Laut Statistik-Portal Statista sind die weltweiten registrierten Cyberangriffe von 2,3 Millionen 2009 auf 42,8 Millionen 2014 angestiegen. Das entspricht 117.000 Cyberattacken täglich. Banken sind laut Financial Times sogar 300 Prozent häufiger von Cyberattacken betroffen als andere Branchen. Die Statistik gibt jedoch keine Auskunft über die tatsächliche Höhe der verübten Cyberangriffe. „Hier gibt es eine hohe Dunkelziffer. Die von Unternehmen gemeldeten Angriffe liegen in Europa weit unter der Zahl der tatsächlich angefallenen Cyberattacken“, erklärt Dr. Andreas Splittgerber, Partner und Leiter der deutschen Datenschutzpraxis bei Olswang in München. Andere Quellen sprechen sogar davon, dass bei Banken nur 10 Prozent der Cyberangriffe gemeldet werden. Der Grund hierfür liegt auf der Hand. Banken werden in Deutschland seit der Lehmankrise 2008 noch kritischer beäugt. Somit ziehen es viele Banken vor, aus Angst vor einem weiteren Imageverlust einen Cyberangriff nicht zu melden.
Neues IT-Sicherheitsgesetz erhöht Anforderungen an Banken
Das neue IT-Sicherheitsgesetz möchte diesem Schweigen entgegenwirken. Denn zukünftig haftet das Management nicht mehr nur dann, wenn eine Bank gehackt wird, weil die technischen Voraussetzungen nicht den aktuellen Anforderungen entsprochen haben, sondern auch, wenn eine Cyberattacke nicht gemeldet wird. „Die Banken müssen dieses neue Gesetz wirklich ernst nehmen“, so Splittgerber. „In Deutschland besteht Meldepflicht einer Cyberattacke nicht mehr nur dann, wenn Bankkontodaten oder Kreditkartendaten gehackt wurden, sondern bei allen erheblichen IT-Sicherheitsvorfällen – unabhängig davon, ob personenbezogene Daten betroffen sind oder nicht. Also vielleicht sogar auch schon, wenn wie kürzlich, nur die Webseite der Europäischen Zentralbank angegriffen wurde“.
Gut geplante Kommunikation bei Cyberangriffen wird immer wichtiger
Der richtige Umgang mit Cyberangriffen, auch aus Kommunikationssicht, wird somit immer wichtiger. Wer sich erst nach einem Angriff Gedanken macht, wie die nächsten Schritte aussehen könnten und wie kommuniziert werden soll, wird leicht zum Gejagten der Medien, der Kunden und der Öffentlichkeit. Das kann teuer werden und mit Imageverlusten einhergehen. Mit einer ausgearbeiteten Krisenkommunikationsstrategie können Unternehmen schneller auf einen Cyberangriff reagieren.
So fällt es bei guter Vorbereitung zum Beispiel leichter zu entscheiden, ob proaktiv unmittelbar nach einem aufgedeckten Cyberangriff kommuniziert wird oder ob es Gründe gibt, einer reaktiven Kommunikation den Vorzug zu geben; die Kommunikation also erst in Gang gesetzt wird, wenn die Öffentlichkeit aus anderen Quellen vom Cyberangriff erfahren hat. Für beide Optionen sollten die Kriterien im Vorfeld festgelegt worden sein sowie Prozesse und mögliche Botschaften mit allen Entscheidern abgestimmt sein – maßgeschneidert für alle heute üblichen Kommunikationskanäle, von Printmedien und TV/Radio über Social Media bis hin zur Firmenwebseite und natürlich auch für die interne Kommunikation mit den Mitarbeitern.
Hektik und Nervosität nach dem Angriff
Durch eine rechtzeitige Planung gewinnt das betroffene Unternehmen im Ernstfall Zeit. Nach einem Angriff herrscht meist Hektik und Nervosität. Häufig gibt es auch juristische Einschränkungen, die berücksichtigt werden müssen. Deshalb empfiehlt sich die Zusammenarbeit mit einem kompetenten Anwalt. Eine gute Kommunikation berücksichtigt dabei allerdings sowohl juristische als auch emotionale Aspekte. Mit einer bereits existierenden Kommunikationsstrategie werden die Entscheidungsträger sicher durch die heiße Phase der Krise geführt, damit das Opfer nicht zum Beschuldigten wird.
