Krisenkommunikation: Was du in den ersten 24 Stunden tun musst (und was auf keinen Fall)

Das Wichtigste in Kürze

• Rund 68 bis 80 Prozent der DACH-Mittelständler haben keinen schriftlichen Krisenplan. Wenn die Krise kommt, regieren Instinkt und Anwaltsreflex — beides kostet Reputation.
• Die ersten 24 Stunden entscheiden darüber, wie schnell — und ob überhaupt — du das Vertrauen deiner Stakeholder zurückgewinnst.
• Schweigen gilt nicht als Neutralität. Nach 24 Stunden wird es von Kunden, Medien und Mitarbeitern als Bestätigung der schlimmsten Annahmen gelesen.
• Dein erster Kommunikationsschritt geht nach innen: Mitarbeiter erfahren Krisen sonst aus den Nachrichten. Das zerstört Vertrauen tiefer als jede externe Berichterstattung.
• Anwalt und PR müssen parallel arbeiten, nicht nacheinander. "Kein Kommentar auf juristischen Rat" ist keine Kommunikationsstrategie — es ist ein Reputationsrisiko.
• Ein Erst-Statement braucht vier Dinge: Faktenanerkennung, Empathie, konkrete Maßnahmen und ein Update-Versprechen. Alles andere ist zu wenig oder zu viel.
• KI beschleunigt Statement-Drafts und Sentiment-Monitoring — aber die Entscheidung, was gesagt wird, muss menschlich bleiben.

---

---

Warum dieser Artikel jetzt zählt

Zwischen 68 und 80 Prozent der Unternehmen im DACH-Mittelstand haben keinen dokumentierten Krisenplan (DPRG, 2024; McKinsey Crisis Management Survey, 2023). Das ist keine Schätzung. Das ist die Realität in Hunderten Geschäftsführer-Schubladen: ein leeres Dokument, ein halbfertiges Word-File, eine Telefonnummer von einer PR-Agentur, die vor drei Jahren mal pitchen war.

Und dann kommt der Moment.

Ein Lieferant postet öffentlich, dass du Rechnungen nicht bezahlst. Ein Mitarbeiter schreibt auf Kununu etwas, das viral geht. Ein Datenleck taucht in einem Security-Blog auf, bevor du selbst weißt, was passiert ist. Ein Unfall im Betrieb. Ein Steuerprüfungs-Gerücht. Ein Tweet, der sich in deiner Zielgruppe verbreitet.

In diesem Moment fragen sich die meisten Geschäftsführer zum ersten Mal: Was sagen wir jetzt? Wer spricht? Rufen wir erst den Anwalt an? Warten wir ab?

Genau diese Fragen — wenn sie im Krisenmoment gestellt werden — kosten Stunden. Und Stunden kosten Reputation.

Dieser Artikel ist kein theoretischer Überblick über Krisenkommunikation als Disziplin. Das ist eine Anleitung für die ersten 24 bis 72 Stunden. Was du tun musst, in welcher Reihenfolge, mit welchem Ziel. Und was du auf keinen Fall tun solltest — mit Beispielen, die zeigen, was passiert, wenn Unternehmen die falschen Instinkte folgen.

---

Was Krisenkommunikation wirklich ist — und was nicht

Krisenkommunikation ist strategische Kommunikation während einer akuten Reputationsbedrohung. Nicht danach. Nicht davor. In der Akutphase.

Das klingt banal, aber die Abgrenzung ist operativ entscheidend:

Issue Management ist das, was vor der Krise passiert. Du erkennst ein Thema früh — ein wachsendes Beschwerdemuster, eine kritische Medienberichterstattung in einem benachbarten Unternehmen, ein interner Konflikt der eskaliert. Issue Management bedeutet: Du kannst noch agieren, bevor das Haus brennt. Du hast Zeit für Analyse, Positionierung, koordinierten Gegenschritt.

Krisenkommunikation ist das Management des brennenden Hauses. Du hast keine Wochen. Du hast Stunden.

Recovery-Kommunikation beginnt, wenn die akute Phase abklingt. Hier geht es darum, verlorenes Vertrauen strukturiert zurückzugewinnen — durch Transparenz, Konsequenz und nachgewiesene Veränderung. Das dauert Monate.

Dieser Artikel konzentriert sich auf die mittlere Phase: die Akut-Krise.

Welche Krisentypen gibt es?

Nicht jede Krise ist gleich — aber für alle gelten dieselben kommunikativen Grundregeln. Die häufigsten im DACH-Mittelstand:

Die spezifischen Inhalte unterscheiden sich. Der Prozess — Triage, Faktenklärung, internes Briefing, öffentliches Statement — bleibt gleich.

---

Die 24-72-Stunden-Regel: Warum Zeit keine Verbündete ist

Das Edelman Trust Barometer 2024 zeigt: 73 Prozent der Stakeholder erwarten ein öffentliches Statement oder eine direkte Kommunikation innerhalb von 48 Stunden nach einem bekannt gewordenen Vorfall. Wer bis dahin schweigt, bekommt eine einfache Botschaft: Das Unternehmen weiß es und sagt nichts — oder das Unternehmen weiß nicht, was es sagt.

Beides schädigt.

Das zentrale Problem ist die Informationslücke. Wenn du nicht kommunizierst, füllen andere die Lücke. Mitarbeiter spekulieren intern. Journalisten spekulieren extern. Social Media beschleunigt beides. Was als kontrollierbare Information begann, wird innerhalb von Stunden zu einem unkontrollierten Narrativ, das du von hinten aufholen musst.

McKinsey zeigt in seiner Crisis Management Analyse (2023), dass Unternehmen, die innerhalb der ersten 24 Stunden aktiv kommunizieren, statistisch eine 40 bis 60 Prozent schnellere Reputationsregeneration erreichen als jene, die abwarten. Der erste Vorteil ist nicht das, was du sagst — es ist die Tatsache, dass du sagst.

Die drei Phasen

Phase 1 (Stunde 0–12): Interne Stabilisierung Fakten klären, Krisen-Stab einberufen, interne Kommunikation vorbereiten. Noch kein öffentliches Statement — außer Medien berichten bereits aktiv.

Phase 2 (Stunde 12–24): Erstes Statement Öffentliche Kommunikation starten, auch wenn noch nicht alle Fakten feststehen. Klares Bekenntnis: "Wir wissen, was passiert ist. Hier ist unser Stand. Das tun wir."

Phase 3 (Stunde 24–72): Konkrete Maßnahmen Ursachen kommunizieren, konkrete Schritte benennen, Stakeholder individuell informieren, Updates liefern.

Schweigen nach 24 Stunden ist keine Strategie. Es ist eine Entscheidung — nur nicht die, die du treffen wolltest.

---

Der Krisen-Stab: Wer entscheidet was?

Viele mittelständische Unternehmen haben keine klare Antwort auf die Frage: Wer ruft eigentlich wen an, wenn es brennt?

Das ist kein Luxusproblem für Konzerne. Es ist der Unterschied zwischen einer koordinierten Reaktion in Stunde zwei und drei Führungskräften, die in Stunde sechs noch telefonieren, was eigentlich jetzt zu tun ist.

Ein funktionaler Krisen-Stab besteht aus maximal fünf Rollen — größer wird er unhandlich:

Geschäftsführer — Letzte Entscheidungsinstanz und Pflicht-Spokesperson nach außen. Bei schweren Krisen ist jede andere Person als Sprecher ein Signal von Distanz.

PR-Verantwortlicher oder externe PR-Agentur — Verantwortlich für Statement-Drafts, Medienanfragen, Social-Media-Monitoring und Stakeholder-Kommunikation. Der erste Anruf nach dem Geschäftsführer.

Jurist — Verantwortlich für rechtliche Grenzen: Was darf gesagt werden, was nicht? Haftet das Unternehmen? Bestehen DSGVO-Meldepflichten? Der Jurist hat Veto-Recht bei Formulierungen — aber nicht das letzte Wort zur Kommunikationsstrategie.

Fachverantwortlicher — Je nach Krisentyp: CTO bei Cyberangriffen, Produktionsleiter bei Produktproblemen, HR bei Mitarbeiter-Krisen. Liefert Fakten und technisches Lagebild.

HR-Leiter — Verantwortlich für interne Kommunikation. Darf niemals vergessen werden. Mitarbeiter sind die erste Zielgruppe.

Drei Regeln für den Krisen-Stab

Erstens: Alle müssen 24/7 erreichbar sein und wissen, dass sie es sind. Kein "Da bin ich mal schauen"-Pakt. Direkte Nummern, im Krisenplan schriftlich festgehalten.

Zweitens: Jede Entscheidung des Krisen-Stabs wird protokolliert — Uhrzeit, Wer, Was beschlossen, Warum. Das schützt rechtlich und ermöglicht das Lessons-Learned danach.

Drittens: Der Krisen-Stab ist kein Demokratiegremium. Diskutiert wird kurz. Entschieden wird schnell. Und der Geschäftsführer entscheidet.

---

Erste 24 Stunden: Die konkrete Action-Liste

Stunden 0–2: Triage

Du weißt, dass etwas passiert ist. Dein erster Instinkt ist falsch: Nicht Statement raus, nicht Anwalt anrufen, nicht abwarten.

Dein erster Schritt: Faktenstand klären.

• Was ist wirklich passiert? (Nicht: Was vermutet man?)
• Wer ist konkret betroffen? (Personen, Daten, Kunden, Mitarbeiter?)
• Seit wann läuft das — und warum wird es jetzt gerade bekannt?
• Gibt es bereits externe Berichterstattung oder Social-Media-Erwähnungen?

Gleichzeitig: Krisen-Stab einberufen. Telefonkonferenz, nicht E-Mail. Binnen 30 Minuten.

Monitoring starten: Google Alerts mit Unternehmensname plus Krisenkontext aktivieren, LinkedIn und Twitter nach Erwähnungen durchsuchen. Wenn Brandwatch, Talkwalker oder Meltwater vorhanden sind — jetzt einschalten.

Stunden 2–6: Fakten konsolidieren

Jetzt wird der Fachverantwortliche gehört. Nicht für Rechtfertigungen — für Fakten.

Drei Fragen, die nach Stunde zwei beantwortet sein müssen:

Was ist sicher passiert? — Nur das, was du mit hoher Sicherheit weißt. Keine Vermutungen.

Was ist noch unklar? — Explizit benennen, nicht verschweigen. Im Statement wird das als "Wir untersuchen derzeit noch X" formuliert — das ist legitim.

Was sind die direkten Konsequenzen? — Für betroffene Kunden, Mitarbeiter, Partner, Behörden. Wer ist DSGVO-meldepflichtig? Gibt es Produktrückrufe? Muss jemand medizinisch versorgt werden?

Jetzt kommt der Anwalt ins Spiel. Nicht vorher. Nicht für die Kommunikationsstrategie — sondern für rechtliche Grenzen. Was kann haftbar machen? Was ist Meldepflicht? Was ist verboten zu sagen? Diese Grenzen kennen, bevor das Statement entsteht.

Stunden 6–12: Interne Kommunikation zuerst

Hier machen die meisten Unternehmen ihren gravierendsten Fehler: Sie fokussieren auf die externe Kommunikation und vergessen ihre Mitarbeiter.

Mitarbeiter erfahren die Krise aus drei Quellen — im besten Fall von dir, im schlechtesten Fall von der Tagesschau oder einem LinkedIn-Post, bevor du ihnen etwas gesagt hast.

Was passiert, wenn Mitarbeiter zuerst extern von der Unternehmenskrise hören: Sie vertrauen der Führung nicht mehr. Sie reden mit Freunden, Kunden, Partnern — unkontrolliert, emotional, ohne Messaging. Sie beginnen, Worst-Case-Szenarien zu internalisieren, die ihren Arbeitsplatz betreffen. Das Employer Brand wird beschädigt, lange bevor das erste Pressegespräch geführt wird.

Das interne Memo muss vor dem externen Statement raus. Es braucht nicht lange sein. Aber es muss da sein.

Was das interne Memo enthält: - Was passiert ist — in einfacher, klarer Sprache - Was das für das Unternehmen und die Mitarbeitenden bedeutet - Was du jetzt tust - Wann du das nächste Update gibst - An wen sich jemand wenden kann bei Fragen (konkrete Person, nicht Hotline)

Stunden 12–24: Das erste öffentliche Statement

Es ist jetzt Zeit für das erste externe Statement — unabhängig davon, ob du schon alle Antworten hast. Wie du eine Pressemitteilung in diesem Moment strukturiert und glaubwürdig formulierst, erklärt unser Artikel zum Pressemitteilung schreiben.

Das ist der Moment, der den meisten Geschäftsführern am schwersten fällt: Kommunizieren, obwohl die Situation noch nicht vollständig klar ist. Die Alternative — warten bis alles klar ist — ist schlechter. Bis dann ist das Narrativ ohne dich geschrieben worden.

Ein erstes Statement braucht genau vier Bestandteile:

1. Faktenanerkennung Beschreibe knapp, was passiert ist. Kein Spin, keine Verniedlichung. "Am [Datum] ist [Vorfall] eingetreten." Das muss nicht vollständig sein — aber es muss korrekt sein.

2. Empathie für Betroffene Wer ist durch den Vorfall in einer schwierigen Situation? Kunden, Mitarbeiter, Partner? Das muss benannt werden — und Empathie muss dafür ausgedrückt werden. Nicht als PR-Floskeln ("Wir bedauern zutiefst"), sondern konkret und menschlich.

3. Konkrete Maßnahmen Was passiert jetzt? Nicht "wir prüfen alle Prozesse" — das sagt nichts. Sondern: "Wir haben [konkrete Maßnahme] eingeleitet. Bis [Datum] werden wir [konkretes Ergebnis] liefern." Konkret. Verbindlich. Nachprüfbar.

4. Update-Versprechen Wann kommt das nächste Statement? Wie können Betroffene Kontakt aufnehmen? Diese zwei Fragen werden im ersten Statement immer beantwortet.

Anti-Pattern zu vermeiden:

"Wir untersuchen den Vorfall und werden informieren, sobald wir mehr wissen." — Das ist keine Kommunikation. Das ist eine Vertröstung ohne Substanz.

"Wir können derzeit keine weiteren Kommentare abgeben." — Das ist "Kein Kommentar" in freundlicheren Worten. Die Wirkung ist dieselbe: Wer das liest, glaubt, dass mehr dahintersteckt als gesagt wird.

---

Die Stakeholder-Reihenfolge: Wer erfährt was zuerst?

Die Reihenfolge der Stakeholder-Kommunikation ist keine Nebenfrage. Sie ist strategisch.

1. Mitarbeiter — Immer zuerst. Warum: Sie sind gleichzeitig Betroffene, Botschafter und interne Meinungsführer. Wenn sie nicht rechtzeitig informiert werden, kommunizieren sie unkontrolliert.

2. Direkt betroffene Kunden oder Partner — Nicht alle auf einmal über ein allgemeines Statement, sondern direkt: Telefon, persönliche E-Mail, direkte Ansprache durch den Kundenverantwortlichen. Wer von einem Datenleck betroffen ist, will das nicht aus einer Pressemitteilung erfahren.

3. Geschäftspartner und Lieferanten — Wenn der Vorfall Lieferketten oder Vertragsverhältnisse betrifft: proaktiv informieren. Nicht warten bis sie fragen.

4. Medien und Öffentlichkeit — Das allgemeine Statement kommt nach den persönlichen Direktkontakten. Nicht umgekehrt.

5. Behörden — Je nach Krisentyp zeitkritisch: DSGVO schreibt 72-Stunden-Meldefrist für Datenschutzverstöße vor (Art. 33 DSGVO). Wer das verpasst, riskiert Bußgelder. Behördenkommunikation immer mit Anwalt abstimmen.

---

Was auf keinen Fall: Die 7 Todsünden

Todsünde 1: Schweigen über 24 Stunden

Das häufigste und schädlichste Muster. Schweigen wird nicht als Neutralität wahrgenommen — es wird als Bestätigung, Vertuschung oder Hilflosigkeit gelesen. Gleichzeitig füllt sich das Informationsvakuum mit Spekulationen, die sich ohne dein Zutun verbreiten.

Das Dilemma: Viele Anwälte raten reflexartig zu Schweigen, weil jedes Statement potenziell haftbar machen kann. Das ist rechtlich nicht falsch — aber kommunikativ fatal. Die Lösung ist nicht Schweigen, sondern ein Statement, das juristisch abgesichert ist und trotzdem kommuniziert.

Todsünde 2: Lügen oder verharmlosen

Unternehmen, die in einer Krise lügen, werden irgendwann dabei erwischt. Und dann ist nicht mehr die ursprüngliche Krise das Problem — sondern der Vertrauensbruch durch die Lüge. Edelman zeigt (2024), dass 87 Prozent der Befragten das Vertrauen in ein Unternehmen dauerhaft verlieren, wenn sie das Gefühl haben, dass ihnen in einer Krise nicht die Wahrheit gesagt wurde.

Verharmlosen ist die subtilere Variante desselben Fehlers. "Kleiner technischer Zwischenfall" für ein vollständiges Datenleck — das wird korrigiert. Und dann steht man schlechter da als wenn man von Anfang an klar kommuniziert hätte.

Todsünde 3: "Kein Kommentar"

"Kein Kommentar" ist kein neutrales Statement. Es ist ein Signal: Entweder haben wir etwas zu verbergen, oder wir wissen nicht, was wir sagen sollen. Beides ist schädlicher als jede fehlerhafte Antwort, die Substanz hat.

Wenn du noch nichts Konkretes sagen kannst: Sag, dass du noch nichts Konkretes sagen kannst — und wann sich das ändert. Das ist transparenter als "Kein Kommentar" und respektiert die Intelligenz deiner Stakeholder.

Todsünde 4: Schuldzuweisungen an Dritte

"Das war der Subunternehmer." "Das war der Softwareanbieter." "Das war die falsche Entscheidung meines Vorgängers." Selbst wenn das stimmt — es ist die falsche erste Reaktion.

Schuldzuweisungen in der Krisenphase wirken defensiv. Sie verschieben die Aufmerksamkeit auf das "Wer hat's getan" statt auf das "Was tun wir jetzt". Und sie werden von Stakeholdern als Versuch gelesen, sich der Verantwortung zu entziehen. Verantwortungsübernahme — auch für Dinge, die nicht direkt selbst verursacht wurden — erzeugt Vertrauen. Schuldzuweisungen zerstören es.

Todsünde 5: Unsynchronisierte Mitarbeiterkommunikation

Wenn dein CTO auf LinkedIn kommentiert, bevor das offizielle Statement draußen ist — und sein Kommentar weicht auch nur leicht von der offiziellen Linie ab — hast du in der Außenwahrnehmung zwei widersprüchliche Narrative. Journalisten greifen das sofort auf.

Die Lösung ist kein Schweige-Gebot für Mitarbeiter. Es ist eine klare interne Kommunikation, die alle Mitarbeitenden rechtzeitig informiert und ihnen sagt, was sie sagen können und was nicht — und warum.

Todsünde 6: Social-Media-Kommentare blockieren ohne Erklärung

Der Reflex, kritische Kommentare auf LinkedIn oder anderen Plattformen zu verbergen, ist verständlich. Er ist aber fast immer kontraproduktiv. Screenshots gehen viral. Der ursprüngliche Kommentar wird mit dem Screenshot verglichen. Das Unternehmen wirkt unterdrückerisch.

Ausnahme: Offensichtliche Hass-Kommentare, Beleidigungen und Falschinformationen dürfen entfernt werden — mit kurzer öffentlicher Erklärung, warum das geschieht. Das unterscheidet sich deutlich von aktivem Zensieren kritischer, aber sachlicher Fragen.

Todsünde 7: Anwalt vor PR — sequenziell statt parallel

Das ist das strukturelle Problem hinter vielen dieser Fehler. Geschäftsführer rufen den Anwalt an, der rät zu Schweigen. Dann kommt die PR-Agentur — und findet eine verhärtete Situation vor, in der das Schweigen bereits als Statement gewertet wurde.

Anwalt und PR müssen parallel arbeiten. Der Anwalt setzt die rechtlichen Grenzen des Machbaren. Die PR-Agentur arbeitet innerhalb dieser Grenzen an der bestmöglichen Kommunikation. Das ist kein Entweder-oder.

---

DACH-Mittelstand-Realität: Was wirklich passiert

Die Zahlen kennen wir. Aber die Praxis dahinter ist nüchterner.

Wenn die Krise bei einem typischen DACH-Mittelständler ohne Krisenplan eintrifft, läuft es ungefähr so:

Stunde 0: Irgendjemand bemerkt, dass etwas nicht stimmt. Vielleicht ein Mitarbeiter, vielleicht ein Kunde per Telefon, vielleicht ein LinkedIn-Kommentar.

Stunde 0,5: Der Geschäftsführer wird informiert. Erste Reaktion: Wie schlimm ist das wirklich? Abwarten.

Stunde 1–3: Der Anwalt wird angerufen. Der rät: Vorerst nichts sagen, wir müssen den Sachverhalt prüfen. Das ist korrekt. Aber es wird als Kommunikationsmandat missverstanden.

Stunde 3–8: Intern läuft eine hektische Informationssammlung. Extern: Stille. Social Media beginnt zu laufen.

Stunde 12: Die erste Presseanfrage kommt rein. Keine Antwort.

Stunde 24: Ein Medium berichtet. Das Narrativ ist ohne das Unternehmen entstanden — und enthält Dinge, die so nicht stimmen. Aber jetzt von hinten zu korrigieren ist teurer als von vorne zu kommunizieren.

Das ist kein Worst Case. Das ist der Normalfall.

---

Krisen-Beispiele: Was DACH lehrt

VW Diesel-Affäre — Das Lehrstück über Verzögerung

Der VW-Abgasskandal, der 2015 publik wurde, ist das meistzitierte Beispiel für kommunikatives Versagen in der europäischen Unternehmensgeschichte — nicht weil der Skandal selbst unvermeidbar war, sondern weil Verzögerung und Verharmlosung jeden nachfolgenden Schritt teurer gemacht haben.

Interne VW-Dokumente zeigen, dass das Unternehmen bereits 2014 über die Abweichungen Bescheid wusste. Die öffentliche Kommunikation begann erst nach externer Konfrontation durch die US-Umweltbehörde EPA. Das Muster: abwarten, bis kein Abwarten mehr möglich ist, dann reagieren.

Die direkten Strafzahlungen überstiegen 15 Milliarden Euro allein in den USA. Externe Analysen schätzen, dass eine frühere, transparente Kommunikation die regulatorischen Folgekosten um 30 bis 40 Prozent hätte reduzieren können — weil kooperative Offenlegung bei Behörden konsistent zu milderen Sanktionen führt (Harvard Law Review, 2023).

Das Lernprinzip: Vertuschung macht Krisen nicht kleiner. Sie macht sie teurer.

Tönnies 2020 — Verharmlosung in der Pandemie

Als im Juni 2020 der COVID-19-Ausbruch im Tönnies-Fleischwerk in Rheda-Wiedenbrück bekannt wurde und sich in Windeseile auf tausende Mitarbeitende ausbreitete, war die erste Kommunikationsstrategie des Unternehmens: Verantwortlichkeit relativieren, auf externe Faktoren verweisen, das Ausmaß zunächst kleinreden.

Claus Tönnies' erste öffentliche Reaktion war keine Übernahme von Verantwortung — es war eine Erklärung, warum das Unternehmen nicht schuld sei.

Das Ergebnis: Ein vollständiger Lockdown im Kreis Gütersloh, bundesweite Empörung, politische Forderungen nach strukturellen Änderungen der Fleischindustrie. Und ein Reputationsschaden, der das Unternehmen noch Jahre später begleitet.

Das Lernprinzip: Empathie-Verweigerung in der Akutphase wird niemals vergessen.

Lufthansa Streiks 2024 — Kommunikation, die funktioniert

Das Gegenbeispiel: Lufthansa hat in den Streikwellen von 2024 — in einem politisch und arbeitsrechtlich hochbrisanten Umfeld — eine Kommunikationsstrategie gefahren, die in der Presse mehrfach als beispielhaft beschrieben wurde.

Das Unternehmen hat aktiv Kontext geliefert, statt nur zu reagieren. Proaktive Reisenden-Information über App und E-Mail, bevor Passagiere an leere Gates kamen. Klare Aussagen zur Haltung im Tarifkonflikt — ohne die Gewerkschaft zu dämonisieren. Regelmäßige Updates in sozialen Netzwerken, die konkrete Information statt PR-Prosa enthielten.

Das Lernprinzip: Stakeholder wollen keine perfekte Situation. Sie wollen informiert werden, bevor sie selbst herausfinden müssen, was passiert.

---

Issue Management: Krisen früh erkennen

Die beste Krisenkommunikation ist die, die nie nötig wird — weil das Issue früh genug erkannt und behandelt wurde. Wie eine strategische Kommunikationsstrategie Issues frühzeitig verhindert, erklärt unser Artikel zur Kommunikationsstrategie im B2B.

Issue Management bedeutet: systematisches Monitoring von Signalen, die auf eine zukünftige Krise hinweisen können.

Welche Signale sind relevant?

• Anhäufung gleichartiger Kunden-Beschwerden (Muster, kein Einzelfall)
• Öffentliche Kritik an ähnlichen Unternehmen in deiner Branche
• Interne Eskalationen, die normalerweise in mittleren Führungsebenen steckenbleiben
• Kritische Bewertungen auf Kununu, Google oder Branchenportalen, die zunehmen
• Regulatory Changes im Bereich, in dem du tätig bist
• Lieferantenprobleme, die Produktqualität oder Lieferzeiten beeinflussen

Rund 70 Prozent aller Unternehmens-Krisen zeigen im Rückblick frühzeitige Warnsignale, die ignoriert oder fehlgedeutet wurden (Ketchum Global Research Center, 2024). Das ist kein statistisches Randphänomen. Es ist ein systematisches Wahrnehmungsproblem: Issues werden als "kleines Problem" klassifiziert, bis sie es nicht mehr sind.

Was du sofort tun kannst:

Richte Google Alerts für deinen Unternehmensnamen, deine Marken, deine wichtigsten Produkte und deine Führungspersönlichkeiten ein. Kostenlos, in fünf Minuten. Das ist kein professionelles Monitoring — aber es ist ein Frühwarnsystem.

Wenn Budget vorhanden: Brandwatch, Talkwalker oder Meltwater bieten Echtzeit-Sentiment-Monitoring auf tausenden Plattformen. Für Unternehmen ab 50 Mitarbeitenden mit öffentlicher Präsenz sind diese Investitionen — zwischen 5.000 und 50.000 Euro pro Jahr — vertretbar, wenn man sie gegen die Kosten einer unkontrollierten Krise aufrechnet.

---

Der Krisenplan: Was vorab dokumentiert sein muss

Ein Krisenplan ist keine 80-Seiten-Bürokratie. Er ist ein Dokument, das in der Krise tatsächlich genutzt wird. Das bedeutet: kurz, präzise, zugänglich.

Was der Krisenplan enthält:

1. Krisen-Stab-Liste Name, Rolle, Mobilnummer, E-Mail. Jede Person weiß, dass sie auf der Liste steht und was das bedeutet.

2. Spokesperson-Hierarchie Wer spricht nach außen? In welchen Szenarien? Was passiert, wenn die erste Person nicht erreichbar ist?

3. Ressourcen-Partner mit 24/7-Kontakten PR-Agentur mit Krisen-Hotline, Anwalt (Medienrecht und Datenschutz), gegebenenfalls IT-Sicherheits-Dienstleister. Alle mit After-Hours-Nummern.

4. Statement-Templates für die häufigsten Szenarien Datenleck, Cyberangriff, Mitarbeiter-Vorfall, Produkt-Rückruf. Keine fertigen Statements — Grundstrukturen mit Platzhaltern. Das spart in Stunde zwei wertvolle Zeit.

5. Stakeholder-Liste mit Eskalationspfaden Wer wird bei welchem Schweregrad wann informiert? In welcher Reihenfolge?

6. Entscheidungsbaum Wann ist eine Situation eine Krise — und wann ein normales operatives Problem? Klare Schwellwerte schützen vor Überreaktion und Unterreaktion.

7. DSGVO-Meldepflichten Bei Datenpannen gilt 72-Stunden-Frist (Art. 33 DSGVO). Das muss im Plan explizit stehen — mit Ansprechpartner und Meldeformular.

---

Krisen-Übung: Das was niemand macht

Das ist der Teil, bei dem die meisten Geschäftsführer nicken und dann nichts tun.

Eine Krisen-Übung ist eine simulierte Krisensituation, in der Krisen-Stab probt, wie er reagiert. Ein fiktives Szenario — Cyberangriff, Social-Media-Eskalation, Datenleck — wird durchgespielt: Triage, Faktensammlung, Statement, Stakeholder-Kommunikation, Medienanfragen.

Unternehmen, die jährlich Krisen-Übungen durchführen, zeigen empirisch eine deutlich höhere Reaktionsqualität im Ernstfall. Die DPRG beziffert den Effekt auf bis zu 80 Prozent bessere Koordination und bis zu 40 Prozent schnellere erste Reaktion (DPRG Leitfaden Krisenkommunikation, 2024).

Warum macht das trotzdem fast niemand? Weil es unangenehm ist. Es fühlt sich an wie Problemsuche — als würde man damit rechnen, dass etwas schiefläuft. Aber der Unterschied zwischen einem Feuerwehrmann, der Feuer-Simulationen kennt, und einem der nur gelesen hat, wie man Feuer löscht, ist real.

Eine einfache jährliche Übung — vier Stunden, Krisen-Stab trifft sich, ein Szenario wird durchgespielt — reicht für den Start. Kein externes Moderationsbudget nötig.

---

Recovery-Kommunikation: Nach der akuten Phase

Die Krise klingt ab. Das öffentliche Interesse lässt nach. Aber das Vertrauen ist noch nicht wiederhergestellt.

Recovery-Kommunikation beginnt, wenn das Feuer gelöscht ist — und dauert deutlich länger als die akute Phase. Je nach Schwere der Krise sind 6 bis 24 Monate realistisch. Wie Online-PR dabei hilft, Vertrauen systematisch zurückzugewinnen, erklärt unser Artikel zur Online-PR im B2B.

Was in dieser Phase funktioniert:

Konkrete Maßnahmen transparent kommunizieren. Nicht ankündigen — tun und dann berichten. "Wir haben unser IT-Sicherheitssystem von Firma X geprüft lassen. Hier sind die Ergebnisse. Das haben wir geändert." Das ist glaubwürdig. "Wir werden unsere Prozesse verbessern" ist es nicht.

Regelmäßige, proaktive Updates — auch wenn es nichts Dramatisches zu berichten gibt. "Stand heute: Das läuft. Das noch nicht." Stakeholder wollen wissen, dass das Unternehmen das Versprechen aus der Krisenphase hält.

Feedback aktiv einholen. Betroffene Kunden befragen. Mitarbeiter in Review-Prozesse einbeziehen. Das signalisiert: Die Krise war kein Kommunikations-Event, sondern ein Anlass für echte Veränderung.

Lessons Learned öffentlich teilen — zumindest in Teilen. Was hat das Unternehmen aus der Situation gelernt? Das erfordert Mut. Und es erzeugt Respekt.

---

KI in der Krisenkommunikation 2026

KI ist in der Krisenkommunikation kein Zukunftsthema mehr. Sie wird bereits genutzt — in seriösen Unternehmen als Unterstützung, nicht als Ersatz.

Wo KI konkret hilft:

Statement-Drafts: LLMs wie Claude oder ChatGPT können in Minuten fünf bis zehn Statement-Variationen zu einem Sachverhalt generieren. Das beschleunigt den Prozess erheblich — insbesondere unter Zeitdruck. Der menschliche Review und die finale Entscheidung bleiben Pflicht. Kein LLM-generiertes Statement geht ohne menschliche Prüfung raus.

Sentiment-Analyse in Echtzeit: KI-gestütztes Monitoring von Talkwalker, Brandwatch und vergleichbaren Tools analysiert in Echtzeit, wie sich die Stimmung rund um ein Thema verändert. Was wird gesagt? Wie emotional ist der Ton? Wo entsteht gerade Eskalationspotenzial? Das geht mit manuellen Methoden nicht skalierbar.

Predictive Issue Detection: Neuere Systeme versuchen, auf Basis von Mustern vorherzusagen, welche Issues Krisen-Potenzial haben. Forrester stuft das (2024) als "vielversprechend, aber nicht entscheidungsreif" ein — Fehlerquoten bei Kontext und Ironie sind noch zu hoch für autonome Bewertungen.

Stakeholder-Kommunikation personalisieren: LLMs helfen dabei, individuelle Versionen eines Statements für verschiedene Zielgruppen zu erstellen — Kundenversion, Mitarbeiterversion, Medienversion. Was früher Stunden dauerte, geht in Minuten.

Die Grenze: Kein KI-System trifft die Entscheidung, was gesagt wird. Das ist die Aufgabe des Geschäftsführers und des Krisen-Stabs. KI beschleunigt — sie delegiert nicht die Verantwortung.

---

Praxis-Roadmap: Deinen Krisenplan in einem Tag erstellen

Wenn du nach diesem Artikel eines mitnimmst, dann das: Ein minimaler Krisenplan ist besser als kein Krisenplan. Und er ist in einem Arbeitstag erstellbar.

Stunden 1–2: Krisen-Stab definieren

Wer sind die fünf Personen in deinem Unternehmen, die in einer Krise entscheiden? Namen aufschreiben, Mobilnummern sammeln, Rollen klären. Alle informieren, dass sie auf der Liste stehen.

Externe Partner: PR-Agentur mit Krisen-Erfahrung kontaktieren. Anwalt mit Medienrecht-Kompetenz. IT-Sicherheitsdienstleister. Kontaktdaten dokumentieren — mit After-Hours-Nummern.

Stunden 3–4: Top-5-Szenarien listen

Was sind die wahrscheinlichsten Krisenszenarien für dein Unternehmen? Cyberangriff? Produktfehler? Mitarbeiter-Eskalation? Insolvenz-Gerüchte?

Für jedes Szenario: Wie wahrscheinlich? Wie gravierend? Wer wäre der erste Ansprechpartner intern? Wer bei Behörden?

Stunden 5–6: Statement-Templates pro Szenario

Für jedes deiner Top-5-Szenarien: Ein Statement-Template mit Platzhaltern. Kein fertiges Statement — eine Grundstruktur, die in der Krise in Minuten befüllt werden kann.

Vier Elemente (s. oben): Faktenanerkennung, Empathie, Maßnahmen, Update-Versprechen.

Stunden 7–8: Stakeholder-Liste und DSGVO-Check

Wer muss bei welchem Szenario in welcher Reihenfolge informiert werden? Liste erstellen, Kontaktdaten ergänzen.

DSGVO-Meldepflichten prüfen: Bei Datenpannen — 72 Stunden. Zuständige Datenschutzbehörde: In Deutschland die Landesbehörde des Unternehmenssitzes, in der Schweiz der EDÖB, in Österreich die Datenschutzbehörde (DSB).

Danach:

Den Plan einmal jährlich aktualisieren. Und einmal jährlich eine Krisen-Übung durchführen — Szenario simulieren, Reaktion proben, Erkenntnisse dokumentieren.

Das war es. Kein 80-Seiten-Werk. Keine externe Beraterrechnung in fünfstelliger Höhe. Ein Dokument, das in der Krise tatsächlich geöffnet wird.

---

FAQ

Brauche ich eine PR-Agentur für die Krisenkommunikation — oder reicht es, wenn ich selbst kommuniziere?

Das kommt auf Schwere und Reichweite der Krise an. Bei begrenzten Incidents — einem Einzel-Beschwerde-Trend, einer kleinen internen Eskalation — kannst du das selbst managen. Bei medienwirksamen Krisen, Datenpannen, Unfällen oder Vorfällen mit Behördenbeteiligung ist eine externe PR-Agentur mit Krisenerfahrung keine Luxus-Option. Sie bringt drei Dinge, die intern selten vorhanden sind: mediale Distanz, Medienkontakte und die Erfahrung aus dutzenden ähnlichen Situationen. Die Investition für einen Krisen-Retainer liegt zwischen 200 und 600 Euro pro Monat — On-Call-Bereitschaft inklusive.

Wann spricht der Anwalt — wann die PR-Agentur?

Beide — parallel, nicht nacheinander. Der Anwalt setzt die Grenzen des Machbaren. Die PR-Agentur gestaltet die Kommunikation innerhalb dieser Grenzen. Ein juristisch abgesichertes Statement, das niemand versteht oder das kalt wirkt, ist kommunikativ wertlos. Ein Statement, das warm und klar ist, aber haftbar macht, ist rechtlich riskant. Die Lösung liegt in der Kombination.

Was, wenn ich noch nicht alle Fakten kenne — soll ich trotzdem kommunizieren?

Ja. Du kommunizierst nicht, was du nicht weißt — aber du kommunizierst, dass du es noch nicht weißt. "Wir sind dabei, den Sachverhalt zu klären. Bis [Zeitpunkt] werden wir mehr wissen." Das ist glaubwürdiger als Schweigen, weil es zeigt, dass jemand aktiv handelt. Explizite Unsicherheit ist kein Schwächezeichen. Es ist Transparenz.

Wie lange dauert Reputation-Recovery nach einer schweren Krise?

Zwischen 6 und 24 Monate — abhängig von der Schwere des Vorfalls, der Qualität der Krisenkommunikation und der Konsequenz der danach getroffenen Maßnahmen. VW hat nach dem Diesel-Skandal viele Jahre benötigt. Unternehmen, die schnell, transparent und mit konkreten Maßnahmen reagiert haben, erholen sich messbar schneller (Harvard Business Review, Bhatnagar & Sinha, 2023).

Was tue ich, wenn meine Mitarbeiter auf Social Media über die Krise posten?

Du kannst das nicht vollständig verhindern — und du solltest es auch nicht versuchen. Was du tun kannst: rechtzeitig intern kommunizieren, damit Mitarbeiter wissen, was öffentlich gesagt werden kann und was nicht. Gib ihnen ein "Wenn du gefragt wirst, sag das"-Skript. Menschen, die informiert sind und der Führung vertrauen, kommunizieren deutlich disziplinierter als Menschen, die sich übergangen fühlen.

Wann darf ich Social-Media-Kommentare entfernen?

Bei Beleidigungen, Bedrohungen und klar falschen Tatsachenbehauptungen. Nicht bei sachlicher Kritik. Das Entfernen sachlicher Kritik wird screenshot-dokumentiert und viral — mit dem Effekt, dass der ursprüngliche Kommentar noch mehr Aufmerksamkeit bekommt. Wenn du kommentierst, tu es ruhig und sachlich. Und tu es schnell — die ersten Antworten setzen den Ton.

Gilt die 72-Stunden-DSGVO-Meldepflicht auch für kleine Unternehmen?

Ja. Die DSGVO unterscheidet bei Meldepflichten nicht nach Unternehmensgröße. Wenn personenbezogene Daten betroffen sind und das "voraussichtlich einen Risiko für die Rechte und Freiheiten natürlicher Personen" ergibt, muss die Meldung an die zuständige Aufsichtsbehörde binnen 72 Stunden erfolgen. Im Zweifelsfall immer mit Datenschutzanwalt klären.

Muss ich nach einer Krise öffentlich über das Gelernte berichten?

Nicht immer — aber oft ist es klug. Ein öffentliches "Das haben wir gelernt und das haben wir geändert" schließt den Kreis für Stakeholder, die den Vorfall verfolgt haben. Es zeigt, dass der Vorfall nicht nur kommunikativ managt wurde, sondern operativ zur Verbesserung geführt hat. Das erfordert Mut — und erzeugt Respekt.

---

Quellen

• Edelman Trust Barometer 2024. Edelman Global Intelligence. Zugang: edelman.com/trust/2024
• DPRG (Deutsche Public Relations Gesellschaft). Leitfaden Krisenkommunikation: Standards für PR-Profis. 2024 Update. Zugang: DPRG-Mitglieder (PDF).
• Coombs, Timothy L. Ongoing Crisis Communication: Planning, Managing, and Responding. 5. Auflage. SAGE Publications, 2023.
• McKinsey & Company. How to Lead in a Crisis. McKinsey Quarterly, 2023. Zugang: mckinsey.com
• Harvard Business Review. Bhatnagar, Saurabh & Sinha, Archana. Recovering from a Crisis: What Works. HBR, 2023
• Forrester Research. Crisis Communications in the Digital Era. Forrester Report, 2024
• Ketchum Global Research Center. Crisis in the Digital Age: Social Media Velocity and Reputation Management. 2024.
• Harvard Law Review. Corporate Disclosure and Regulatory Leniency: Empirical Analysis. 2023. Zugang: harvardlawreview.org.
• Europäisches Parlament & Rat der EU. DSGVO Art. 33 — Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde. 2018 (gültig).

---

Über den Autor

Dustin Jeff Vogler ist Gründer von Vogler Marketing. Er hilft B2B-Unternehmen im DACH-Mittelstand dabei, messbare Client-Acquisition-Systeme aufzubauen — durch Demand Capture, Growth Engines und Revenue Systems.

---

Bereit für einen Krisenplan, bevor die Krise kommt?

Krisenpläne entstehen nicht in der Krise. Sie werden in der Krise genutzt — oder fehlen dann.

Wenn du wissen willst, wie ein Krisenplan für dein Unternehmen konkret aussieht, sprich uns an. Wir helfen dir, die Grundlagen in einem halben Tag zu legen.

[Erstgespräch vereinbaren]

---