Krisenvorsorge · Oktober 2026 · Lesezeit 10 Minuten
Am Morgen des 19. Mai 2025 druckten in der Papierserviettenfabrik Fasana in Euskirchen alle Drucker nur noch ein Erpresserschreiben, statt der angeforderten Dokumente. Laptops und PCs waren unbrauchbar, die Produktion stand still. So berichtete es die Kölnische Rundschau, zitiert von Security-Insider. Das Unternehmen nahm etwa 190 Endgeräte vom Netz, holte externe IT-Experten und baute zunächst eine alternative Kommunikation auf. Zum 1. Juni stellte es einen Insolvenzantrag, 240 Beschäftigte konnten ihr Mai-Gehalt nicht pünktlich bekommen. Nicht jede Krise endet so. Aber an diesem Fall sieht man, was in den ersten Stunden fehlt, wenn E-Mail, Telefonliste und Kundendaten auf demselben Rechner liegen wie das Problem. Dieser Artikel zeigt, was Sie vorher festlegen, was Sie in den ersten 24 Stunden sagen und welche Fristen Sie kennen müssen.
Nur das, was gesichert ist, und zwar zuerst den eigenen Leuten, dann den betroffenen Kunden. Drei Dinge gehören in jede erste Mitteilung: was passiert ist, was Sie gerade tun und wann Sie sich wieder melden. Spekulationen über Ursache oder Schuld lassen Sie weg. Die Studie von Arpan und Roskos-Ewoldsen (Public Relations Review, 2005) spricht dafür, dass es weniger schadet, wenn der Betrieb eine Krise selbst öffentlich macht, bevor Dritte es tun.
Unverzüglich und möglichst binnen 72 Stunden, nachdem Ihnen die Verletzung bekannt wurde, an die zuständige Datenschutzaufsichtsbehörde (Art. 33 DSGVO). Nur wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Betroffenen führt, entfällt die Meldung. Bei voraussichtlich hohem Risiko müssen Sie zusätzlich die Betroffenen unverzüglich informieren, in klarer und einfacher Sprache (Art. 34 DSGVO). Kommt die Meldung später als nach 72 Stunden, müssen Sie die Verzögerung begründen.
Wenn jemand getötet wird oder so verletzt ist, dass er mehr als drei Tage arbeitsunfähig wird, müssen Sie den Unfall dem Unfallversicherungsträger anzeigen, in der Regel Ihrer Berufsgenossenschaft. Die Frist beträgt drei Tage ab dem Zeitpunkt, an dem Sie vom Unfall erfahren haben (§ 193 SGB VII). Gibt es einen Betriebsrat, muss er die Anzeige mit unterzeichnen.
Hersteller müssen bei Sicherheitsproblemen Korrekturmaßnahmen ergreifen, und die Behörden müssen unterrichtet werden. Die EU-Produktsicherheitsverordnung 2023/988 gilt seit dem 13. Dezember 2024. Gemeldet wird über das Safety Business Gateway der EU, die Bundesanstalt für Arbeitsschutz und Arbeitsmedizin (BAuA) erklärt auf ihrer Seite zum Rückrufmanagement, wie das geht. Für Lebensmittel gelten eigene Wege über die Länderbehörden.
Nur wenn die Fakten klar sind, und dann kurz. Ein persönliches Statement des Inhabers kann Vertrauen halten, weil Kunden ein Gesicht sehen statt einer Pressemitteilung. Wer noch nicht weiß, was passiert ist, schreibt besser zwei ehrliche Sätze. Dass ein Video die Folgen einer Krise nachweislich mildert, ist nicht belegt, das ist unsere Einschätzung.
Eine Krise hat zwei Seiten. Da ist der Anlass: der Unfall, das defekte Produkt, der gestohlene Datensatz, der Post, der auf einmal tausendfach geteilt wird. Und da ist die Frage, wie Kunden, Mitarbeiter und die Öffentlichkeit Ihnen den Anlass zurechnen. Der Kommunikationswissenschaftler W. Timothy Coombs hat dazu die Situational Crisis Communication Theory entwickelt (Corporate Reputation Review, 2007). Ihr Kern: Wie stark der Ruf leidet, hängt davon ab, wie viel Verantwortung die Öffentlichkeit dem Betrieb zuschreibt. Ein Unwetter, das Ihre Halle beschädigt, wird anders gelesen als ein Rückruf, weil bei der Produktion geschlampt wurde. Je mehr Verantwortung zugeschrieben wird, desto eher erwartet man eine Entschuldigung und Wiedergutmachung statt bloßer Information.
Praktisch heißt das: Sie müssen nicht sofort wissen, wer schuld ist. Sie müssen aber ehrlich sagen können, was Sie wissen, und dürfen nichts behaupten, das sich später als falsch erweist. Ein Betrieb, der am ersten Tag „Das war ein Einzelfall“ sagt und am dritten Tag das Gegenteil bestätigen muss, hat zwei Probleme statt einem.
Die schlechteste Zeit, einen Krisenablauf zu erfinden, ist der Moment, in dem das Telefon klingelt. Bei einem Betrieb mit zehn oder fünfzig Leuten reicht eine Seite Papier. Sie sollte vier Dinge klären:
Wie Sie unangenehme Nachrichten an Kunden formulieren, ohne sie zu verlieren, haben wir in Wir liefern zu spät. Wie sagen wir es dem Kunden, ohne ihn zu verlieren? beschrieben. Dieselbe Haltung trägt auch bei größeren Anlässen.
Bevor Sie etwas sagen, brauchen Sie ein paar Antworten: Was ist passiert? Wer ist betroffen, wie viele Personen, Kunden, Datensätze, Produkte? Ist die Gefahr gestoppt? Was ist gesichert, was Vermutung? Schreiben Sie das auf, mit Uhrzeit. Diese Dokumentation brauchen Sie später sowieso, bei der Datenpanne ausdrücklich: Art. 33 Abs. 5 DSGVO verlangt, dass der Verantwortliche Verletzungen samt Fakten, Auswirkungen und Abhilfemaßnahmen dokumentiert.
Ihre Leute sind die Ersten, die gefragt werden: vom Kunden am Telefon, vom Nachbarn, vom Journalisten vor dem Tor. Wenn sie es aus der Zeitung erfahren, haben Sie sie verloren, bevor Sie anfangen. Informieren Sie sie vor der Öffentlichkeit, mit denselben Fakten, und sagen Sie ihnen, an wen sie Anfragen weiterleiten. Wenn nicht alle am Rechner sitzen, hilft Unsere Leute in der Produktion lesen keine Rundmails: Aushang, Gruppennachricht, kurze Versammlung.
Die Forschung hat dafür einen Namen: „stealing thunder“, dem Gewitter den Donner stehlen. Laura Arpan und David Roskos-Ewoldsen untersuchten 2005 in einem Experiment, was passiert, wenn eine Organisation ihre Krise selbst bekannt gibt, statt zu warten, bis Medien oder Dritte darüber berichten (Public Relations Review 31, S. 425 bis 433). Das Ergebnis: Wer als Erster informiert, kommt besser weg als der, dem die Nachricht von außen zugestellt wird. Dahinter steckt keine Magie. Wer es selbst sagt, bestimmt, wie die Geschichte beginnt, und wirkt wie jemand, der nichts verstecken will.
Zwei Einschränkungen. Das war ein Experiment, kein Praxisfall, und damit keine Garantie für Ihren Betrieb. Und „schnell“ heißt nicht „vorschnell“: Besser eine ehrliche Zwischenmeldung („Wir wissen, dass X passiert ist, wir prüfen Y, wir melden uns um 16 Uhr wieder“) als eine fertige Erklärung mit Lücken.
Nicht „Ein Lieferant hat uns falsche Teile geschickt“, solange Sie es nicht belegen können. Nicht „Hacker aus dem Ausland“, wenn Sie nur wissen, dass etwas verschlüsselt wurde. Sagen Sie, was Sie wissen, was Sie nicht wissen und wann Sie mehr sagen können. Wenn Menschen zu Schaden gekommen sind, steht an erster Stelle Anteilnahme, nicht die Rechtsabteilung. Ihr Anwalt und Ihre Versicherung gehören früh dazu, aber ihre Formulierungen sollten nicht als Erstes beim Kunden ankommen.
Wer betroffen ist, bekommt einen Anruf oder eine persönliche Nachricht, bevor er es in einer Pressemitteilung liest. Dort steht, was passiert ist, was für ihn gilt und was er tun soll. Beispiel Rückruf: Welches Produkt, welche Charge, was soll er damit machen, wer ersetzt es, an wen wendet er sich.
Kommunikation und Pflichten laufen gleichzeitig. Wer die Fristen kennt, spricht mit der Behörde nicht erst am Ende, sondern parallel zu den Kunden. Die Übersicht gilt für den Stand Oktober 2026 und ersetzt keine Rechtsberatung:
Nach Art. 33 DSGVO meldet der Verantwortliche eine Verletzung des Schutzes personenbezogener Daten „unverzüglich und möglichst binnen 72 Stunden“, nachdem sie ihm bekannt wurde, an die zuständige Aufsichtsbehörde. Ausgenommen sind Fälle, in denen die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten der Betroffenen führt. Kommt die Meldung später, ist die Verzögerung zu begründen. Die Meldung muss mindestens die Art der Verletzung, möglichst mit Zahl der Betroffenen und Datensätze, eine Anlaufstelle, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen enthalten. Liegen nicht alle Informationen sofort vor, dürfen sie schrittweise nachgereicht werden (Art. 33 Abs. 4).
Dazu kommt Art. 34 DSGVO: Hat die Verletzung voraussichtlich ein hohes Risiko für die Betroffenen, benachrichtigt der Verantwortliche sie unverzüglich, in klarer und einfacher Sprache. Das ist also die Kundenmitteilung, und zwar nicht als Kulanz, sondern als Pflicht. Ausnahmen gibt es etwa, wenn die Daten verschlüsselt waren oder der Aufwand unverhältnismäßig wäre, dann genügt eine öffentliche Bekanntmachung.
Nach § 193 SGB VII müssen Unternehmer Unfälle von Versicherten dem Unfallversicherungsträger anzeigen, wenn jemand getötet wird oder so verletzt ist, dass er mehr als drei Tage arbeitsunfähig wird. Die Anzeige ist binnen drei Tagen zu erstatten, nachdem Sie vom Unfall erfahren haben. Haben Sie einen Betriebsrat, unterzeichnet er mit, und Sicherheitsfachkraft sowie Betriebsarzt sind über die Anzeige zu informieren. Schwere Unfälle gehören natürlich nicht in einen Drei-Tage-Takt, sondern sofort ans Telefon. Und die Kommunikation beginnt bei den Angehörigen, nicht bei der Presse.
Die EU-Produktsicherheitsverordnung (Verordnung (EU) 2023/988, kurz GPSR) gilt seit dem 13. Dezember 2024 (BAuA). Sie verpflichtet Hersteller, bei Sicherheitsproblemen Korrekturmaßnahmen zu ergreifen, Importeure und Händler müssen Verbraucher und Behörden unterrichten (IHK Köln). Das deutsche Produktsicherheitsgesetz wurde dafür angepasst und ist am 19. Februar 2026 in Kraft getreten. Gemeldet wird über das Safety Business Gateway der EU, die BAuA beschreibt auf ihrer Seite zum Rückrufmanagement, wie Rückrufe richtig gemeldet werden. Für Lebensmittel laufen Warnungen dagegen über die Länderbehörden und das Portal lebensmittelwarnung.de, das Bund und Länder betreiben (BVL).
Wer Produkte herstellt, importiert oder verkauft, sollte vorab einmal klären, welche Behörde bei ihm zuständig ist, und die Telefonnummer auf die Kontaktliste setzen. Rückrufe sind der seltene Fall, in dem die Kommunikation selbst Teil der Rechtspflicht ist: Kunden müssen den Rückruf auch wirklich erreichen.
Bei Unfall, Rückruf und Datenpanne sagt das Gesetz, wer wann informiert werden muss. Beim Shitstorm sagt es nichts, und deshalb ist er für kleine Betriebe so unangenehm. Eine Meldefrist gibt es nicht, nur die Frage, ob Sie sich äußern. Dafür helfen dieselben Prinzipien: erst die Fakten prüfen, nicht aus Ärger schreiben, eine Person antwortet, sachlich und mit Namen. Wenn der Vorwurf stimmt, benennen Sie ihn und sagen, was sich ändert. Wenn er nicht stimmt, belegen Sie es ruhig. Wie Sie unter Ihren Videos und Posts mit Kritik umgehen, steht in Was machen wir mit negativen Kommentaren? Zum Thema Bewertungsportale für Bewerber lesen Sie Schlechte Kununu-Bewertung: Was Sie tun können, damit trotzdem Bewerbungen kommen.
Ein Hinweis aus Coombs’ Theorie: Es kommt darauf an, ob die Kritik nur ein Gerücht ist oder ob Ihr Betrieb etwas vermeidbar falsch gemacht hat. Gegen ein Gerücht reicht Richtigstellung. Bei echter Verantwortung ist ein klares „Das war unser Fehler, so beheben wir ihn“ die glaubwürdigere Antwort.
Ein Video ist hier ein Baustein, nicht die Lösung. In den ersten Stunden zählt ein Telefonat mehr als jeder Film. Nach den ersten 24 Stunden kann ein kurzes Statement des Inhabers sinnvoll sein: eine Minute, ein Gesicht, ruhige Sprache, was passiert ist, was jetzt geschieht, wen man erreicht. Es funktioniert nur, wenn die Fakten klar sind. Ist die Lage unübersichtlich, ist ein geschriebener Text sicherer, weil jeder Satz geprüft werden kann. Ton ist dabei wichtiger als Bildqualität: Wer schlecht zu verstehen ist, wirkt unsicher, auch wenn er die Wahrheit sagt.
Der größere Hebel liegt davor. Kunden, die den Inhaber schon aus Videos kennen, glauben ihm im Ernstfall eher als einer anonymen Firma. Dass Video die Folgen einer Krise nachweislich mildert, ist nicht belegt, das ist unsere Einschätzung, und sie gilt nur, wenn Sie vorher glaubwürdig waren.
Erstens: Schreiben Sie auf eine Seite, wer entscheidet, wer spricht und wer die jeweilige Vertretung ist. Zweitens: Legen Sie die Kontaktliste an und drucken Sie sie aus, mit Handynummern von IT-Dienstleister, Versicherung, Anwalt, Berufsgenossenschaft und Datenschutzaufsicht. Drittens: Schreiben Sie die drei Bausteine vor: Mitarbeiter, betroffene Kunden, öffentliche Kurzmeldung. Viertens: Spielen Sie einen Fall einmal durch, zum Beispiel „Freitagabend, Datenträger verloren“. Danach wissen Sie, was in Ihrer Liste fehlt.
Starkefilme kommt einmal pro Quartal für einen Drehtag in deinen Betrieb, egal wo in Deutschland du bist. Aus einem Drehtag entstehen acht bis zehn fertige Videos, darunter ein Vorstellungsvideo von Ihnen und Ihrem Team, damit Kunden Sie kennen, bevor etwas passiert, mit Untertiteln und in allen Formatvarianten. Schnitt und Technik sind dabei.
499 Euro pro Monat. Kein Drehtag ohne Vorbereitung, keine Vertragslaufzeit, kein Setup-Aufwand.
Unverbindlich kennenlernen →Quellen: Security-Insider, „Fasana: Insolvenz nach Ransomware-Angriff“, 24.06.2025, mit Verweis auf die Kölnische Rundschau; Datenschutz-Grundverordnung Art. 33 und 34 (Art. 33, Art. 34); § 193 SGB VII (gesetze-im-internet.de); Verordnung (EU) 2023/988 über die allgemeine Produktsicherheit; BAuA, „Rückrufmanagement“ und „Safety Gate“ (baua.de); IHK Köln, „Nach der GPSR (EU): Das neue deutsche Produktsicherheitsgesetz 2026“ (ihk.de/koeln); BVL, „lebensmittelwarnung.de“ (bvl.bund.de); L. M. Arpan und D. R. Roskos-Ewoldsen, „Stealing thunder: Analysis of the effects of proactive disclosure of crisis information“, Public Relations Review 31 (3), 2005, S. 425 bis 433; W. T. Coombs, „Protecting Organization Reputations During a Crisis: The Development and Application of Situational Crisis Communication Theory“, Corporate Reputation Review 10 (3), 2007, S. 163 bis 176. Dies ist keine Rechtsberatung.