Krisenkommunikation bei einem Cyberangriff: der sichere zweite Kanal

Sonntag, 6:40 Uhr. Die Leitstelle meldet verschlüsselte Dateiserver, im Verzeichnisdienst tauchen unbekannte Administratorkonten auf. Die IT-Leiterin will das Krisenteam zusammenrufen, und stellt sich die naheliegende Frage: Über welchen Kanal eigentlich? Wenn Angreifer seit Tagen im Netz sind, lesen sie die E-Mails mit. Krisenkommunikation bei einem Cyberangriff beginnt deshalb lange vor dem Angriff.

Das Problem: Der Angreifer sitzt mit am Tisch

Bei vielen schweren Vorfällen haben sich Angreifer zuerst Zugang zu Konten mit weitreichenden Rechten verschafft. Damit sind die üblichen Werkzeuge der Zusammenarbeit potenziell kompromittiert: das Mailsystem, der interne Chat, die Videokonferenz und der Dateiablage-Server. Wer dort die Gegenmaßnahmen bespricht, verrät sie womöglich.

Hinzu kommt der praktische Ausfall: Sind Server verschlüsselt oder vorsorglich abgeschaltet, funktionieren Anmeldung und Postfach nicht mehr. Dann greifen Teams zu privaten Messengern und Telefonketten, unstrukturiert, ohne Protokoll und mit dem Risiko, dass vertrauliche Details in privaten Chatverläufen landen.

Zeitdruck durch die Meldepflicht

Seit dem 6. Dezember 2025 gilt in Deutschland das NIS2-Umsetzungsgesetz. Besonders wichtige und wichtige Einrichtungen müssen einen erheblichen Sicherheitsvorfall dem BSI unverzüglich, spätestens aber binnen 24 Stunden nach Kenntnis in einer frühen Erstmeldung anzeigen, gefolgt von einer bewertenden Meldung und einer Abschlussmeldung (§ 32 BSIG). Für diese Meldungen müssen Geschäftsführung, IT, Datenschutz, Rechtsabteilung und Kommunikation schnell und vertraulich zusammenarbeiten, oft während das eigene Netz nicht vertrauenswürdig ist.

Krisenkommunikation bei einem Cyberangriff: Was der Kanal können muss

Ein Krisenkanal ist mehr als „noch ein Messenger“. Er sollte:

• Unabhängig sein: eigene Konten, eigene Anmeldung, kein Single Sign-on über das möglicherweise kompromittierte Verzeichnis. Betrieb außerhalb der eigenen Infrastruktur oder auf getrennter Hardware.
• Ende-zu-Ende verschlüsselt sein: Auch der Betreiber darf nicht mitlesen können, ebenso wenig ein Angreifer, der einen Server übernommen hat.
• Alle Formen abdecken: Chat für Lagemeldungen, Anrufe und Video für Abstimmungen, Dateiablage für Lagebilder, Meldeentwürfe und Forensikberichte.
• Externe einbinden können: Forensikdienstleister, Kanzlei, Versicherung, Behörden, als Gäste ohne Zugang zu internen Systemen.
• Nachvollziehbar sein: Wer hat wann was entschieden? Das braucht die Abschlussmeldung, und das braucht später auch die Versicherung.

Merksatz: Der Krisenkanal ist ein Feuerlöscher, kein Werkzeug für den Alltag. Er muss da sein, bevor es brennt, und jeder muss wissen, wo er hängt.

Wenn es schnell gehen muss: versiegelte Nachrichten

Nicht jeder im Krisenstab ist sofort im neuen Kanal. Für die ersten Minuten hilft eine versiegelte Nachricht: Der Text wird verschlüsselt und als Link über jeden beliebigen Messenger oder per SMS verschickt. Lesbar ist er nur für den vorgesehenen Empfänger, mit Ablaufdatum und Lesebestätigung. So lassen sich Zugangsdaten zum Krisenraum, Treffpunkte oder erste Anweisungen verteilen, ohne sie im Klartext in fremde Chatverläufe zu schreiben.

Was Sie jetzt tun können

1. Krisenkanal vorab einrichten: mit festen Mitgliedern, eigenen Konten und Zwei-Faktor-Anmeldung, getrennt vom Verzeichnis des Unternehmens.
2. Kontaktliste offline sichern: Telefonnummern und Zuständigkeiten auf Papier, im Tresor und beim Notfallmanagement.
3. Externe Partner hinterlegen: Forensik, Kanzlei, Versicherung als vorbereitete Gäste.
4. Meldevorlagen vorbereiten: für die 24-Stunden-, die 72-Stunden- und die Abschlussmeldung, abgelegt im Krisenraum.
5. Üben: mindestens einmal im Jahr, gern an einem Sonntagmorgen.

PQVault als Krisenkanal

PQVault Collaboration bietet Chat, Anrufe und Video, Ende-zu-Ende verschlüsselt und zusätzlich mit NIST-standardisierten Post-Quanten-Verfahren, als SaaS in der EU oder getrennt im eigenen Betrieb. Externe nehmen als Gäste teil. Erste Nachrichten verteilen Sie mit PQVault Seal über jeden Messenger; Lagebilder und Meldeentwürfe liegen in einem Datenraum von PQVault Spaces. Mehr Szenarien für Betreiber finden Sie unter Digitale Infrastruktur & Rechenzentren.