1. Unterscheiden Sie nicht zwischen interner und externer Kommunikation. Bedenken Sie stets: Jede interne Äußerung, die in größerem Kreis getätigt wird, hat das Potenzial, an die Öffentlichkeit zu gelangen.
   
   
2. Erreichbarkeit der Verantwortlichen.In Krisenzeiten ist die zeitnahe Erreichbarkeit des gesamten Krisenstabs von höchster Priorität.
   
   
3. Halten Sie sich an die festgelegten Kernbotschaften.Ein einheitlicher, klarer Kommunikationsstil schafft Vertrauen; widersprüchliche Aussagen hingegen führen zu Verwirrung.
   
   
4. Mitarbeiterinnen und Mitarbeiter zuerst.
   Im Falle eines Cyberangriffs auf die IT-Infrastruktur der Kommune gebührt den eigenen Mitarbeitenden oberste Priorität bei der Information über den aktuellen Stand. Es schadet dem Ansehen der Führung, wenn die Belegschaft erst über externe Quellen wie Medien oder soziale Netzwerke von der Krise erfährt.
   
   
5. Kein »Kein Kommentar« bei Gerüchten und Spekulationen.
   Sehen Sie sich mit Gerüchten und Spekulationen konfrontiert, gilt es zunächst, deren Wahrheitsgehalt zu überprüfen, bevor Sie an die Öffentlichkeit treten. Wägen Sie sorgfältig ab, welche Informationen für die Allgemeinheit bestimmt sind und stimmen Sie diese gegebenenfalls mit den zuständigen Stellen ab. Die Devise lautet: Erst informieren, dann kommunizieren.
   
   

6. Gesprächspartnerinnen und -partner prüfen.
   Seien Sie achtsam, wem Sie Informationen anvertrauen und mit wem Sie diese teilen. Lassen Sie sich nicht auf »Hintergrundgespräche« oder »vertrauliche Statements« im kleinen Kreis ein. Der wachsende Konkurrenzdruck in den Medien führt dazu, dass alles publik gemacht wird. Selbst Aussagen, die explizit nicht für die Öffentlichkeit gedacht sind, könnten ihren Weg in die Presse finden. Wägen Sie daher in jedem Einzelfall die möglichen Konsequenzen sorgfältig ab.
   
   

7. Klare, einfache Sprache.
   (Verwaltungs-)Experten tendieren dazu, sich in ihrer Fachsprache auszudrücken. In der Krisenkommunikation ist es jedoch entscheidend, Informationen möglichst einfach und verständlich zu vermitteln - in der Sprache von Journalisten und ihrer Leserschaft. Platzieren Sie die wichtigsten Botschaften am Anfang und am Ende Ihrer Statements. Verzichten Sie auf wortreiche Rechtfertigungen und konzentrieren Sie sich stattdessen auf die zentralen Fakten.
   
   

8. Online-Kommunikation.
   In Krisenzeiten zahlt sich der Dialog über soziale Medien aus. Die Reaktion muss auch außerhalb der regulären Geschäftszeiten relativ zügig erfolgen (innerhalb von 2 Stunden) und auf die verschiedenen Kanäle zugeschnitten sein. Auch die eigene Darksite stellt eine mögliche Plattform dar.

• Beauftragte für Arbeits- und IT-Sicherheit sowie Datenschutz
• Verwaltungsleitung und Mitglieder des Krisenstabs (falls vorhanden)
• Pressestelle bzw. Kommunikationsbeauftragte und Ansprechpersonen für Presseanfragen und Medienkontakte
• Mitarbeiterinnen und Mitarbeiter

• Ermittlungsbehörden: örtliche Polizei und das LKA ZAC (Zentrale Ansprechstelle Cybercrime) - unverzichtbare Partner bei der Aufklärung und Strafverfolgung von Cybervorfällen.
• Datenschutzaufsichtsbehörde (Beauftragter für Datenschutz und/oder Informationsfreiheit): Bei Vorfällen mit Bezug zum Datenschutz besteht eine Meldepflicht gegenüber den Behörden.
• Politik und Parteien: Eine frühzeitige Information der politischen Entscheidungsträger ist von großer Bedeutung, um Vertrauen zu schaffen und Unterstützung zu sichern.
• Lokale und regionale Medien: Der proaktive Kontakt zu Medienvertretern ermöglicht es, die Kommunikationshoheit zu behalten und Spekulationen vorzubeugen.
• Nachbarkommunen und Landkreise: Ein Austausch mit angrenzenden Gebietskörperschaften kann wertvolle Erkenntnisse liefern und Synergien bei der Krisenbewältigung schaffen.
• Möglicherweise betroffene kommunale Unternehmen: Falls städtische Betriebe oder Beteiligungen von dem Vorfall betroffen sind, müssen diese schnellstmöglich in die Kommunikation eingebunden werden.
• IT-Dienstleister: Externe IT-Dienstleister, die für die Kommune tätig sind, spielen eine Schlüsselrolle bei der Wiederherstellung der Systeme und der Aufklärung des Vorfalls.
• Falls vorhanden: die eigene Cyber-Versicherung. Der Versicherer kann nicht nur finanziell unterstützen, sondern oft auch mit Experten und Dienstleistern dazu beitragen, den Schaden zu begrenzen und die Krise zu bewältigen.

Haltestatements sollen proaktiv eine Position einleiten und eine kurze, allgemeine Stellungnahme zum Sachverhalt geben. Damit beugen Sie Spekulationen vor und gewinnen Zeit, bis alle relevanten Fakten recherchiert sind und eine vollständige Stellungnahme abgegeben werden kann.

• Was ist passiert?
• Wo ist es passiert?
• Wer ist involviert?
• Wie lange dauert der Vorfall noch an?
• Evtl. Wann ist es passiert? (vorsichtig nutzen, kein Täterwissen verbreiten)
• Ggf. Wie ist es passiert? (vorsichtig, meist Spekulation)

• Wichtigste Daten zur Einrichtung: Anschrift, Zahl der Mitarbeiterinnen und Mitarbeiter
  
  

• Was ist geschehen? (Handelt es sich z.B. um eine IT-Störung, die bspw. durch einen technischen Defekt oder einen Stromausfall verursacht wurde, um einen Datenschutzvorfall oder einen Cyberangriff durch externe Akteure?)
• Wann ist der Vorfall/die Störung (vermutlich) eingetreten?
• Wann wurde der Vorfall entdeckt und gemeldet?
• Ist der Vorfall andauernd oder bereits behoben?
• Mit welchen Einrichtungen/Behörden wird bei der Behebung zusammengearbeitet? (Polizei, Datenschutzaufsichtsbehörde, BSI, LandesCERT, IT-Dienstleister, andere Kommunen)

Zur Strukturierung der Herangehensweise bei der Einordnung des Vorfalls und dessen Auswirkungen sowie daraus resultierende Datenschutzverletzungen kann es hilfreich sein, entlang der Cybersicherheits-Schutzziele der Vertraulichkeit, Verfügbarkeit und Integrität von Daten und Systemen zu arbeiten.

• Technisch: Welche Systeme oder Daten sind nicht verfügbar (bestimmte Datenbanken, Webseite, E-Mail-Server etc.)?
• Organisatorisch: Welche Leistungen und Funktionsbereiche sind durch die Nicht-Verfügbarkeit eingeschränkt/nicht möglich? Welche konkreten Dienste, Verfahren oder Handlungen können nicht oder nur eingeschränkt durch Mitarbeiterinnen und Mitarbeiter der Kommune oder Bürgerinnen und Bürger durchgeführt werden?
• Örtlich: Welcher Standort ist von der Nicht-Verfügbarkeit betroffen?

• Personenbezogene Daten (Personaldaten von Mitarbeiterinnen und Mitarbeitern oder Abgeordneten, Daten von Bürgerinnen und Bürgern -> wenn möglich Eingrenzung aus welchem Bereich)
• Verschlusssachen
• andere Arten von Daten

• Technisch: welche Systeme, IT-Anwendungen oder Datenbanken?
• Organisatorisch: welche Fachbereiche oder Ämter?
• Örtlich: welche Standorte

• Durch wen war ein unbefugter Zugriff möglich (Mitarbeiterinnen und Mitarbeiter innerhalb der Organisation, die zu weitgehende Berechtigungen hatten, Angreifer im Rahmen eines Cyberangriffs, ggf. sogar Veröffentlichung erbeuteter Daten im Darknet)?
• War ein unbefugter Zugriff nur grundsätzlich möglich, oder gibt es Hinweise, dass der Zugriff auch tatsächlich stattgefunden hat?

• Welche Systeme oder Daten sind von der Verletzung der Integrität betroffen (technisch, organisatorisch, örtlich)?
• Um welche Form bzw. Art der Störung der Integrität handelt es sich?

• Hat das Ereignis Auswirkungen auf die Umgebung, wie bspw. Landkreise?
  
  
• Was wird von wem gegen den Vorfall / die Störung unternommen (Maßnahmen)?
  
  
• Welche Auswirkungen hat der Vorfall auf Bürgerinnen und Bürger bzw. ortsansässige Betriebe?Liegt eine meldepflichtige Datenschutzverletzung vor?
  
  
• Liegt eine Datenschutzverletzung vor, bei der auch betroffene Personen benachrichtigt werden müssen?
  
  
• Welche Risiken entstehen ggf. für betroffene Personen infolge der Verletzung des Schutzes von personenbezogenen Daten? (bspw. durch missbräuchliche Verwendung der Daten wie Identitätsdiebstahl, Phishing)
  
  
• Liegen aktuell bereits Hinweise auf eine missbräuchliche Verwendung vor?
  
  
• Welche Abhilfe- bzw. Schutzmaßnahmen wurden für betroffene Personen eingeleitet?
  
  
• Welche Abhilfemaßnahmen bzw. Vorkehrungen können betroffene Personen selbst treffen, um sich vor Auswirkungen zu schützen?
  
  
• Wie lange ist die erwartete Dauer der Störung bzw. wie lange ist der Dienst voraussichtlich nicht erreichbar?
  
  
• Wenn Dienste erst nach und nach wiederhergestellt werden: Wie werden diese priorisiert? Was wird schnell wiederhergestellt, wo wird es länger dauern?
  
  
• Gibt es Alternativen oder Ausweichmöglichkeiten für betroffene Dienste/Standorte?
  
  
• Muss die Arbeit eingestellt werden?
  
  
• Ganz/teilweise/bis wann?
  
  
• Ist mit Schadensersatzansprüchen zu rechnen?
  
  
• Wodurch ist das Schadensereignis eingetreten? VORSICHT! Keine vorschnelle Schuldübernahme, bevor nicht alle Fakten geklärt sind