Ein Montag, 7:30 Uhr. Ihre IT meldet einen Systemausfall, kurz darauf klingelt das erste Medientelefon. Auf Twitter kursiert bereits ein Bildschirmfoto, das angeblich interne Kundendaten zeigt. Und Sie haben keinen Krisenplan. Keine klaren Verantwortlichkeiten. Keine abgestimmte Stellungnahme. Genau in diesem Moment entscheidet sich, wie groß der Schaden wird.
Professionelles Krisenmanagement im Unternehmen ist keine Aufgabe für einen ruhigen Strategietag in zwei Jahren. Es ist eine unternehmerische Grundvoraussetzung, die sich vorbereiten, strukturieren und trainieren lässt. Dieser Leitfaden zeigt Ihnen, wie Sie einen praxistauglichen Krisenplan aufstellen, einen Krisenstab strukturieren, die richtigen Sofortmaßnahmen einleiten und im Ernstfall glaubwürdig kommunizieren.
Warum der erste Moment über den gesamten Krisenverlauf entscheidet
Krisen kommen selten allein und selten angekündigt. Was Sie in den ersten Stunden tun oder unterlassen, prägt das öffentliche Bild Ihres Unternehmens für Wochen. Wer planlos reagiert, zahlt doppelt: einmal für den eigentlichen Schaden und einmal für den Vertrauensverlust, der durch schlechte Kommunikation entsteht.
Welche Krisentypen Unternehmen am häufigsten treffen
Grob lassen sich drei Kategorien unterscheiden. Betriebsstörungen umfassen IT-Ausfälle, Lieferkettenstörungen oder Produktionsausfälle. Datenschutzvorfälle betreffen Ransomware-Angriffe, Datenlecks oder unberechtigte Zugriffe. Reputationskrisen entstehen durch negative Medienberichterstattung, Empörungswellen in sozialen Netzwerken oder öffentliche Eskalationen.
Der entscheidende Punkt: Diese Krisentypen überlagern sich häufig. Ein IT-Vorfall wird zur Datenpanne, die Datenpanne wird zur Reputationskrise. Wer das versteht, bereitet nicht drei separate Pläne vor, sondern eine gemeinsame Grundstruktur, die flexibel auf verschiedene Szenarien passt.
Was ohne Plan in den ersten Stunden passiert
Ohne Vorbereitung entstehen in Krisen immer dieselben Muster: Aktionismus ohne klare Führung, widersprüchliche Aussagen über verschiedene Kanäle und Entscheidungslähmung auf der Führungsebene. Als Volkswagen im Dieselabgasskandal unter Druck geriet, stand Berichten zufolge rasch eine interdisziplinäre Sondergruppe aus Kommunikation, Technik und Recht bereit, die Informationen laufend auswertete. Unternehmen ohne eine vergleichbare Struktur verlieren in derselben Situation Zeit, die sich nicht nachholen lässt. Je schneller eine klare Führungsstruktur steht, desto begrenzter bleibt der Schaden.
Krisenmanagement im Unternehmen: In sieben Schritten zum praxistauglichen Krisenplan
Ein Krisenplan ist kein theoretisches Dokument, das im Schrank verstaubt. Er ist eine konkrete Handlungsanweisung für den Ernstfall, kurz genug, um in der Akutphase tatsächlich genutzt zu werden. Das Grundgerüst folgt sieben aufeinander aufbauenden Schritten, die im Folgenden erläutert werden.
Kritische Prozesse bewerten und Risiken priorisieren
Starten Sie mit der Frage: Welche Prozesse, Daten, Systeme und Lieferanten braucht Ihr Unternehmen zwingend, um handlungsfähig zu bleiben? Legen Sie für diese Bereiche eine maximal tolerierbare Ausfallzeit fest. Typische Szenarien wie Ransomware, Personalausfall, Wasserschaden oder ein Lieferantenausfall sollten dabei nach Eintrittswahrscheinlichkeit und möglichem Schadensausmaß gewichtet werden.
Hilfreich ist eine einfache Priorisierungsmatrix: Tragen Sie auf einer Achse die Eintrittswahrscheinlichkeit ein, auf der anderen das Schadensausmaß. Szenarien im oberen rechten Quadranten erfordern zuerst konkrete Vorbereitungsmaßnahmen. So entsteht kein allgemeines Risikobekenntnis, sondern eine klare Handlungsgrundlage, ein Ansatz, den auch das Business-Continuity-Management empfiehlt.
Verantwortlichkeiten, Eskalationswege und Stellvertretungen festlegen
Der Plan muss klar benennen, wer den Krisenstab einberuft, wer Entscheidungen trifft und wer alles dokumentiert. Wichtig ist außerdem die Eskalationsschwelle: Ab wann wird aus einem Vorfall eine Krise? Stellvertretungsregelungen gehören verbindlich in den Plan, damit die Handlungsfähigkeit auch dann erhalten bleibt, wenn eine Schlüsselperson im Urlaub oder krank ist. Fehlen solche Regelungen, greifen Notfallpläne im Ernstfall häufig nicht, ein oft beobachtetes Versäumnis, das sich mit geringem Aufwand vermeiden lässt.
Wiederanlauf planen und den Plan regelmäßig testen
Datensicherungskonzepte, Wiederherstellungsziele und Zugriffsregelungen müssen dokumentiert sein, bevor eine Krise eintritt. Überarbeiten Sie den Krisenplan mindestens einmal jährlich und passen Sie ihn bei wesentlichen Unternehmensveränderungen an. Krisenübungen in Form moderierter Tischsimulationen eines fiktiven Vorfalls sind der praxistauglichste Weg, Lücken im Plan zu finden: Was fehlt, fällt im Ernstfall auf und kostet dann weit mehr als die Übung.
Den Krisenstab richtig aufstellen: Rollen, Befugnisse, Entscheidungswege
Der Krisenstab ist die zentrale Führungs- und Entscheidungsinstanz in einer außergewöhnlichen Lage. Er bewertet die Situation, priorisiert Maßnahmen und koordiniert die interne wie externe Kommunikation. Damit er das leisten kann, braucht er klare Rollen und eindeutig geregelte Entscheidungswege, bereits vor dem Ernstfall.
Welche Rollen ein Krisenstab braucht
Bewährt hat sich eine schlanke, eindeutige Aufteilung. Die Krisenstabsleitung trägt die Gesamtverantwortung, priorisiert und gibt die Außenkommunikation frei. Eine eigene Rolle für Lage und Dokumentation sorgt dafür, dass das Lagebild stets aktuell ist und alle Entscheidungen protokolliert werden. Die kommunikationsverantwortliche Person koordiniert interne und externe Botschaften und steuert Medienanfragen. Fachberater aus IT, Recht, Personalwesen oder Produktion bringen Spezialwissen ein, ohne die Stabsleitung zu ersetzen. Für jede Rolle muss es eine vorab benannte Stellvertretung geben.
Klare Befugnisse statt Zuständigkeitsdiffusion
Schriftlich festzulegen, wer welche Entscheidungen selbst treffen darf und was eskaliert werden muss, ist keine bürokratische Übung. Es ist die Grundlage dafür, dass im Ernstfall schnell gehandelt wird, ohne dass jede Maßnahme in einer Abstimmungsschleife feststeckt. Strategische Maßnahmen und externe Kommunikation laufen immer über die Stabsleitung. Die operative Umsetzung obliegt den Fachbereichen. Diese Trennung konsequent einzuhalten verhindert das Zuständigkeitschaos, das in der kritischen Phase den meisten Schaden anrichtet.
Sofortmaßnahmen in den ersten 72 Stunden: Klar nach Krisentyp vorgehen
Die ersten 72 Stunden sind in der Krisenforschung anerkannt als die Phase, in der das Ausmaß des Schadens wesentlich bestimmt wird. Drei Krisentypen folgen dabei einer unterschiedlichen Logik, teilen aber eine gemeinsame Grundstruktur: eindämmen, intern eskalieren, Belege sichern, Lage bewerten, kommunizieren, dokumentieren.
Betriebsstörungen und IT-Vorfälle: eindämmen, eskalieren, dokumentieren
Betroffene Systeme sofort vom Netzwerk trennen, Zugänge sperren und Datensicherungen schützen: Das sind die ersten Schritte bei jedem IT-Vorfall. Gleichzeitig informieren Sie intern die IT-Abteilung, die Geschäftsführung und bei Bedarf die Rechtsabteilung und berufen den Krisenstab ein. Entscheidend ist außerdem die Beweissicherung: Protokolldateien, Bildschirmfotos und Systemzustände müssen dokumentiert werden, bevor weitere Änderungen vorgenommen werden. Alle Entscheidungen und Zeitpunkte halten Sie lückenlos fest, auch wenn die Lage noch unübersichtlich ist.
Datenschutzvorfälle und die 72-Stunden-Meldepflicht der DSGVO
Bei einem Datenleck oder unberechtigten Zugriff greifen dieselben Sofortmaßnahmen wie bei IT-Vorfällen. Zusätzlich binden Sie den Datenschutzbeauftragten unmittelbar ein und nehmen eine Risikoabschätzung vor. Bei einem meldepflichtigen Vorfall muss die zuständige Datenschutzbehörde innerhalb von 72 Stunden informiert werden,gerechnet ab dem Zeitpunkt, zu dem der Vorfall intern bekannt wurde. Wochenenden und Feiertage zählen dabei mit.Wenn für die betroffenen Personen ein hohes Risiko besteht, ist zusätzlich deren persönliche Benachrichtigung verpflichtend.
Reputationskrisen: Kontrolle über die Kommunikation halten
Hier gilt eine klare Reihenfolge: zuerst intern klären, dann öffentlich sprechen. Bevor eine Stellungnahme nach außen geht, muss der Sachverhalt intern so weit gesichert sein, dass keine widersprüchlichen Aussagen entstehen. Der Krisenstab koordiniert, was über welchen Kanal kommuniziert wird und zu welchem Zeitpunkt. Schnell reagieren ist richtig, aber nur mit gesicherten Informationen. Spekulationen in der Akutphase verschlimmern die Lage zuverlässig.
Krisenkommunikation: Was intern und extern wirklich zählt
Schlechte Kommunikation in einer Krise ist oft teurer als die Krise selbst. Vertrauensverlust, verunsicherte Mitarbeitende, skeptische Kunden und misstrauische Behörden sind die Folgen, wenn Unternehmen schweigen, zu spät reagieren oder widersprüchliche Signale senden. Lufthansa hat während der Pandemie einen anderen Weg gezeigt: Das Unternehmen setzte auf konsistente Botschaften über interne und externe Kanäle hinweg, eine hohe Informationstaktung für Mitarbeitende und eine verlässliche Krisenkommunikation, die trotz massiver Einschnitte einen dauerhaften Reputationsschaden abwenden konnte.
Die interne Erstinformation für die Belegschaft
Mitarbeitende müssen immer vor den Medien informiert werden. Es ist nicht akzeptabel, wenn die eigene Belegschaft aus einem Nachrichtenportal erfährt, was im eigenen Unternehmen passiert. Die interne Erstinformation muss nicht vollständig sein, aber ehrlich: Was wir wissen, was noch geprüft wird, welche Sofortmaßnahmen bereits laufen und wann das nächste Update folgt. Benennen Sie eine interne Ansprechperson und bitten Sie ausdrücklich um Vertraulichkeit gegenüber externen Stellen.
Externe Kommunikation: Pressemitteilung, soziale Netzwerke und einheitliche Sprachregelung
Die externe Erstmitteilung ist kurz, sachlich und enthält nur gesicherte Fakten: Was ist passiert, welche Maßnahmen laufen, wann folgt das nächste Update. Für soziale Netzwerke gilt: sehr knapp, Verweis auf die offizielle Informationsquelle, kein Spekulieren. Website, E-Mail-Verteiler, Telefonhotline und soziale Netzwerke müssen dieselbe Botschaft vermitteln. Eine einheitliche Sprachregelung über alle Kanäle verhindert, dass Medien oder Interessengruppen Widersprüche finden und daraus eine Folgegeschichte stricken. Keine Schuldeingeständnisse und keine Schuldzuweisungen in der Erstkommunikation. Vorbereitete Vorlagen sollten juristisch geprüft sein; bei sensiblen Aussagen ist eine rechtliche Abstimmung vor der Veröffentlichung anzustreben.
Mit einem erfahrenen Partner arbeiten, wenn es darauf ankommt
Wer in der Akutphase keinen ausgearbeiteten Kommunikationsplan hat, braucht schnell externe Unterstützung. Lieblingsblatt begleitet Unternehmen als strategischer Sparringspartner im Krisenmanagement: von der Lageorientierung über die Entwicklung von Kommunikationsvorlagen bis hin zur Abstimmung klarer Botschaften für Belegschaft, Medien, Behörden und Geschäftspartner. Der Vorteil: Interne Ressourcen bleiben auf die Schadensbegrenzung fokussiert, während die Kommunikation professionell gesteuert wird.
Krisenmanagement im Unternehmen beginnt nicht im Ernstfall, es beginnt heute. Ein praxistauglicher Krisenplan, ein strukturierter Krisenstab mit geregelten Befugnissen, konsequente Sofortmaßnahmen in den ersten 72 Stunden und klare Kommunikationsregeln für intern und extern: Das sind die Bausteine, die darüber entscheiden, ob ein Unternehmen eine Krise bewältigt oder von ihr bewältigt wird.
Prüfen Sie Ihren Krisenplan noch heute. Wenn er noch nicht existiert, ist jetzt der richtige Zeitpunkt, ihn zu entwickeln. Lieblingsblatt unterstützt Sie dabei, als erfahrener Partner für Krisenmanagement und strategische Kommunikation. Sprechen Sie uns an.