Die Corona-Pandemie hat es uns leider genauso eindrucksvoll bewiesen wie das kürzliche Hochwasser im Westen unseres Landes oder die Waldbrände im Süden Europas – Katastrophen gehören zu unserem Leben und stellen uns nicht nur privat vor Herausforderungen. Auch Unternehmen trifft es völlig unerwartet. Geregelte Abläufe wirbeln gehörig durcheinander. Nur selten werden aber für Notfälle und Krisen durch Datenmissbrauch, Pandemien oder Naturkatastrophen rechtzeitig Vorkehrungen getroffen. Dabei sichert Ihnen ein gutes betriebliches Notfall- und Krisenmanagement Ihre Existenz!
In einem ausführlichen Interview haben wir mit Prof. Dr. Marco Becker, Datenschutzexperte und Leiter unseres Seminars Betriebliches Notfall- und Krisenmanagement, über dieses Thema gesprochen und ihn um konkrete Tipps zur Vorbereitung auf den Ernstfall und die Bewältigung von Krisensituationen gebeten.
Herr Prof. Dr. Becker, wann spricht man von einem Ernstfall oder gar Notfall bzw. einer Krise?
Im Sicherheitsmanagement, aber auch im betriebswirtschaftlichen Kontext, haben sich vier Ausprägungen von Ernstfällen etabliert, die hinsichtlich ihres Schweregrades aufeinander aufbauen:
Eine Störung ist die harmloseste Variante eines Ernstfalls und bezeichnet die Abweichung vom Normalzustand oder Normalablauf. Die Ursachen können dabei sowohl eigen- oder fremdverschuldet sein. Störungen werden komplett von der normalen Aufbau- und Ablauforganisation eines Unternehmens bewältigt, also im laufenden Betrieb.
Beispiel: Ein typisches Beispiel für eine Störung wäre der Ausfall einer Maschine oder technischen Anlage aufgrund von Verschleiß. Störungen können aber zu einem Notfall eskalieren.
Ein Notfall ist ein Zustand, der einem identifizierbaren, auslösenden Ereignis folgt (unter Umständen einer Störung) und unverzüglich besondere Maßnahmen erfordert, da sonst ein erheblicher Schaden eintritt bzw. ein Schaden erheblich vergrößert wird. Er kann in der Regel nicht mehr im laufenden Betrieb bewältigt werden. Das Unternehmen sollte möglichst schnell vom Normalbetrieb auf eine definierte Sonderorganisation umschalten, da zur Bewältigung des Notfalls in der Praxis viele Entscheidungen in kurzer Zeit getroffen werden müssen.
Beispiel: Ein typisches Beispiel für einen Notfall wäre ein Unfall eines Beschäftigten am Arbeitsplatz. Notfälle können zu einer Krise eskalieren.
Eine Krise unterscheidet sich vom Notfall insbesondere durch einen hohen Anteil von Ungewissheit und Komplexität. Beides bedingt meist einen höheren zu erwartenden Schaden. Eine Krise kann in der Praxis nur mithilfe einer abteilungsübergreifenden Zusammenarbeit auf Augenhöhe bewältigt werden. Hier spielen die üblichen Hierarchien der normalen Aufbauorganisation keine Rolle mehr. Die Aufbau- aber auch die Ablauforganisation des Sonderbetriebs orientiert sich allein an den Fähigkeiten der Mitarbeiterinnen und Mitarbeiter.
Beispiel: Ein typisches Beispiel für eine Krise ist die Havarie der Costa Concordia. Das Kreuzfahrtschiff kollidierte am 13. Januar 2012 vor der Insel Giglio im Mittelmeer mit einem Felsen, schlug leck und wurde manövrierunfähig vom Wind in Richtung Insel gedrückt, wo es unmittelbar nördlich des kleinen Hafens der Insel auf Grund lief und mit der Zeit auf 65 Grad Schlagseite kippte. Eine Krise kann insbesondere zu einer betriebswirtschaftlichen Katastrophe eskalieren, wenn die Maßnahmen zur Bewältigung der Krise nicht greifen.
Eine Katastrophe stellt die maximale Eskalationsstufe eines Ernstfalls dar. Sie beschreibt eine länger andauernde Schadenslage oder Großschadenslage, die mit der normalerweise vorgehaltenen Gefahrenabwehr nicht mehr angemessen bewältigt werden kann. In vielen Fällen ist eine Katastrophe mit einem erheblichen und teilweise länger andauernden Ausfall von Gebäuden, Maschinen, technischen Einrichtungen sowie technischer Infrastruktur verbunden. In der Praxis kann eine Katastrophenlage nur mit umfassender externer Hilfe und zusätzlichen Ressourcen unter Kontrolle gebracht werden.
Beispiel: Ein typisches Beispiel für eine Katastrophe ist der Zwischenfall im japanischen Kernkraftwert Fukushima I am 11. März 2011. In Folge eines Erdbebens und einem davon ausgelösten Tsunami ist es in mehreren Reaktorblöcken zu einer Kernschmelze und einer gravierenden Freisetzung von Radioaktivität geführt, die als Nuklearkatastrophe von Fukushima bekannt wurde und eine weltweite Diskussion über die zivile Nutzung der Kernenergie ausgelöst hat.
Im Sinne eines betrieblichen Notfall- und Krisenmanagements beschäftigen wir uns somit in erster Linie mit Notfällen und Krisen. Störungen werden üblicherweise noch nicht über das Notfall- und Krisenmanagement-System eines Unternehmens abgebildet, sondern im laufenden Betrieb behoben. Katastrophen hingegen sind in der Regel mit einer Großschadenslage, wie beispielsweise einem Hochwasser verbunden, sodass hier die einzelnen Interessen von Unternehmen in den Hintergrund geraten und die Bewältigung der Großschadenslage im Vordergrund steht.
Was sind, in realer oder virtueller Gestalt, typische Bedrohungsszenarien mit denen Unternehmen in der Praxis konfrontiert werden?
Hier lassen sich sechs wesentliche Gruppen von Bedrohungen unterscheiden:
Elemente
(Feuer, Wasser, Luft, Erde)
Umweltphänomene
(Erdbeben, Hochwasser, Tornado etc.)
Terrorismus
Amokläufe und Attentate
Cyber-Angriffe
(Zerstörung von Hardware (Firesale), Software und/oder Daten (Viren), Sperrung von Hardware, Software und/oder Daten mit Erpressungsziel (Ransomware), Ausspähen von Daten (Trojaner))
Epidemien/Pandemien
Politische/Gesellschaftliche Rahmenbedingungen
Viel spannender als die typischen Bedrohungsszenarien sind allerdings die konkreten Angriffspunkte in Unternehmen. Hierzu zählen insbesondere:
Zerstörung oder Beschädigung von Gebäuden und Anlagen
Mittel-/langfristiger Ausfall von Mitarbeitenden
Unterbrechung der Energieversorgung
Unterbrechung oder Zerstörung der Wasserversorgung und/oder Abwasserentsorgung
Zerstörung von technischer Infrastruktur und Leitungsnetzen
Unterbrechung von Kommunikationskanälen und -netzen
Verzögerungen oder Unterbrechungen in globalen Lieferketten
Behinderung der Müllentsorgung
Die genannten Szenarien klingen erst einmal sehr bedrohlich. Was die Naturgewalten anrichten können, wird uns ja in den Medien vor Augen geführt. Die wenigsten Unternehmen dürften doch konkret von Terrorismus bzw. Amokläufen oder Attentaten bedroht sein, schließlich leben wir in der Bundesrepublik Deutschland?
Sie haben absolut recht. Die Gewalt der Elemente bzw. der Natur ist in den Medien aktuell sehr präsent.
Nehmen wir die Flutkatastrophe in Nordrhein-Westphalen und Hessen im Sommer 2021 als Beispiel: Hier ist – aufgrund starker Regenfälle – ein kleiner Bach zu einem reißenden Fluss geworden und hat dabei nicht nur Straßen, Häuser, Fabriken und Brücken zerstört, sondern auch die gesamten Leitungsnetze sowohl für die Primärversorgung wie beispielsweise Wasser, Abwasser, Strom und Gas als auch sämtliche Kommunikationsnetze (Telefonleitungen, Internet- und Glasfaserleitungen sowie Kabelfernsehen). Das Hochwasser hat sich innerhalb einiger Tage wieder zurückgezogen, die Aufräumarbeiten dauerten hingegen Wochen und die Instandsetzung der zerstörten Infrastruktur wird Jahre dauern.
Aber auch in der Bundesrepublik Deutschland werden Unternehmen von Terrorismus sowie von Amokläufen und Attentaten bedroht. Nehmen wir nur den Vorfall aus Idar-Oberstein im September 2021 als Beispiel, bei dem ein Kunde einer Tankstelle den Kassierer erschossen hat. Der Kassierer hatte den Kunden zuvor vergeblich aufgefordert einen Mund-/Nasenschutz aufzusetzen, wie es zu dieser Zeit zur Eindämmung der Corona-Pandemie vorgeschrieben war.
Leider sind die wenigsten Unternehmen auf den Ernstfall vorbereitet. Was ist der erste Schritt, wenn ein ernst zu nehmendes Ereignis eingetreten ist? Was sollte die Geschäftsleitung sofort tun – und was nicht?
Die meisten Unternehmen haben sich nicht auf Notfälle und Katastrophen vorbereitet und hoffen, dass Ihnen dann Polizei und Rettungsdienste weiterhelfen.
Aber machen wir uns nichts vor: Sobald die unmittelbare Gefahr für das Leib und Leben gebannt ist, werden die Unternehmen in der Regel keine weitere Hilfe von Polizei, Feuerwehr, Technischem Hilfswerk oder anderen Hilfs- und Rettungsorganisation bekommen. Gerade in Großschadenslagen – wie beispielsweise einem Hochwasser – ist es nicht die Aufgabe der Feuerwehr, des Technischen Hilfswerks oder einer anderen Hilfs- bzw. Rettungsorganisation die Produktionsanlagen von Unternehmen zu schützen und die Arbeitsfähigkeit der Mitarbeiterinnen und Mitarbeiter zu erhalten oder gar bei der Wiederherstellung der Arbeitsfähigkeit mitzuwirken. Hier sind die Unternehmen auf sich gestellt!
Erschwerend kommt hinzu, dass gerade bei Großschadenslagen viele Unternehmen in einer Region vor den gleichen Herausforderungen stehen. Gehen Sie also davon aus, dass Unternehmen generell mit längeren Lieferzeiten für IT-Ausstattung, Notstromaggregate aber auch für handwerkliche Dienstleistungen rechnen müssen. Darüber hinaus werden aufgrund der (temporären) Knappheit viele Preise (sprunghaft) steigen.
Unternehmen, die sich auf solche Situationen vorbereitet haben, haben einen deutlichen Vorteil gegenüber Unternehmen, die unvorbereitet in eine derartige Situation geraten.
In Notfall- und Krisensituationen und erst recht im Falle einer Katastrophe kommt der Geschäftsleitung eine besondere Rolle zu: Sie müssen Verantwortung und vor allem Entscheidungskompetenzen delegieren.
In der Praxis müssen jetzt schnell Entscheidungen getroffen werden, auch wenn die Geschäftsleitung gerade nicht persönlich vor Ort ist. Hier gilt der Grundsatz: Eine Entscheidung ist besser als keine Entscheidung! Es kommt also darauf an, dass einzelne Mitarbeiterinnen und Mitarbeiter (im Idealfall die Führungskräfte) Initiative ergreifen und die notwendigen Entscheidungen treffen, um die akute Gefahrensituation abzuwenden, zumindest jedoch die Folgen zu reduzieren. Dabei kommt es darauf an, dass im Unternehmen alle an einem Strang ziehen. Üblicherweise schaltet das Unternehmen in den Krisenmodus und nutzt eine Sonderorganisation, um die notwendigen Entscheidungen nicht nur schnell zu treffen, sondern die daraus resultierenden Maßnahmen auch in kürzester Zeit wirksam umzusetzen. Das funktioniert nur im Team. Geschäftsleitungen sind gut beraten, Aufgaben und vor allem Entscheidungskompetenzen zu delegieren und den Entscheidern deutlich größere Freiheitsgrade einzuräumen als in der Normalorganisation.
Herr Pro. Dr. Becker, Sie haben es gerade angesprochen: Im Idealfall bereiten sich Unternehmen in ruhigen Zeiten auf den Ernstfall, also Notfälle, Krisen und Katastrophen vor. Wie kann man sich diese Vorbereitung genau vorstellen und was sind die wesentlichen Bestandteile dieser Vorbereitung?
Unternehmen sind gut beraten, sich in ruhigen Zeiten auf den Ernstfall vorzubereiten. Hierzu sollten sie ein Krisenmanagement-System etablieren. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) definiert in seinem Standard BSI 100-4 die wesentlichen Anforderungen an ein Notfall- und Krisenmanagement-System. Auch wenn dieser Standard für Großunternehmen ausgelegt ist und von vielen Beteiligten als überzogen angesehen wird, bietet dieser Standard eine gute Orientierung. Sie sollten also die zentralen Forderungen dieses Standards umsetzen, wobei man hier auch mit dem gesunden Menschenverstand abwiegen sollte, was für das Unternehmen wirklich relevant ist und was nicht.
Das betriebliche Notfall- und Krisenmanagement-System besteht im Wesentlichen aus den folgenden Komponenten:
Mit Hilfe eines betrieblichen Krisenstabes können Unternehmen selbst komplexe Ernstfälle bewältigen. Damit ein Ernstfall nicht zu einer unternehmensbedrohlichen Situation eskaliert, muss der betriebliche Krisenstab strukturiert und vor allem losgelöst von der üblichen Hierarchie im Unternehmen zusammenarbeiten. Mitglieder des betrieblichen Krisenstabes sind in der Regel Mitarbeiterinnen und Mitarbeiter des betreffenden Unternehmens, deren Wissen und Fähigkeiten zur Bewältigung von Ernstfällen notwendig oder zumindest nützlich sind. Dabei arbeiten sie im Krisenstab gleichberechtigt im Team zusammen. Die sonst üblichen Vorgesetztenfunktionen werden für die Dauer der Krise egalisiert bzw. ausgesetzt. Ein Krisenstab ist üblicher Weise in sechs Sachgebiete unterteilt:
Sachgebiet 1: Personal und externe Zusammenarbeit
Sachgebiet 2: Lagefeststellung und Informationsbeschaffung
Sachgebiet 3: Einsatz und Informationsallokation
Sachgebiet 4: Logistik und Versorgung der Schadensstelle
Sachgebiet 5: Kommunikation
Sachgebiet 6: Infrastruktur und IT
Notfallpläne sind das zentrale Element eines jeden Krisenmanagement-Systems. Dabei müssen für alle wesentlichen Bereiche des Unternehmens detaillierte Notfallpläne definiert werden. Sie dienen als erste Informationsquelle für die Mitarbeiterinnen und Mitarbeiter und enthalten üblicher Weise alle für den jeweiligen Bereich im Kontext des konkreten Ernstfalls relevanten Informationen sowie die einschlägigen Kontaktdaten sowohl zu internen als auch externen Ansprechpartnern. Darüber hinaus sollten sie detaillierte Handlungsanweisungen und Sofortmaßnahmen für den jeweiligen Bereich enthalten.
Mit Hilfe des Business Continuity und Desaster Recovery Plans werden Strategien, Plänen und Handlungen beschrieben, um den Normalbetrieb in kürzester Zeit wieder aufzunehmen. Er enthält neben konkreten Handlungsempfehlungen vor allem Informationen zu den für die Instandsetzung bzw. Wiederaufbau notwendigen Ressourcen, insbesondere die Kontaktdaten von Vertragspartnern. Durch schnelles und gezieltes Handeln lassen sich in der Praxis weitere Schäden reduzieren und existenzielle Bedrohungen für das eigene und verbundene Unternehmen vermeiden, mindestens aber vermindern.
Mitarbeiterinnen und Mitarbeiter scheinen im Ernstfall oft vergessen zu werden. Wie können Unternehmen ihrer Belegschaft Sicherheit vermitteln und sie vielleicht in die Krisenbewältigung einbeziehen?
Unternehmen sollten das Thema Notfall- und Krisenmanagement ernst nehmen. Dazu gehört auch, in regelmäßigen Abständen nicht nur mit dem Krisenstab im Unternehmen, sondern mit allen Mitarbeiterinnen und Mitarbeitern Notfallübungen durchzuführen. Dabei sollte man deutlich über die gesetzlich vorgeschriebenen Brandschutzübungen hinaus gehen. Externe Dienstleister wie beispielsweise meine Beratungsfirma – haben sich darauf spezialisiert, verschiedene Szenarien nicht nur im Bereich der Evakuierung, sondern auch im Umgang mit konkreten Notfallszenarien (wie beispielsweise Ausfall der Energieversorgung, Technischer Defekt von Steuerungs-/Überwachungseinheiten sowie Cyber-Angriffen) mit ihren Kunden zu trainieren. Mit Hilfe dieser Übungen werden die Mitarbeiter/innen kontinuierlich mit den Notfallplänen des Unternehmens vertraut gemacht und generell für das Thema sensibilisiert. Dies stärkt in der Regel auch die Akzeptanz für das Thema Notfall- und Krisenmanagement.
Können Sie erste konkrete Tipps für die interne und externe Kommunikation geben?
Zunächst einmal möchte ich klarstellen, dass die interne Kommunikation zu den Mitarbeiterinnen und Mitarbeitern genauso wichtig ist, wie die Kommunikation nach außen. Die Mitarbeiterinnen und Mitarbeiter nehmen einen Ernstfall aus einer anderen Perspektive wahr. Je nachdem, inwieweit der entsprechende Arbeitsplatz von dem Ernstfall direkt betroffen war, verfügen Sie bereits über mehr oder eben weniger Informationen. Daher sollten sie zeitnah – im Idealfall sofort, nachdem sie den unmittelbaren Gefahrenbereich verlassen haben – zum aktuellen Stand der Geschehnisse und auch zum weiteren Vorgehen informiert werden.
Auf jeden Fall sollten die Mitarbeiterinnen und Mitarbeiter immer vor den externen Interessengruppen über den aktuellen Stand der Geschehnisse informiert werden. Es darf auf keinen Fall passieren, dass die Mitarbeiterinnen und Mitarbeiter erst durch die öffentlichen Medien von wesentlichen Details des Ernstfalls erfahren.
Auch auf diesen Aspekt des Notfall- und Krisenmanagements sollten sich alle Unternehmen in ruhigen Zeiten vorbereiten. Es ist von entscheidender Bedeutung, dass das Unternehmen mit einer Stimme spricht. Medienfachleute nennen dieses Vorgehen das One-Voice-Prinzip. Eine namhafte Medienagentur hat diese Vorgehensweise einmal sehr passend als „Eine Fresse in die Presse“ bezeichnet.
In jedem Unternehmen sollte mindestens eine sprechfähige Person vorhanden sein. Sprechfähig bedeutet in diesem Zusammenhang, dass diese Person speziell für den Umgang und die Kommunikation mit Medien ausgebildet ist. Sofern das Unternehmen nicht über einen Pressesprecher verfügt, bietet es sich an, dass diese Aufgabe von einer Mitarbeiterin oder einem Mitarbeiter aus der Vertriebs- oder Marketingabteilung übernommen wird. Auch hier ist es wichtig die Kommunikation für den Ernstfall regelmäßig zu trainieren.
Gehen wir davon aus, dass wir einen Ernstfall im Unternehmen erfolgreich bewältigt haben. Wie gelingt der Weg zurück zur Normalität und wie schnell ist das überhaupt ratsam?
Aus betriebswirtschaftlicher Sichtweise sollte der Weg zur Normalität – also das Auflösen der Sonderorganisation und der Übergang zum Normalbetrieb – so schnell wie möglich eingeschlagen werden. Jeder Tag, in dem das Unternehmen unter Krisenbedingungen arbeiten muss, verursacht in der Regel deutlich höhere Kosten als ein Tag im Normalbetrieb. Dennoch darf hier nichts überstürzt werden.
Der Übergang von der Sonderorganisation zurück zum Normalbetrieb benötigt neben umfassender Planung in erster Linie eine gute Vorbereitung. Er darf erst dann erfolgen, wenn die unmittelbare Schadenslage bewältigt wurde und keine Gefahr mehr für die Mitarbeiterinnen und Mitarbeiter besteht. Dies erfordert zudem sowohl die Freigabe durch den betrieblichen Krisenstab als auch ggf. notwendige Freigaben durch die zuständigen Aufsichtsbehörden.
Auch hier können sich Unternehmen vorbereiten, indem sie im Krisenmanagement-System einen Business Continuity Plan erstellt haben. Dieser zeigt die wesentlichen Schritte von der Sonderorganisation zum Normalbetrieb auf. Darüber hinaus ist hier bereits geregelt, wie die ggf. benötigten Ressourcen (insbesondere für die Instandsetzung und den Wiederaufbau) kurzfristig bereitgestellt werden.
Holen Sie sich neue Impulse für Ihren Alltag! Wir geben in diesem Seminarprogramm zum Thema Führung & Management praktische Tipps und passende Seminarempfehlungen, mit denen Sie Ihre größten Herausforderungen im Daily Business erfolgreich meistern.
Schön zusammengefasst. In grösseren Einrichtungen sollte ein Krisenmanagement vorhanden sein, dass regelmässig Notfallübungen durchführt. Deutschland hinkt da glaube ich sehr hinterher