Systeme abschalten, Kunden informieren, Zahlung prüfen: Wer darf im Cybervorfall was entscheiden?
Ein Krisenstab ist erst handlungsfähig, wenn Entscheidungsrechte, Eskalationswege und Stellvertretungen vor dem Vorfall geklärt wurden.
Die Ausgangslage
Ein Cybervorfall eskaliert. Das Incident-Response-Team prüft, ob Teile des Netzwerks isoliert werden müssen. Der Betrieb warnt vor einem Produktionsausfall. Erste Kunden stellen Fragen. Legal prüft mögliche Pflichten. Versicherungsbedingungen und vorbereitete Kontaktwege müssen berücksichtigt werden. Gleichzeitig trifft eine Nachricht der Täterschaft ein.
Alle Beteiligten arbeiten. Trotzdem bleibt eine entscheidende Frage offen:
Wer darf was entscheiden?
In vielen Krisenplänen stehen Namen, Funktionen und Telefonnummern. Das allein schafft noch keine Entscheidungsfähigkeit. Wenn unklar ist, wer eine betriebliche Einschränkung freigibt, wer extern kommunizieren darf oder wer einen möglichen Täterkontakt mandatiert, wird der Krisenstab zur Gesprächsrunde statt zum Führungsinstrument.
Die Kernthese
Ein Krisenstab ist erst handlungsfähig, wenn nicht nur seine Mitglieder, sondern Entscheidungsrechte, Eskalationsgrenzen, Informationswege und Stellvertretungen vorab geklärt sind.
Das NIST Incident-Response-Profil unterscheidet ausdrücklich zwischen Führung, Incident Handlern, Technologieverantwortlichen und weiteren beteiligten Funktionen. Die Führung beaufsichtigt die Reaktion, stellt Ressourcen bereit und kann je nach Organisation bei besonders folgenreichen Massnahmen entscheidungsbefugt sein.
Das bedeutet nicht, dass jede Entscheidung an die Geschäftsleitung gezogen werden sollte. Es bedeutet, dass technische Autonomie und unternehmerische Freigabe bewusst voneinander abgegrenzt werden müssen.
Nicht jede Entscheidung gehört ins gleiche Gremium
Unter Zeitdruck entstehen zwei gegensätzliche Risiken.
Das erste ist zu wenig Delegation: Jede technische Massnahme wartet auf eine Sitzung der Geschäftsleitung. Dadurch kann wertvolle Zeit verloren gehen.
Das zweite ist zu viel implizite Delegation: Ein technisches Team trifft Entscheidungen mit erheblichen Folgen für Betrieb, Kunden, Verträge oder Reputation, weil niemand eine andere Zuständigkeit definiert hat.
Eine belastbare Entscheidungsarchitektur unterscheidet deshalb mindestens drei Ebenen:
1. Technische und operative Sofortmassnahmen
Qualifizierte Fachpersonen benötigen einen vorab definierten Handlungsspielraum, um akute Schäden einzugrenzen. Dieser Spielraum braucht Grenzen, Eskalationskriterien und Klarheit darüber, wann erhebliche betriebliche Folgen eine zusätzliche Freigabe verlangen.
2. Koordinierte Krisenentscheidungen
Der Krisenstab verbindet technische Erkenntnisse mit Betrieb, Legal, Kommunikation, Datenschutz, Versicherung und weiteren Fachbereichen. Er priorisiert, löst Zielkonflikte und bereitet Entscheidungen für die zuständige Stelle vor.
3. Strategische Unternehmensentscheidungen
Entscheidungen mit weitreichenden wirtschaftlichen, rechtlichen oder reputativen Folgen gehören an die dafür vorgesehene Führungsebene oder das zuständige Gremium. Welche Stelle das konkret ist, hängt von Rechtsform, interner Governance, Branche und Tragweite ab.
Diese Ebenen dürfen nicht erst im Vorfall erfunden werden.
Sechs Entscheidungsfelder, die vorab geklärt sein müssen
Die folgende Übersicht ist kein universelles Organigramm. Sie ist ein Rahmen, mit dem eine Organisation ihre eigene Zuständigkeit prüfen kann.
| Entscheidungsfeld | Fachlicher Beitrag | Vorab zu klären |
|---|---|---|
| Technische Eindämmung | Incident Response und IT beurteilen Dringlichkeit, Optionen und technische Folgen. | Welche Massnahmen dürfen Fachpersonen autonom ausführen, und wann ist eine Eskalation zwingend? |
| Betrieb einschränken | IT und Fachbereiche zeigen Abhängigkeiten, Ausfallfolgen und Alternativen. | Wer darf eine kritische Leistung stoppen, einschränken oder unter erhöhtem Risiko weiterführen? |
| Extern kommunizieren | Kommunikation und Legal entwickeln Aussagen auf Basis des bestätigten Lagebilds. | Wer gibt Botschaften, Adressaten und Zeitpunkt frei? Wer ist Stellvertretung? |
| Behörden und Versicherung einbeziehen | Legal, Datenschutz und Versicherung beurteilen fallbezogene Pflichten und Bedingungen. | Wer löst welchen vorbereiteten Kontaktweg aus und wer hält Fristen nach? |
| Täterkontakt prüfen | Verhandlung, Forensik und Legal erläutern Zweck, Risiken und Rahmen. | Wer darf einen Kontakt mandatieren, Ziele setzen oder ihn untersagen? |
| Zahlung überhaupt erwägen | Legal, Forensik, Versicherung, Betrieb und Verhandlung liefern getrennte Entscheidungsgrundlagen. | Welches Gremium wäre zuständig und welche Prüfungen müssten vorher abgeschlossen sein? |
Die Antwort kann je nach Organisation unterschiedlich ausfallen. Entscheidend ist, dass sie vor dem Vorfall dokumentiert, verstanden und geübt wurde.
Die häufigste Fehlannahme: Der Krisenstab entscheidet alles
Die Bezeichnung „Krisenstab“ sagt noch nichts darüber aus, welche formellen oder delegierten Befugnisse ihm eine Organisation zuweist. Je nach Unternehmen koordiniert er, bereitet Anträge vor, trifft delegierte Entscheidungen oder führt bereits gefällte Entscheide aus.
Wenn diese Rolle nicht klar ist, entstehen typische Probleme:
- Teilnehmende gehen von unterschiedlichen Befugnissen aus.
- Entscheidungen werden diskutiert, aber nicht formell getroffen.
- Beschlüsse haben keine eindeutig verantwortliche Person.
- technische Teams erhalten widersprüchliche Weisungen.
- nicht erreichbare Schlüsselpersonen blockieren den Prozess.
- dieselbe Frage wird in mehreren Gremien parallel behandelt.
Das NIST Cybersecurity Framework 2.0 führt GOVERN als eigene Kernfunktion. Es verlangt, dass Rollen, Verantwortlichkeiten und Befugnisse für das Cyberrisikomanagement festgelegt, kommuniziert und verstanden werden.
Vier Bausteine einer belastbaren Entscheidungsarchitektur
Entscheidungsgegenstand
Nicht nur festlegen, wer „im Krisenstab“ sitzt. Beschreiben, welche Entscheidungen im Szenario tatsächlich entstehen können: Betrieb, Kommunikation, Wiederanlauf, externe Kontakte, Mandate und Risikoakzeptanz.
Befugnis und Grenze
Für jede Entscheidung bestimmen, wer entscheidet, wer vorbereitet, wer zwingend konsultiert wird und ab welcher Tragweite eskaliert werden muss.
Stellvertretung
Eine Rolle ohne verfügbare Stellvertretung ist unter Umständen keine belastbare Rolle. Nacht, Wochenende, Ferien, Krankheit oder eigene Betroffenheit müssen mitgedacht werden.
Dokumentation und erneute Prüfung
Eine Entscheidung braucht Zeitpunkt, Verantwortlichen, Informationsgrundlage und einen nächsten Prüfzeitpunkt. In einer dynamischen Lage kann ein richtiger Entscheid später angepasst werden müssen, weil neue Fakten vorliegen.
Fachliche Expertise bleibt unverzichtbar
Klare Entscheidungsrechte bedeuten nicht, dass Führung technische oder rechtliche Fachfragen selbst beurteilt.
- Incident Response und Forensik schaffen das technische Lagebild.
- Legal und Datenschutz beurteilen den anwendbaren Rechtsraum und konkrete Pflichten.
- Kommunikation strukturiert Botschaften und Anspruchsgruppen.
- Versicherung bringt vertragliche Anforderungen und Schadenprozesse ein.
- Betrieb und Fachbereiche bewerten Auswirkungen auf kritische Leistungen.
- Verhandlung ordnet Ziele, Mandat, Grenzen und Kommunikationsoptionen ein.
Die Führung verbindet diese Perspektiven zu einer Unternehmensentscheidung. Das NCSC-Board-Toolkit betont entsprechend, dass Personen ihre Befugnisse kennen und diese in Übungen praktisch erproben sollten.
Technische, forensische und rechtliche Fragen gehören in die Verantwortung entsprechend qualifizierter Fachpersonen. DEADLOCK beansprucht diese Disziplinen nicht als eigene Fachleistung.
Drei Prüffragen für Verantwortliche
- Welche Entscheidung mit erheblicher Betriebswirkung darf unser technisches Team autonom treffen – und wo endet diese Befugnis?
- Wer darf externe Kommunikation, einen möglichen Täterkontakt oder die Prüfung einer Zahlung freigeben, wenn die primär zuständige Person nicht erreichbar ist?
- Kann unser Krisenstab eindeutig erklären, welche Entscheidungen er selbst trifft und welche er nur vorbereitet?
Wenn diese Fragen nur mit informellen Gewohnheiten beantwortet werden, besteht eine Governance-Lücke.
Nächster sinnvoller Schritt
Entscheidungsrechte lassen sich nicht allein durch Organigramme prüfen. Erst in einer realistischen Eskalation zeigt sich, ob Informationen rechtzeitig ankommen, Fachperspektiven verbunden werden und die zuständige Stelle tatsächlich entscheiden kann.
PREPARE – Executive Cyber Crisis Simulation prüft Rollen, Befugnisse, Stellvertretungen und Eskalationswege unter unvollständigem Lagebild. Sie ersetzt keine technische oder rechtliche Prüfung. Für organisationsspezifische Fachfragen können vom Auftraggeber benannte Fachpersonen in die Simulation einbezogen werden.
Quellen und Transparenz
- NIST: Incident Response Recommendations and Considerations, SP 800-61 Revision 3
- NIST: Cybersecurity Framework 2.0
- CISA: #StopRansomware Guide
- NCSC UK: Cyber Security Toolkit for Boards – Incident Planning, Response and Recovery
Faktenstand: 26. August 2026
Fachliche Abgrenzung: Dieser Beitrag beschreibt einen organisationsspezifisch anzupassenden Führungsrahmen. Er definiert keine gesetzliche Organ- oder Haftungsverantwortung.
Redaktionelle Arbeitsweise: Dieses Briefing wurde auf Grundlage der ausgewiesenen Primärquellen redaktionell erarbeitet und von Pascal Wasinger inhaltlich geprüft und freigegeben. Eine externe Fachprüfung wird nur ausgewiesen, wenn sie tatsächlich durchgeführt und ihr Prüfbereich benannt wurde.
Dieses DEADLOCK Briefing dient der allgemeinen Einordnung und Vorbereitung. Es ersetzt keine technische Incident Response, forensische Untersuchung oder Rechtsberatung. Konkrete Zuständigkeiten und Massnahmen richten sich nach Organisation, Rechtsform, Vorfall und anwendbarem Rechtsraum.