nicht die Nachbereitung danach.

Die Erstmeldung: drei Elemente, mehr nicht

Die erste Nachricht nach außen muss nicht vollständig sein, sie muss nur drei Dinge enthalten. Erstens, was du zum jetzigen Zeitpunkt weißt, konkret und ohne Vermutung als Tatsache zu verkaufen. Zweitens, was du noch nicht weißt, ausdrücklich benannt statt stillschweigend ausgelassen. Drittens, wann das nächste Update kommt, mit einer konkreten Zeitangabe statt einem vagen sobald wir mehr wissen. Mehr braucht die Erstmeldung nicht, und mehr solltest du auch nicht versprechen, solange die Lage noch nicht geklärt ist.

Der zweite Punkt ist der, an dem die meisten Erstmeldungen scheitern. Unternehmen neigen dazu, nur das zu sagen, was bereits sicher ist, und alles andere offenzulassen. Für den Leser wirkt das nicht vorsichtig, sondern ausweichend. Wer stattdessen sagt, was noch offen ist, und wann die nächste Antwort kommt, nimmt der Lücke die Spekulation. Und die Lücke wird sonst gefüllt, von Kunden, von Presse, von sozialen Netzwerken, meist mit einer schlechteren Version der Wahrheit als der, die du selbst hättest liefern können. Schweigen ist deshalb nie neutral. Schweigen ist selbst eine Botschaft, nur eine, die du nicht kontrollierst.

Wer sprechen darf, und warum Kunden vor der Presse informiert werden

Die Reihenfolge ist kein Höflichkeitsritual, sie hat einen praktischen Grund. Kunden sind unmittelbar betroffen und haben eigene Handlungsoptionen: Zugänge sperren, Passwörter ändern, eigene Prozesse anpassen. Diese Optionen können sie nur nutzen, wenn sie die Information von dir bekommen, direkt und zuerst, nicht über eine Pressemeldung, die sie zufällig lesen, und nicht über eine dritte Quelle in einem sozialen Netzwerk. Presse kann informieren, aber sie kann nicht handeln. Kunden können handeln, wenn sie rechtzeitig wissen, woran sie sind. Deshalb kommt die Kundeninformation zuerst, und die Pressemeldung folgt, nicht umgekehrt.

Wer für das Unternehmen sprechen darf, sollte nicht im Vorfall selbst entschieden werden, sondern vorher feststehen. Eine benannte Rolle, nicht zwingend eine einzelne Person, mit einer klaren Vertretungsregel für den Fall, dass die erste Person nicht erreichbar ist. Jede andere Stimme im Unternehmen, die zum Vorfall gefragt wird, verweist auf diese Stelle und sagt selbst nichts Eigenes dazu, auch nicht als vermeintlich harmlose Einschätzung im Kollegenkreis oder auf Nachfrage eines Journalisten. Zwei Aussagen aus zwei Kanälen, die sich nur in Nuancen unterscheiden, wirken nach außen wie ein Widerspruch. Und ein Widerspruch in der Kommunikation ist während eines laufenden Vorfalls schwerer zu reparieren als der Vorfall selbst.

Update-Kadenz und die Abschlussmeldung

Ein zugesagtes Update ist ein Termin, keine Absichtserklärung. Wenn die Erstmeldung ein Update in zwei Stunden ankündigt, muss dieses Update auch dann kommen, wenn der einzige Inhalt lautet: es gibt noch keine neuen Erkenntnisse, das nächste Update folgt in weiteren zwei Stunden. Genau das hat Wert für den Empfänger. Es zeigt, dass am Vorfall gearbeitet wird, auch wenn der Fortschritt selbst noch nicht mitteilbar ist. Ein ausgelassenes Update dagegen wird sofort als Zeichen gelesen, dass die Lage entweder schlimmer ist als gesagt oder dass sich niemand mehr zuständig fühlt. Keine der beiden Lesarten ist die, die du erzeugen willst.

Die Abschlussmeldung markiert das Ende dieser Kadenz, nicht das Ende der Arbeit am Vorfall. Sie sagt, was wiederhergestellt ist, was noch offen bleibt und wo weitere Informationen folgen, falls die technische Aufarbeitung noch läuft. Was in diese Aufarbeitung inhaltlich gehört, welche Fragen ein gutes Postmortem beantworten muss, ist ein eigenes Thema mit eigenen Anforderungen: dazu mehr in unserem Beitrag über Postmortems. Nach außen reicht an dieser Stelle der klare Schlusspunkt: der Vorfall ist beendet, hier ist der Stand, hier folgt bei Bedarf mehr.

Das Leistungsspektrum ist gestaffelt und baut auf Delivery-Transparenz auf. Alles Weitere richtet sich nach der Lage und läuft über drei Felder: Implementation, also Delivery und Nachweis modulweise in die Pipeline einziehen, AI Governance, also Nachvollziehbarkeit bei KI-gestützten Build- und Deployment-Schritten, und Maintenance, also die Frage, wem ein System nach dem Go-Live gehört und woran man merkt, dass es niemandem mehr gehört. Ein festes Angebot daraus entsteht erst, wenn klar ist, was der Kunde wirklich braucht. Kontakt: mm@mhm-dl.de