Ransomware verschlüsselt die Server, das Telefon klingelt, Kunden fragen was los ist, und niemand weiss was man sagen darf. Die meisten Schweizer KMU haben einen technischen Notfallplan (manche sogar einen guten), aber fast keines hat einen Plan für die Kommunikation während eines solchen Vorfalls. Wer informiert die Kunden? Was sagt man der Presse? Und was ist eigentlich mit der 72-Stunden-Frist beim EDÖB?
Die CISA hat zusammen mit dem FBI und internationalen Partnern Anfang September 2026 einen Leitfaden veröffentlicht der genau dieses Problem adressiert: „Communicating Under Pressure: Best Practices for Service Providers“. Der Titel klingt nach Grosskonzern, aber die Prinzipien gelten genauso für ein 20-Personen-Unternehmen in Zürich oder Bern.
Drei Prinzipien
Die CISA fasst es in drei Wörter: Klarheit, Verantwortung, Transparenz. Das klingt zunächst simpel, ist es aber überhaupt nicht wenn man unter Druck steht und die halbe Infrastruktur flach liegt. Der häufigste Fehler bei Cyber-Vorfällen ist einer von zwei Extremen: entweder totale Stille weil man auf „sichere Informationen“ wartet, oder voreilige Aussagen die man später korrigieren muss. Beides zerstört Vertrauen, und zwar nachhaltig.
Beim Xplain-Hack 2023 konnte man das sehr gut beobachten. Wochenlang kam wenig bis nichts von den betroffenen Bundesstellen, die Medien haben sich die Informationen selber zusammengesucht, und das Ergebnis war ein Kommunikationsdesaster das letztlich mehr Schaden angerichtet hat als der eigentliche Datendiebstahl..
Was die CISA empfiehlt
Der Leitfaden ist überraschend praktisch und geht weit über die üblichen Allgemeinplätze hinaus. Die wichtigsten Punkte:
Vor dem Vorfall (also jetzt):
- Ein Team zusammenstellen das im Ernstfall die Kommunikation übernimmt, wobei nicht nur IT-Leute dabei sein sollten sondern auch jemand für Kundenkontakt, jemand der die rechtlichen Anforderungen kennt (revDSG-Meldepflicht!) und einen Sprecher der nach aussen kommuniziert
- Backup-Kommunikationskanäle vorbereiten, denn wenn die E-Mail-Server down sind braucht man Alternativen: SMS-Verteiler, Telefonliste, ev. sogar ein WhatsApp-Broadcast
- Vorlagen für verschiedene Szenarien erstellen wie Ransomware, Datenleck oder Systemausfall, und auch wenn das nach Overkill für ein KMU klingt: selbst ein einseitiges Dokument hilft enorm wenn der Stress kommt
Während dem Vorfall:
- Nur bestätigte Fakten kommunizieren und konsequent auf Spekulationen verzichten
- Klar sagen was man weiss, was man nicht weiss und was noch untersucht wird
- Regelmässige Updates mit Zeitstempel geben, auch wenn es nichts Neues gibt (gerade dann zeigt es dass man die Sache im Griff hat)
- Verschiedene Zielgruppen unterschiedlich informieren, weil Kunden andere Informationen brauchen als Behörden oder Medienschaffende
- Bei Cyberangriffen mit der Polizei bzw. dem NCSC koordinieren und keine technischen Details veröffentlichen die dem Angreifer helfen könnten
Besonders der letzte Punkt wird oft vergessen. Wenn man öffentlich sagt „wir haben die Lücke in unserem VPN gefunden und gepatcht“, weiss der Angreifer dass er einen anderen Weg suchen muss (oder dass sein Backdoor noch nicht entdeckt wurde).
Der Schweizer Kontext
Seit September 2023 gilt das revidierte Datenschutzgesetz, und wer eine Verletzung der Datensicherheit feststellt muss den EDÖB innert 72 Stunden informieren, sofern ein hohes Risiko für die betroffenen Personen besteht. 72 Stunden klingt nach viel Zeit, ist es aber nicht, vor allem wenn am Freitagnachmittag die Ransomware zuschlägt und am Montag bereits die Frist abläuft.
Dazu kommt seit April 2025 die Meldepflicht ans NCSC für Betreiber kritischer Infrastrukturen innerhalb von 24 Stunden. Wer keinen Kommunikationsplan hat verliert in den ersten Stunden wertvolle Zeit mit der Frage „was dürfen wir überhaupt sagen“ statt sich auf die Behebung zu konzentrieren. Die CISA empfiehlt genau deshalb parallele Arbeitsströme: ein Team kümmert sich um die Technik, ein anderes um die Kommunikation, ein drittes um die Geschäftsleitung und regulatorische Meldungen. Selbst mit fünf Leuten lässt sich das sinnvoll aufteilen.
Was man nicht tun sollte
Die CISA warnt explizit vor drei Dingen:
Erstens: vage Formulierungen und PR-Sprache. „Wir nehmen den Vorfall sehr ernst“ sagt genau nichts und das merken die Leute auch. Besser wäre etwas wie „Am Dienstag um 14:30 haben wir einen unautorisierten Zugriff auf unser Kundensystem festgestellt, betroffen sind Daten von ca. 3000 Kunden, und die Passwörter waren verschlüsselt gespeichert.“
Zweitens: voreilige Schlüsse über die Ursache. Solange die Untersuchung läuft sagt man „wir untersuchen die Ursache“ und nicht „ein staatlicher Akteur hat uns angegriffen“, es sei denn man weiss das mit Sicherheit.
Drittens: unterschiedliche Botschaften für verschiedene Kanäle. Wenn die interne E-Mail an die Mitarbeitenden etwas anderes sagt als die Medienmitteilung, fliegt das auf, und zwar garantiert.
Fazit
Der CISA-Leitfaden ist kostenlos und auf Englisch verfügbar. Auch wenn er für Service Provider geschrieben ist passen die Prinzipien für jedes Unternehmen, und die meisten KMU brauchen auch keinen 50-seitigen Krisenplan. Ein A4-Blatt mit den wichtigsten Telefonnummern, einer klaren Zuständigkeit für die Kommunikation und zwei drei Vorlagen für die erste Kundeninformation reicht für den Anfang schon ziemlich weit.
Die Frage ist halt ob man sich die Zeit nimmt das vorzubereiten, bevor es soweit ist…