Wie führt ein Schweizer Krisenstab das Unternehmen souverän durch eine existenzbedrohende Lage?

Eine existenzbedrohende Krise – sei es ein Cyber-Angriff, ein Produktionsausfall oder eine Naturkatastrophe – trifft ein Unternehmen selten wie ein Blitz aus heiterem Himmel. Vielmehr eskaliert sie oft aus einer Kette von Versäumnissen, Fehleinschätzungen und unzureichender Vorbereitung. Viele Geschäftsleitungen glauben, ein detaillierter Notfallplan sei die ultimative Absicherung. Man studiert theoretische Abläufe und definiert Verantwortlichkeiten auf dem Papier. Doch die Realität im Krisenraum ist eine andere: Sie ist geprägt von unvollständigen Informationen, enormem Zeitdruck und menschlichem Stress.

Die üblichen Ratschläge – „Kommunizieren Sie transparent“ oder „Handeln Sie schnell“ – sind zwar richtig, aber im entscheidenden Moment wertlos, wenn die strukturellen und psychologischen Grundlagen fehlen. Was, wenn das Firmennetzwerk lahmgelegt ist und die definierten Kommunikationskanäle versagen? Was, wenn der CEO, der gewohnt ist, das Gesicht des Unternehmens zu sein, im operativen Chaos des Krisenstabs blockiert wird? Die wahre Herausforderung liegt nicht darin, einen Plan zu haben, sondern darin, eine Organisation zu schaffen, die auch im Chaos handlungsfähig bleibt. Es geht darum, eine robuste Entscheidungsarchitektur aufzubauen, die menschliche Schwächen kompensiert und die spezifischen Hürden des Schweizer Umfelds, wie die föderale Komplexität, von vornherein einkalkuliert.

Dieser Leitfaden geht daher bewusst über die Standardempfehlungen hinaus. Wir konzentrieren uns auf die kritischen, oft übersehenen Aspekte, die über Erfolg und Misserfolg im Ernstfall entscheiden. Anstatt zu wiederholen, *was* zu tun ist, zeigen wir Ihnen, *wie* Sie eine Kultur und Struktur der Resilienz etablieren, die es Ihrem Krisenstab ermöglicht, nicht nur zu reagieren, sondern souverän zu führen – auch wenn der Plan versagt.

Der folgende Artikel ist strukturiert, um Sie schrittweise durch die entscheidenden Phasen und Aspekte des Aufbaus und der Führung eines effektiven Krisenstabs in der Schweiz zu leiten. Jeder Abschnitt widmet sich einer Kernfrage, die in der Praxis über die Handlungsfähigkeit Ihres Unternehmens entscheidet.

Wer gehört in den Krisenstab und warum der CEO nicht immer der beste Leiter ist?

Die Zusammensetzung des Krisenstabs ist die Grundlage seiner Effektivität. Eine häufige Fehlannahme ist, den CEO automatisch zum Leiter zu ernennen. In der Praxis erweist sich dies oft als strategischer Fehler. Der CEO wird extern als Gesicht des Unternehmens benötigt – bei Grosskunden, Investoren und den Medien. Intern erfordert die Stabsleitung jedoch ein tiefes operatives Verständnis und die Fähigkeit, mikromanagen zu können, ohne die strategische Linie zu verlieren. Ein COO oder CFO ist daher oft die bessere Wahl für die Leitung des Krisenstabs, da er die internen Prozesse und Ressourcen im Detail kennt.

Ein effektiver Schweizer Krisenstab muss zudem die föderale Struktur des Landes widerspiegeln. Es reicht nicht, nur interne Fachbereiche abzudecken. Die Koordination mit unterschiedlichen kantonalen Behörden kann entscheidend sein. Daher ist eine dedizierte Rolle für die „kantonalen Angelegenheiten“ unerlässlich. Die Kernbesetzung sollte funktionsübergreifend sein und klare Verantwortlichkeiten ohne Überlappungen definieren. Zu den Schlüsselrollen gehören:

• Krisenstabsleiter (z.B. COO/CFO): Führt operativ den Stab und trifft Entscheidungen auf Basis der ihm zugetragenen Informationen.
• Leiter kantonale Angelegenheiten: Koordiniert proaktiv mit allen relevanten kantonalen Behörden und Einsatzkräften.
• Kommunikationsverantwortlicher: Steuert die gesamte interne und externe Krisenkommunikation nach strategischen Vorgaben.
• IT-Sicherheitsbeauftragter: Liefert technische Lagebeurteilungen und leitet Sofortmassnahmen bei Cyber-Vorfällen ein.
• Rechtsberater: Stellt die Compliance sicher, insbesondere im Hinblick auf das revidierte Datenschutzgesetz (revDSG) und das Obligationenrecht (OR).
• HR-Leiter: Kümmert sich um die Mitarbeiterbetreuung, Sicherheit und die Koordination von Care-Teams.
• Alleinentscheider für Konflikte: Eine vorab definierte Person (oft der CEO), die bei unlösbaren Konflikten im Stab oder bei strategischen Weichenstellungen schnell und autoritär entscheidet.

Diese Struktur trennt die operative Krisenbewältigung von der strategischen Aussenwirkung und stellt sicher, dass jede kritische Funktion von einem Experten besetzt ist. Die Definition eines Alleinentscheiders verhindert zudem lähmende Patt-Situationen unter hohem Druck.

Wie kommuniziert Ihr Stab sicher weiter, wenn das Firmennetzwerk kompromittiert ist?

Ein grossflächiger Cyber-Angriff legt oft nicht nur die Produktion lahm, sondern auch die gesamte interne Kommunikationsinfrastruktur: E-Mail-Server, Firmen-Chats und das Telefonsystem können ausfallen oder kompromittiert sein. In diesem Moment ist ein unabhängiger, sicherer und vorab definierter Kommunikationskanal überlebenswichtig. Sich auf private WhatsApp-Gruppen zu verlassen, ist aus Sicherheits- und Datenschutzgründen inakzeptabel. Die Lösung liegt in der Nutzung von Ende-zu-Ende-verschlüsselten Messenger-Diensten, die auf dedizierten, vom Firmennetz unabhängigen Geräten installiert sind.

Für Schweizer Unternehmen ist die Wahl des Anbieters von besonderer Bedeutung, da der Serverstandort und die Konformität mit dem Schweizer Datenschutzrecht eine Rolle spielen. Einige Tools haben sich in diesem Kontext bewährt und werden teilweise sogar von Schweizer Behörden wie dem Nationalen Zentrum für Cybersicherheit (NCSC) oder Kantonspolizeien eingesetzt.

Zusätzlich zur Software muss die Hardware vorbereitet sein. Ein physisches Notfall-Kommunikations-Kit ist unerlässlich. Dieses enthält vorkonfigurierte Smartphones mit installierten und getesteten Apps, aufgeladene Powerbanks, eine Liste aller relevanten Telefonnummern (gedruckt und digital auf einem verschlüsselten USB-Stick) sowie laminierte Handlungsanweisungen. Dieses Kit muss an einem sicheren, aber jederzeit zugänglichen Ort ausserhalb der Haupt-IT-Infrastruktur gelagert werden.

Die Auswahl des richtigen Tools sollte auf einer klaren Analyse der Anforderungen basieren. Wichtige Kriterien sind der Standort der Server, die Art der Verschlüsselung und die Akzeptanz bei Schweizer Behörden, mit denen Sie im Krisenfall kommunizieren müssen.

Entscheiden unter Stress: Wie vermeiden Sie Panikreaktionen in der ersten Stunde der Krise?

Die erste Stunde nach Bekanntwerden einer Krise ist die kritischste. Adrenalin, unvollständige Informationen und der Druck, sofort handeln zu müssen, schaffen einen Nährboden für Panik und katastrophale Fehlentscheidungen. Das Ziel in dieser Phase ist nicht, die Krise zu lösen, sondern die Kontrolle über den Entscheidungsprozess zu gewinnen. Souveränität zeigt sich hier nicht in hektischem Aktionismus, sondern in strukturierter Ruhe. Das wirksamste Mittel gegen Panik ist ein klar definierter, eingeübter Prozess für die erste Reaktion.

Ein zentraler Faktor, der oft unterschätzt wird, ist die kognitive und physische Ermüdung der Entscheidungsträger. Niemand kann 24 oder 48 Stunden lang unter Hochstress optimale Entscheidungen treffen. Ein entscheidender Mechanismus zur Vermeidung von Fehlern durch Erschöpfung ist ein vorab definierter Rotationsplan für die Krisenstabsleitung. Ein bewährtes Modell ist ein 8-Stunden-Schichtsystem, das sicherstellt, dass die Führungsverantwortung nahtlos und geordnet übergeben wird, bevor die Leistungsfähigkeit des Einzelnen nachlässt.

Ein solcher Plan muss detailliert ausgearbeitet sein:

• Schicht 1 (0-8 Stunden): Der primäre Krisenstabsleiter übernimmt die Führung mit vollem Entscheidungsmandat. Seine Aufgabe ist es, die Lage zu stabilisieren und erste Massnahmen einzuleiten.
• Schicht 2 (8-16 Stunden): Der stellvertretende Leiter, der bis dahin im Hintergrund als Beobachter agiert hat, übernimmt nahtlos die Führung.
• Schicht 3 (16-24 Stunden): Ein dritter, ebenfalls vorab bestimmter Leiter aus der Geschäftsleitung, tritt seine Schicht an.
• Schatten-Krisenstab: Parallel zu jeder aktiven Schicht arbeitet ein „Schatten-Stab“, der die Lage beobachtet, strategische Optionen für die nächste Phase vorbereitet und sich auf die Übernahme vorbereitet.
• Strukturiertes Übergabeprotokoll: Jede Schichtübergabe wird von einem 30-minütigen, hochstrukturierten Briefing begleitet, um einen lückenlosen Informationstransfer zu gewährleisten.

Dieser Ansatz verhindert nicht nur die Ermüdung, sondern schafft auch psychologische Sicherheit. Jedes Mitglied weiss, dass es nicht allein ist und dass ein eingespieltes System existiert, um die Last zu verteilen. So wird die persönliche Belastung reduziert und die Qualität der Entscheidungen über einen langen Zeitraum hochgehalten.

Tabletop-Übung vs. Vollsimulation: Wie testen Sie Ihren Krisenstab effizient?

Ein Krisenplan, der nie getestet wurde, ist im Ernstfall wertlos. Regelmässige Übungen sind daher keine Option, sondern eine Notwendigkeit. Die Frage ist jedoch nicht *ob*, sondern *wie* man übt. Nicht jedes Unternehmen benötigt eine teure, mehrtägige Vollsimulation. Die Wahl des richtigen Übungsformats hängt vom Reifegrad des Krisenstabs und den spezifischen Zielen ab. Effizienz bedeutet, das Format zu wählen, das mit minimalen Ressourcen den maximalen Lerneffekt für die nächste Entwicklungsstufe erzielt.

Die traurige Realität ist, dass viele Unternehmen unvorbereitet sind. Eine Studie der FHNW zeigt, dass in den letzten drei Jahren rund 4% der befragten Schweizer KMU Opfer einer schwerwiegenden Cyberattacke wurden, was hochgerechnet etwa 24’000 Unternehmen entspricht. Bei 73% der Betroffenen entstand dabei erheblicher finanzieller Schaden. Regelmässige Übungen sind der Schlüssel, um nicht Teil dieser Statistik zu werden. Die ZHAW School of Engineering fasst die Philosophie treffend zusammen:

Eine klar strukturierte Notfall- und Krisenorganisation, die regelmässig möglichst realistische Übungen durchführt, die Erfahrungen dieser Übungen kritisch auswertet und – last, but not least – aus den gemachten Fehlern lernt, ist die Grundlage jedes funktionierenden Notfall- und Krisenmanagements.

– ZHAW School of Engineering, CAS Notfall- und Krisenmanagement

Für Schweizer Unternehmen bieten sich verschiedene Formate an, die auf typische nationale Szenarien zugeschnitten sein können, wie z.B. eine Strommangellage (OSTRAL-Szenario) oder eine Cyberattacke auf die Finanzinfrastruktur (SIX-Szenario).

Für die meisten Unternehmen ist eine halbjährliche Tabletop-Übung der effizienteste Ansatz. Sie zwingt die Teilnehmer, unter Zeitdruck Entscheidungen auf Basis eines fiktiven, aber realistischen Drehbuchs zu treffen. Dies deckt Kommunikationslücken und unklare Zuständigkeiten schonungslos auf, ohne den gesamten Betrieb lahmlegen zu müssen.

Was sagen Sie der Presse („Holding Statement“), wenn Sie noch keine Fakten haben?

In den ersten Stunden einer Krise ist der Informationsdruck von aussen – durch Medien, Kunden und Partner – immens. Gleichzeitig sind intern kaum gesicherte Fakten verfügbar. In dieser Situation ist Schweigen ebenso schädlich wie eine Falschaussage. Das Ziel ist es, Zeit zu gewinnen, Kontrolle über den Informationsfluss zu signalisieren und Empathie zu zeigen, ohne dabei ein Schuldeingeständnis abzugeben oder Spekulationen zu befeuern. Das Instrument dafür ist das Holding Statement.

Ein Holding Statement ist eine vorbereitete, kurze Erklärung, die sofort nach Bekanntwerden eines Vorfalls veröffentlicht werden kann. Es bestätigt lediglich, dass man sich des Vorfalls bewusst ist und ihn ernst nimmt. Es schafft einen Puffer, der dem Krisenstab die nötige Zeit für eine fundierte Analyse verschafft. Für ein in der Schweiz tätiges Unternehmen ist es entscheidend, dieses Statement in den relevanten Landessprachen (Deutsch, Französisch, Italienisch) vorformuliert zu haben, um im Ernstfall keine Zeit mit Übersetzungen zu verlieren.

Ein effektives Holding Statement beruht auf wenigen, aber sorgfältig gewählten Bausteinen. Es darf keine ungesicherten Details oder Versprechungen enthalten, die später nicht eingehalten werden können. Der Fokus liegt auf Prozess, Verantwortung und Transparenzversprechen.

Dieses vorbereitete Statement ist ein entscheidendes Werkzeug der kommunikativen Souveränität. Es ermöglicht dem Unternehmen, vom ersten Moment an die Informationshoheit zu behalten und nicht von externen Gerüchten oder Medienanfragen getrieben zu werden.

Offenheit vs. Schweigen: Wie kommunizieren Sie den Angriff an Kunden und Medien?

Nachdem das Holding Statement Zeit verschafft hat, steht die nächste strategische Entscheidung an: das Ausmass der Transparenz. Die Frage „Offenheit vs. Schweigen“ ist im Schweizer Kontext keine reine Ermessensfrage, sondern wird durch das revidierte Datenschutzgesetz (revDSG) klar geregelt. Eine proaktive, ehrliche Kommunikation ist nicht nur eine Frage des Vertrauens, sondern oft eine rechtliche Pflicht. Das Zögern oder Verschweigen einer Datenpanne kann zu empfindlichen Bussen und einem massiven, langfristigen Reputationsschaden führen.

Die Meldepflichten in der Schweiz sind streng. Laut einer Analyse nehmen Cybervorfälle rasant zu; so wurden dem Bundesamt für Cybersicherheit (BACS) im Jahr 2024 bereits über 63’000 Cybervorfälle gemeldet, was fast einer Verdoppelung gegenüber dem Vorjahr entspricht. Das revDSG schreibt vor, dass eine Verletzung des Datenschutzes dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) „unverzüglich“ gemeldet werden muss, wenn sie voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person führt. Im Gegensatz zur 72-Stunden-Frist der DSGVO gibt das Schweizer Recht keinen fixen Zeitrahmen vor, was den Druck auf eine schnelle und korrekte Einschätzung des Risikos erhöht.

Die strategische Entscheidung ist also nicht *ob*, sondern *wie* und *wann* kommuniziert wird. Die Kommunikation sollte in drei Phasen erfolgen:

1. Meldung an die Behörden (EDÖB/NCSC): Dies ist der erste, rechtlich verpflichtende Schritt. Diese Meldung sollte in enger Abstimmung mit dem Rechtsberater des Krisenstabs erfolgen.
2. Kommunikation an betroffene Kunden: Besteht ein hohes Risiko für die Betroffenen, müssen diese informiert werden. Diese Kommunikation muss klar, verständlich und handlungsorientiert sein. Sie sollte erklären, was passiert ist (soweit bekannt), welche Daten potenziell betroffen sind und welche Schutzmassnahmen die Kunden selbst ergreifen können (z.B. Passwortänderungen).
3. Kommunikation an die breite Öffentlichkeit/Medien: Diese erfolgt in der Regel nach der Information der Betroffenen. Hier geht es darum, den narrativen Rahmen zu setzen, Verantwortung zu übernehmen (nicht zwingend Schuld) und die eingeleiteten Massnahmen zur Lösung des Problems darzulegen.

Eine offene Kommunikationsstrategie, die rechtliche Pflichten ernst nimmt und Empathie für die Betroffenen zeigt, ist langfristig der einzige Weg, um das Vertrauen der Stakeholder zurückzugewinnen. Jede Information, die zurückgehalten und später von Dritten aufgedeckt wird, richtet exponentiell mehr Schaden an.

Der Organisationsfehler, der bei einem Sicherheitsvorfall zu tödlichem Zeitverlust führt

In einer Krise ist Zeit die wertvollste und knappste Ressource. Der grösste organisatorische Fehler, der zu fatalem Zeitverlust führt, ist nicht ein fehlender Plan, sondern eine unklare oder blockierte Entscheidungsfindung. Zeit geht nicht verloren, weil Menschen nicht arbeiten, sondern weil sie darauf warten, dass jemand eine Entscheidung trifft. Dieses Vakuum entsteht oft aus drei spezifischen, in der Schweizer Unternehmens- und Verwaltungslandschaft besonders relevanten Zeitfressern.

Diese strukturellen Schwächen können und müssen präventiv behoben werden. Werden sie erst im Krisenfall entdeckt, führen sie unweigerlich zu Lähmung, Kompetenzgerangel und wertvollen verlorenen Stunden, in denen sich der Schaden ausbreitet. Die drei fatalsten Zeitfresser sind:

• Föderale Koordinationslücke: Ein Vorfall betrifft oft mehrere Kantone mit unterschiedlichen Zuständigkeiten und Ansprechpartnern. Fehlt eine Person im Krisenstab, die ausschliesslich für die zentrale Koordination zwischen Bund und Kantonen zuständig ist (ein „Leiter kantonale Angelegenheiten“), entstehen parallele, unkoordinierte Kommunikationsstränge und massive Verzögerungen.
• Endlose Debatten über Befugnisse: Wer darf welche Entscheidung treffen? Wer darf welche Summe freigeben? Wenn diese Fragen nicht vorab in einer klaren Eskalationsmatrix mit einem definierten Alleinentscheider für Pattsituationen geklärt sind, verbringt der Krisenstab seine Zeit mit internen Machtkämpfen statt mit der Problemlösung.
• Rechtliche Unsicherheit bei Dritten: Wenn ein Lieferant oder Dienstleister für den Ausfall (mit-)verantwortlich ist, entstehen sofort Fragen zur Haftung gemäss Obligationenrecht (OR). Sind keine vorformulierten Vertragsklauseln für Krisenfälle vorhanden, führen juristische Abklärungen zu einer sofortigen Blockade, anstatt dass der Lieferant zur schnellen Lösung des Problems beiträgt.

Diese drei Punkte lähmen eine Organisation von innen heraus. Die Lösung liegt in der Vorbereitung: Die Schaffung einer dedizierten Rolle für föderale Angelegenheiten, die Implementierung einer unmissverständlichen Entscheidungsmatrix und die juristische Vorbereitung von Verträgen sind keine bürokratischen Übungen, sondern überlebenswichtige Massnahmen zur Sicherung der Handlungsgeschwindigkeit im Ernstfall.

Wie erstellen Sie BCM-Notfallpläne, die im Chaos tatsächlich lesbar und anwendbar sind?

Die meisten Business Continuity Management (BCM) Pläne sind 100-seitige Dokumente, die im Schrank verstauben. Im Chaos einer realen Krise, unter massivem Stress und Zeitdruck, wird niemand einen dicken Ordner wälzen. Ein Notfallplan, der nicht innerhalb von 30 Sekunden die richtige Information liefert, ist nutzlos. Der Schlüssel zu anwendbaren Plänen liegt daher in radikaler Vereinfachung und rollenspezifischer Aufbereitung. Das Konzept der „Crisis Action Cards“ setzt genau hier an.

Stabsarbeitstechniken und Führungsmethoden für ausserordentliche Situationen werden praktisch vermittelt und Führungshilfsmittel im Rahmen von kurzen Trainingssequenzen direkt angewandt. ‚Wenig Theorie – Learning by doing‘.

– RM Risk Management AG, Schulung Krisenstab und Krisenstabsübungen

Anstatt eines monolithischen Dokuments erhält jede Schlüsselrolle im Krisenstab eine oder mehrere laminierte A4-Faltkarten. Diese enthalten nur die absolut wesentlichen Informationen und Checklisten für die ersten vier Stunden der Krise. Der Inhalt ist auf das Wesentliche reduziert: Wer muss sofort informiert werden? Welche Systeme müssen überprüft werden? Welche drei ersten Entscheidungen müssen getroffen werden? Die Umsetzung folgt einfachen Prinzipien:

• Format: Laminierte, robuste A4-Faltkarten, farblich kodiert nach Rolle.
• Inhalt: Klare Checklisten, keine langen Fliesstexte. Fokus auf die ersten 4 Stunden.
• Sprachen: Alle Karten müssen in den relevanten Unternehmenssprachen (DE/FR/IT) verfügbar sein.
• Aufbewahrung und Redundanz: Ein Satz im Krisenraum, ein Satz im physischen Notfall-Kit und eine digitale Kopie in einer sicheren, vom Firmennetz unabhängigen Schweizer Cloud. Diese dreifache Redundanz stellt die Verfügbarkeit auch bei einem Totalausfall sicher.
• Update-Zyklus: Die Karten müssen quartalsweise überprüft und nach jeder Übung sofort angepasst werden.

Dieser Ansatz verwandelt statische Dokumentation in ein dynamisches, anwendbares Werkzeug. Er zwingt zur Konzentration auf das Wesentliche und stellt sicher, dass im Moment höchsten Stresses nicht nach Informationen gesucht, sondern nach Plan gehandelt werden kann. Es ist die Verkörperung des Prinzips „Anwendbare Prägnanz“.

Die Vorbereitung auf eine Krise ist ein kontinuierlicher Prozess der Verbesserung, nicht ein einmaliges Projekt. Indem Sie eine klare Entscheidungsarchitektur schaffen, realistische Übungen durchführen und Ihre Notfallpläne auf maximale Anwendbarkeit trimmen, bauen Sie eine Organisation, die nicht nur überlebt, sondern gestärkt aus einer Krise hervorgehen kann. Beginnen Sie noch heute damit, diese Prinzipien in Ihrem Unternehmen zu verankern, um für den Ernstfall wirklich gewappnet zu sein.