Krisenmanagement beschreibt, wie eine Organisation Entscheidungen trifft, wenn die Situation die Kapazitäten ihrer normalen Prozesse und Pläne übersteigt. Es unterscheidet sich von der Reaktion auf Vorfälle, bei der ein bekanntes Problem mithilfe bekannter Verfahren bewältigt wird. Eine Krise ist durch Unsicherheit und die Ebene der zu treffenden Entscheidungen gekennzeichnet: unvollständige Informationen, konkurrierende Prioritäten und Konsequenzen, die über den operativen Betrieb hinausgehen und Reputation, Regulierung und Vertrauen betreffen.
- Das entscheidende Merkmal ist die Entscheidungsbefugnis, nicht die Größe der Veranstaltung.
- Eine ausgerufene Krise setzt die normalen Entscheidungswege außer Kraft und ersetzt sie bewusst.
- Die Schwellenwerte müssen vor dem Tag vereinbart werden, sonst meldet niemand etwas an.
- Kommunikation ist Teil der Reaktion, nicht eine nachträgliche Überlegung.
- Im Nachhinein wird die Qualität der Entscheidungen überprüft, nicht nur das Ergebnis.
Was ist Krisenmanagement?
Die meisten Organisationen verfügen über Notfallpläne und einen Krisenmanagementprozess und gehen davon aus, dass damit alle Krisen abgedeckt sind. Das ist in der Regel nicht der Fall. Notfallpläne beschreiben, wie die Arbeit fortgesetzt werden kann, wenn ein bekannter Vorgang unterbrochen wird. Krisenmanagementprozesse beschreiben, wie technische Teams bekannte Probleme eindämmen können. Beide geben jedoch keine Antwort darauf, was zu tun ist, wenn die Situation ungewohnt ist, die Informationen umstritten sind und die anstehenden Entscheidungen Kompromisse erfordern, die in keinem Verfahren vorgesehen sind.
Genau diese Lücke schließt das Krisenmanagement. Es handelt sich um eine kleine Anzahl vorab vereinbarter Regelungen: Wer kann eine Krise ausrufen? Wer beruft die Krisensitzung ein? Welche Entscheidungen darf diese Gruppe ohne Rücksprache mit den normalen Regierungsbehörden treffen? Und wie werden Entscheidungen und deren Begründung während des Beratungsprozesses protokolliert?
Der Notfallplan ergänzt die Geschäftskontinuitätsplanung, anstatt ihr zu unterliegen. Er wird zwar häufig in Krisensituationen aktiviert, doch die Krise bildet die übergeordnete Ebene, auf der entschieden wird, wie das Unternehmen mit Folgen umgeht, die der Plan nicht abdeckt.
Wann wird ein Vorfall zur Krise?
Organisationen machen hier in beide Richtungen Fehler. Manche rufen bei jedem sichtbaren Ereignis eine Krise aus, was das Team überlastet und den Mechanismus entwertet. Andere rufen nie eine Krise aus, und Führungskräfte improvisieren mit einem Verfahren, das eigentlich für kleinere Angelegenheiten gedacht war. Der Ausweg besteht darin, die Grenzen im Voraus klar zu definieren, und zwar genau dort, wo sie tatsächlich liegen: Wer muss die Entscheidung treffen?
| Vorfall | Krise | Katastrophe | |
|---|---|---|---|
| Wer entscheidet | Das Einsatzteam handelt im Rahmen der bestehenden Verfahren und der ihm übertragenen Befugnisse. | Ein einberufenes Krisenteam mit im Voraus ausdrücklich erteilten Befugnissen. | Die oberste Führungsebene, oft in Zusammenarbeit mit externen Agenturen. |
| Was steht auf dem Spiel | Servicequalität und ein definiertes operatives Ergebnis. | Mehrere Ergebnisse gleichzeitig, darunter Reputation, regulatorische Position und Vertrauen. | Physische Sicherheit, Überlebensfähigkeit eines Standorts oder der Organisation. |
| Wofür die Antwort optimiert wird | Die Wiederherstellung des Dienstes erfolgt so schnell wie es die Verfahrensregeln zulassen. | Die insgesamt am wenigsten schlechte Position, bei der man bewusst einige Verluste in Kauf nimmt. | Lebenssicherheit hat oberste Priorität, dann die Eindämmung der Pandemie, und erst dann alles andere. |
| Wo es dokumentiert ist | Vorgehensweisen und Betriebshandbücher für Notfälle. | Krisenvorsorge: Schwellenwerte, Team, Entscheidungsbefugnisse, Protokoll. | Notfall- und Evakuierungspläne, die extern koordiniert werden. |
| Wie es endet | Der Dienst wurde wiederhergestellt und das Ticket geschlossen. | Eine Entscheidung zum Rückzug, getroffen von derselben Behörde, die sie verkündet hatte. | Externe Freigabe, dann eine lange Erholungsphase. |
Die mittlere Spalte ist diejenige, die die meisten Organisationen nicht dokumentiert haben. Beachten Sie außerdem, dass die Schwere nicht die Achse darstellt. Ein kleiner technischer Fehler kann sich zu einer Krise ausweiten, wenn die Folgen weitreichend sind und die richtige Reaktion unklar ist, während ein größerer Ausfall mit einer einstudierten Umgehungslösung unter Umständen ein reiner Vorfall bleibt.
Dahinter steckt ein größeres Bild.
Diese Seite behandelt einen Aspekt der Unternehmensresilienz. Echte Resilienz – das Rahmenwerk von IO zur Verknüpfung von Sicherheit, Datenschutz und KI-Governance – liefert das Gesamtbild.
Wer gehört dem Krisenteam an und welche Entscheidungen darf es treffen?
Ein Krisenteam sollte klein genug sein, um Entscheidungen treffen zu können. Ab etwa sieben Personen beschränkt es sich auf eine reine Briefing-Gruppe, und die Entscheidungen werden in einem separaten, ruhigeren Gespräch an anderer Stelle getroffen. Am hilfreichsten ist es, im Vorfeld schriftlich festzuhalten, welche Aufgaben jede Rolle ohne weitere Genehmigung ausführen darf und welche Aufgaben jede Rolle ausdrücklich unterlassen muss.
| Funktion / Rolle (Role) * | Kann allein entscheiden | Sollte man nicht tun |
|---|---|---|
| Krisenleitung | Erklären Sie Ihre Entscheidung und ziehen Sie sich zurück, setzen Sie Prioritäten, begrenzen Sie die Ausgaben auf ein vereinbartes Limit. | Die Leitung eines Arbeitspakets obliegt mir. Die Aufgabe des Projektleiters ist es, Entscheidungen zu treffen, nicht, Probleme zu lösen. |
| Einkauf & Prozesse | Aktivieren Sie Kontinuitätsmaßnahmen und verteilen Sie die Mitarbeiter neu auf die verschiedenen Aktivitäten. | Wir warten auf ein vollständiges technisches Gesamtbild, bevor wir mit Workarounds beginnen. |
| schaffen | Technische Eindämmungs- und Wiederherstellungssequenzierung im Rahmen der vereinbarten Ziele. | Externe Briefings oder die direkte Aushandlung von Prioritäten mit den Kunden. |
| Kommunikation | Vorab genehmigte Haltebestätigungen ausstellen und Kanal und Zeitpunkt auswählen. | Behauptungen über Ursachen oder zeitliche Abläufe werden aufgestellt, die das Team nicht bestätigt hat. |
| Rechtliches und Datenschutz | Beratung zu Benachrichtigungspflichten und Sicherung von Beweismitteln und Vertraulichkeit. | Als Bremse für operative Entscheidungen fungieren, die eigentlich in die Zuständigkeit der Führungskraft fallen. |
| Logistiker | Halten Sie jede Entscheidung, die ihr zugrunde liegenden Informationen und den Zeitpunkt fest. | Sie beteiligen sich an den Entscheidungen, die sie protokollieren. |
Der Protokollführer ist die am häufigsten vernachlässigte, aber gleichzeitig diejenige, die sich am zuverlässigsten bezahlt macht. Eine zeitnahe Aufzeichnung dessen, was wann bekannt war, ermöglicht es, eine vernünftige Entscheidung zu verteidigen, die sich als falsch erwiesen hat, und lässt sich im Nachhinein kaum rekonstruieren. Jede Rolle benötigt zudem einen benannten Stellvertreter, denn eine Krise, die mitten in der Nacht oder an einem Feiertag beginnt, ist kein Sonderfall.
Wie wird eine Krise tatsächlich bewältigt?
Die folgende Abfolge ist keine starre Verfahrensanweisung. Sie beschreibt vielmehr die einzelnen Schritte, für die jeweils ein Verantwortlicher zuständig sein muss, da in der Praxis Krisen eher an den Schnittstellen als mitten in einer einzelnen Aktivität auftreten.
Die offizielle Erklärung ist der entscheidende Schritt für den weiteren Verlauf. Solange niemand mit Entscheidungsbefugnis die Situation als Krise einstuft, wendet die Organisation weiterhin die üblichen Verfahren auf ein außergewöhnliches Ereignis an, und jede Stunde, die damit verbracht wird, schränkt die Handlungsoptionen ein. Deshalb braucht die Schwelle einen Namen und eine verantwortliche Person, anstatt sich auf eine spontane Einschätzung zu stützen.
Entscheidungsfindung und Kommunikation verlaufen parallel, nicht nacheinander. Auf Gewissheit zu warten, bevor man etwas sagt, ist selbst eine Entscheidung – und meist die falsche –, denn die Stille wird durch die Erzählungen anderer gefüllt.
Die Aktivierung des Notfallplans gehört in der Regel zu den ersten Entscheidungen des Krisenteams und ist kein separater, parallel laufender Prozess. Das Krisenteam entscheidet, wie die Organisation mit den Folgen umgeht, die der Plan nicht abdeckt.
Was muss Krisenkommunikation umfassen?
Vier Zielgruppen mit unterschiedlichen Bedürfnissen und unterschiedlichen Zeitvorgaben. Mitarbeiter müssen wissen, was zu tun und zu sagen ist, wenn sie gefragt werden – und zwar als Erste, denn sie werden gefragt werden. Kunden müssen in klaren Worten erfahren, was betroffen ist und was sie erwartet, bevor sie sich anderweitig informieren. Lieferanten und Partner müssen gegebenenfalls handeln. Regulierungs- und Aufsichtsbehörden bringen Verpflichtungen mit sich, deren Anwendbarkeit vom jeweiligen Ereignis abhängt.
Bei der letzten Gruppe sollten Sie genau festlegen, was für Sie konkret gilt, anstatt eine allgemeine Pflicht anzunehmen. Bei einer Verletzung des Schutzes personenbezogener Daten sieht die britische DSGVO eine Meldefrist von 72 Stunden ab Kenntnisnahme vor, sofern die Verletzung die Risikoschwelle erreicht. Branchenspezifische Regelungen beinhalten eigene Bestimmungen, und Organisationen, die unter NIS 2 fallen, müssen separate Meldeverfahren gemäß den NIS-2-Leitlinien zum Krisenmanagement befolgen . Welche dieser Regelungen für Sie gelten, sollten Sie im Vorfeld klären, denn mitten in einer Krise ist dies ein denkbar ungünstiger Zeitpunkt.
Bereiten Sie vorläufige Stellungnahmen vor, bevor Sie sie benötigen. Keine detaillierten Skripte, die ohnehin nie zum jeweiligen Ereignis passen, sondern genehmigte Strukturen, die es ermöglichen, innerhalb der ersten Stunde eine präzise Aussage zu treffen, ohne dass ein Redaktionsausschuss einberufen werden muss.
Starten Sie Ihre kostenlose Testversion
Möchten Sie erkunden?
Melden Sie sich noch heute für Ihre kostenlose Testversion an und nutzen Sie alle Compliance-Funktionen, die ISMS.online zu bieten hat
Wie wendet man Krisenmanagement an?
Technische Wiederherstellungstests und Krisenübungen sind unterschiedliche Aktivitäten und ersetzen sich nicht gegenseitig. Ein Wiederherstellungstest beweist, dass ein System wieder funktioniert. Er sagt jedoch nichts darüber aus, ob Ihre Führungskräfte in der Lage sind, unter Zeitdruck und mit unvollständigen Informationen eine strittige Entscheidung zu treffen. Die fünf Stufen der technischen Tests sind im Notfallwiederherstellungsplan enthalten.
Krisenübungen funktionieren anders. Sie basieren auf Szenarien, halten bewusst Informationen zurück und ihr Wert liegt im erzeugten Unbehagen. Eine sinnvolle Übung versetzt das Krisenteam in einen Raum mit einem Szenario, das keine eindeutige Lösung zulässt, fügt im Verlauf der Übung neue Informationen hinzu, die eine frühere Entscheidung hinfällig machen, und erfordert die Kommunikation nach außen unter Zeitdruck. Geprüft wird, ob die Autorität klar definiert ist, ob die festgelegten Schwellenwerte relevant sind und ob Entscheidungen auch ohne Einstimmigkeit getroffen werden können.
Zwei Gewohnheiten machen Übungen lohnenswert. Verwenden Sie Szenarien, die für Ihr Unternehmen plausibel sind, anstatt dramatische, und integrieren Sie mindestens eines, in dem die richtige Antwort darin besteht, einen Verlust zu akzeptieren. Teams, die bisher nur Szenarien mit vermeidbaren Folgen geübt haben, zögern oft, wenn ein echtes Opfer erforderlich ist. Dokumentieren Sie die Entscheidungen und überprüfen Sie sie anschließend anhand ihrer Begründung, nicht anhand des zufällig positiven Ergebnisses.
Wie hängt Krisenmanagement mit der Resilienz von Unternehmen zusammen?
Krisenmanagement ist der schärfste Test dafür, ob die Unternehmensführung Wirkung gezeigt hat. Alles, was das Krisenteam am Tag selbst benötigt, wurde entweder im Vorfeld geplant oder ist nicht verfügbar: das Wissen, welche Aktivitäten wichtig sind, welche Lieferanten dahinterstehen, welche Daten relevant sind, wer wofür verantwortlich ist und was man den Kunden bereits zugesagt hat.
Der Resilience Loop integriert Informationssicherheit gemäß ISO 27001 , Datenschutz gemäß ISO 27701 und KI-Governance gemäß ISO 42001 in ein zusammenhängendes System. Krisen beschränken sich selten auf einen dieser Bereiche. Ein Ransomware-Angriff ist gleichzeitig ein Sicherheitsvorfall, ein Datenschutzproblem mit Benachrichtigungspflichten und ein Problem der Geschäftskontinuität. Ein Team, das drei separate Systeme konsultieren muss, um die betroffenen Daten zu ermitteln, verliert wertvolle Zeit. Die Integration in ein einheitliches Betriebsmodell ermöglicht es, innerhalb von Minuten eine Lösung zu finden. Die übergeordnete Struktur ist im Business Resilience Framework beschrieben.
Wie beweisen Sie, dass Ihr Krisenmanagement funktioniert?
Krisenmanagementpläne gehören zu den am schwierigsten nachzuweisenden Dingen, da es eher um die Demonstration einer Handlungsfähigkeit als um ein Dokument geht. Nachweisbar sind: die Pläne selbst mit Datum und Genehmigung, die Schwellenwerte und die jeweiligen Zuständigkeiten, Übungsprotokolle mit Teilnehmern und Szenarien, die Entscheidungsprotokolle aus Übungen und realen Ereignissen, die Ergebnisse und die daraus resultierenden Änderungen.
Das Entscheidungsprotokoll ist das überzeugendste Dokument, das Sie in Händen halten können, und das, das niemand nachträglich erstellt. Es ist auch das, was eine Organisation, die nur probt, am deutlichsten von einer unterscheidet, die einen Plan entwickelt hat. Wie Sie Belege als Nebenprodukt der Arbeit sammeln, anstatt sie später zusammenzutragen, wird im Abschnitt „Wie man Resilienz nachweist“ erläutert , und der Resilienz-Score dient Ihnen als Vergleichswert.
Warum sollten Sie sich für ISMS.online im Krisenmanagement entscheiden?
Ein Krisenteam agiert auf der Grundlage der Informationen, die es in den ersten zehn Minuten erhält. ISMS.online ist so konzipiert, dass diese Informationen bereits verfügbar sind.
- Eine Sichtweise dessen, was davon abhängtAktivitäten, Systeme, Lieferanten und Daten werden zusammengeführt, sodass Fragen zum Umfang sofort beantwortet werden können.
- Rollen und Befugnisse dokumentiert: Benannte Eigentümer und Stellvertreter mit Überprüfungsterminen, sodass die Teamzusammensetzung aktuell und nicht historisch ist.
- Übungs- und Entscheidungsprotokolle: Szenarien, Teilnehmer, Entscheidungen und Ergebnisse werden am selben Ort wie die Arrangements erfasst.
- Benachrichtigungskontext verfügbar: die Verpflichtungen aus Ihren Rahmenverträgen und sonstigen Verträgen, die zusammen mit dem Vorfall geführt werden, nicht in einem separaten Ablagesystem.
- Ein Steuerungssatz, jedes Framework: Einmal abbilden und für ISO 22301, ISO 27001, ISO 27701 und ISO 42001 wiederverwenden.
- Korrekturmaßnahmen wurden bis zum Abschluss verfolgtDie Ergebnisse einer Übung werden zur gemeinsamen Arbeit mit dem Auftraggeber und nicht nur zu einem Absatz in einem Bericht.
- Entwickelt für den britischen Markt und regulierte Märkte: Konzipiert für Organisationen, die ihre Widerstandsfähigkeit unter Beweis stellen müssen, um Aufträge zu gewinnen und zu behalten.
Sehen Sie, wie es auf der Business-Resilienz-Plattform zusammenpasst , oder buchen Sie eine Demo.
Häufig gestellte Fragen
Worin besteht der Unterschied zwischen Krisenmanagement und Vorfallsreaktion?
Die Reaktion auf einen Vorfall befasst sich mit einem bekannten Problem anhand etablierter Verfahren, wobei die Befugnisse bereits an das Einsatzteam delegiert wurden. Krisenmanagement hingegen befasst sich mit Situationen, in denen das Problem unbekannt ist, die Informationen unvollständig sind und die Entscheidungen Abwägungen erfordern, für die kein Verfahren vorgesehen ist. Der praktische Unterschied liegt in der Ebene der Entscheidungsfindung und im Handlungsspielraum der Einsatzkräfte.
Wer sollte das Recht haben, einen Krisenfall auszurufen?
Eine kleine Anzahl namentlich genannter Personen, jeweils mit einem Stellvertreter, idealerweise darunter eine Person, die außerhalb der Geschäftszeiten erreichbar ist und nicht der Geschäftsleitung angehört. Beschränkt man die Meldung auf eine leitende Person, hängt der Mechanismus von deren Verfügbarkeit ab. Die Schwelle sollte schriftlich festgelegt werden, damit die Meldung die Anerkennung eines definierten Zustands und nicht eine Karriereentscheidung darstellt.
Benötigen wir einen separaten Krisenmanagementplan?
Sie benötigen separate Regelungen, diese sollten jedoch kurz sein. Relevant sind Schwellenwerte, das Team und seine Entscheidungsbefugnisse, alternative Kontaktwege, Kommunikationsstrukturen und die Protokollierung von Entscheidungen. Ein langes Krisendokument deutet darauf hin, dass Inhalte aus dem Notfallplan doppelt aufgeführt wurden. Verweisen Sie auf den Notfallplan und die Wiederherstellungshandbücher, anstatt sie erneut zu beschreiben.
Wie oft sollte das Krisenteam üben?
Mindestens einmal jährlich sollte das gesamte Team anwesend sein, und erneut immer dann, wenn sich die Zusammensetzung wesentlich ändert. Da Krisenteams aus Führungskräften bestehen, werden Übungen als Erstes verschoben, und ein Team, das nicht gemeinsam geprobt hat, ist im Grunde nur eine Namensliste. Kürzere, häufigere Szenariobesprechungen sind einfacher durchzuführen und decken dennoch die meisten Unklarheiten bezüglich der Zuständigkeiten auf.
Ist Krisenmanagement durch einen Standard abgedeckt?
Es gibt keine einzelne Norm, die sich ausschließlich damit befasst, aber sie wird in mehreren Normen behandelt. ISO 22301 beschreibt die Struktur und Kommunikation der Reaktion auf Sicherheitsvorfälle als Teil eines Business-Continuity-Management-Systems, und ISO 22361 bietet spezifische Leitlinien für das Krisenmanagement. ISO 27001 trägt durch seine Kontrollmechanismen für das Management von Informationssicherheitsvorfällen dazu bei. Die Anwendung von ISO 22301 bietet Ihnen ein Managementsystem, das die Verantwortung für die getroffenen Maßnahmen übernimmt, deren Anwendung sicherstellt und deren Überprüfung gewährleistet.
