![\"\"](\"https:\/\/clifftide.com\/wp-content\/uploads\/2026\/09\/Clifftide-Newsletter-14-1024x576.png\")
<\/figure>\n\n\n\nFoto: Netspy \/ Wikimedia Commons, CC BY-SA 4.0. Antonov An-124 am Flughafen Leipzig\/Halle, 2016. Zugeschnitten und mit Text erg\u00e4nzt durch Clifftide.<\/sup><\/code><\/pre>\n\n\n\nAm 9. September sagte Bundeskanzler Friedrich Merz, Deutschland sei bei einem versuchten Drohnenangriff auf den Flughafen Leipzig\/Halle nur knapp einer Katastrophe entgangen. Das berichtete Reuters<\/a>.<\/p>\n\n\n\nEr bezog sich auf einen Vorfall in der Nacht vom 4. auf den 5. August, als am Flughafen eine Drohne mit einem Sprengsatz entdeckt wurde. Der Flugbetrieb wurde vor\u00fcbergehend eingestellt. Ein Passagierflugzeug und 19 Frachtflugzeuge wurden umgeleitet, wie der MDR<\/a> berichtete.
In einer offiziellen Mitteilung<\/a> vom 5. August erkl\u00e4rten die s\u00e4chsischen Ermittlungsbeh\u00f6rden, dass der Passagierflugverkehr wieder normal laufe und f\u00fcr Flugg\u00e4ste und Flughafenpersonal keine Gefahr bestehe. Zugleich teilten sie mit, dass sie wegen der laufenden Ermittlungen keine weiteren Einzelheiten ver\u00f6ffentlichen k\u00f6nnten.<\/p>\n\n\n\nVier Wochen nach dem Vorfall, am 1. September, machte Deutschland Russland \u00f6ffentlich f\u00fcr den versuchten Angriff verantwortlich<\/a>. Russland wies den Vorwurf zur\u00fcck<\/a>.<\/p>\n\n\n\nEin am 5. September ver\u00f6ffentlichter Bericht des Instituts der deutschen Wirtschaft<\/a> ordnet die Bedrohung in einen gr\u00f6sseren wirtschaftlichen Zusammenhang ein. Laut IW-Zukunftspanel berichtete fast jedes f\u00fcnfte befragte Unternehmen von starken oder sehr starken Auswirkungen ausl\u00e4ndischer hybrider Bedrohungen, darunter Cyberangriffe, Sabotage, Spionage und Desinformation. Bei Grossunternehmen lag der Anteil bei 39 Prozent. Der Bericht zeigte zudem, dass die Mehrheit der Unternehmen keine Notfallpl\u00e4ne f\u00fcr den Ausfall kritischer Infrastruktur hatte. Die meisten tauschten sich auch nicht mit Sicherheitsbeh\u00f6rden \u00fcber m\u00f6gliche Bedrohungen, Notfallpl\u00e4ne und Reaktionsstrategien aus.<\/p>\n\n\n\nF\u00fcr ein Unternehmen, dessen Betrieb beeintr\u00e4chtigt ist, kann es verantwortungsvoll erscheinen, zun\u00e4chst die vollst\u00e4ndige Aufkl\u00e4rung abzuwarten. F\u00fchrungskr\u00e4fte haben gute Gr\u00fcnde, Spekulationen zu vermeiden, besonders wenn eine fr\u00fche Stellungnahme Kunden beunruhigen, sensible Informationen offenlegen oder die Ermittlungen beeintr\u00e4chtigen k\u00f6nnte.<\/p>\n\n\n\n
Gleichzeitig sp\u00fcren Mitarbeitende und Kunden m\u00f6glicherweise bereits die Folgen.<\/p>\n\n\n\n
\n- Ein Kunde, dessen Lieferung sich versp\u00e4tet, muss wissen, ob er eine andere L\u00f6sung organisieren sollte.<\/li>\n\n\n\n
- Ein Mitarbeitender, der seinen Arbeitsplatz nicht betreten kann, braucht eine Anweisung, wo er sich melden soll.<\/li>\n<\/ul>\n\n\n\n
Der Hinweis auf laufende Ermittlungen allein beseitigt ihre Unsicherheit nicht.<\/p>\n\n\n\n
Das Unternehmen verf\u00fcgt m\u00f6glicherweise bereits \u00fcber Informationen, die ihnen weiterhelfen, auch wenn es noch nicht erkl\u00e4ren kann, wer die St\u00f6rung verursacht hat. Es muss entscheiden, welche Informationen es verl\u00e4sslich weitergeben kann, wo es Unsicherheit offen benennen muss und welche Einzelheiten vertraulich bleiben m\u00fcssen.<\/p>\n\n\n\n
Daraus ergibt sich eine dringende Frage:<\/p>\n\n\n\n
Was kann ein Unternehmen seinen Mitarbeitenden und Kunden mitteilen, solange es die Ursache oder den Angreifer noch nicht kennt? Wie kann es ihnen Informationen geben, die ihnen bei ihren Entscheidungen helfen, und dabei vertrauliche Details sch\u00fctzen und voreilige Schlussfolgerungen vermeiden?<\/p>\n\n\n\n
So w\u00fcrde ich die Leitlinien in sechs praktische Kommunikationsentscheidungen f\u00fcr Unternehmen \u00fcbersetzen:<\/p>\n\n\n\n
Der Fall Leipzig\/Halle zeigt, wie lange unklar bleiben kann, wer hinter einem Angriff steckt, selbst wenn die m\u00f6glichen Folgen schwerwiegend sind. Die neuen Leitlinien befassen sich mit einer anderen, aber verwandten Herausforderung: Wie sollten Dienstleister bei Ausf\u00e4llen von IT und operativer Technologie (OT) kommunizieren, w\u00e4hrend die Ursache noch untersucht wird? Die Grunds\u00e4tze k\u00f6nnen auch anderen Unternehmen helfen, ihre Kommunikation unter Unsicherheit zu strukturieren. Branchenspezifische gesetzliche und regulatorische Pflichten m\u00fcssen sie dabei gesondert ber\u00fccksichtigen.<\/p>\n\n\n\n
\n\n\n\n
Kommunikation unter Druck: Empfehlungen f\u00fcr Dienstleister<\/h1>\n\n\n\n
Die gemeinsamen Leitlinien<\/a> mit dem Originaltitel \u00abCommunicating Under Pressure: Best Practices for Service Providers\u00bb erschienen am 2. September 2026. Herausgeber sind die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA), das FBI sowie Partnerbeh\u00f6rden aus Kanada, Australien, Neuseeland und dem Vereinigten K\u00f6nigreich.<\/p>\n\n\n\nHINWEIS: Der Leitfaden behandelt die Kommunikation bei Ausf\u00e4llen technischer Dienste, auch wenn Angriffe, Ger\u00e4teausf\u00e4lle oder menschliche Fehler sie verursachen. Ich \u00fcbertrage die Empfehlungen hier auf Kommunikationsentscheidungen, vor denen deutsche Unternehmen bei hybriden Bedrohungen stehen k\u00f6nnen.<\/mark><\/em><\/pre>\n\n\n\nWenn ein Angriff den Betrieb eines Unternehmens beeintr\u00e4chtigt, brauchen Mitarbeitende und Kunden m\u00f6glicherweise Antworten, bevor die Ermittler sagen k\u00f6nnen, wer daf\u00fcr verantwortlich ist. Eine hilfreiche erste Meldung erkl\u00e4rt ihnen, ob sie betroffen sind und was sie als N\u00e4chstes tun sollten. Das Unternehmen kann diese Informationen geben und zugleich offen benennen, welche Fragen es noch nicht beantworten kann.
Auf Grundlage der gemeinsamen Leitlinien und meiner eigenen Erfahrung in der Krisenkommunikation habe ich diese Entscheidungen im IMPACT-Modell zusammengefasst. Sie helfen einem Unternehmen, den Vorfall zu erkl\u00e4ren, konkrete Handlungsanweisungen zu geben und zu erkennen, welche Informationen es vor einer Ver\u00f6ffentlichung noch pr\u00fcfen muss.<\/p>\n\n\n\n
\n- Kl\u00e4ren Sie, wer und was betroffen ist.<\/strong>
Beginnen Sie damit, was sich f\u00fcr die Empf\u00e4nger der Meldung ver\u00e4ndert hat. Wenn Kunden keine Bestellungen aufgeben k\u00f6nnen, erkl\u00e4ren Sie, welche Bestellwege ausfallen und ob ein anderer Weg funktioniert. Wenn Mitarbeitende ein Geb\u00e4ude nicht betreten k\u00f6nnen, sagen Sie ihnen, wo sie sich melden oder an wen sie sich wenden sollen. Mit der Aussage, das Unternehmen sei \u00abvon einem Vorfall betroffen\u00bb, \u00fcberlassen Sie es den Betroffenen, die Folgen selbst herauszufinden. Beschreiben Sie das Problem so, dass sie es auf ihre eigene Situation beziehen k\u00f6nnen.
<\/li>\n\n\n\n- Machen Sie deutlich, was bekannt ist und was noch offenbleibt.<\/strong>
Erkl\u00e4ren Sie bei fehlenden Informationen, was Sie noch pr\u00fcfen. Es ist ein Unterschied, ob ein System nicht verf\u00fcgbar ist oder ob jemand die darin gespeicherten Daten gestohlen hat. Ein Unternehmen kann den Ausfall m\u00f6glicherweise bereits best\u00e4tigen, w\u00e4hrend es einen m\u00f6glichen Datendiebstahl noch untersucht. Wer diese beiden Fragen getrennt beantwortet, macht deutlich, was die Meldung aussagt und was sie noch offenl\u00e4sst. Dass eine Untersuchung bisher keine Hinweise auf gestohlene Daten ergeben hat, ist kein Beweis daf\u00fcr, dass alle Daten sicher sind.
<\/li>\n\n\n\n- Geben Sie konkrete Handlungsanweisungen.<\/strong>
Je nach Vorfall m\u00fcssen Betroffene m\u00f6glicherweise eine andere Telefonnummer nutzen, einen betroffenen Dienst meiden oder ihr Passwort nach einem gepr\u00fcften Verfahren zur\u00fccksetzen. Erkl\u00e4ren Sie, f\u00fcr wen die Anweisung gilt und warum sie notwendig ist. Wenn eine bestimmte Gruppe nichts unternehmen muss, sagen Sie das, sofern die Fakten diese Empfehlung st\u00fctzen. Andernfalls ergreifen Betroffene wom\u00f6glich unn\u00f6tige Massnahmen, weil ihnen Handeln sicherer erscheint als Abwarten. Wenn falsche Anweisungen kursieren, erkl\u00e4ren Sie, wo sich pr\u00fcfen l\u00e4sst, ob eine Meldung tats\u00e4chlich vom Unternehmen stammt.
<\/li>\n\n\n\n- Vermeiden Sie Zusagen ohne verl\u00e4ssliche Grundlage.<\/strong>
Kunden m\u00fcssen m\u00f6glicherweise andere L\u00f6sungen organisieren. Deshalb kann eine unbelegte Zusicherung, dass bald alles wieder funktioniert, ihre Entscheidungen beeinflussen. Wenn noch unklar ist, wann der Betrieb wiederhergestellt sein wird, sagen Sie das und nennen Sie einen Zeitpunkt f\u00fcr die n\u00e4chste Meldung. Auch ohne Durchbruch kann eine Meldung hilfreich sein: Sie kann best\u00e4tigen, welche Dienste weiterhin ausfallen, ob bisherige Anweisungen noch gelten und welche Arbeiten weiterlaufen. Ver\u00f6ffentlichen Sie aktuelle Meldungen an einer festgelegten Stelle und versehen Sie sie mit Datum und Uhrzeit, damit erkennbar ist, welche Informationen aktuell sind. Wenn die Wiederherstellung von einem externen Dienstleister abh\u00e4ngt, machen Sie deutlich, was dieser best\u00e4tigt hat und was Ihr Unternehmen selbst noch pr\u00fcft, bevor Sie eine Zeitsch\u00e4tzung weitergeben.
<\/li>\n\n\n\n- Pr\u00fcfen Sie, was vertraulich bleiben muss.<\/strong>
Einzelheiten \u00fcber Sicherheitsl\u00fccken oder Ermittlungsschritte k\u00f6nnten einem Angreifer helfen oder die Eind\u00e4mmung des Vorfalls erschweren. Stimmen Sie mit den Verantwortlichen f\u00fcr Sicherheit, Rechtsfragen und Ermittlungen ab, welche Informationen Sie weitergeben k\u00f6nnen. Das Unternehmen kann erkl\u00e4ren, dass bestimmte Einzelheiten vorerst vertraulich bleiben m\u00fcssen, und die Betroffenen zugleich weiterhin \u00fcber die praktischen Folgen informieren.
<\/li>\n\n\n\n- Stimmen Sie sich mit den zust\u00e4ndigen Beh\u00f6rden ab, bevor Sie \u00f6ffentlich benennen, wer f\u00fcr den Angriff verantwortlich ist.<\/strong>
Ein Unternehmen muss einen Vorwurf nicht wiederholen, nur weil er online kursiert. Wenn die Verantwortlichkeit noch untersucht wird, sagen Sie das. Stimmen Sie sich mit den zust\u00e4ndigen staatlichen Stellen oder Strafverfolgungsbeh\u00f6rden ab, bevor Sie einen mutmasslichen Angreifer \u00f6ffentlich benennen. Mitarbeitende und Kunden sollten weiterhin erfahren, wie sich der Vorfall auf sie auswirkt, was sie tun k\u00f6nnen und wo sie weitere Informationen erhalten.
<\/li>\n<\/ol>\n\n\n\nWas jedes Unternehmen vorbereiten muss<\/h1>\n\n\n\n