Krisenmanagement: Krisenmanagement umfasst alle organisatorischen Vorkehrungen und Handlungsabläufe, mit denen ein Unternehmen auf außergewöhnliche, existenzbedrohende Ereignisse reagiert, um Schäden zu begrenzen und handlungsfähig zu bleiben.
Typische Krisenauslöser sind Cyberangriffe, Naturereignisse, der Ausfall zentraler Lieferanten, Reputationsschäden oder rechtliche Auseinandersetzungen mit existenzieller Tragweite. Ein funktionierendes Krisenmanagement definiert im Vorfeld klare Rollen, etwa einen Krisenstab, Kommunikationswege und Eskalationsstufen, statt diese erst im Ernstfall zu improvisieren.
| Baustein | Inhalt |
|---|---|
| Krisenstab | Feste Rollen, Vertretungsregelung |
| Kommunikationsplan | Intern, Kunden, Behörden, Presse |
| Eskalationsstufen | Wann wird wer informiert und eingebunden? |
Krisenmanagement überschneidet sich mit Business Continuity Management, ist aber breiter gefasst: BCM konzentriert sich auf die Fortführung kritischer Geschäftsprozesse, Krisenmanagement schließt zusätzlich Kommunikation, Reputation und rechtliche Aspekte ein, auch wenn keine unmittelbare Betriebsunterbrechung vorliegt.
Regelmäßige Krisenübungen decken meist auf, dass die größte Schwachstelle nicht fehlendes Fachwissen, sondern unklare Entscheidungsbefugnisse im Ernstfall sind.
Ein einfaches, aber wirksames Mittel ist eine laminierte Kurzübersicht mit den wichtigsten Kontakten und Sofortmaßnahmen, die auch dann verfügbar bleibt, wenn digitale Systeme selbst von der Krise betroffen sind. Gerade bei IT-Ausfällen erweist sich eine rein digital hinterlegte Krisendokumentation im Ernstfall oft als eigenes Problem, wenn genau diese Systeme nicht mehr zugänglich sind.
Relevanz für die Zertifizierung
Innerhalb eines ISMS nach ISO 27001 ist Krisenmanagement eng mit den Anforderungen an Business Continuity und Vorfallbehandlung verknüpft, wird von Auditoren aber häufig zusätzlich auf die Kommunikationsebene geprüft: Existiert ein Plan, wer im Krisenfall Kunden, Behörden oder Presse informiert? Betriebe ohne definierte Kommunikationsrollen geraten im Ernstfall häufig zusätzlich zum eigentlichen Vorfall in eine selbstverschuldete Kommunikationskrise. Kleinere Unternehmen ohne eigene Kommunikationsabteilung profitieren von einer vorab vorbereiteten, einfachen Vorlage für erste Kunden- und Presseinformationen, die im Ernstfall nur noch situationsspezifisch angepasst werden muss, statt unter Zeitdruck erstmals formuliert zu werden. Solche einfachen Vorkehrungen kosten wenig, wirken im Ernstfall aber überproportional stark. Ein solcher einfacher Baustein gehört in jedes praxistaugliche Krisenmanagement, unabhängig von der Unternehmensgröße. Dieser Punkt wird im Audit erfahrungsgemäß häufig konkret nachgefragt.
Häufige Fragen zu Krisenmanagement
Business Continuity Management konzentriert sich auf die Fortführung oder schnelle Wiederherstellung kritischer Geschäftsprozesse nach einer Störung. Krisenmanagement ist breiter gefasst und schließt zusätzlich Krisenkommunikation, Reputationsschutz und rechtliche Aspekte ein, auch wenn kein unmittelbarer Prozessausfall vorliegt, etwa bei einem reinen Reputationsschaden.
Üblich sind Geschäftsführung oder eine bevollmächtigte Vertretung, Verantwortliche für Kommunikation, IT beziehungsweise Sicherheit sowie je nach Krisenart Rechtsberatung oder Personalabteilung. Wichtig ist eine feste Vertretungsregelung, damit der Krisenstab auch bei Abwesenheit einzelner Personen handlungsfähig bleibt. Eine klare, geübte Vertretungsregelung verhindert zusätzlich Verzögerungen bei Abwesenheit einzelner Personen.
Eine feste gesetzliche Frist existiert meist nicht, in ISO-27001-Audits gilt aber eine mindestens jährliche Übung oder Simulation als gängige Praxis. Ohne regelmäßige Übung zeigt sich im echten Ernstfall häufig, dass Rollen und Kommunikationswege in der Theorie klarer wirkten als in der tatsächlichen Umsetzung.