WeichertMehner: Cyberkrisen sind Entscheidungskrisen

Das größte Cyberrisiko liegt nicht allein im Angriff

Cyberangriffe stehen 2026 zum fünften Mal in Folge an der Spitze des Allianz Risk Barometers. 42 Prozent der befragten Risikoexperten nennen Cybervorfälle als eines der wichtigsten Geschäftsrisiken. Künstliche Intelligenz folgt mit 32 Prozent auf Rang zwei. In Deutschland bleiben Cyberangriffe und Betriebsunterbrechungen die beiden führenden Risiken. Die Ergebnisse verdeutlichen, wie eng digitale Abhängigkeit und unternehmerische Verwundbarkeit inzwischen miteinander verbunden sind.

Auch die Europäische Agentur für Cybersicherheit ENISA beschreibt in ihrem Threat Landscape Report eine zunehmend komplexe Bedrohungslage. Ransomware bleibt die kurzfristig folgenreichste Angriffsform. Geopolitische Konflikte, Angriffe auf digitale Abhängigkeiten und der Missbrauch künstlicher Intelligenz verschärfen die Risiken.

Die öffentliche Diskussion konzentriert sich dennoch häufig auf Angriffsmethoden, Sicherheitslücken und technische Gegenmaßnahmen. Diese Perspektive greift zu kurz. Ein Cyberangriff wird nicht allein deshalb zur Unternehmenskrise, weil Systeme ausfallen. Er wird zur Unternehmenskrise, wenn die Organisation unter Unsicherheit nicht mehr handlungsfähig ist.

Ein Produktionsstillstand gefährdet Lieferzusagen. Ein Datenabfluss stellt das Vertrauen von Kunden und Geschäftspartnern infrage. Manipulierte Informationen können die Verlässlichkeit unternehmerischer Entscheidungen erschüttern. Ein kompromittierter Dienstleister kann ganze Wertschöpfungsketten beeinträchtigen.

Der technische Vorfall ist nur der Auslöser. Seine wirtschaftliche Tragweite hängt auch davon ab, wie schnell und belastbar ein Unternehmen entscheidet, wie es Verantwortung übernimmt und wie es mit seinen Stakeholdern umgeht. Damit rückt eine bislang häufig unterschätzte Dimension der Cyberresilienz in den Mittelpunkt: Die Fähigkeit, technische Unsicherheit in unternehmerische Entscheidungen zu übersetzen.

Cyberrisiken verändern die Anforderungen an Unternehmensführung

Ein Cybervorfall erzeugt eine ungewöhnliche Entscheidungssituation. Die Zeit für Reaktionen ist knapp, während die Informationslage unvollständig bleibt. Technische Experten arbeiten an der Aufklärung. Rechtsabteilungen bewerten regulatorische und haftungsbezogene Folgen. Operative Einheiten organisieren die Aufrechterhaltung des Geschäftsbetriebs.

Gleichzeitig benötigen Mitarbeitende, Kunden, Lieferanten, Versicherer und gegebenenfalls Investoren oder Behörden belastbare Informationen. Die Anforderungen dieser Stakeholder unterscheiden sich fundamental. Kunden interessieren sich für die Verfügbarkeit von Leistungen und den Schutz ihrer Daten. Mitarbeitende benötigen Orientierung und sichere Handlungsanweisungen. Investoren bewerten mögliche Folgen für Umsatz, Liquidität und Unternehmenswert. Regulierungsbehörden erwarten eine fristgerechte und nachvollziehbare Berichterstattung. Diese Interessen lassen sich nicht durch eine einzige Kommunikationsbotschaft bedienen.

Das Beispiel europäischer Cyberregulierung zeigt die zeitliche Verdichtung. Die NIS2-Richtlinie und das deutsche BSI-Gesetz sehen für betroffene Einrichtungen bei erheblichen Sicherheitsvorfällen grundsätzlich eine frühe Erstmeldung innerhalb von 24 Stunden und eine Folgemeldung innerhalb von 72 Stunden vor. Die konkrete Anwendung hängt von der rechtlichen Einordnung des Unternehmens und des Vorfalls ab.

Damit beginnt der entscheidende Teil der Krisenführung bereits vor einer abschließenden technischen Bewertung. Unternehmen müssen entscheiden, obwohl wesentliche Informationen noch fehlen. Für Vorstände entsteht daraus eine neue Anforderung an Governance. Nicht jede Unsicherheit kann vor einer Entscheidung aufgelöst werden. Entscheidend ist deshalb, welche Informationen für welchen Beschluss erforderlich sind, wer Verantwortung trägt und wann Entscheidungen überprüft werden müssen.

Technische Cyberresilienz braucht eine zweite Ebene

Cybersecurity-Strategien konzentrieren sich zu Recht auf Prävention, Detektion, Eindämmung und Wiederherstellung. Ohne diese Fähigkeiten ist keine belastbare Resilienz möglich. Technische Vorbereitung allein beantwortet jedoch nicht, wie ein Unternehmen mit den Folgen eines Cybervorfalls gegenüber seinem wirtschaftlichen und gesellschaftlichen Umfeld umgeht.

Dafür braucht es eine zweite, eng mit der technischen Incident Response verbundene Ebene. Eine unternehmensweite Entscheidungs- und Kommunikationsarchitektur. Im Kern geht es um vier Fähigkeiten.

• Erstens muss ein gemeinsames Lageverständnis entstehen. Technische Befunde, operative Auswirkungen und Stakeholderreaktionen müssen in einem konsistenten Lagebild zusammengeführt werden. Bestätigte Fakten sind von Annahmen und offenen Fragen zu unterscheiden. Nur dann können Führungskräfte Entscheidungen treffen, deren Grundlagen nachvollziehbar bleiben.
• Zweitens benötigen Unternehmen eindeutige Entscheidungsrechte. Wer beschließt die Information von Kunden? Wer verantwortet öffentliche Aussagen? Welche Entscheidungen werden zwischen CISO, General Counsel, CEO und CCO abgestimmt? Unklare Zuständigkeiten erzeugen Verzögerungen und widersprüchliche Maßnahmen.
• Drittens müssen Stakeholderreaktionen antizipiert werden. Die Reihenfolge und Qualität von Informationen beeinflussen, wie Kunden, Behörden, Mitarbeitende und Geschäftspartner den Vorfall bewerten. Stakeholdermanagement wird damit zu einer operativen Disziplin der Krisensteuerung.
• Viertens braucht die Organisation die Fähigkeit, Entscheidungen kontinuierlich anzupassen. Neue forensische Erkenntnisse können frühere Einschätzungen verändern. Kommunikationsprozesse müssen deshalb mit einer dynamischen Faktenlage umgehen können, ohne Glaubwürdigkeit zu verlieren.

Wir nennen diese Fähigkeit Decision Readiness. Gemeint ist die systematische Vorbereitung von Organisationen auf Entscheidungen unter Unsicherheit, Zeitdruck und hoher Stakeholderexponiertheit. Im Kontext von Cyberrisiken bedeutet Decision Readiness, technische Incident Response, Managemententscheidungen und strategische Kommunikation als zusammenhängenden Prozess zu organisieren.

Der wirtschaftliche Schaden entsteht auch jenseits der IT

Die wirtschaftliche Bedeutung dieser Perspektive ist erheblich. Laut dem Cost of a Data Breach Report 2026 von IBM lagen die durchschnittlichen Kosten eines untersuchten Datenlecks weltweit bei rund fünf Millionen US-Dollar. Für Deutschland nennt IBM durchschnittlich 4,25 Millionen Euro. Diese Werte sind Studienmittelwerte und keine Prognose für einzelne Unternehmen.

Sie zeigen dennoch, weshalb sich Cyberrisiken nicht sinnvoll auf IT-Budgets reduzieren lassen. Die wirtschaftlichen Folgen eines Vorfalls können weit über technische Wiederherstellungskosten hinausgehen. Verlorene Aufträge, unterbrochene Kundenbeziehungen, Vertragskonflikte, zusätzliche regulatorische Prüfungen und eine beschädigte Arbeitgeberreputation können den Schaden langfristig vergrößern.

Besonders relevant ist diese Dynamik in Industrieunternehmen und kritischen Wertschöpfungsketten. Wenn ein Zulieferer nicht mehr liefern kann, entstehen mögliche Folgekosten auch bei seinen Kunden. Die wirtschaftliche Exponiertheit reicht damit über die Grenzen des betroffenen Unternehmens hinaus. Reputation ist in diesem Zusammenhang keine nachgelagerte Frage öffentlicher Wahrnehmung. Vertrauen beeinflusst, ob Kunden Geschäftsbeziehungen fortsetzen, Geschäftspartner zusätzliche Sicherheiten verlangen oder Stakeholder dem Management die Wiederherstellung der Handlungsfähigkeit zutrauen. Reputation ist damit ein wirtschaftlich relevanten Risikopuffer.

Für die Bewertung strategischer Kommunikation ergibt sich daraus eine andere Logik. Nicht allein Medienresonanz und Tonalität sind entscheidend. Relevant ist ebenso, ob Unternehmen kritische Stakeholder rechtzeitig erreichen, Widersprüche vermeiden und wirtschaftlich relevante Beziehungen stabilisieren. Der tatsächliche Wertbeitrag lässt sich nicht immer exakt isolieren. Er kann jedoch über geeignete Indikatoren nachvollziehbar gemacht werden. Dazu gehören die Zeit bis zu kritischen Entscheidungen, die Qualität der Stakeholderinformation, gefährdete Kundenbeziehungen und die Dauer des Vertrauenswiederaufbaus.

Die Rolle des CCO beginnt vor der Krise

Die Konsequenzen reichen über klassische Krisenkommunikation hinaus. Der Chief Communications Officer (CCO) wird in einer Cyberkrise zur Schnittstelle zwischen technischer Aufklärung, Unternehmensführung und externem Entscheidungsumfeld. Seine Aufgabe besteht nicht nur darin, freigegebene Informationen verständlich zu formulieren. Der CCO muss erkennen, welche Unsicherheiten reputationsrelevant sind, welche Stakeholderreaktionen unternehmerische Handlungsoptionen beeinflussen und welche Entscheidungen Kommunikationsfähigkeit überhaupt erst ermöglichen.

Dafür ist eine frühzeitige Einbindung in die Krisenvorbereitung erforderlich. Die traditionelle Trennung zwischen technischen Krisenplänen und kommunikativen Reaktionsplänen birgt das Risiko, dass entscheidende Schnittstellen erst im Ernstfall geklärt werden. In einer dynamischen Cyberkrise kann diese Verzögerung teuer werden. Unternehmen benötigen deshalb gemeinsame Übungen von Vorstand, CISO, CCO, Rechtsabteilung und operativer Führung.

Solche Simulationen sollten nicht allein prüfen, ob ein Krisenstab aktiviert oder eine Pressemitteilung verabschiedet werden kann. Sie müssen zeigen, ob die Organisation auch bei widersprüchlichen Informationen, parallel eskalierenden Stakeholderanforderungen und unvollständigen technischen Befunden entscheidungsfähig bleibt. Daraus entsteht ein anderer Maßstab für Vorbereitung. Entscheidend ist nicht nur, ob ein Krisenhandbuch existiert. Entscheidend ist, ob dessen Entscheidungslogik unter realistischem Druck funktioniert.

– – – – –

Weiterführende Links

👉 www.weichertmehner.com  

Foto: unsplash