Sophos gibt Tipps für Krisenkommunikation
Kommunikationsstrategie nach Datenklau
Der Albtraum für jedes Unternehmen ist, wenn eine Cyberattacke zu einem Datendiebstahl geführt hat. Wie lässt sich dieses Worst-Case-Szenario, ganz abgesehen vom finanziellen und materiellen Schaden, in Sachen Kommunikation überstehen, ohne Nutzer oder Aktionäre zu verlieren? Sophos und der Associate Professor für Cybersicherheit Jason R.C. Nurse von der Universität Kent haben in einer Diskussion wichtige Antworten zu dieser Frage entwickelt, die nachfolgend zusammengefasst sind.
Wenn Cyberkriminelle große Mengen Unternehmensdaten entwenden konnten, stehen forensische Fragen wie das Aufdecken der Einfallstore und das Vorgehen der Hacker im Netzwerk stark im Fokus. Wenn es um die Reaktion auf Datendiebstahl geht, muss es Unternehmen bewusst sein, wie wichtig die Art und Weise der Kommunikation des Vorfalls an die Öffentlichkeit ist. Mit entsprechender Vorbereitung und einer gut durchdachten Reaktion lässt sich das Vertrauensverhältnis zu Nutzern und der Öffentlichkeit in vielen Fällen aufrechterhalten.
Der Arbeitsaufwand vor einem Datendiebstahl ist entscheidend, aber viele Organisationen übersehen diese Vorbereitungsphase – zumindest in Sachen Kommunikationsstrategie. Um effektiv auf eine Datenverletzung zu reagieren, muss das Unternehmen im Voraus festlegen, wer als Sprecher in die Öffentlichkeit tritt und welche allgemeinen Kommunikationsregularien gelten.
Die Liste derjenigen, die in der Öffentlichkeit sprechen, sollte dabei so klein wie möglich sein, bestenfalls bestehen aus einem Experten oder einer Führungskraft. So lässt sich sicherstellen, dass die Botschaft konsistent bleibt und Verwirrungen ausgeschlossen sind. Hilfreich ist es, mögliche Fragen von Presse, Aktionären oder Nutzern vorauszusehen und kompakte Antworten darauf parat zu haben. Diesen Masterplan sollten Unternehmen für verschiedene Sicherheitsvorfälle erstellen und mit regelmäßigen Überprüfungen aktuell halten. Zudem sorgen diese regelmäßigen Testläufe dafür, dass jeder Mitarbeiter seine Verantwortlichkeiten kennt und weiß, mit wem er worüber sprechen darf.
Aufrichtigkeit bleibt die beste Strategie bei Unternehmensvorfällen, es sei denn eine gesetzliche Regelung gebietet etwas anderes. Entscheidet sich das Unternehmen zur Geheimhaltung, birgt das immer die Gefahr, dass der Vorfall später herauskommt und der Image-Schaden dann umso größer ist. Zudem dürfen Verantwortliche nicht unterschätzen, dass die gestohlenen Daten auf kriminellen Online-Märkten landen können.
Wenn eine Cyberattacke stattgefunden hat, entsteht bei den Betroffenen schnell die Versuchung, sich als Opfer darzustellen. Obwohl dies im technischen Sinn stimmt, bewertet die Öffentlichkeit ein solches Verhalten oft negativ. Wer als Organisation oder Unternehmen mit persönlichen oder anderen wichtigen Daten arbeitet, ist in der Verantwortung, diese Daten auch zu schützen. Deshalb sollten Unternehmen die Dimension eines Datendiebstahls aus Sicht der Anwender verstehen, die Verantwortung übernehmen sowie schnell, klar und sachlich kommunizieren, wie es auf den Datendiebstahl reagiert.
Für die Krisenkommunikation rät Sophos zunächst schnell zu antworten, klare Botschaften zu liefern, einen Kommunikationskanal zu nutzen, Verantwortung zu übernehmen und schließlich die Betroffenen auf dem Laufenden zu halten.
Weitere Informationen finden sich unter www.sophos.com.
Lesen Sie mehr zum Thema
