70 Tage im Krisenstab – von Joseph Graceffa
Ein Geschäftsführer ruft mich eines Morgens um 8 Uhr an. Daraus werden 70 Tage.
Ich bin CISO eines Family Office. Eines Morgens erhalte ich einen Anruf: Eine der Tochtergesellschaften der Holding wurde angegriffen. Man bittet mich, Kontakt mit dem Geschäftsführer aufzunehmen, was ich sofort tue.
Er sagt mir: „Ich weiß nicht, wer Sie sind, aber bringen Sie Ihre Leute mit. Ich glaube, wir haben ein echtes Problem und werden Hilfe brauchen.“
Wir legen auf. Das Gespräch dauerte 2 Minuten, ich werde 70 Tage damit verbringen.
In meinem vorherigen Beitrag ging es um das, was man vorbereitet: die Bestandsaufnahme, die Klauseln, das richtige Profil. Prävention kann jedoch nicht alles leisten. Krisen sind unvermeidlich. Ich habe im Laufe meiner Karriere mehrere durchgestanden. Hier sind die Erkenntnisse, die ich gern gehabt hätte, bevor ich mich ihnen stellen musste.
Die drei Phasen
Vereinfacht gesagt wird ein schwerer Cyberangriff in der Regel in drei Schritten bewältigt:
Abschotten. Internetzugänge begrenzen, die Kontrolle über die Rechner zurückgewinnen. Man schaltet sie nicht systematisch ab, denn manchmal halten sie den Schlüssel zur Bewältigung der Krise. Dennoch schickt man die Teams ohne ihre Geräte nach Hause, um wieder die Kontrolle zu übernehmen. Das ist kein technischer Reflex, sondern eine Unternehmensentscheidung. Die Abwägungen sind geschäftlicher Natur: Wen schickt man in Kurzarbeit? Wie stellt man sicher, dass die Filialen weiter verkaufen?
Verstehen. Untersuchen und dabei Beweise sichern – sie werden sowohl von der Justiz als auch vom Versicherer verlangt, und man kann sie im Nachhinein nicht wiederherstellen. Den Eintrittspunkt identifizieren: eine schlecht isolierte Netzwerkinfrastruktur, ein exponierter Rechner, oft ein Drittanbieterdienst.
Wiederaufbauen. Die Bereiche schrittweise und kontrolliert wieder hochfahren. Nichts geht auf einen Schlag wieder in Betrieb.
Diese drei Phasen sind allgemein gut bekannt. Was über ihren Erfolg entscheidet, liegt woanders.
Der Takt ist ein Steuerungsinstrument
Folgendes hatte ich nicht vorhergesehen, bevor ich es erlebte: Der Kommunikationsrhythmus im Krisenstab ist ein Instrument, um die Krise zu steuern.
Der Schlüssel liegt darin, getaktete und zunehmend seltenere Abstimmungstermine einzuplanen.
Zu Beginn können diese Termine alle 2 Stunden stattfinden, dann alle 4, dann alle 8 Stunden, bis hin zu einmal täglich, sobald sich ein Regelbetrieb eingestellt hat. Allein der Wechsel von 2 auf 4 Stunden sendet eine Botschaft an alle beteiligten Teams: den Vorstand, die Teams, die Fachbereiche. Man vermittelt, dass sich die Lage stabilisiert.
Seien Sie in diesen Terminen diszipliniert. Halten Sie sich konsequent daran, zu sagen, was man weiß, was man noch nicht weiß und was man tut.
Es ist heilsam, nichts zu verharmlosen, aber auch nichts zu dramatisieren.
Diese Strenge verhindert zwei Dinge, die in einer Krise teuer werden: unumkehrbare, in Panik getroffene Entscheidungen und das ständige, für alle zermürbende Bedürfnis, den aktuellen Stand zu erfahren.
Die Versorgung und die menschliche Grenze
Diese zweite Erkenntnis ist so offensichtlich, dass sie systematisch vernachlässigt wird.
Ein unumstößliches Gesetz der Krise: Sie kommen nie weiter, als Ihre Teams es Ihnen erlauben. Sich um sie zu kümmern, ist der Kern des Ganzen.
Die Versorgung ist also kein Detail. Mahlzeiten, Ruheräume: Das wird geplant, genauso wie ein Kommunikationsplan.
Die Intensität und Dauer solcher Krisen verändern alles. Müdigkeit ist dann kein bloßes Unbehagen mehr, sondern wird zum Risikofaktor. Nach einigen Tagen, in denen Teams Tag und Nacht im Einsatz sind, führt sie zu Fehlern – und mitten in einer Untersuchung kommt ein Fehler teuer zu stehen. Man übersieht einen Eintrittspunkt, schließt eine Spur zu früh ab, fährt einen Bereich wieder hoch, der noch überwacht werden müsste.
Die Versuchung, alle an Deck zu halten, ist groß. Dennoch würde ich empfehlen, so schnell wie möglich zu einem Rhythmus von 9 bis 19 Uhr zurückzukehren, auch wenn die Krise noch nicht vorbei ist. Diese Entscheidung muss täglich neu bewertet werden, schont aber die vorderste Linie und erhält die Qualität ihres Urteilsvermögens.
Die Verbündeten – und die Kämpfe, die sich nicht lohnen
Ein Krisenstab steht nicht allein. Ihre besten Verbündeten in solchen Momenten: die Betriebsteams, die Rechtsabteilung, die Kommunikation und einige vertrauenswürdige Partner, die im Kommando-Modus mobilisiert werden können.
Solche Partner findet man selten am Tag X. Einen guten Incident-Response-Dienstleister entdeckt man zum Beispiel selten erst während des Vorfalls.
Ich sehe den Krisenstab gern als ein Projekt, das man in Ruhe, bewusst und vorbereitet aufbaut. Es sind Beziehungen, in die man investiert, um im Ernstfall reibungslos zusammenarbeiten zu können.
Ein solches Vertrauensklima sollte Ihnen insbesondere eine der häufigsten Fallen in Krisen ersparen: sofort einen Schuldigen zu suchen. Abgesehen davon, dass dies die Untersuchung nicht voranbringt, schadet es einem Team, das in vielen Fällen noch wochenlang durchhalten muss.
Pflegen Sie Wohlwollen und Pragmatismus. Vermeiden Sie eine weitere häufige Falle: alles perfekt analysieren zu wollen, bevor man handelt. Das ist das Null-Risiko unter anderem Namen – und es kostet in der Krise noch mehr als in normalen Zeiten.
In solchen Momenten muss man mit dem entscheiden, was man weiß, nicht mit dem, was man gern wüsste.
Was 70 Tage lehren
Nicht die Technik war am wichtigsten. Sondern der Takt, die Versorgung und die Klarheit darüber, was man nie vollständig wissen würde.
Die Krise belohnt keine Perfektion. Sie belohnt das, was vorher entschieden wurde – die bereitliegenden Vertragsmuster, die identifizierten Partner, die bereits festgelegten Prioritäten.
Bewusstes Risiko statt Null-Risiko: In meinem vorherigen Beitrag war das eine Haltung. Im Krisenstab wird es zur Methode des operativen Überlebens.
—
Wenn Sie diese Themen interessieren, haben wir am 30. September um 10 Uhr Gelegenheit, mit 6 weiteren Experten für Lieferantenrisiken darüber zu sprechen. Kostenlose Anmeldung.