Du bist dreißig Minuten in einem schweren Incident und das Führungsteam will ein Update. Was sagst du ihnen?

Gib ihnen Auswirkung, Sicherheitsgrad und nächste Schritte in klarer Sprache, mit explizit benannter Unsicherheit. Deck ab, was betroffen ist und was nicht, was du gerade tust, welche Entscheidung du von ihnen brauchst, und wann das nächste Update kommt. Vermeide Toolnamen und Technik-Jargon, spekulier nicht über Attribution, und trenn bestätigte Fakten klar von Arbeitshypothesen, damit niemand auf eine Vermutung hin handelt.

Ich halte es bei vier Punkten. Was wir wissen: E-Mail ist für das Sales-Team eingeschränkt, grob vierzig Konten betroffen, und bisher kein Hinweis darauf, dass auf Kundendaten zugegriffen wurde. Was wir tun: Sessions auf diesen Konten widerrufen, erzwungene Passwort-Resets laufen, und wir prüfen Mail-Regeln auf Anzeichen von Weiterleitungen. Was ich von euch brauche: eine Entscheidung, ob wir das gemeinsame Postfach offline nehmen, was eingehende Bestellungen für etwa eine Stunde stoppt. Nächstes Update: fünfundvierzig Minuten, oder früher, wenn sich das Bild wesentlich ändert. Ich bin bewusst genau beim Kennzeichnen des Sicherheitsgrads, ich sage also, wir haben dies bestätigt und wir glauben derzeit jenes, haben es aber nicht bewiesen, denn Führungskräfte wiederholen gegenüber Kunden und Behörden, was du ihnen sagst, und eine als Fakt wiederholte Hypothese wird zum juristischen Problem. Ich rate in einem frühen Briefing auch nie, wer es war. Attribution ist die erste Frage, die Leute stellen, und nach dreißig Minuten die am wenigsten nützliche.