Krisenkommunikation bei Cyberangriffen am Beispiel Jaguar Land Rover
Krisenkommunikation bei Cyberangriffen muss Menschen helfen, Entscheidungen unter unsicheren Bedingungen zu treffen. Der Fall Jaguar Land Rover zeigt, wie schwierig das wird, wenn Systeme ausfallen, die Produktion pausiert und neue Erkenntnisse den bisherigen Informationsstand verändern. Aus veröffentlichten Meldungen lassen sich konkrete Lehren für die Kommunikation mit Beschäftigten, Kunden und Geschäftspartnern ableiten.
Eine Produktion steht still. Die IT arbeitet an der Wiederherstellung. Gleichzeitig muss eine Führungskraft entscheiden, was sie ihrem Team für die kommende Woche sagen kann. Ein Zulieferer plant Personal und Material. Ein Händler möchte wissen, welche Zusagen er gegenüber Kunden noch vertreten kann.
Alle warten auf Informationen über denselben Vorfall. Sie brauchen jedoch unterschiedliche Antworten. Genau diese Übersetzung ist eine zentrale Aufgabe der Krisenkommunikation.
Der Cyberangriff auf Jaguar Land Rover, kurz JLR, im Spätsommer 2025 bietet dafür einen dokumentierten Fall. An ausgewählten öffentlichen Mitteilungen aus dem September lässt sich untersuchen, wie ein Unternehmen Informationen aktualisiert und Planungshorizonte vermittelt. Daraus entwickeln wir Empfehlungen für die eigene Krisenkommunikation.
Wie sich der öffentlich bekannte Informationsstand entwickelte
Am 2. September 2025 erklärte JLR, das Unternehmen habe nach einem Cybervorfall Systeme vorsorglich abgeschaltet. Produktion und Handel seien erheblich beeinträchtigt. Zu diesem Zeitpunkt gebe es keine Hinweise darauf, dass Kundendaten gestohlen worden seien. [1]
Am 10. September teilte JLR mit, nach dem Stand der Untersuchung gehe das Unternehmen nun davon aus, dass bestimmte Daten betroffen seien. Zuständige Aufsichtsstellen würden informiert. Welche Personen gegebenenfalls betroffen waren, sollte weiter untersucht werden. [2]
Am 16. September wurde die Produktionspause bis zum 24. September verlängert. JLR verwies auf die laufende Untersuchung und den kontrollierten Wiederanlauf. [3] Am 23. September folgte die Verlängerung bis zum 1. Oktober. Die Mitteilung benannte ausdrücklich das Ziel, für die kommende Woche Klarheit zu geben. [4]
Datum | Öffentliche Mitteilung | Bedeutung für die Einordnung |
2. September 2025 | Systeme abgeschaltet und erhebliche Betriebsstörung | Früher Erkenntnisstand mit begrenzter Aussage zu Kundendaten |
10. September 2025 | Bestimmte Daten vermutlich betroffen | Untersuchung verändert den mitgeteilten Erkenntnisstand |
16. September 2025 | Produktionspause bis 24. September | Konkreter vorläufiger Planungshorizont |
23. September 2025 | Produktionspause bis 1. Oktober | Aktualisierung des Planungshorizonts |
An den ausgewählten Meldungen fällt ein sinnvoller kommunikativer Ansatz auf: JLR benennt den jeweiligen Stand der Untersuchung und aktualisiert den zeitlichen Rahmen. Besonders die Mitteilung vom 23. September verbindet den neuen Termin mit einem ausdrücklichen Anliegen der Betroffenen: Klarheit für die kommende Woche. Das ist für die eigene Vorbereitung hilfreich. Eine Zwischenmeldung kann Orientierung geben, obwohl die technische Bearbeitung weiterläuft. [4]
Wie Aussagen über fehlende Hinweise verstanden werden können
Zwischen
Wir haben bislang keine Hinweise auf einen Datendiebstahl
und
Es wurden keine Daten gestohlen
liegt ein erheblicher Unterschied. Die erste Aussage beschreibt einen Erkenntnisstand. Die zweite behauptet ein Ergebnis.
Kommunikationspsychologisch ist daran interessant, wie Leser eine solche Aussage für sich übersetzen. Wer vor allem wissen möchte, ob Handlungsbedarf besteht, könnte sich an die beruhigende Kernaussage erinnern und die zeitliche Einschränkung weniger beachten.
Meine fachliche Einschätzung: Eine gute Aktualisierung sollte deshalb die Verbindung zur früheren Meldung selbst herstellen. Sie erleichtert es den Empfängern, ihre Bewertung an die neue Lage anzupassen.
Für eigene Meldungen folgt daraus eine praktische Empfehlung: Die Begrenzung des Wissens sollte unmittelbar bei der Aussage stehen. Erkläre, was geprüft wurde, was noch offen ist und weshalb sich die Bewertung ändern kann. Ein weit entfernter allgemeiner Vorbehalt hilft beim schnellen Lesen wenig.
Auch die nächste Meldung sollte den Zusammenhang erklären. Welche neue Erkenntnis liegt vor? Welche frühere Aussage wird dadurch ergänzt? Was bedeutet das für Betroffene? So können Leser den Verlauf nachvollziehen, ohne selbst mehrere Veröffentlichungen vergleichen zu müssen.
Warum ein Wiederanlauftermin unterschiedliche Fragen auslöst
Ein Datum schafft zunächst einen gemeinsamen Bezugspunkt. Es kann Beschäftigten und Geschäftspartnern helfen, ihre nächsten Schritte zu planen. Bei der Interpretation kommt es jedoch darauf an, wofür das Datum gilt.
Das Ende einer angekündigten Produktionspause ist nicht automatisch der Zeitpunkt, zu dem jeder Prozess wieder im Normalbetrieb arbeitet. Technische Freigabe, Wiederaufnahme einzelner Abläufe und volle Leistungsfähigkeit können unterschiedliche Schritte sein. Wer dazu kommuniziert, sollte diese Begriffe im jeweiligen Fall eindeutig verwenden.
Im eigenen Unternehmen lohnt es sich deshalb, jede Terminangabe mit einer Entscheidung zu verbinden. Sollen Beschäftigte bis dahin zu Hause bleiben? Werden Bestellungen weiterhin angenommen? Darf der Vertrieb Liefertermine bestätigen? Welche Rückmeldung erhalten Partner, wenn ein Termin noch nicht belastbar ist?
Für die Praxis empfiehlt sich eine kurze Ergänzung unmittelbar hinter der Terminangabe: „Dieser Zeitraum gilt für …“ und „Für Ihre Planung bedeutet das …“. Damit wird erkennbar, welche konkrete Entscheidung sich bereits treffen lässt. Ein Datum erhält so eine verständliche Bedeutung für den Arbeitsalltag.
Die Folgen reichen über das angegriffene Unternehmen hinaus
Das Cyber Monitoring Centre ordnete den JLR-Vorfall im Oktober 2025 als systemisches Ereignis der Kategorie 3 auf seiner fünfstufigen Skala ein. Die Analyse beschrieb erhebliche wirtschaftliche Auswirkungen auf Zulieferer und weitere verbundene Unternehmen. Gemeint waren überwiegend indirekte Folgen der Unterbrechung, nicht ein gleichzeitiger Angriff auf all diese Organisationen. [5]
Damit erweitert sich der kommunikative Blick. Ein Unternehmen muss nicht selbst kompromittiert sein, um durch einen Cyberangriff in Schwierigkeiten zu geraten. Wenn ein wichtiger Auftraggeber ausfällt, können dessen Partner Entscheidungen über Schichten, Lagerbestände oder Zahlungsströme treffen müssen.
Für die Vorbereitung heißt das: Prüfe auch die Abhängigkeiten außerhalb der eigenen Organisation. Welche Partner benötigen operative Informationen? Wer hält den Kontakt? Wie gelangen Fragen zurück in den Krisenstab? Und welche Informationen dürfen nach fachlicher Prüfung weitergegeben werden?
Aus einem Lagebild brauchbare Informationen machen
Ein Lagebild beschreibt, was die Organisation weiß. Eine nutzbare Nachricht erklärt zusätzlich, was der Empfänger daraus ableiten soll. Für die eigene Vorbereitung bietet sich die folgende Arbeitsmatrix an. Sie verbindet jede Zielgruppe mit einer Entscheidung, die während der Unterbrechung ansteht.
Empfänger | Entscheidung im Arbeitsalltag | Benötigte Information |
Beschäftigte | Wie arbeite ich während der Unterbrechung | Erreichbarkeit, Arbeitsanweisung und nächste Information |
Führungskräfte | Welche Aufgaben haben Vorrang | Freigegebene Prioritäten und Eskalationsweg |
Kundenservice | Welche Auskunft darf ich geben | Bestätigte Aussagen, offene Punkte und Rückfragekanal |
Geschäftspartner | Wie plane ich meine Leistungen | Betroffene Abläufe, vorläufiger Horizont und Kontakt |
Die Matrix macht Lücken sichtbar. Wenn ein Empfänger keinen zulässigen nächsten Schritt kennt, reicht die Nachricht für seinen Zweck möglicherweise noch nicht aus. Ein zusätzlicher Absatz mit einer klaren Zuständigkeit kann dann hilfreicher sein als eine weitere technische Erklärung.
Krisenkommunikation bei Cyberangriffen verlässlich organisieren
Ein Unternehmen kann den Abschluss einer Untersuchung häufig noch nicht zusagen. Es kann aber festlegen, wann es wieder informiert und wie dringende Fragen behandelt werden. Diese Unterscheidung schafft einen Bereich, den die Organisation tatsächlich steuern kann.
Ein sinnvoller Takt hängt von der Lage und den Empfängern ab. Während einer akuten Unterbrechung kann eine tägliche operative Information nötig sein. Für andere Gruppen genügt ein anderer Rhythmus. Entscheidend ist, dass angekündigte Informationen erscheinen und wesentliche Änderungen bei Bedarf früher mitgeteilt werden.
Das BSI behandelt Krisenkommunikation als vorbereitete Aufgabe des Notfallmanagements. Dazu gehört auch, die Nutzbarkeit der Kommunikationsmittel zu berücksichtigen. [6] Wer ausschließlich über das möglicherweise ausgefallene Unternehmenssystem informiert, schafft eine vermeidbare Abhängigkeit. Freigegebene Ausweichwege müssen daher vor einer Krise bekannt und erreichbar sein.
Eine Kontaktliste allein genügt dafür nicht. Die verantwortlichen Personen sollten wissen, wer eine Meldung fachlich prüft, wer sie freigibt und wer bei Abwesenheit übernimmt. Diese Struktur vertieft der HILSTAYN-Beitrag zum Aufbau eines IT-Krisenstabs.
Ein Beispiel für eine handlungsorientierte Zwischenmeldung
Das folgende fiktive Beispiel zeigt, wie ein Unternehmen eine Zwischenmeldung für den Kundenservice aufbauen könnte.
„Unser Bestellsystem bleibt heute nicht verfügbar. Neue Aufträge werden bis zur Freigabe nicht erfasst. Bitte führt keine zusätzlichen privaten Listen mit Kundendaten. Bereits vereinbarte Rückrufe übernimmt der Kundenservice über den vorbereiteten Notfallprozess. Fragen zu offenen Vorgängen sammelt die Teamleitung. Um 15 Uhr informieren wir erneut, auch wenn der technische Wiederanlauf dann noch nicht feststeht.“
Die Meldung verbindet den aktuellen Zustand mit einer konkreten Arbeitsanweisung und einem nächsten Informationszeitpunkt. Der verwendete Notfallprozess wird im Unternehmen vorab fachlich freigegeben und mit dem Kundenservice geübt. So können die Beschäftigten auf eine bekannte Alternative zurückgreifen.
Im Team lässt sich anschließend testen, ob die Nachricht ihren Zweck erfüllt. Bitte zwei Personen aus der Zielgruppe, den nächsten Arbeitsschritt mit eigenen Worten wiederzugeben. Unterschiedliche Antworten zeigen, wo die Formulierung oder der zugrunde liegende Ablauf noch unklar ist.
Welche Fragen in die nächste Krisenübung gehören
Eine Übung sollte auch den Moment enthalten, in dem sich ein früherer Erkenntnisstand ändert. Das Team muss dann eine Aktualisierung formulieren, die den Unterschied erklärt und die betroffenen Empfänger erreicht. Eine reine Erstmeldung trainiert diesen anspruchsvollen Teil nicht.
Hilfreich ist außerdem ein Ausfall des bevorzugten Kommunikationskanals im Übungsszenario. Können Führungskräfte ihre Teams erreichen? Ist die externe Kontaktperson eines wichtigen Partners bekannt? Findet der Kundenservice die aktuelle freigegebene Auskunft, ohne mehrere Personen anzurufen?
Prüfe anschließend nicht nur, ob eine Meldung versendet wurde. Prüfe, ob die Empfänger ihre jeweilige Aufgabe korrekt beschreiben konnten. Dokumentiere widersprüchliche Aussagen und ungeklärte Entscheidungen. So wird aus der Übung eine konkrete Verbesserung der Vorbereitung.
Was Unternehmen aus dem Fall mitnehmen können
Die ausgewählten JLR-Mitteilungen machen sichtbar, wie sich eine Cyberkrise über Wochen entwickelt und der öffentliche Informationsstand verändert. Für die eigene Organisation ist deshalb eine Kommunikation sinnvoll, die Erkenntnisstände sauber datiert, betroffene Arbeitsabläufe berücksichtigt und Aktualisierungen nachvollziehbar macht.
HILSTAYN unterstützt Unternehmen dabei, solche Kommunikationswege vorzubereiten und verständliche Informationen mit tragfähigen Entscheidungsprozessen zu verbinden. Ausgangspunkt ist die Frage, welche Menschen im Ernstfall welche Entscheidung treffen müssen. Mehr zu diesem Ansatz findest du bei Kommunikation und Enablement.
Häufige Fragen
Muss man mit der Kommunikation warten bis alle Fakten feststehen
Eine erste Information kann einen begrenzten Erkenntnisstand beschreiben. Wichtig sind eine fachlich geprüfte Aussage, die Kennzeichnung offener Fragen und ein konkreter nächster Informationsschritt. Welche Informationen veröffentlicht werden können, entscheidet die zuständige Organisation unter Einbindung der erforderlichen Funktionen.
Wie formuliert man eine hilfreiche Aktualisierung
Benenne den neuen Erkenntnisstand, den Unterschied zur bisherigen Information und die Konsequenz für die betroffene Zielgruppe. Ergänze eine konkrete Handlung oder Entscheidung und den nächsten Informationszeitpunkt. So können Empfänger ihre Planung anpassen.
Wie wird eine Krisenmeldung für unterschiedliche Zielgruppen verständlich
Verwende eine gemeinsame fachliche Grundlage und ergänze die jeweiligen Handlungsinformationen. Beschäftigte brauchen andere Hinweise als Kundenservice oder Lieferanten. Die entscheidende Frage lautet jeweils, welche Aufgabe die Person nach dem Lesen erledigen können soll.
Quellen
[1] JLR. Statement on Cyber Incident. 2. September 2025. Unternehmensmitteilung. Originalquelle.
[2] JLR. Statement on Cyber Incident. 10. September 2025. Unternehmensmitteilung. Originalquelle.
[3] JLR. Statement on cyber incident. 16. September 2025. Unternehmensmitteilung. Originalquelle.
[4] JLR. Statement on Cyber Incident. 23. September 2025. Unternehmensmitteilung. Originalquelle.
[5] Cyber Monitoring Centre. Statement on the Jaguar Land Rover Cyber Incident. 22. Oktober 2025. Modellbasierte Ereignisanalyse; damalige Annahmen und Unsicherheiten beachten. Originalquelle.
[6] Bundesamt für Sicherheit in der Informationstechnik. Online-Kurs Notfallmanagement, Kapitel 7.4 Krisenkommunikation. Ohne ausgewiesenes Veröffentlichungsdatum. Originalquelle.
Kommentare