Ein Beispiel aus dem Mittelstand: An einem Donnerstagnachmittag fällt bei einem Maschinenbauer das ERP-System aus, kurz darauf bestätigt die IT einen Verschlüsselungsangriff. Der Krisenstab tritt zusammen. Wenig später steht der geschäftsführende Gesellschafter im Raum, lässt sich jedes Detail erklären und entscheidet selbst, welche Anlagen abgeschaltet werden. Die Stabsleitung wartet, die Fachbereiche warten, die Kommunikation wartet. Niemand hat etwas falsch gemacht – aber niemand hat vorher geklärt, was Krisenstab und Geschäftsführung jeweils entscheiden.
Das umgekehrte Muster kommt ebenso vor: Der Krisenstab holt sich für jede Maßnahme eine Freigabe, weil unklar ist, wie weit sein Mandat reicht. In beiden Fällen verliert die Organisation Zeit. Dieser Beitrag zeigt, welche Entscheidungen bei der Geschäftsführung bleiben, was der Krisenstab eigenständig entscheidet und wie Sie die Schnittstelle so regeln, dass die Verantwortung klar bleibt und Entscheidungen trotzdem schnell fallen.
Delegieren, ohne Verantwortung abzugeben
Die Geschäftsführung trägt die Gesamtverantwortung für das Unternehmen – auch in der Krise. Daran ändert die Einberufung eines Krisenstabs nichts. Für Unternehmen im Anwendungsbereich von NIS2 kommt hinzu, dass die Leitungsorgane für die Maßnahmen zum Management von Cybersicherheitsrisiken verantwortlich sind. Delegation heißt deshalb nicht, Verantwortung abzugeben, sondern Entscheidungsbefugnisse so zu verteilen, dass die Organisation handlungsfähig bleibt.
Ein Krisenstab ist dafür gebaut, eine dynamische Lage zu bewerten, Maßnahmen zu koordinieren und laufend nachzusteuern. Die Geschäftsführung hat den Überblick über Strategie, Finanzen, Eigentümerinteressen und langfristige Beziehungen. Beide Ebenen brauchen einander. Schwierig wird es, wenn beide dieselben Entscheidungen treffen wollen – oder wenn jede Seite annimmt, die andere habe schon entschieden. Prinzipien für klare Entscheidungen in solchen Momenten beschreibt der Beitrag Führung unter Druck: 6 Prinzipien für klare Entscheidungen.
Vier Entscheidungen, die bei der Geschäftsführung bleiben
Unabhängig von Branche und Größe gibt es vier Entscheidungen, die nicht an den Krisenstab delegiert werden sollten:
- Strategische Richtung vorgeben: Was hat Vorrang – Sicherheit, Lieferfähigkeit, Liquidität, Vertrauen der Kunden? Die Geschäftsführung legt fest, woran der Krisenstab seine Maßnahmen ausrichtet.
- Ressourcen mit großer Tragweite freigeben: etwa größere Investitionen, umfangreiche externe Unterstützung, die vorübergehende Stilllegung eines Standorts oder Zugeständnisse an Kunden, die über den vereinbarten Rahmen hinausgehen.
- Grundsätzliche Außenwirkung verantworten: die Linie gegenüber Öffentlichkeit, Kunden, Behörden und Eigentümern – und die Frage, wer das Unternehmen nach außen vertritt.
- Mandat des Krisenstabs festlegen: welche Befugnisse, welcher Budgetrahmen und welche Grenzen gelten – idealerweise schriftlich und vor der Krise.
Die vierte Entscheidung ist die wichtigste, weil sie alle anderen erst möglich macht. Ein klar formuliertes Mandat erlaubt der Geschäftsführung, sich auf die ersten drei Punkte zu konzentrieren, statt operative Details zu steuern.
Was der Krisenstab entscheidet
Im Gegenzug braucht der Krisenstab eigene Befugnisse, die er ohne Rückfrage nutzen darf:
- Lage bewerten: Informationen zusammenführen, einordnen und ein gemeinsames Lagebild erstellen.
- Maßnahmen steuern: Aufgaben verteilen, Prioritäten innerhalb der strategischen Vorgaben setzen und den Fortschritt nachhalten.
- Aktivierung und Alarmierung nach Kriterien: den Stab einberufen und Beteiligte alarmieren, sobald die vereinbarten Kriterien erfüllt sind – ohne auf eine Freigabe zu warten.
- Operative Sofortmaßnahmen im Budgetrahmen: zum Beispiel Systeme vom Netz nehmen, Schichten umplanen oder externe Unterstützung bis zu einem festgelegten Betrag beauftragen.
Gerade der dritte Punkt prägt die ersten Stunden. Hängt die Aktivierung von einer Zustimmung der Geschäftsführung ab, die gerade nicht erreichbar ist, entsteht genau die Verzögerung, die Kriterien verhindern sollen. Ob Ihre Regelungen dazu im Ernstfall tragen, können Sie mit der Prüfliste aus dem Beitrag Eskalationsmatrix prüfen systematisch klären.
Krisenstab und Geschäftsführung: Mandat, Schnittstelle, Rhythmus
Damit die Aufteilung im Ernstfall funktioniert, sollten drei Dinge vorab geregelt sein.
Mandat
Das Mandat beschreibt schriftlich, was der Krisenstab darf: einberufen, alarmieren, Sofortmaßnahmen anordnen, Budget bis zu einer festgelegten Grenze einsetzen. Ebenso wichtig ist, was er nicht darf. Die Geschäftsführung unterzeichnet das Mandat und bestätigt es zu Beginn einer Krise bei Bedarf kurz mündlich.
Schnittstelle
Legen Sie fest, wer die Verbindung zwischen Krisenstab und Geschäftsführung hält – in der Regel die Krisenstabsleitung oder eine benannte Verbindungsperson. Entscheidungsvorlagen an die Geschäftsführung sollten knapp sein: Lage, Optionen, Empfehlung und der Zeitpunkt, bis zu dem entschieden werden muss.
Rhythmus
Vereinbaren Sie einen festen Briefingrhythmus, zum Beispiel anfangs in kurzen Abständen und später seltener, ergänzt um Sofortmeldungen, wenn vorher definierte Schwellen überschritten werden. So muss die Geschäftsführung nicht ständig nachfragen, und der Krisenstab kann ungestört arbeiten.
Besonderheit im Mittelstand: wenn die Geschäftsführung selbst am Tisch sitzt
In mittelständischen Unternehmen ist die Geschäftsführung oft klein, und nicht selten sitzt ein Geschäftsführer selbst im Krisenstab. Das kann ein Vorteil sein, weil Entscheidungen schnell fallen. Es birgt aber das Risiko, dass sich strategische und operative Fragen vermischen und der Stab faktisch nur noch zuarbeitet.
Hilfreich ist dann eine bewusste Rollentrennung: Die Geschäftsführung übernimmt nicht die Stabsleitung, sondern bringt strategische Vorgaben ein und trifft die vier ihr vorbehaltenen Entscheidungen. Die Stabsleitung moderiert, führt das Lagebild und steuert die Maßnahmen. Weitere Hinweise für kleinere Organisationen finden Sie im Beitrag Krisenmanagement im Mittelstand.
Nächster Schritt: die Schnittstelle gemeinsam üben
Ob Mandat, Schnittstelle und Rhythmus tragen, zeigt sich erst unter Zeitdruck. In unserem Inhouse-Krisentraining üben Krisenstab und Geschäftsführung gemeinsam – mit den Rollen, Prozessen und Szenarien Ihrer Organisation. Sie sehen, wo Entscheidungen hängen bleiben, und leiten konkrete Anpassungen für Ihr Mandat ab. Sprechen Sie uns an, um den passenden Rahmen abzustimmen.
Häufige Fragen
Sollte die Geschäftsführung Mitglied des Krisenstabs sein?
Das hängt von Größe und Struktur ab. In größeren Organisationen bleibt die Geschäftsführung häufig außerhalb und wird in einem festen Rhythmus informiert. Im Mittelstand ist eine Teilnahme oft praktikabel, sofern die Rollen klar getrennt sind.
Was gehört in das Mandat des Krisenstabs?
Mindestens die Einberufungsbefugnis, die Alarmierung nach Kriterien, die zulässigen Sofortmaßnahmen, ein Budgetrahmen, die Grenzen der Befugnisse sowie Schnittstelle und Berichtsrhythmus zur Geschäftsführung.
Was passiert, wenn die Geschäftsführung nicht erreichbar ist?
Der Krisenstab handelt im Rahmen seines Mandats weiter. Für Entscheidungen, die der Geschäftsführung vorbehalten sind, sollte eine Vertretung festgelegt sein, etwa ein weiteres Mitglied der Geschäftsführung oder eine Person mit entsprechender Vollmacht.
Wie oft sollte das Mandat überprüft werden?
Wir empfehlen eine Überprüfung nach jeder Übung und jedem echten Einsatz, bei Wechseln in Geschäftsführung oder Krisenstabsleitung sowie mindestens einmal im Jahr.
