Warum schnelle Reaktion und klare Strukturen entscheidend sind...
Cyberkrisen sind längst kein Problem mehr nur für Grosskonzerne: Sie können jedes Unternehmen treffen – vom kleinen Betrieb bis zum internationalen Konzern – auch in der Schweiz und der gesamten DACH-Region. Aktuelle Zahlen verdeutlichen die wachsende Bedrohungslage: Allein 2024 wurden beim NCSC über 63’000 Cybervorfälle in der Schweiz gemeldet – ein neuer Höchststand. Die Entwicklung zeigt klar nach oben, und die Auswirkungen betreffen Unternehmen jeder Grösse und Branche, wobei die Wiederherstellung der Systeme oft Wochen dauert und Produktions- sowie Lieferketten empfindlich gestört werden.
In der gesamten DACH-Region zeigt sich ein ähnliches Bild: 2023 stieg die Zahl schwerer Sicherheitsvorfälle in Deutschland, Österreich und der Schweiz um über 35 %, mit spürbaren Auswirkungen auf kritische Infrastrukturen, Dienstleistungen und Geschäftsprozesse. Gleichzeitig steigen die regulatorischen Anforderungen: Behörden verlangen schnelle, präzise Meldungen – teilweise innerhalb von 24 Stunden – und auch Kunden, Partner sowie interne Stakeholder erwarten transparente und verlässliche Informationen.
Die Folgen sind real und hart
Kunden verlieren das Vertrauen, die Produktion steht still, unternehmenskritische Abläufe stocken – und nicht selten markiert der Cyberangriff den Wendepunkt zwischen Überleben und Insolvenz.
Besonders entscheidend ist die erste Phase nach Entdeckung einer Cyberkrise, typischerweise innerhalb der ersten zwei bis vier Stunden. In dieser Zeit werden die Weichen gestellt: Wie behält das Team den Überblick? Welche Handlungsfelder haben höchste Priorität? Welche Kommunikationskanäle müssen sofort besetzt werden? Es geht nicht darum, jede technische Herausforderung sofort zu lösen, sondern darum, Orientierung zu gewinnen, Entscheidungsprozesse zu strukturieren und die Situation gezielt einzuschätzen.
Dieser Beitrag teilt Erkenntnisse, Ansätze und bewährte Prinzipien, die Unternehmen in dieser kritischen Phase unterstützen. Er liefert Orientierung, zeigt zentrale Handlungsfelder auf und beleuchtet die psychologische Dimension, die oft übersehen wird. So können Führungskräfte und Teams ein besseres Verständnis dafür entwickeln, wie man eine Cyberkrise handlungsfähig und strukturiert gestaltet – und welche Faktoren über den weiteren Verlauf mitentscheiden können.
Psychologische Belastungen und ihre Auswirkungen auf Entscheidungen in der Cyberkrise
Cyberkrisen sind selten nur technische Herausforderungen. Vielmehr treffen sie jene Menschen mit voller Wucht, die täglich für den Betrieb und die Sicherheit der Systeme verantwortlich sind. Dabei spielt es keine Rolle, ob es sich um ein grosses Unternehmen, ein KMU oder einen Betreiber kritischer Infrastrukturen handelt – der psychologische Druck betrifft alle Rollen: vom Management über IT-Leitende und Engineers bis hin zu Systemadministratoren und Mitarbeitenden in der operativen Sicherheit.
Wenn Mitarbeitende glauben, dass sie durch eigenes Handeln oder Unterlassungen zur Entstehung oder Verschärfung eines Vorfalls beigetragen haben, entstehen intensive Schuldgefühle und Ängste. Gleichzeitig schwebt oft die Sorge über mögliche berufliche Konsequenzen, wie Repressalien oder sogar Jobverlust, über den Köpfen der Verantwortlichen. Studien zeigen beispielsweise, dass nach einem Ransomware-Angriff etwa 25 % der CISOs ihren Posten verlieren ([1] Sophos, 2021). Doch nicht nur CISOs, sondern auch die Führungsebene, IT-Leiter, Engineers oder Systemadministratoren sind betroffen – jede Rolle, die Entscheidungen vor oder während einer Krise treffen muss, ist potenziell belastet.
Psychologische Reaktionen und Entscheidungsverhalten
Unter diesem Druck treten verschiedene psychologische Reaktionen auf, die die Krisenbewältigung erschweren:
- Überkompensation und Hektik: Verantwortliche versuchen, Fehler schnell wiedergutzumachen, was zu übereilten Entscheidungen führen kann.
- Vermeidung von Verantwortung: Aus Angst vor Schuldzuweisungen werden Entscheidungen verschoben oder delegiert, selbst wenn schnelle Reaktionen entscheidend sind.
- Tunnelblick: Unter Stress konzentrieren sich Mitarbeitende auf wenige bekannte Lösungswege und übersehen alternative Optionen oder Risiken.
- Fehlerhafte Kommunikation: Emotionale Belastung kann dazu führen, dass Informationen unvollständig, verzögert oder widersprüchlich weitergegeben werden.
Diese Reaktionen wirken nicht isoliert, sondern verstärken jede organisatorische Unsicherheit und jede Lücke in der Vorbereitung, wodurch sich die Krise schneller verschärfen kann ([2] Porcelli & Delgado, 2017).
Auswirkungen auf die Teamdynamik
Die psychologische Belastung einzelner beeinflusst die Dynamik des gesamten Teams. Typische Folgen sind:
- Misstrauen und Intransparenz: Fehler werden nicht offen angesprochen, stattdessen werden Schuldige gesucht, anstatt Probleme gemeinsam zu lösen.
- Rückzug einzelner Teammitglieder: Verringert die verfügbare Kapazität und verlangsamt sowohl den Informationsfluss als auch Entscheidungsprozesse.
- Stigmatisierung: Untergräbt das Vertrauen im Team; Informationen werden zurückgehalten oder Mitarbeitende handeln nicht mehr proaktiv.
In Kombination können diese Faktoren zu Entscheidungsblockaden, Verzögerungen und ineffektiven Massnahmen führen.
Psychologische Auswirkungen von Interessenkonflikten zwischen CIO und CISO
Ein weiterer entscheidender Faktor ist der klassische Interessenkonflikt zwischen CIO und CISO. Wenn der CISO organisatorisch dem CIO unterstellt ist, können Prioritäten verschoben werden: Während der CIO oft stark auf Systemverfügbarkeit, schnelle Lieferung und operative Ziele fokussiert, trägt der CISO die Verantwortung für die Sicherheit.
Dieser Konflikt erzeugt Stress auf mehreren Ebenen:
- Für den CISO: Sorge, dass Sicherheitsentscheidungen als hinderlich oder risikoreich wahrgenommen werden, kann zu Entscheidungshemmungen führen.
- Für die IT-Leitung/CIO: Druck, Lieferziele zu erreichen, kann dazu führen, dass Sicherheitsbedenken ignoriert oder delegiert werden.
- Für das Team: Widersprüchliche Prioritäten erzeugen Unsicherheit und erhöhen Schuldgefühle sowie Konfliktpotenzial.
In Krisensituationen kann dies besonders problematisch werden
Die Reaktion besteht oft darin, Schuldige zu suchen, anstatt Probleme konstruktiv zu lösen. Sicherheitsvorfälle werden dann teilweise dem CISO oder der Sicherheitsabteilung angelastet. Schuldgefühle, Angst vor Karriereverlust oder die Sorge, eigenes Versagen zu kaschieren, verstärken den Druck auf alle Beteiligten und können Fehlentscheidungen, Verzögerungen oder Misskommunikation auslösen.
Studien zeigen, dass die organisatorische Unabhängigkeit des CISO nicht nur technische Effektivität erhöht, sondern auch psychologische Entlastung schafft: Berichtet der CISO direkt an den CEO oder den Vorstand, sinkt der Druck, operative Entscheidungen rechtfertigen oder Schuldabwehrmechanismen entwickeln zu müssen ([3] Cisco, 2023).
Präventive Massnahmen: CCM-Team und strukturiertes Playbook
Ein klar strukturiertes Cyber Crisis Management (CCM)-Team und ein flexibles Playbook sind zentrale Instrumente, um psychologischen Druck zu reduzieren. Sie sorgen dafür, dass Entscheidungen nicht nur auf dem Wissen einzelner beruhen, sondern auf klaren Abläufen, Transparenz und gegenseitiger Unterstützung.
Wesentliche Elemente sind:
- Klare Rollen und Verantwortlichkeiten: Jedes Teammitglied weiss, welche Entscheidungen es treffen darf – Unsicherheit wird reduziert.
- Transparente Kommunikations- und Eskalationswege: Entscheidungen werden schnell und nachvollziehbar weitergegeben.
- Strukturierte Abläufe im Playbook: Bieten Orientierung für Prioritäten, Entscheidungsprozesse und Handlungsoptionen, ohne die Verantwortung einzelner aufzuheben.
- Simulationen und Trainings: Bereiten das Team auf Stresssituationen vor, erhöhen die Resilienz und stärken das Vertrauen in Entscheidungen.
- Mentale Unterstützung und Pausen: Regelmässige Check-ins und kurze Pausen während der Krise helfen, Überlastung zu vermeiden.
Diese Massnahmen ermöglichen es dem Team, auch unter hohem Druck handlungsfähig zu bleiben und effektiv zu agieren.
Externe Unterstützung als ergänzender Hebel
In vielen Organisationen zeigt sich, dass externe Expertise helfen kann, interne Spannungen abzufedern. Bestehen Interessenkonflikte oder stehen Mitarbeitende bzw. das Management stark unter Druck, bietet eine neutrale Perspektive von aussen sowohl taktische als auch strategische Unterstützung.
- Entlastung von Entscheidungsdruck, da externe Experten objektive Bewertungen liefern.
- Verminderung interner Schuldzuweisungen durch neutrale Beratung.
- Unterstützung bei Kommunikations- und Eskalationsprozessen, um klare Abläufe zu gewährleisten.
- Spezialistenwissen einbringen: Für viele Unternehmen ist IT-Security oder die Krisenbewältigung von Cybervorfällen nicht das Kerngeschäft – hier fehlen oft interne Experten. Externe Berater bringen genau dieses Fachwissen ein, nach dem Prinzip: „Schuster, bleib bei deinen Leisten“.
- Vorbereitung und akute Krisenbewältigung: Externe Expertise kann sowohl im Vorfeld – bei Trainings, Simulationen und Aufbau eines CCM-Teams – als auch während einer tatsächlichen Cyberkrise wertvolle Unterstützung bieten, um Entscheidungen zu entlasten, Prioritäten zu setzen und die Handlungsfähigkeit des Teams zu sichern.
Diese externe Perspektive ergänzt die interne Vorbereitung durch CCM-Team und Playbook und sorgt dafür, dass das Team auch unter hohem Druck effektiv, ruhig und strukturiert agieren kann.
Die Golden Hour – Die ersten Stunden
Stell dir vor: Es ist Freitagabend, die IT meldet ungewöhnliche Aktivitäten auf zentralen Systemen. Server reagieren seltsam, kritische Anwendungen sind nicht erreichbar, und erste Mitarbeitende berichten von verdächtigen Meldungen. Die ersten Minuten nach Entdeckung einer Cyberkrise sind entscheidend – sie bilden die sogenannte „Golden Hour“, die Phase, in der die Weichen für die weitere Bewältigung gestellt werden.
Was in dieser Phase zählt
In der Golden Hour geht es nicht darum, sofort jede technische Herausforderung zu lösen. Viel wichtiger ist:
- Orientierung gewinnen – Klarheit darüber, was genau passiert, welche Systeme betroffen sind und welche Auswirkungen zu erwarten sind.
- Prioritäten setzen – Welche Aufgaben müssen zuerst erledigt werden, um Schaden zu begrenzen? Welche Kommunikationskanäle müssen sofort besetzt werden?
- Rollen und Verantwortlichkeiten aktivieren – Alle Beteiligten müssen wissen, wer Entscheidungen trifft, wer informiert wird und wer beratend unterstützt.
Diese Phase dauert typischerweise die ersten zwei bis vier Stunden nach Entdeckung, kann aber je nach Umfang und Komplexität der Krise variieren.
Rollen und Kommunikation in der Golden Hour
In dieser Phase übernimmt das Cyber Crisis Management Team (CCM-Team) die Steuerung der Krise, trifft priorisierte Entscheidungen und sorgt dafür, dass das Team strukturiert vorgeht. Es geht weniger darum, jede technische Herausforderung sofort zu lösen, sondern darum, Orientierung zu gewinnen, Handlungsfähigkeit zu sichern und erste Massnahmen klar zu koordinieren.
Parallel dazu ist es entscheidend, dass die Kommunikationswege klar sind: Intern müssen Mitarbeitende Orientierung erhalten, damit keine Unsicherheit entsteht; extern müssen Partner oder Kunden zeitnah informiert werden, ohne dass falsche Informationen verbreitet werden. Ein konsistenter Kommunikationsrhythmus, z. B. erste Updates nach 30–60 Minuten und regelmässige Folgemeldungen, schafft Vertrauen und reduziert Spekulationen.
Psychologische Aspekte
Die Golden Hour ist nicht nur technisch und organisatorisch herausfordernd, sondern auch psychologisch belastend. Teams erleben Stress, Unsicherheit und Zeitdruck. Typische Effekte:
- Tunnelblick, wenn alle nur eine mögliche Ursache verfolgen.
- Entscheidungsmüdigkeit, wenn zu viele Entscheidungen gleichzeitig getroffen werden müssen.
- Kommunikationsstress, der Empathie und Klarheit reduzieren kann.
Bewährte Ansätze: kurze Rotationen, klar definierte Pausen, Buddy-Systeme und Checklisten für zentrale Aufgaben. So bleibt das Team handlungsfähig, konzentriert und resilient.
Praxisbeispiel (allgemein)
Stell dir vor, ein zentraler Server wird kompromittiert und kritische Geschäftsprozesse stehen still. Innerhalb der ersten Stunde wird das CCM-Team aktiviert und schafft klaren Überblick, setzt Prioritäten und bereitet erste Kommunikation vor – ohne dass bereits alle technischen Details gelöst sein müssen.
So entsteht innerhalb der Golden Hour Orientierung und Kontrolle, während parallel die operative Arbeit und weiterführende Analysen laufen. Die Krise ist damit keineswegs vorbei, aber die Weichen für eine strukturierte, handlungsfähige Bewältigung sind gestellt.
Scope & Rollen – Wer entscheidet was?
Wenn eine Cyberkrise ausbricht, entscheidet nicht allein die Technik über den Verlauf – entscheidend sind klare Verantwortlichkeiten, Rollen und Entscheidungsbefugnisse. In dieser Situation kommt der Leadership-Aspekt besonders stark zum Tragen: Die Geschäftsleitung muss die Gesamtverantwortung übernehmen. Sie legt die strategische Richtung fest, trifft kritische Entscheidungen und stellt sicher, dass die richtigen Informationen zur richtigen Zeit an die richtigen Personen fliessen. Verantwortung kann man nicht delegieren, man kann nur Aufgaben delegieren.
Diese Verantwortung ist nicht nur organisatorisch wichtig, sondern auch rechtlich relevant. Die Geschäftsleitung steht im Rahmen von Aufsichts- und Regulierungsanforderungen, z. B. nach NIS2 oder DORA, in der Pflicht, Entscheidungen sorgfältig, dokumentiert und nachvollziehbar zu treffen. Fehlerhafte oder verzögerte Entscheidungen können nicht nur die Krise verschärfen, sondern im schlimmsten Fall auch persönliche oder unternehmensrechtliche Konsequenzen nach sich ziehen.
In der Praxis zeigt sich immer wieder, dass klare Verantwortlichkeiten den Unterschied machen: Unsicherheit über Entscheidungsbefugnisse führt oft zu Verzögerungen, Doppelarbeit und Kommunikationslücken. Rollen-Übersichten, Verantwortlichkeits-Matrizen oder einfache Checklisten helfen, diese Klarheit auch unter Stress zu bewahren. Gleichzeitig signalisiert es dem Team: Die Geschäftsleitung übernimmt Verantwortung, und alle weiteren Rollen unterstützen aktiv dabei, die richtigen Massnahmen umzusetzen.
Mit einer klaren Rollenstruktur bleibt das Team handlungsfähig, auch wenn mehrere Aufgaben gleichzeitig auftreten. Sie reduziert Doppelarbeit, verhindert Fehlkommunikation und stellt sicher, dass sowohl technische als auch organisatorische Entscheidungen zeitnah, abgestimmt und nachvollziehbar getroffen werden – was gerade aus Haftungssicht entscheidend ist.
Kommunikation – Klar, empathisch, im festen Takt
In einer Cyberkrise ist Kommunikation fast genauso entscheidend wie technische Massnahmen. Wie Informationen fliessen, bestimmt oft darüber, ob das Team handlungsfähig bleibt, Mitarbeitende Ruhe bewahren und externe Stakeholder Vertrauen behalten.
Zu Beginn der Krise zählt vor allem Orientierung. Alle Beteiligten müssen verstehen, was passiert, welche Bereiche betroffen sind und welche Prioritäten gelten. Komplexe technische Details können später nachgereicht werden – zunächst geht es um Übersicht, Struktur und Klarheit. Gleichzeitig spielt Empathie eine zentrale Rolle. Unsicherheit, Angst oder Frust sind natürliche Reaktionen, die durch kurze, klare Updates und das bewusste Anerkennen von Belastungen gemildert werden können. Mitarbeitende fühlen sich gesehen, ihre Konzentration bleibt erhalten und das Team kann fokussiert arbeiten.
Ein weiterer entscheidender Faktor ist die externe Dynamik. Social Media und Nachrichten können binnen Minuten enorme Aufmerksamkeit erzeugen. Ein einziger Tweet, Artikel oder Kommentar kann bei Kunden, Partnern und Mitarbeitenden Unsicherheit oder Panik auslösen. Partner und Lieferanten reagieren oft sehr schnell, insbesondere wenn kritische Services oder Lieferketten betroffen sind. Nervöse oder ungeduldige Anfragen erhöhen den Druck auf das CCM-Team zusätzlich. Kunden erwarten sofortige Antworten, Lieferanten wollen wissen, ob sie ihre Leistungen anpassen müssen, und interne Stakeholder suchen Orientierung. Wer diese externe Dynamik nicht berücksichtigt, riskiert, dass sich die Situation schneller zuspitzt.
Um diesen Herausforderungen zu begegnen, ist ein fester Kommunikationsrhythmus entscheidend. Updates sollten regelmässig erfolgen, konsistent sein und über klar definierte Ansprechpartner laufen. Dabei hilft ein einfacher Grundsatz: „So viel wie nötig, so wenig wie möglich.“ Informationen sollten ausreichend sein, um Orientierung zu geben und Vertrauen zu sichern, aber nicht so umfangreich, dass sie Verwirrung stiften oder unnötigen Stress erzeugen. Dieser Ansatz unterstützt das CCM-Team dabei, den Fokus zu behalten, Entscheidungen klar zu priorisieren und die Informationsflut für alle Beteiligten zu steuern.
Neben den organisatorischen Aspekten ist die psychologische Dimension nicht zu unterschätzen. Transparente, strukturierte und empathische Kommunikation wirkt stabilisierend: Mitarbeitende spüren, dass die Situation unter Kontrolle ist, Tunnelblick wird reduziert, Entscheidungsmüdigkeit verringert und die Motivation bleibt auch unter Druck erhalten. Kurze Briefings, verständliche Botschaften und das bewusste Einplanen kleiner Pausen helfen, die Belastung zu reduzieren und die Leistungsfähigkeit aufrechtzuerhalten.
Eine bewährte Best Practice ist, dass jedes CCM-Team vorab eine Kommunikationsmatrix entwickelt. Diese legt fest, wer wann und auf welchem Kanal Informationen erhält – intern wie extern. Zusätzlich können vorbereitete Formulierungen für unterschiedliche Zielgruppen hinterlegt werden, z. B. für Mitarbeitende, Kunden, Partner oder Medien. In der Golden Hour wird diese Vorbereitung aktiviert: Das CCM-Team kann schnell, konsistent und empathisch kommunizieren, ohne dass jede Nachricht neu entwickelt werden muss. Diese Struktur reduziert Stress und Entscheidungsdruck, verhindert widersprüchliche Botschaften und gibt dem Team Orientierung, während gleichzeitig Raum für flexible Reaktionen auf neue Entwicklungen bleibt.
Richtig umgesetzt sorgt Kommunikation dafür, dass das CCM-Team handlungsfähig bleibt, Mitarbeitende Orientierung haben und externe Stakeholder Vertrauen bewahren. Sie ist ein entscheidender Hebel, um die Dynamik der Krise zu kontrollieren und die Weichen für eine erfolgreiche Bewältigung zu stellen – intern wie extern.
Ausblick Teil 2
In diesem ersten Teil haben wir die theoretischen Grundlagen erfolgreicher Cyberkrisenbewältigung behandelt: die psychologischen Belastungen und ihre Auswirkungen auf Entscheidungen, die entscheidenden ersten Stunden – die ‚Golden Hour‘ –, klare Rollenverteilungen sowie eine strukturierte und empathische Kommunikation.
Im zweiten Teil werden wir diese Konzepte praxisnah vertiefen: Wir zeigen, wie ein Cyber Crisis Management (CCM)-Team als Herzstück einer strukturierten Krisenbewältigung arbeitet, wie Kommunikation und Informationsmanagement gesteuert werden, wie ein Playbook als Leitfaden dient und wie Lessons Learned die Cyberresilienz des Unternehmens kontinuierlich stärken.
Den zweiten Teil dieser Blog-Serie finden Sie hier: Cyberkrisen meistern – mit den richtigen Strukturen erfolgreich handeln (Teil 2) – Tec-Bite
Weiterführende Links & Quellen
Cyberkrisen meistern – mit den richtigen Strukturen erfolgreich handeln (Teil 2) – Tec-Bite
Cyber Crisis Management – AVANTEC Webinar
[1] 25% of security leaders replaced after ransomware attack | CSO Online
[2] Stress and Decision Making: Effects on Valuation, Learning, and Risk-taking – PMC
[3] What Is a CISO? Chief Information Security Officer – Cisco
