Die Kernpunkte der Empfehlung: sofort kommunizieren, umsetzbare Handlungsanweisungen geben, offenlegen, was man weiß und was nicht, sowie fortlaufend und nachvollziehbar aktualisieren — bei gleichzeitiger Einhaltung bestehender Melde- und Compliance-Pflichten. Alle 50 US-Bundesstaaten haben Gesetze zur Meldung von Datenschutzverletzungen; zahlreiche Bundesbehörden, von der CISA über die Börsenaufsicht SEC bis zum US-Gesundheitsministerium, verlangen zügige Meldungen.
Bemerkenswert findet Chris Novak, Partner und Mitgründer von Quadrum Advisors, die Wortwahl: Die Behörde fordere nicht einfach mehr Kommunikation, sondern Klarheit, Rechenschaft und Transparenz. Die Empfehlung warnt Organisationen ausdrücklich davor, Reputationsmanagement über verwertbare Informationen zu stellen oder mit allgemeinen Beschwichtigungen und Marketingsprache zu beginnen. „Diese Formulierung legt für mich nahe, dass die politisch Verantwortlichen Vorfälle gesehen haben, in denen technisch korrekte Unternehmensmitteilungen dennoch kaum nützlich waren“, sagt Novak gegenüber Dark Reading.
Traditionell werde Vorfallskommunikation vor allem über Rechtsabteilung und PR gesteuert, erklärt Novak. Das schaffe Anreize, Aussagen zu minimieren, Zuschreibungen zu vermeiden, Haftung zu begrenzen und möglichst wenig zu sagen, bis alle Fakten feststehen. Diese Ziele mögen legitim sein, kollidieren aber mit dem, was Kunden, Aufsichtsräte, Regulierer, Investoren, Beschäftigte und die Öffentlichkeit während einer großen Störung tatsächlich brauchen.
Meredith Schnur, Cyber-Practice-Leiterin für die USA und Kanada bei Marsh Specialty, führt den Zeitpunkt auf ein wiederkehrendes Muster zurück: uneinheitliche Updates, vage Aussagen, verzögerte Offenlegung und widersprüchliche Botschaften zwischen Technik, Führung, Recht und Öffentlichkeitsarbeit. „Wir sehen darin den Bedarf, die Kommunikation zu verbessern — besser zu lesen ist es aber als ‚Best Practices und Vorbereitung sind ungleich verteilt‘ statt als ‚alle machen es schlecht‘“, sagt sie.
Angriffe auf Dienstleister und Zulieferer sind wegen der Reichweite in der Lieferkette besonders schädlich, warnt Jake Reynolds, Leiter Security Engineering bei Coalition — verschärft dadurch, dass Angreifer künstliche Intelligenz nutzen, um ihren Zugang drastisch schneller als bisher nachgelagert auszubreiten.
Cloudflare hatte den Ausfall im November rasch eingeräumt und sich entschuldigt. „Während eines Vorfalls wollen wir stets laufende Updates liefern und innerhalb von etwa zwölf Stunden eine detaillierte Nachbetrachtung veröffentlichen, die darlegt, was schiefging und wie wir reagiert haben“, sagt Sicherheitschef Grant Bourzikas. Ebenso wichtig sei es, künftige Schutzmaßnahmen zu benennen. Ausfälle und Fehler passierten nun einmal; Transparenz darüber sei entscheidend für das Kundenvertrauen.
Chris Butera, kommissarischer Executive Assistant Director der CISA, erklärte gegenüber Dark Reading, Veränderungen der Dienstverfügbarkeit — sei es durch Ausfälle oder durch Isolation als Verteidigungsstrategie — erforderten transparente, fortlaufende Kommunikation, um betriebliche Folgen zu begrenzen, Spekulationen einzudämmen und Vertrauen zu erhalten.
Novak, Schnur und Reynolds sind sich einig, dass Kommunikation vor dem Vorfall vorbereitet werden muss: funktionsübergreifende Teams, vorab festgelegte Zuständigkeiten, synchronisierte technische, juristische und kommunikative Arbeitsstränge sowie vorformulierte Playbooks, die in Planübungen erprobt werden. Wenn eine Fertigungslinie stillsteht oder ein Krankenhausbetrieb beeinträchtigt ist, helfe der Hinweis auf „erstklassigen Service“ wenig. „Vertrauen bewahrt man nicht, indem man so tut, als sei der Vorfall nicht ernst“, sagt Novak, „sondern oft dadurch, dass man zeigt, wie ernst man ihn nimmt.“
Schnur warnt zugleich davor, zu früh zu viel zu teilen: Fakten könnten sich ändern, spätere Korrekturen wirkten schlechter. Die Empfehlung ziele auf externe Kommunikation, die interne sei ebenso wichtig. Reynolds sieht die zentrale Schwäche darin, dass die Leitlinie zwar Maßstäbe setze, aber allein kaum Verhalten ändere — dafür brauche es regulatorische Durchsetzung, Aufsichtsratskontrolle, vertragliche und versicherungsseitige Anforderungen, Prozessrisiken und Kundendruck.