Krisenhandbuch erstellen: So bereiten sich Unternehmen richtig vor

In einer akuten Krise liest niemand ein Dokument von 80 Seiten. Wer unter Druck steht, braucht in wenigen Minuten die Antwort auf drei Fragen: Was ist jetzt zu tun? Wer ist zuständig? Wie erreiche ich ihn?

Bauen Sie Ihr Handbuch deshalb in zwei Ebenen auf:

• Der Kern: wenige Seiten mit einer Checkliste für die erste Stunde, den Kontaktdaten des Krisenstabs und den Kriterien, wann er zusammenkommt. Dieser Teil muss ohne Vorkenntnisse verständlich sein, auch für eine Vertretung, die das Handbuch zum ersten Mal öffnet.
• Die Anhänge: Szenarien, Textbausteine, Meldewege und Kontaktlisten für Behörden, Medien und Partner. Hier darf es ausführlicher sein, denn diese Teile brauchen Sie erst, wenn die ersten Schritte laufen.

Schreiben Sie in Checklisten statt in Fließtext und ordnen Sie jedem Schritt eine Person zu. „Die Pressestelle informiert die Belegschaft“ ist eine Absicht. „Sprecherin A, vertreten durch B, verschickt innerhalb einer Stunde die Mitarbeiterinformation“ ist eine Anweisung.

Und sorgen Sie dafür, dass das Handbuch im Ernstfall erreichbar ist. Bei einem Cyberangriff sind Server, E-Mail und Intranet oft nicht verfügbar, bei einem Brand vielleicht das ganze Gebäude. Die Mitglieder des Krisenstabs sollten deshalb eine aktuelle Fassung auch außerhalb der Unternehmens-IT griffbereit haben, gedruckt oder auf einem gesicherten Gerät. Achten Sie dabei auf Vertraulichkeit: Das Handbuch enthält private Kontaktdaten und sensible Einschätzungen.

Das Herzstück jedes Krisenhandbuchs ist der Krisenstab. Er sollte klein genug sein, um schnell zu entscheiden, und breit genug, um alle wichtigen Perspektiven abzudecken. Bewährt hat sich ein festes Kernteam, das je nach Lage erweitert wird:

• Kernteam: Geschäftsführung, Kommunikation und Recht.
• Je nach Lage: die betroffenen Fachbereiche, Personal, IT-Sicherheit, Qualitätsmanagement oder Datenschutz.
• Externe: Kanzlei, Kommunikationsberater, Versicherer, bei Cyberangriffen IT-Forensiker. Legen Sie vorab fest, wer sie wann hinzuzieht, und halten Sie die Kontaktdaten bereit.

Klären Sie für jede Rolle, ob sie entscheidet oder berät. Ein Krisenstab, in dem alle mitreden und niemand entscheidet, verliert genau die Zeit, die er gewinnen soll. Benennen Sie außerdem für jede Rolle mindestens eine Vertretung. Krisen halten sich nicht an Urlaubspläne.

Genauso wichtig ist die Frage, wann der Krisenstab überhaupt zusammenkommt. Definieren Sie Eskalationsstufen mit klaren Kriterien: Ab wann beobachtet die Kommunikation ein Thema? Ab wann trifft sich das Kernteam? Ab wann der volle Krisenstab? Und legen Sie fest, wer einen Alarm auslösen darf. Wer im Kundenservice oder am Empfang etwas Ungewöhnliches bemerkt, muss wissen, wen er rund um die Uhr erreicht.

Schließlich: Bestimmen Sie eine Person, die Lage, Entscheidungen und Veröffentlichungen protokolliert. Das hilft bei der Abstimmung und kann später auch rechtlich wichtig werden.

Kein Handbuch kann jede Krise vorhersehen. Die meisten Krisen folgen aber Mustern, die sich vorbereiten lassen. Fragen Sie sich deshalb zuerst: Welche Krisen sind für unser Unternehmen realistisch? Je nach Branche und Größe kommen unter anderem in Betracht:

• Betrieb: Unfall, Brand, Ausfall wichtiger Anlagen oder Lieferanten
• Produkt: Produktfehler, Rückruf, schlechtes Testergebnis
• Digital: Cyberangriff, Datenleck, Ausfall der IT
• Menschen: Vorwürfe gegen Führungskräfte, Fehlverhalten von Mitarbeitern
• Recht: Durchsuchung, Ermittlungen, Klagen
• Wirtschaft: Stellenabbau, Standortschließung, Insolvenz
• Öffentlichkeit: negative Berichterstattung, Proteste, Empörungswelle in sozialen Netzwerken

Bewerten Sie jedes Szenario nach zwei Kriterien: Wie wahrscheinlich ist es, und wie groß wäre der Schaden? Konzentrieren Sie sich dann auf eine Handvoll Szenarien, bei denen beides hoch ist. Ein Handbuch mit 30 ausgearbeiteten Szenarien wird selten gepflegt.

Spielen Sie für jedes ausgewählte Szenario durch, wie es im günstigsten, im wahrscheinlichsten und im schlimmsten Fall verlaufen könnte. Halten Sie fest, wer betroffen ist, welche Pflichten greifen, was in der ersten Stunde zu tun ist und welche Botschaften tragen. Die nächste Krise wird nicht genau so verlaufen wie geplant. Aber wer ein ähnliches Szenario einmal durchdacht hat, muss im Ernstfall nicht bei null anfangen.

Viele Krisen lösen gesetzliche Pflichten aus, die den Takt Ihrer Kommunikation bestimmen. Wer sie erst im Ernstfall recherchiert, verliert Zeit oder verpasst eine Frist. Halten Sie im Handbuch für jedes Szenario fest: Wer muss wen bis wann informieren, und wer im Unternehmen ist dafür zuständig?

Typische Beispiele sind:

• Datenschutzverletzungen: Meldung an die Aufsichtsbehörde möglichst binnen 72 Stunden, bei hohem Risiko auch Information der Betroffenen.
• Cyberangriffe: Wichtige und besonders wichtige Einrichtungen nach dem NIS2-Umsetzungsgesetz müssen erhebliche Sicherheitsvorfälle binnen 24 Stunden beim BSI melden.
• Gefährliche Produkte: Meldung an die zuständigen Behörden, bei Verbraucherprodukten über das Safety Business Gateway der EU.
• Börsennotierte Unternehmen: Ad-hoc-Mitteilung, wenn der Vorfall eine Insiderinformation ist.
• Arbeitsunfälle: Unfallanzeige an die Berufsgenossenschaft.
• Versicherungsfälle: Viele Policen, etwa für Cyber- oder Rückrufrisiken, verlangen eine unverzügliche Anzeige und regeln, welche Dienstleister Sie einschalten dürfen.

Einzelheiten zu den Fristen lesen Sie in meinem Beitrag zur Krisenkommunikation. Welche Pflichten für Ihr Unternehmen gelten, hängt von Branche, Größe und Rechtsform ab. Stimmen Sie diesen Teil des Handbuchs deshalb mit Ihren Juristen ab.

Ergänzen Sie eine Liste mit Ansprechpartnern bei Behörden, etwa bei der Datenschutzaufsicht, der Gewerbeaufsicht, dem Gesundheitsamt oder der Polizei. Wer im Ernstfall erst die richtige Durchwahl suchen muss, verliert Zeit, die bei der Kommunikation fehlt.

In den ersten Stunden einer Krise ist jede Formulierung umkämpft. Juristen, Fachabteilungen und Geschäftsführung ringen um Worte, während Medien und Kunden auf eine Antwort warten. Vorbereitete Texte kürzen diesen Prozess deutlich ab, denn über Aufbau und Grundaussagen ist dann bereits entschieden.

Halten Sie für jedes Szenario mindestens bereit:

• ein Holding Statement für Medien und Website
• einen Katalog mit Fragen und Antworten, auch zu den unangenehmsten Fragen
• eine interne Mitteilung an die Belegschaft
• Informationen für Kunden und Geschäftspartner
• einen Leitfaden für Telefonzentrale, Empfang und Kundenservice
• Vorlagen für Beiträge in sozialen Netzwerken

Schreiben Sie diese Texte mit Platzhaltern für die Fakten, die erst im Ernstfall feststehen, und lassen Sie sie vorab rechtlich prüfen. Ein Holding Statement für einen Cyberangriff könnte etwa so lauten:

„Wir haben am [Datum] einen IT-Sicherheitsvorfall festgestellt. Wir haben sofort reagiert, betroffene Systeme vom Netz genommen und externe Experten hinzugezogen. Die zuständigen Behörden sind informiert. Ob personenbezogene Daten betroffen sind, prüfen wir derzeit. [Auswirkungen auf Kunden und Lieferungen]. Wir informieren weiter unter [Website] und unter [Hotline].“

Viele Unternehmen bereiten zusätzlich eine sogenannte Dark Site vor: eine Krisenseite mit Fragen und Antworten, Kontakten und Platz für Updates, die erst im Ernstfall freigeschaltet wird. Prüfen Sie dabei, ob sie auch dann online gehen kann, wenn Ihre Website selbst angegriffen oder überlastet ist.

In einer Krise wollen viele Menschen gleichzeitig etwas von Ihnen wissen: Journalisten, Kunden, Mitarbeiter, Behörden, Banken. Wenn jeder antwortet, der gefragt wird, entstehen Widersprüche. Legen Sie deshalb im Handbuch fest:

• Sprecher: Wer spricht mit den Medien, und wer vertritt diese Person? Alle anderen verweisen freundlich an sie.
• Zuständigkeiten je Zielgruppe: Wer informiert Mitarbeiter, wer Kunden und Handel, wer Behörden, wer Banken und Investoren?
• Reihenfolge: Wer erfährt was zuerst? In der Regel die Belegschaft kurz vor der Öffentlichkeit, wichtige Geschäftspartner persönlich und rechtzeitig.
• Sprachregelungen für die erste Linie: Empfang, Telefonzentrale, Kundenservice und Vertrieb brauchen zwei, drei Sätze, die sie sagen dürfen, und den Hinweis, wohin sie Anfragen weiterleiten.
• Beobachtung: Wer verfolgt Berichterstattung und soziale Netzwerke und meldet dem Krisenstab, was dort passiert?

Denken Sie dabei auch an den Ausfall Ihrer eigenen Kanäle. Wie erreichen Sie die Belegschaft, wenn E-Mail und Intranet nicht funktionieren? Ein vorab vereinbarter Weg, etwa eine Telefonkette oder SMS an hinterlegte Nummern, lässt sich im Ernstfall nicht mehr improvisieren.

Ergänzen Sie aktuelle Kontaktlisten: die wichtigsten Kunden und Partner, relevante Redaktionen und Journalisten, Ihre Kanzlei und Ihre Berater. Wie Sie mit Anfragen von Journalisten umgehen, lesen Sie in meinem Beitrag zur Presseanfrage.

Ein Krisenhandbuch, das nie benutzt wurde, ist eine Annahme. Erst eine Übung zeigt, ob es funktioniert. Dafür gibt es verschiedene Formen:

• Planspiel am Tisch: Der Krisenstab spielt ein Szenario Schritt für Schritt durch und prüft, ob Abläufe, Zuständigkeiten und Texte tragen.
• Krisensimulation: Ein realistisches Szenario unter Zeitdruck, mit eingespielten Presseanfragen, Kundenbeschwerden und Beiträgen in sozialen Netzwerken.
• Medientraining: Sprecher üben Interviews und Statements, auch mit unangenehmen Fragen und vor laufender Kamera.

Übungen bringen fast immer etwas zutage: eine Telefonnummer, die nicht mehr stimmt, eine Vertretung, die nichts von ihrer Rolle weiß, eine Freigabe, die Stunden dauert. Genau dafür sind sie da. Planen Sie mindestens eine Übung im Jahr ein.

Benennen Sie außerdem eine Person, die für die Pflege des Handbuchs verantwortlich ist. Aktualisieren Sie es nach jeder Übung und jeder echten Krise, bei personellen Veränderungen, neuen Standorten oder Produkten und wenn sich rechtliche Pflichten ändern. Ein Stand-Datum auf der ersten Seite zeigt jedem Leser auf einen Blick, wie aktuell das Dokument ist.

Wie ich Unternehmen bei Krisenhandbuch, Szenarien und Übungen unterstütze, lesen Sie auf meiner Seite zur Krisenkommunikation.

Was ist ein Krisenhandbuch?

Ein Krisenhandbuch ist ein schriftlicher Leitfaden, der festlegt, wie ein Unternehmen im Ernstfall organisiert ist und kommuniziert. Es enthält Zuständigkeiten, Abläufe, Kontaktdaten, Krisenszenarien und vorbereitete Texte. Andere Bezeichnungen sind Krisenleitfaden, Krisenmanual oder Krisenkommunikationsplan.

Was gehört in ein Krisenhandbuch?

Mindestens eine Checkliste für die erste Stunde, die Zusammensetzung des Krisenstabs mit Vertretungen, Kriterien für die Einberufung, Kontaktdaten, Melde- und Informationspflichten, die wichtigsten Krisenszenarien sowie Textbausteine wie Holding Statements, Fragen und Antworten und Vorlagen für Mitarbeiter- und Kundeninformationen. Dazu kommen Regeln, wer mit wem auf welchem Weg kommuniziert.

Wie umfangreich sollte ein Krisenhandbuch sein?

Der Kern sollte nur wenige Seiten umfassen und sich im Ernstfall in Minuten erfassen lassen. Szenarien, Textbausteine und Kontaktlisten können in Anhängen ausführlicher sein. Ein Handbuch, das zu umfangreich ist, wird in der Krise selten gelesen und im Alltag selten gepflegt.

Ist ein Krisenhandbuch Pflicht?

Eine allgemeine Pflicht gibt es nicht. Für manche Unternehmen gelten aber Vorgaben, die in diese Richtung gehen: Einrichtungen, die unter das NIS2-Umsetzungsgesetz fallen, müssen im Rahmen ihres Risikomanagements unter anderem Vorkehrungen für das Krisenmanagement treffen. Finanzunternehmen müssen nach der EU-Verordnung DORA Kommunikationspläne für schwerwiegende IT-Vorfälle haben.

Was ist der Unterschied zwischen Krisenhandbuch und Notfallplan?

Ein Notfallplan regelt vor allem den Betrieb: Evakuierung, Erste Hilfe, Wiederherstellung von IT und Produktion. Ein Krisenhandbuch regelt Führung und Kommunikation: wer entscheidet, wer informiert und was gesagt wird. Beide sollten aufeinander verweisen, denn in einer echten Krise laufen sie parallel.

Wer sollte ein Krisenhandbuch erstellen?

In der Regel die Unternehmenskommunikation gemeinsam mit Geschäftsführung, Rechtsabteilung und den wichtigsten Fachbereichen. Externe Berater bringen Erfahrung aus anderen Krisen und einen unverstellten Blick auf Schwachstellen mit. Verantwortlich für die Pflege sollte aber eine Person im Unternehmen sein.

Wie oft sollte ein Krisenhandbuch aktualisiert werden?

Mindestens einmal im Jahr und zusätzlich bei Anlässen: nach Übungen und echten Krisen, bei personellen Veränderungen im Krisenstab, bei neuen Standorten oder Produkten und wenn sich rechtliche Pflichten ändern.

Gibt es eine Vorlage für ein Krisenhandbuch?

Vorlagen können ein guter Ausgangspunkt sein, ersetzen aber nicht die Arbeit am eigenen Fall. Was ein Handbuch im Ernstfall wertvoll macht, steht in keiner Vorlage: die richtigen Namen und Nummern, die für Ihr Unternehmen realistischen Szenarien, die Pflichten Ihrer Branche und Texte, die nach Ihnen klingen.