Krisenkommunikation umfasst alle Maßnahmen, mit denen eine Organisation während eines schwerwiegenden Ereignisses ihre internen und externen Zielgruppen informiert, Handlungsfähigkeit zeigt und Vertrauen erhält. Krisenkommunikation beginnt lange vor dem Ereignis mit Vorbereitung, Sprachregelungen und Übungen, wirkt in der Akutphase über abgestimmte Botschaften und endet erst mit der Aufarbeitung. Orientierung geben ISO 22361, der BSI-Standard 200-4 und behördliche Leitfäden.

Was ist Krisenkommunikation?

Krisenkommunikation ist die zielgerichtete Kommunikation einer Organisation in einer Lage, die ihre Handlungsfähigkeit, ihre Leistungen oder ihre Glaubwürdigkeit ernsthaft bedroht. Sie unterscheidet sich von der laufenden Unternehmens- oder Behördenkommunikation durch drei Merkmale: Der Informationsstand ist unvollständig, die Zeit ist knapp, und die Aufmerksamkeit ist ungewöhnlich hoch. Genau diese Kombination macht Kommunikation in der Krise zu einer eigenständigen Disziplin und nicht zu einer intensiveren Form der Pressearbeit.

Krisenkommunikation hat dabei zwei gleichrangige Richtungen. Nach innen sorgt sie dafür, dass Mitarbeitende wissen, was geschehen ist, was von ihnen erwartet wird und wer Auskunft gibt. Nach außen versorgt sie Kunden, Bürgerinnen und Bürger, Partner, Behörden und Medien mit bestätigten Informationen. Die interne Richtung wird regelmäßig unterschätzt, obwohl sie die Grundlage der externen bildet: Mitarbeitende sind Multiplikatoren, und was sie nicht von ihrer Organisation erfahren, erfahren sie aus anderen Quellen – und geben es entsprechend weiter.

Ein wesentliches Prinzip ist die Vakuumregel. Eine Organisation, die nicht kommuniziert, verhindert keine Berichterstattung, sondern überlässt die Deutung anderen: Medien, Betroffenen, Wettbewerbern, Kommentierenden in sozialen Netzwerken. Krisenkommunikation zielt deshalb nicht darauf, möglichst wenig zu sagen, sondern darauf, früh und belastbar das zu sagen, was gesichert ist.

Warum ist Krisenkommunikation wichtig?

Krisenkommunikation ist wichtig, weil der Schaden einer Krise regelmäßig weniger vom Ereignis selbst bestimmt wird als von der wahrgenommenen Reaktion darauf. Ein Cyberangriff, ein Produktrückruf oder ein Betriebsunfall sind erklärbar. Widersprüchliche Aussagen, verspätete Informationen oder der Eindruck, eine Organisation halte Wesentliches zurück, sind es nicht – und genau daran bemisst sich später das Vertrauen von Kunden, Beschäftigten und Aufsicht.

Hinzu kommt die Geschwindigkeit der Öffentlichkeit. Vorfälle werden heute von Betroffenen, Beschäftigten oder Dritten dokumentiert und verbreitet, bevor die betroffene Organisation ihre Lage vollständig verstanden hat. In der Praxis hat sich deshalb die Faustregel etabliert, dass eine erste bestätigende Aussage innerhalb der ersten Stunde nach Bekanntwerden vorliegen sollte – nicht mit abschließenden Antworten, sondern mit dem, was gesichert ist: dass ein Vorfall vorliegt, dass er bearbeitet wird und wann die nächste Information folgt.

Der dritte Grund ist rechtlicher Natur. Melde- und Informationspflichten laufen parallel zur technischen Bewältigung und haben eigene Fristen, die nicht ausgesetzt werden, weil der Krisenstab beschäftigt ist. Wer Kommunikation erst nach der Lagebewältigung organisiert, verletzt Fristen, die sich später nicht heilen lassen.

Wie unterscheidet sich Krisenkommunikation von Notfallkommunikation, Risikokommunikation und klassischer PR?

Krisenkommunikation adressiert die Deutungs- und Vertrauensebene eines Ereignisses, während Notfallkommunikation die operative Verständigung während der Bewältigung sicherstellt. Die Begriffe werden häufig synonym verwendet, bezeichnen aber unterschiedliche Aufgaben, die verschiedene Werkzeuge und Verantwortliche erfordern.

Disziplin	Fokus	Typische Adressaten	Verhältnis zur Krisenkommunikation
Krisenkommunikation	Deutung, Vertrauen, Handlungsfähigkeit nach außen und innen	Mitarbeitende, Kunden, Medien, Behörden, Öffentlichkeit	Bezugsdisziplin
Notfallkommunikation	operative Verständigung während der Bewältigung	Krisenstab, Einsatz- und Notfallteams, Fachbereiche	technische und organisatorische Voraussetzung
Alarmierung	Auslösung und Erreichbarkeit in der ersten Minute	Rufbereitschaft, Führungskräfte, Einsatzkräfte	Startpunkt beider Disziplinen
Risikokommunikation	Aufklärung über Risiken vor ihrem Eintritt	Beschäftigte, Anwohner, Öffentlichkeit	Vorsorge, schafft Glaubwürdigkeit für den Ernstfall
Klassische PR	Reputationsaufbau im Normalbetrieb	Medien, Zielgruppen, Öffentlichkeit	liefert Strukturen, reicht in der Krise nicht aus

Die Abgrenzung hat praktische Konsequenzen. Notfallkommunikation braucht Kanäle, die auch bei Systemausfall funktionieren, sowie klar getrennte Kommunikationskreise. Krisenkommunikation braucht abgestimmte Botschaften, benannte Sprecher und Freigabewege. Wer nur eines von beidem vorbereitet, hat entweder einen funktionierenden Stab ohne Außenwirkung oder eine gute Pressemitteilung ohne belastbares Lagebild.

Welche Phasen hat Krisenkommunikation?

Krisenkommunikation verläuft in drei Phasen: Vorbereitung, Akutphase und Nachbereitung. Der größte Teil der Arbeit fällt in die erste Phase, obwohl die zweite die sichtbare ist.

In der Vorbereitungsphase entstehen die Grundlagen: eine Stakeholder-Übersicht, ein Krisenkommunikationsplan, Sprachregelungen und vorbereitete Textbausteine für wahrscheinliche Szenarien, benannte und geschulte Sprecher, aktuelle Kontaktlisten sowie technisch erprobte Kanäle. Hierher gehört auch das Monitoring, das eine sich anbahnende Lage überhaupt erst sichtbar macht, und die Übung, in der die Beteiligten das Zusammenspiel unter Zeitdruck erproben.

Die Akutphase beginnt mit der Bewertung: Liegt eine Krise vor, wer ist betroffen, welche Fristen laufen? Danach folgt die erste Information nach innen und außen, häufig als vorläufige Sprachregelung mit dem gesicherten Sachstand und einem Zeitpunkt für die nächste Aktualisierung. In der weiteren Bewältigung arbeitet die Krisenkommunikation im Takt: regelmäßige Lagebilder, abgestimmte Aussagen, Beobachtung der Reaktionen, Korrektur falscher Darstellungen und lückenlose Dokumentation aller Aussagen und Entscheidungen.

Die Nachbereitungsphase wird am häufigsten übersprungen und ist gleichzeitig die einzige, in der eine Organisation dauerhaft besser wird. Sie umfasst die abschließende Information der Zielgruppen, die Auswertung von Reaktionen und Berichterstattung, die Aufarbeitung von Ursachen und Konsequenzen sowie die Aktualisierung von Plan, Sprachregelungen und Verteilern. Wo Zusagen gemacht wurden, gehört ihre Einlösung ebenfalls zur Kommunikation – Ankündigungen ohne sichtbare Umsetzung wirken in der nächsten Lage gegen die Organisation.

Welche Grundsätze gelten in der Krisenkommunikation?

Die Grundsätze der Krisenkommunikation lassen sich auf sechs Punkte verdichten, die im internationalen Fachdiskurs weitgehend übereinstimmen und unter anderem im CERC-Modell der US-Gesundheitsbehörde CDC formuliert sind:

Schnell sein. Die erste belastbare Information sollte von der Organisation selbst kommen, nicht von Dritten.
Richtig sein. Nur gesicherte Fakten kommunizieren, Unsicherheiten als solche benennen und Spekulationen unterlassen.
Glaubwürdig sein. Aussagen konsistent halten, Fehler einräumen und Korrekturen aktiv nachliefern.
Empathie zeigen. Betroffene und ihre Lage zuerst ansprechen, bevor über Prozesse und Zuständigkeiten gesprochen wird.
Handlungsfähigkeit vermitteln. Konkret sagen, was getan wird und was Betroffene selbst tun können oder sollen.
Respekt wahren. Zielgruppen ernst nehmen, keine Verharmlosung, keine Schuldzuweisungen an Dritte.

Ergänzend gilt das One-Voice-Prinzip: Es spricht, wer benannt ist, und alle sprechen auf derselben Faktenbasis. Das schließt eine interne Sprachregelung für Beschäftigte ein, die von Nachbarn, Kunden oder Journalisten angesprochen werden. Wichtiger als Eloquenz ist dabei Konsistenz – Widersprüche zwischen Pressestelle, Fachbereich und Führungsebene sind der häufigste Auslöser für eine zweite, kommunikativ verursachte Krise.

Welche Zielgruppen hat die Krisenkommunikation?

Krisenkommunikation adressiert mehrere Zielgruppen gleichzeitig, mit unterschiedlichem Informationsbedarf und unterschiedlicher Dringlichkeit. Eine vorbereitete Übersicht verhindert, dass in der Akutphase wichtige Gruppen vergessen werden – erfahrungsgemäß trifft das zuerst Partner, Dienstleister und die eigene zweite Führungsebene.

Zielgruppe	Informationsbedarf	Typischer Kanal	Verantwortung
Mitarbeitende	Was ist passiert, was bedeutet es für meine Arbeit, was darf ich sagen	interne Nachricht, Alarmierung, Intranet	interne Kommunikation, Krisenstab
Krisenstab und Führung	Lagebild, Entscheidungsgrundlagen, Handlungsoptionen	geschlossene Stabskanäle, Lagekonferenz	Krisenstabsleitung
Kunden, Bürgerinnen und Bürger	Betroffenheit, Alternativen, voraussichtliche Dauer	Website, Hotline, E-Mail, soziale Netzwerke	Kundenservice, Kommunikation
Behörden und Aufsicht	Sachverhalt, Maßnahmen, Fristen	formale Meldewege	Compliance, Datenschutz, Informationssicherheit
Medien	bestätigte Fakten, Ansprechpartner, Einordnung	Statement, Pressemitteilung, Pressestelle	benannte Sprecher
Partner und Lieferanten	Auswirkungen auf Leistungen und Lieferbeziehung	direkte Ansprache, Partnerportal	Einkauf, Vertrieb, Key Account
Betroffene und Angehörige	verlässliche Auskunft, Betreuung, nächste Schritte	persönliche Ansprache, Hotline	Krisenstab, psychosoziale Betreuung

Was gehört in einen Krisenkommunikationsplan?

Ein Krisenkommunikationsplan enthält Auslösekriterien, Rollen und Freigabewege, die Stakeholder-Übersicht, vorbereitete Sprachregelungen, Kanäle mit Zugangsdaten und Vertretungen sowie die Dokumentationspflichten. Er ist Teil des Notfallplans beziehungsweise des Krisenhandbuchs und teilt dessen Anforderungen: kurz, handlungsorientiert und auch dann verfügbar, wenn die eigenen Systeme ausgefallen sind.

Besondere Aufmerksamkeit verdienen drei Elemente. Vorbereitete Sprachregelungen und Holding Statements für wahrscheinliche Szenarien verkürzen die Reaktionszeit erheblich, weil in der Akutphase nur noch Sachstand und Details ergänzt werden müssen. Eine Dark Site oder vorbereitete Statusseite hält eine externe Informationsfläche bereit, die unabhängig von der Hauptwebsite betrieben werden kann – hilfreich, wenn diese durch einen Angriff oder Zugriffslasten nicht verfügbar ist. Und die Zugangsdaten zu Kanälen – Website, Social-Media-Konten, Verteiler, Hotline – gehören mit Vertretungsregelung hinterlegt, weil sie im Ereignisfall regelmäßig bei genau der Person liegen, die gerade nicht erreichbar ist.

Welche Kanäle werden in der Krisenkommunikation genutzt?

Krisenkommunikation nutzt getrennte Kanäle für Stabsarbeit, interne Information und externe Kommunikation. Die Trennung ist keine Formalie: Ein Krisenstab, der im selben Kanal arbeitet, in dem die Gesamtorganisation informiert wird, verliert Arbeitsfähigkeit und Vertraulichkeit gleichzeitig.

Für die Stabsarbeit werden geschlossene, rollenbasierte Kanäle mit gemeinsamem Lagebild und nachvollziehbarer Dokumentation benötigt. Die interne Information erreicht Beschäftigte über Alarmierung, Messenger und Intranet, wobei die Erreichbarkeit außerhalb der Dienstzeiten und über Standorte hinweg entscheidend ist. Extern kommen Website und Statusseite, Presseverteiler, soziale Netzwerke, Kundenhotlines und formale Meldewege gegenüber Behörden hinzu. Bei Einsatzlagen von BOS treten sprachbasierte Kanäle wie Push-to-Talk hinzu, weil unter Belastung schneller gesprochen als geschrieben wird.

Die zentrale Anforderung an alle internen Kanäle lautet Unabhängigkeit von der betroffenen Infrastruktur. Bei einem Ransomware-Angriff sind E-Mail, Telefonanlage, Intranet und Dateiablagen häufig Teil des Ausfalls – und mit ihnen die Verteiler und Kontaktlisten, die für die Krisenkommunikation gebraucht werden. Fehlt ein vorbereiteter Ausweichkanal, weichen Beteiligte erfahrungsgemäß auf private Consumer-Messenger aus. Es entsteht Schatten-IT genau in dem Moment, in dem Vertraulichkeit, Nachvollziehbarkeit und Beweisfähigkeit besonders wichtig sind, und die spätere Aufarbeitung gegenüber Aufsicht und Versicherern wird erschwert. Organisationen lösen das über vorab freigegebene, zentral verwaltete Kommunikationslösungen mit getrennten Kommunikationskreisen, Alarmierungsfunktionen und dokumentierbarem Nachrichtenverlauf, deren Verfügbarkeit in Übungen mitgeprüft wird.

Welche Melde- und Informationspflichten gelten in der Krise?

Melde- und Informationspflichten laufen parallel zur Krisenbewältigung und haben eigene, kurze Fristen. Die NIS2-Richtlinie (EU) 2022/2555 verlangt von wesentlichen und wichtigen Einrichtungen bei erheblichen Sicherheitsvorfällen eine Frühwarnung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden und einen Abschlussbericht innerhalb eines Monats; unter bestimmten Voraussetzungen sind zusätzlich Empfänger der Dienste zu informieren.

Bei Verletzungen des Schutzes personenbezogener Daten greift parallel die DSGVO: Artikel 33 verlangt die Meldung an die zuständige Aufsichtsbehörde binnen 72 Stunden nach Bekanntwerden, Artikel 34 die unverzügliche Benachrichtigung der betroffenen Personen, wenn ein voraussichtlich hohes Risiko für deren Rechte und Freiheiten besteht. Diese Benachrichtigung ist zugleich ein Krisenkommunikationsvorgang mit erheblicher Außenwirkung und sollte inhaltlich mit den übrigen Aussagen abgestimmt sein – Abweichungen zwischen Behördenmeldung, Betroffenenanschreiben und Pressestatement fallen auf. Weitere Pflichten ergeben sich für Betreiber kritischer Infrastrukturen aus dem BSI-Gesetz und im Finanzsektor aus der DORA-Verordnung (EU) 2022/2554.

Praktisch bedeutet das: Fristen, Ansprechstellen und Zuständigkeiten gehören in den Krisenkommunikationsplan, und die DSGVO-Konformität der eingesetzten Kommunikationswege muss auch im Ausnahmezustand gewahrt bleiben. Die Uhr läuft ab Kenntnisnahme, nicht ab abgeschlossener Analyse.

Welche Normen und Leitfäden gelten für Krisenkommunikation?

Für Krisenkommunikation ist ISO 22361 die maßgebliche internationale Leitlinie; sie beschreibt Krisenmanagement einschließlich Kommunikation, Führungsstrukturen und Entscheidungsfindung und ergänzt damit ISO 22301 für das Business Continuity Management. Im deutschsprachigen Raum ist zusätzlich der BSI-Standard 200-4 relevant, der Krisenkommunikation als Bestandteil der Notfall- und Krisenbewältigung behandelt und Anforderungen an Stabsarbeit und Dokumentation formuliert.

Für Behörden und Unternehmen im deutschsprachigen Raum existieren daneben behördliche Leitfäden zur Krisenkommunikation, unter anderem des Bundesinnenministeriums. Aus der Forschung stammen zwei häufig zitierte Modelle: die Situational Crisis Communication Theory (SCCT) nach Coombs, die Reaktionsstrategien nach der zugeschriebenen Verantwortung für die Krise differenziert, und das bereits genannte CERC-Modell, das Kommunikationsprinzipien über den Krisenverlauf hinweg beschreibt. Beide Modelle liefern keine fertigen Formulierungen, helfen aber bei der Frage, welche Haltung eine Aussage transportieren muss, damit sie glaubwürdig wirkt.

Wer ist für die Krisenkommunikation verantwortlich?

Die Gesamtverantwortung für die Krisenkommunikation liegt bei der Leitung der Organisation, operativ verantwortet sie die Kommunikationsfunktion als Teil des Krisenstabs. Diese Einbindung ist entscheidend: Wer erst nach getroffener Entscheidung informiert wird, kann sie nicht mehr kommunikativ vorbereiten und kommt strukturell zu spät.

Im Stab arbeiten mehrere Rollen zusammen: die Krisenstabsleitung entscheidet, die Kommunikationsverantwortung erstellt und stimmt Aussagen ab, benannte Sprecher treten nach außen auf, das Monitoring beobachtet Medien und soziale Netzwerke, und die Lagedokumentation hält Meldungen, Aussagen und Entscheidungen nachvollziehbar fest. Fachbereiche, Rechtsabteilung und Datenschutz liefern zu, entscheiden aber nicht über die Kommunikation. In kleineren Organisationen fallen Rollen zusammen – dann sind benannte Vertretungen umso wichtiger, weil eine einzelne nicht erreichbare Person sonst die gesamte Außenkommunikation blockiert.

Wie wird Krisenkommunikation geübt?

Krisenkommunikation wird mindestens jährlich geübt, üblicherweise integriert in Stabs- oder Notfallübungen. Reine Planbesprechungen genügen nicht: Der eigentliche Prüfstein ist, ob unter Zeitdruck und mit unvollständigen Informationen eine abgestimmte, freigegebene Aussage entsteht – und zwar innerhalb der Zeit, die eine reale Lage lässt.

Bewährt haben sich gestaffelte Formate: der Plan-Review prüft Aktualität von Verteilern, Zugangsdaten und Sprachregelungen; die Tabletop-Übung spielt ein Szenario im Gespräch durch; die Stabsübung testet Zusammenarbeit, Freigabewege und Taktung unter Belastung; Medien- und Sprechertrainings bereiten auf Interviews und kritische Nachfragen vor. Sinnvoll sind Übungen, die bewusst einen Ausfall der gewohnten Kanäle einbauen, weil sich genau daran zeigt, ob Ausweichwege bekannt und eingerichtet sind. Jede Übung endet mit dokumentierten Erkenntnissen und einer Aktualisierung des Plans – ohne diesen Schritt wiederholt die nächste Übung dieselben Feststellungen.

Welche Fehler treten in der Krisenkommunikation häufig auf?

Der häufigste Fehler in der Krisenkommunikation ist Schweigen in den ersten Stunden – aus dem nachvollziehbaren Wunsch, erst alle Fakten zu kennen. Weitere typische Schwachstellen aus der Praxis:

interne Kommunikation vernachlässigt, sodass Mitarbeitende aus den Medien erfahren, was in ihrer Organisation geschehen ist
widersprüchliche Aussagen aus Pressestelle, Fachbereich und Führungsebene ohne gemeinsame Faktenbasis
Verharmlosung oder Beschwichtigung, die durch spätere Erkenntnisse widerlegt wird
Kontaktlisten, Verteiler und Zugangsdaten liegen ausschließlich in Systemen, die vom Ausfall betroffen sind
Ausweichen auf private Messenger und Endgeräte, wodurch Vertraulichkeit und Dokumentation verloren gehen
Meldefristen gegenüber Aufsicht und Datenschutzbehörden nicht im Kommunikationsplan hinterlegt
keine benannten und geschulten Sprecher, sodass in der Lage improvisiert wird
fehlende Nachbereitung, sodass Erkenntnisse weder dokumentiert noch in den Plan übernommen werden

Zusammenfassung: Wichtige Punkte zu Krisenkommunikation

Krisenkommunikation umfasst alle Maßnahmen, mit denen eine Organisation in einer bedrohlichen Lage interne und externe Zielgruppen informiert, Handlungsfähigkeit zeigt und Vertrauen erhält.
Sie verläuft in drei Phasen – Vorbereitung, Akutphase und Nachbereitung –, wobei der größte Teil der Arbeit vor dem Ereignis anfällt.
Interne Kommunikation kommt zuerst: Mitarbeitende sind Multiplikatoren und sollten Informationen nicht aus den Medien erfahren.
Die zentralen Grundsätze lauten schnell, richtig, glaubwürdig, empathisch, handlungsorientiert und respektvoll; ergänzt um das One-Voice-Prinzip mit benannten Sprechern.
Ein Krisenkommunikationsplan enthält Auslösekriterien, Rollen und Freigabewege, Stakeholder-Übersicht, vorbereitete Sprachregelungen, Kanäle mit Zugangsdaten und Dokumentationspflichten.
Krisenkommunikation und Notfallkommunikation sind nicht dasselbe: Die eine adressiert Deutung und Vertrauen, die andere die operative Verständigung während der Bewältigung.
Interne Kanäle müssen unabhängig von der betroffenen Infrastruktur funktionieren, weil E-Mail, Telefonanlage und Intranet Teil des Ausfalls sein können.
Meldefristen laufen parallel: NIS2 verlangt 24 Stunden Frühwarnung, 72 Stunden Meldung und einen Abschlussbericht nach einem Monat, die DSGVO in Artikel 33 eine Meldung binnen 72 Stunden und in Artikel 34 die Benachrichtigung Betroffener bei hohem Risiko.
Fachliche Bezugspunkte sind ISO 22361, der BSI-Standard 200-4 sowie die Modelle SCCT und CERC.
Krisenkommunikation wird mindestens jährlich geübt, idealerweise mit simuliertem Ausfall der gewohnten Kanäle und mit dokumentierten Erkenntnissen.