Cyberangriff im Unternehmen: Das Team in den ersten 24 Stunden sicher führen

Montag, 8:17 Uhr: Mehrere Mitarbeitende melden, dass sie sich nicht mehr anmelden können. Dateien sind nicht erreichbar, ein ungewöhnlicher Hinweis erscheint auf einzelnen Bildschirmen, im Teamchat häufen sich Spekulationen. Einige wollen sofort Geräte neu starten, andere private Messenger nutzen oder Kundinnen und Kunden informieren. In dieser Lage braucht dein Team keine vorschnellen Antworten. Es braucht Orientierung, klare Zuständigkeiten und eine Führungskraft, die Ruhe ausstrahlt, ohne Risiken kleinzureden.

Ein Cybervorfall ist nicht nur ein technisches Problem. Er betrifft Arbeitsfähigkeit, Vertrauen, Kundenerwartungen und die Sicherheit der Mitarbeitenden. Gerade in den ersten 24 Stunden entscheidet sich, ob sich Unsicherheit und Aktionismus ausbreiten oder ob das Team handlungsfähig bleibt. Deine Rolle besteht nicht darin, die technische Analyse selbst zu übernehmen. Du führst Menschen durch eine unklare Lage, schützt Prioritäten und stellst sicher, dass Informationen geordnet weitergegeben werden.

Infografik zu Cyberangriff im Unternehmen: Das Team in den ersten 24 Stunden sicher führen (KI-generiert).

Die ersten Minuten: Sicherheit herstellen, nicht vorschnell handeln

Wenn ein möglicher Angriff bekannt wird, ist der Impuls verständlich: schnell etwas tun. Doch unkoordinierte Schritte können die Untersuchung erschweren oder Schaden vergrößern. Ein Gerät neu zu starten, verdächtige Dateien zu löschen oder Zugangsdaten auf eigene Initiative zu ändern, kann wichtige Hinweise beseitigen oder weitere Probleme auslösen.

Deine erste Führungsaufgabe lautet deshalb: Stoppe unkontrollierte Einzelaktionen und hole die zuständigen Stellen hinzu. In vielen Organisationen sind das IT, Informationssicherheit, Datenschutz, ein Incident-Response-Team oder die Geschäftsleitung. Halte dich an interne Notfallwege und weise dein Team an, ausschließlich deren Vorgaben zu befolgen.

Eine erste, kurze Ansage kann so klingen:

„Wir prüfen derzeit einen möglichen Sicherheitsvorfall. Bitte startet keine Geräte neu, löscht keine Dateien und verändert keine Einstellungen, bis ihr eine klare Anweisung erhaltet. Meldet Auffälligkeiten über den vereinbarten Kanal an mich oder an IT. Ich informiere euch, sobald wir gesicherte Informationen haben.“

Diese Botschaft erfüllt drei Zwecke:

• Sie beendet riskante Eigeninitiative.
• Sie benennt einen verbindlichen Meldeweg.
• Sie zeigt, dass die Situation geführt wird.

Wichtig ist dabei die Wortwahl. Sage nicht, dass „alles unter Kontrolle“ sei, wenn du es nicht weißt. Formuliere stattdessen transparent, was bekannt ist, was geprüft wird und wann du dich wieder meldest. Menschen kommen mit Unsicherheit besser zurecht als mit Beschwichtigung, die später korrigiert werden muss.

Die erste Stunde: Rollen, Informationswege und Arbeitsfähigkeit klären

Sobald die technische Eskalation läuft, ordnest du die Zusammenarbeit deines Teams. In einem Cybervorfall entstehen schnell parallele Informationsströme: Screenshots, Gerüchte, Anrufe von anderen Abteilungen und Fragen von Kundinnen und Kunden. Ohne klare Regeln kostet das Zeit und erhöht das Fehlerrisiko.

Lege deshalb früh fest, wer welche Aufgabe übernimmt. Du brauchst keine große Krisenorganisation, aber eine verlässliche minimale Struktur.

• Du oder eine benannte Vertretung bündelt Fragen aus dem Team.
• Die technische Lage wird ausschließlich durch die zuständigen Fachstellen bewertet.
• Eine Person dokumentiert offene Punkte, Entscheidungen und Zeitpunkte.
• Eine weitere Person koordiniert, welche kritischen Aufgaben weiterhin erledigt werden müssen.
• Externe Kommunikation erfolgt nur über dafür autorisierte Personen.

Wenn du selbst nicht Teil des technischen Krisenteams bist, bleibe eng angebunden, ohne dessen Arbeit zu stören. Vereinbare feste Zeitpunkte für ein kurzes Lageupdate. Zum Beispiel alle 60 oder 90 Minuten, abhängig von der Lage. So vermeidest du, dass Mitarbeitende bei jeder neuen Vermutung einzelne Verantwortliche kontaktieren.

Für hybride oder verteilte Teams ist der Kommunikationskanal besonders wichtig. Ist der übliche Chat, die E-Mail oder ein Kollaborationstool möglicherweise betroffen, nutze nur einen von der Organisation freigegebenen Ersatzweg. Private Accounts oder ungeprüfte Tools können neue Sicherheitsrisiken schaffen. Für die grundsätzliche Gestaltung verbindlicher Kommunikationsregeln hilft dir auch unser Beitrag Asynchrone Kommunikation im hybriden Team führen: Regeln, Tools und Rituale.

Prioritäten setzen: Was muss heute wirklich weiterlaufen?

Ein Cyberangriff kann dazu führen, dass ein Teil des Teams nicht mehr wie gewohnt arbeiten kann. Dann entsteht schnell der Druck, möglichst alle Prozesse ersatzweise aufrechtzuerhalten. Das ist selten sinnvoll. Deine Aufgabe ist es, bewusst zu priorisieren.

Frage gemeinsam mit den zuständigen Bereichen:

• Welche Aufgaben sind für Sicherheit, Menschen oder den laufenden Betrieb kritisch?
• Welche Verpflichtungen haben heute eine feste Frist?
• Welche Kundinnen, Kunden oder Partner brauchen eine abgestimmte Information?
• Welche Arbeiten können warten, ohne zusätzlichen Schaden zu verursachen?
• Welche manuellen Übergangslösungen sind erlaubt und sicher?

Trenne dabei klar zwischen „dringend“ und „wichtig“. Nicht jede Anfrage, die laut gestellt wird, ist geschäftskritisch. Wenn Systeme ausfallen, ist eine reduzierte, sichere Arbeitsweise häufig besser als improvisierte Ersatzprozesse mit unklaren Datenständen.

Kommuniziere die Prioritäten für dein Team konkret. Statt „Arbeitet bitte weiter, wo es geht“ sagst du besser: „Heute konzentrieren wir uns auf die drei bestätigten Kundenfälle, die Vorbereitung des morgigen Termins und die Sicherung der bereits vorliegenden Unterlagen. Neue Anfragen dokumentieren wir, bearbeiten sie aber erst nach Freigabe.“

Falls du unter starkem Zeitdruck Entscheidungen treffen musst, hilft eine klare Entscheidungslogik. Unser Beitrag Entscheidungsstärke als Führungskraft entwickeln zeigt, wie du Entscheidungen nachvollziehbar triffst, ohne auf vollständige Informationen warten zu müssen.

Kommunikation: Fakten, Folgen und nächster Zeitpunkt

In Krisen entstehen Gerüchte dort, wo Informationslücken bleiben. Du musst nicht jede Frage sofort beantworten können. Aber du solltest den Rhythmus der Kommunikation bestimmen.

Eine wirksame Statusmeldung enthält vier Elemente:

• Was ist bestätigt?
• Was ist noch offen?
• Was bedeutet das aktuell für die Arbeit?
• Wann kommt die nächste Information?

Zum Beispiel:

„Bestätigt ist, dass der Zugriff auf unser zentrales Laufwerk derzeit eingeschränkt ist. Die Ursache wird geprüft. Für unser Team bedeutet das, dass wir keine Dateien lokal kopieren oder über private Kanäle versenden. Die Prioritäten für heute bleiben die bereits abgestimmten Kundenfälle. Das nächste Update gebe ich um 11:30 Uhr, auch wenn bis dahin noch nicht alle Fragen geklärt sind.“

Dieser feste Zeitpunkt ist wichtig. Er verhindert, dass Mitarbeitende aus fehlenden Informationen eigene Schlüsse ziehen. Halte Zusagen ein. Wenn du zum angekündigten Zeitpunkt noch keine neuen Fakten hast, sage genau das. Verlässlichkeit entsteht nicht durch vollständige Antworten, sondern durch einen verlässlichen Umgang mit Unklarheit.

Achte außerdem auf die emotionale Lage. Manche Teammitglieder reagieren mit Sorge um persönliche Daten, andere mit Ärger oder hektischer Betriebsamkeit. Höre zu, aber diskutiere technische Vermutungen nicht im Team aus. Wiederhole ruhig: „Wir trennen Vermutungen von bestätigten Informationen.“

Teamstabilität: Belastung wahrnehmen und Zusammenarbeit schützen

Ein Cybervorfall kann das Gefühl von Kontrolle stark beeinträchtigen. Besonders belastend ist es, wenn Mitarbeitende nicht wissen, ob sie etwas falsch gemacht haben oder ob ihre Arbeit verloren ist. Schuldzuweisungen sind in den ersten Stunden fehl am Platz. Sie blockieren Meldungen und fördern das Verbergen von Fehlern oder Auffälligkeiten.

Mache deshalb deutlich: Wer etwas Verdächtiges bemerkt oder möglicherweise auf einen problematischen Link geklickt hat, soll dies sofort melden. Nicht, um Personen bloßzustellen, sondern damit die Fachstellen die Lage korrekt einschätzen können.

Diese Haltung stärkt die psychologische Sicherheit im Team. Mitarbeitende müssen Risiken ansprechen können, bevor sie größer werden. Wie du ein solches Umfeld dauerhaft aufbaust, liest du in unserem Beitrag Psychologische Sicherheit im Team schaffen.

Behalte auch die Belastungsverteilung im Blick. Während einige Beschäftigte wegen Systemausfällen warten müssen, arbeiten andere unter hoher Anspannung weiter, etwa im Kundenkontakt oder in der Koordination. Verteile Aufgaben bewusst neu, ermögliche kurze Pausen und sorge für Vertretungen. Krisenführung heißt nicht, dass alle dauerhaft erreichbar sein müssen. Sie heißt, dass die wichtigen Aufgaben zuverlässig besetzt sind.

Die Stunden 4 bis 24: Vom Reagieren in einen stabilen Arbeitsmodus kommen

Nach den ersten hektischen Stunden wird sichtbar, ob der Vorfall kurzfristig begrenzt werden kann oder länger wirkt. Jetzt braucht das Team einen arbeitsfähigen Rhythmus. Dazu gehören regelmäßige Updates, eine aktuelle Aufgabenliste und klare Regeln für Entscheidungen.

Führe kurze Lagebesprechungen mit den unmittelbar Beteiligten durch. Halte dabei fest:

• Welche Systeme oder Prozesse sind betroffen?
• Welche Arbeitsweisen sind vorübergehend erlaubt?
• Welche Entscheidungen stehen noch aus?
• Welche Kundenkontakte oder internen Abstimmungen sind notwendig?
• Wer übernimmt welche Aufgabe bis zum nächsten Update?

Dokumentiere Entscheidungen knapp und nachvollziehbar. Das hilft nicht nur dem Team, sondern reduziert auch späteren Klärungsaufwand. Wichtig: Teile keine sensiblen technischen Details in ungeeigneten Kanälen. Was intern breit kommuniziert wird, entscheidet die zuständige Krisenleitung.

Wenn sich abzeichnet, dass Ziele, Fristen oder Leistungen nicht eingehalten werden können, sprich es frühzeitig an. Eine klare Aussage wie „Wir können die Auswertung heute nicht belastbar liefern, weil der Zugriff auf die geprüften Daten fehlt“ ist professioneller als ein stilles Hoffen auf eine schnelle Lösung. Bei angespannten Erwartungen unterstützt dich unser Beitrag Mit Druck und Erwartungen als Führungskraft umgehen.

Checkliste für deine Führung in den ersten 24 Stunden

• Möglichen Vorfall über den vorgesehenen Weg an IT und Sicherheitsverantwortliche melden.
• Keine eigenmächtigen Neustarts, Löschungen, Installationen oder Datenübertragungen veranlassen.
• Einen sicheren, freigegebenen Kommunikationskanal festlegen.
• Zuständigkeiten für Koordination, Dokumentation und kritische Aufgaben klären.
• Bestätigte Fakten klar von offenen Fragen und Vermutungen trennen.
• Arbeitsprioritäten für den Tag reduzieren und sichtbar kommunizieren.
• Feste Zeitpunkte für Statusupdates vereinbaren und einhalten.
• Kundinnen, Kunden und externe Stellen nur über autorisierte Wege informieren.
• Teammitglieder zu offener Meldung von Auffälligkeiten ermutigen.
• Belastung, Pausen und Vertretungen aktiv steuern.

Nach dem ersten Tag: Lernen, ohne vorschnell abzuhaken

Auch wenn nach 24 Stunden wieder einzelne Systeme funktionieren, ist die Führungsaufgabe nicht erledigt. Das Team braucht Klarheit darüber, welche Übergangsregeln weiter gelten, was dokumentiert werden muss und wann eine gemeinsame Auswertung stattfindet. Warte mit einer Ursachenanalyse, bis die zuständigen Fachstellen belastbare Erkenntnisse liefern. Konzentriere dich zunächst darauf, was die Zusammenarbeit künftig robuster macht: klare Meldewege, erreichbare Vertretungen, sichere Kommunikationskanäle und realistische Notfallprioritäten.

Führung in solchen Situationen lässt sich trainieren. Es geht um Kommunikation unter Druck, Entscheidungsfähigkeit, Selbststeuerung und die Fähigkeit, Teams in Unsicherheit zu orientieren. Passende Seminare und Termine findest du bei uns auf cmt.de.