Krisenkommunikation bei Cyberangriffen: Was Behörden vorbereiten sollten

Der Angriff läuft, die Systeme sind abgeschaltet und die Pressestelle bekommt die erste Anfrage: „Wann können Sie wieder arbeiten?“

Das Problem: Genau das weiß zu diesem Zeitpunkt wahrscheinlich noch niemand. Gleichzeitig wollen Mitarbeitende wissen, ob sie zur Arbeit kommen sollen. Bürgerinnen und Bürger brauchen Leistungen. Medien fragen nach Ursache und Umfang des Angriffs. Vielleicht funktioniert die eigene Website nicht mehr. Vielleicht liegen die Zugangsdaten für Social Media in einem Passwortmanager auf einem Rechner, der gerade nicht eingeschaltet werden darf.

Krisenkommunikation bei einem Cyberangriff beginnt deshalb lange vor der ersten Pressemitteilung. Es geht darum, auch dann auskunftsfähig zu bleiben, wenn die gewohnten Kommunikationswege nicht mehr funktionieren.

Im Podcast Kleinstadtniveau haben wir darüber ausführlich mit der Cyber- und IT-Krisenmanagerin Sabine Griebsch gesprochen. Sie war 2021 als externe CDO beim Landkreis Anhalt-Bitterfeld tätig, als die Kreisverwaltung von einem Ransomware-Angriff getroffen wurde. Viele ihrer Erfahrungen lassen sich ziemlich direkt in Fragen übersetzen, die Behörden heute für sich beantworten können.

Krisenkommunikation braucht einen Plan B

Eine der einfachsten Fragen ist gleichzeitig eine der wichtigsten: Kann unsere Kommunikation noch arbeiten, wenn unsere normale IT nicht verfügbar ist?

Eine Kontaktliste hilft wenig, wenn sie nur auf dem Netzlaufwerk liegt. Ein komplexes Social-Media-Passwort schützt den Account, bringt der Pressestelle aber wenig, wenn der einzige Zugriff auf den Passwortmanager auf einem gesperrten Rechner liegt. Auch Telefonnummern von Journalistinnen und Journalisten, Zugänge zur Website, Social-Media-Konten oder vorbereitete Textbausteine sollten deshalb so verfügbar sein, dass die zuständigen Personen im Notfall darauf zugreifen können. Sabine nennt genau solche vermeintlichen Kleinigkeiten im Gespräch als mögliche Showstopper für die Kommunikation.

Vorbereitet sein sollten mindestens die wichtigsten internen und externen Kontaktwege, alternative Zugänge zu den Kommunikationskanälen, Zuständigkeiten und Freigaben sowie die Frage, wer belastbare Informationen aus der IT liefert. Gerade dieser letzte Punkt ist wichtig: In einem größeren Vorfall gibt es häufig nur wenige Menschen, die technisch wirklich beurteilen können, was passiert ist. Diese Personen sollten nicht alle 20 Minuten für eine neue Rückfrage aus ihrer Arbeit geholt werden. Sinnvoller ist ein fester Informationsweg zwischen technischem Notfallteam, Krisenstab und Kommunikation.

Die erste Meldung muss nicht alle Antworten enthalten

Eine Behörde muss in den ersten Stunden eines Cyberangriffs meistens kommunizieren, obwohl viele Fakten noch fehlen. Das lässt sich vorbereiten.

Sabine empfiehlt für diese erste Phase ein Holding Statement: eine kurze Erstinformation mit dem gesicherten Stand. Darin kann stehen, dass ein IT-Sicherheitsvorfall festgestellt wurde, welche Auswirkungen aktuell bekannt sind, welche Leistungen betroffen sind und dass an der Bewältigung gearbeitet wird. Ebenso wichtig ist, was dort nicht steht: Spekulationen über Täter, Ursache, Schadenshöhe oder einen möglichen Datenabfluss gehören nicht in eine erste Meldung, solange diese Informationen nicht bestätigt sind. Eine solche Vorlage könnte zum Beispiel so aussehen:

Aktuelle Information zu einer IT-Störung

Bei [Name der Behörde] wurde am [Datum/Uhrzeit] ein IT-Sicherheitsvorfall festgestellt. Aus Sicherheitsgründen wurden Teile unserer IT-Systeme vorübergehend vom Netz getrennt.

Dadurch sind derzeit folgende Leistungen eingeschränkt oder nicht verfügbar: [Leistungen].

[Nicht betroffene beziehungsweise weiterhin verfügbare Leistungen] funktionieren weiterhin.

Unser Krisenstab und die zuständigen Fachstellen arbeiten an der weiteren Klärung und Wiederherstellung. [Polizei / Datenschutzaufsicht / weitere zuständige Stellen] wurden informiert, soweit dies im konkreten Fall bereits erfolgt ist.

Zum jetzigen Zeitpunkt liegen uns noch keine gesicherten Informationen zu [Ursache / möglichem Datenabfluss / Dauer des Ausfalls] vor. Wir informieren, sobald neue belastbare Erkenntnisse vorliegen.

Aktuelle Informationen finden Sie unter [Darksite / alternative Informationsseite / Hotline].

Das ist bewusst eine Arbeitsvorlage und keine fertige Pressemeldung für jeden Vorfall. Welche Behörden informiert werden müssen, was öffentlich gesagt werden darf und welche Angaben bereits gesichert sind, muss im konkreten Fall geprüft werden. Genau deshalb ist es sinnvoll, die Struktur vorher festzulegen und im Ernstfall nur noch die bestätigten Informationen einzusetzen.

Das Cyberresilience-Framework RESI aus dem „Dialog für Cybersicherheit“ verfolgt denselben Ansatz. Dort gibt es für Kommunen unter anderem Checklisten, Kontaktlisten und Vorlagen für interne und externe Kommunikation bei Cybervorfällen. Das Ransomware-Szenario wurde inzwischen zusätzlich um eine Handreichung für kommunale DDoS-Angriffe ergänzt. RESI: Materialien und Downloads des Dialogs für Cybersicherheit

Eine Darksite sollte existieren, bevor die Website ausfällt

Eine Darksite ist eine vorbereitete Internetseite für Krisensituationen. Im Normalbetrieb ist sie nicht beziehungsweise nicht prominent öffentlich sichtbar. Im Krisenfall kann sie aktiviert werden und übernimmt die zentrale Information, wenn die normale Website ungeeignet oder nicht mehr erreichbar ist.

Im Rheingau-Taunus-Kreis wurde beispielsweise gemeinsam mit Katastrophenschutz und Kommunikation eine solche Seite für unterschiedliche Krisenlagen vorbereitet. Sie kann vor die normale Website geschaltet werden, hat eine kurze Adresse und bündelt aktuelle Meldungen. Entscheidend ist dabei auch, dass die zuständigen Personen unabhängig vom üblichen Arbeitsplatz darauf zugreifen können.

Für einen Cybervorfall sollte eine Darksite vor allem beantworten:

• Was ist passiert beziehungsweise was ist aktuell gesichert bekannt?
• Welche Leistungen funktionieren derzeit?
• Welche Leistungen sind eingeschränkt?
• Wo gibt es alternative Anlaufstellen?
• Sollten Bürgerinnen und Bürger persönlich kommen oder gerade nicht?
• Welche Hotline oder Kontaktmöglichkeit funktioniert?
• Welche Öffnungszeiten gelten aktuell?
• Wann gibt es das nächste Update?
• Welche häufigen Fragen können bereits beantwortet werden?
• Welche Informationen müssen gegebenenfalls in weiteren Sprachen angeboten werden?

Sabine weist im Gespräch auf einen wichtigen Unterschied hin: Bürgerinnen und Bürger interessiert meist nicht, welches Fachverfahren gerade ausgefallen ist. Sie wollen wissen, ob sie ihr Auto zulassen können, Sozialleistungen ausgezahlt werden oder ein Termin stattfindet. Genau so sollte auch die Krisenseite aufgebaut sein.

FAQs helfen der Bevölkerung – und der eigenen Organisation

Bei einem längeren Vorfall kommen viele Fragen immer wieder. Deshalb sollten FAQs von Anfang an mitgeführt und laufend ergänzt werden.

Typische Fragen können sein: Was ist passiert? Welche Dienstleistungen sind betroffen? Wurden Daten gestohlen? Sind personenbezogene Daten betroffen? Was müssen Betroffene jetzt tun? Funktionieren bereits alternative Wege? Wann wird die nächste Leistung wieder verfügbar sein? Wo finden Bürgerinnen und Bürger verbindliche Informationen?

Wenn ein möglicher Datenabfluss bestätigt wurde, können daraus sehr konkrete Hinweise entstehen. Sind beispielsweise Bankdaten betroffen, muss erklärt werden, was Betroffene kontrollieren oder unternehmen sollten. Sind solche Informationen noch nicht gesichert, sollte genau das gesagt werden.

Ein FAQ erfüllt dabei noch eine zweite Funktion: Es verhindert, dass dieselben Fragen ständig neu intern geklärt werden müssen. Die Kommunikation kann mit einem abgestimmten Informationsstand arbeiten und muss die wenigen technischen Spezialistinnen und Spezialisten nicht für jede Medienanfrage erneut aus ihrer Arbeit holen.

Vorsicht mit technischen Details

Ein Cyberangriff erzeugt schnell großes Medieninteresse. Bilder aus dem Serverraum wirken für Kamerateams attraktiver als ein Besprechungsraum. Genau dort kann Kommunikation allerdings selbst zum Sicherheitsproblem werden.

Sabine warnt im Podcast davor, technische Infrastruktur unnötig öffentlich sichtbar zu machen. Welche Komponenten eingesetzt werden, wie die Systeme aufgebaut sind oder was auf Displays im Krisenstab zu sehen ist, kann für einen Angreifer interessant sein. Dasselbe gilt für Informationen über laufende Ermittlungen oder technische Gegenmaßnahmen.

Für die Kommunikation ergibt sich daraus eine einfache Regel: Nicht alles, was man inzwischen intern weiß, gehört automatisch nach außen.

Pressestelle, IT, Krisenstab und gegebenenfalls Ermittlungsbehörden müssen deshalb eng abstimmen, welche Informationen veröffentlicht werden können. Fachbegriffe helfen dabei selten. Die Öffentlichkeit muss nicht wissen, welches EDR oder SOC eingesetzt wird. Sie muss wissen, welche Folgen der Vorfall hat und was sie jetzt tun soll.

Zeitangaben nur dann machen, wenn sie belastbar sind

Nach einem Cyberangriff wird sehr schnell die Frage kommen: Wann funktioniert wieder alles?

Der Wunsch nach einer klaren Antwort ist verständlich. Eine zu optimistische Prognose kann die Situation aber verschärfen. Wer ankündigt, dass eine Leistung nächste Woche wieder verfügbar ist und diesen Termin anschließend mehrfach verschieben muss, produziert immer wieder neue Enttäuschung.

Sabines Empfehlung ist deshalb, realistische Zeitangaben zu machen und offen zu kommunizieren, wenn eine belastbare Prognose noch nicht möglich ist. Der Wiederanlauf hängt schließlich nicht nur davon ab, ob ein Fachverfahren technisch wieder gestartet werden kann. Eine Behörde muss unter Umständen auch nachweisen, dass ihre Systeme wieder sicher an Landes- oder Bundesnetze angeschlossen werden können.

Eine gute Krisenkommunikation kann daher durchaus sagen: „Dazu können wir aktuell noch keinen belastbaren Termin nennen.“ Entscheidend ist dann, wann das nächste Update kommt und welche Zwischenlösungen bereits bestehen.

Die eigenen Mitarbeitenden gehören zu den wichtigsten Zielgruppen

Die externe Kommunikation ist nur eine Hälfte. Beschäftigte müssen ebenfalls kontinuierlich wissen, was passiert. Sie sollten einen Cybervorfall nicht zuerst aus der Zeitung erfahren.

Intern braucht es Informationen darüber, welche Systeme genutzt werden dürfen, welche Leistungen bereits wieder funktionieren, welche Arbeitsplätze verfügbar sind und wie lange Einschränkungen voraussichtlich bestehen. Mitarbeitende im Bürgerkontakt brauchen außerdem einen gemeinsamen Wissensstand, damit nicht unterschiedliche Erklärungen nach außen gehen. Sabine beschreibt sehr deutlich, wie schnell sonst eigene Narrative entstehen können – bis hin zu Schuldzuweisungen gegenüber der IT.

Gerade bei einem Vorfall, der Wochen oder Monate dauert, reicht eine Erstinformation deshalb nicht. Interne Kommunikation wird zu einer dauerhaften Aufgabe.

Checkliste: Was sollte eine Behörde vor einem Cybervorfall vorbereiten?

Die folgende Liste ist bewusst auf Kommunikation konzentriert. Sie ersetzt keinen IT-Notfallplan.

Zugänge und Technik

• Können die zuständigen Personen auf Website und Social Media zugreifen, wenn ihre normalen Rechner ausfallen?
• Sind notwendige Zugangsdaten sicher und unabhängig von der betroffenen Infrastruktur verfügbar?
• Gibt es Geräte beziehungsweise Zugänge, über die im Krisenfall kommuniziert werden kann?
• Existiert eine vorbereitete Darksite?

Kontakte

• Gibt es eine aktuelle Offline-Kontaktliste?
• Sind Verwaltungsspitze, Krisenstab, IT, Datenschutz, Personal, wichtige Fachbereiche und gegebenenfalls externe Dienstleister erreichbar?
• Liegen aktuelle Kontakte der regionalen Medien vor?
• Ist festgelegt, wer im Ernstfall welche Stelle informiert?

Organisation

• Wer spricht für die Behörde?
• Wer gibt Informationen frei?
• Wer hält den Kontakt zum technischen Notfallteam?
• Wie oft wird der Informationsstand aktualisiert?
• Wer dokumentiert veröffentlichte Aussagen und offene Fragen?

Vorbereitete Inhalte

• Gibt es ein Holding Statement als Vorlage?
• Ist eine FAQ-Struktur vorbereitet?
• Gibt es Textvorlagen für Mitarbeitende?
• Ist geklärt, wie über ausgefallene und verfügbare Leistungen informiert wird?
• Ist definiert, wo verbindliche Aktualisierungen veröffentlicht werden?

Während des Vorfalls

• Nur bestätigte Informationen veröffentlichen.
• Auswirkungen für Bürgerinnen und Bürger erklären, technische Details nur soweit nötig.
• Keine Mutmaßungen über Täter oder Ursachen.
• Zeitangaben nur machen, wenn sie belastbar sind.
• Mitarbeitende regelmäßig informieren.
• FAQs fortschreiben.
• Klar benennen, wann es die nächste Information gibt.

Auch das RESI-Framework stellt eine eigene Checkliste Krisenkommunikation, eine Notfall-Kontaktliste sowie Übersichten zu möglichen Meldepflichten zur Verfügung. Die Unterlagen weisen ausdrücklich darauf hin, dass Meldepflichten individuell geprüft werden müssen und die Vorlagen auf die jeweilige Kommune angepasst werden sollen.

Kleines Glossar für die Krisenkommunikation

Darksite
Eine vorbereitete Website für Krisenfälle, auf der aktuelle und verlässliche Informationen gebündelt werden können.

Holding Statement
Eine kurze erste öffentliche Aussage, wenn bereits kommuniziert werden muss, aber noch nicht alle Informationen vorliegen.

Ransomware
Schadsoftware, die den Zugriff auf Daten oder Systeme einschränkt oder verhindert und häufig mit einer Lösegeldforderung verbunden ist. Das RESI-Framework nutzt ein kommunales Ransomware-Szenario als Beispiel für den Ablauf eines größeren IT-Sicherheitsvorfalls.

DDoS
„Distributed Denial of Service“: Ein Dienst wird mit sehr vielen Anfragen überlastet und dadurch zeitweise nicht erreichbar. Das können beispielsweise Websites oder andere internetbasierte Dienste einer Verwaltung sein.

Incident Response
Die organisierte Reaktion auf einen IT-Sicherheitsvorfall: erkennen, eindämmen, untersuchen, bereinigen und Systeme wiederherstellen.

Incident Responder
Spezialisierte Fachleute, die bei der technischen Bewältigung eines Sicherheitsvorfalls unterstützen.

Incident Retainer
Eine vorab vereinbarte Bereitschaft mit einem spezialisierten Dienstleister. Die Idee: Im Ernstfall muss nicht erst ein Anbieter gesucht und beauftragt werden. Sabine empfiehlt im Podcast, diesen Punkt frühzeitig zu klären.

SOC – Security Operations Center
Eine organisatorische beziehungsweise technische Einheit, die Sicherheitsereignisse überwacht, bewertet und auf Auffälligkeiten reagiert.

EDR – Endpoint Detection and Response
Technik zur Überwachung von Endgeräten, die auffälliges Verhalten erkennen und bei einem Sicherheitsvorfall Reaktionen auslösen kann.

Segmentierung
Die Aufteilung eines IT-Netzes in getrennte Bereiche. Dadurch soll unter anderem verhindert werden, dass sich ein Angriff ungehindert durch die gesamte Infrastruktur ausbreiten kann.

Pentest
Ein gezielter Sicherheitstest, bei dem versucht wird, Schwachstellen eines Systems kontrolliert zu finden.

MFA – Multi-Faktor-Authentifizierung
Eine Anmeldung, bei der neben dem Passwort mindestens ein weiterer Faktor benötigt wird.

Zero Trust
Ein Sicherheitsansatz, bei dem Zugriffe nicht allein deshalb als vertrauenswürdig gelten, weil sie aus dem eigenen Netzwerk oder von bekannten Nutzerinnen und Nutzern kommen. Sabine beschreibt den Gedanken im Podcast sehr pragmatisch: Mitarbeitende sollen auch vor dem einen unaufmerksamen Moment geschützt werden.

Weiterführende Informationen

Für Kommunen gibt es inzwischen einige Materialien, die deutlich konkreter sind als allgemeine Hinweise zur IT-Sicherheit.

Der Dialog für Cybersicherheit stellt mit dem Cyberresilience-Framework RESI ein kommunales Ransomware-Szenario, ein DDoS-Szenario, Ablaufmodelle, Kommunikationsvorlagen, Kontaktlisten und Checklisten kostenfrei zur Verfügung. Sabine Griebsch war an diesem Workstream beteiligt. RESI – Cyberresilience-Framework und Downloads

Auf Kommunaler Notbetrieb werden bekannte Ausfälle und Cybervorfälle in Kommunalverwaltungen gesammelt. Die Seite eignet sich vor allem, um reale Fälle und deren Auswirkungen nachzuvollziehen. Kommunaler Notbetrieb

Das BSI bietet darüber hinaus Informationen und Hilfestellungen zu Cyber-Sicherheit und IT-Notfällen. Der „Dialog für Cybersicherheit“ ist seit Ende 2023 als dauerhafte Aufgabe beim BSI verankert. Bundesamt für Sicherheit in der Informationstechnik

Krisenkommunikation lässt sich üben

Viele Punkte in diesem Artikel haben mit Cybersecurity zu tun. Die zugrunde liegenden Fragen gelten aber auch für andere Krisen: Wer darf kommunizieren? Welche Zugänge funktionieren noch? Wie erreichen wir Mitarbeitende? Wo veröffentlichen wir verbindliche Informationen? Wie vermeiden wir widersprüchliche Aussagen?

Genau daran arbeitet Michael Ehresmann in unserem Webinar Krisenkommunikation für Behörden. Neben der Vorbereitung geht es dort unter anderem um eigene Krisenpläne, Kommunikationskanäle und den Umgang mit Social Media in dynamischen Lagen. Zum Webinar Krisenkommunikation für Behörden

Wer die eigenen Abläufe konkret durchspielen möchte, kann das Thema auch als Inhouse-Schulung bearbeiten. Dabei geht es um die Risiken, Zuständigkeiten, Freigaben und Kommunikationswege der jeweiligen Behörde. Zur Inhouse-Schulung Krisenkommunikation

Zum Webinar

Zur Inhouse-Schulung

Solltest du Fragen oder Anmerkungen haben, schicke uns gerne eine E-Mail an hallo@amtshelden.de. Ihr kommt in eurer Stadt mit Social Media nicht wirklich voran? Dann haben wir vielleicht was für dich – schau dir mal unser Amtfluencer-Programm und unsere Webinare an.