Krisenmeisterei: Kompetentes und souveränes Krisenmanagement

In meinem Gespräch mit Franz Hoheiser-Pförtner, international anerkannten Experten für Informationssicherheit, geht es darum, was wir speziell im Bereich der Informationssicherheit aus der Krise lernen können und sollen. Dabei wird natürlich die notwendige Erhöhung unserer Autarkie ebenso angesprochen, wie unser Umgang mit Komplexität, die Notwendigkeit von Übungen und wie man digitaler Demenz vorbeugen kann und muss.

Franz Hoheiser-Pförtner war viele Jahre als CISO im Gesundheitswesen tätig. Er sitzt in bzw. leitet wesentliche nationale Cyber-Security-Gremien und forciert als Gründungs- und Vorstandsmitglied von Cyber Security Austria die Ausbildung von jungen Talenten (Austria Cyber Security Challenge, European Cyber Security Challenge". Darüber hinaus lehrt er an Fachhochschulen mit den Schwerpunkten Informationssicherheit und Resilienz-Management im Gesundheitswesen.

Hier die Links zu in der Episode angesprochenen Websites:

Wenn sie Wünsche oder Anregungen haben, freue ich mich wie immer über eine Email: [email protected]

Meine Website

Über mich

Häufig wird als Ziel bzw. Endzustand für das Krisenmanagement definiert "Rückkehr zur Normalität". Was aber, wenn es die Normalität, zu der man zurückkehren möchte, nicht mehr gibt? Die gegenwärtige Covid-19-Situation läuft in genau diese Richtung. Die meisten Prognosen gehen dahin, dass es nachhaltige Veränderungen geben wird. Wo ist dann der "Endpunkt" des Krisenmanagements? Schleift es einfach aus oder wird es zum Normalzustand.

Wichtig in solchen Situationen ist das Paradigma, unter dem das Krisenmanagement in einem Unternehmen bzw. Organisation entwickelt und vorbereitet wurde. Geht es rein um eine rasche und möglichst vollständige Rückkehr zum Ausgangszustand, so ist das ein eher mechanistisches Bild, das Krisenmanagement wird dann dazu tendieren, vor allem operativ und maximal dispositiv zu agieren.

Wenn sich die Umwelt aber - so wie jetzt - im Verlauf der Krise verändert, so muss das Ziel, muss die angestrebte Normalität neu definiert werden. Das verlangt strategische Arbeit, womöglich sogar strategische Neuausrichtung mitten während der Krise. Nicht umsonst hält die ONR CEN/TS 17091 fest, dass Krisenmanagement auf oberster Ebene eine strategische Aufgabe ist.

Wie soll aber nun das Krisenmanagement ausgerichtet sein, um auch solchen Situationen gerecht zu werden? Welches Paradigma kann uns hier als Orientierungshilfe dienen?

Die Antwort ist: Krisenmanagement als Expedition! Eine Expedition führt in vielleicht unbekanntes, auf jeden Fall aber fremdes und schwieriges Gebiet. Es braucht daher ständige Lageerkundungen sowie eine weitgehende Autarkie, da man im Vorhinein meist nicht genau vorhersagen kann, wie es mit der Versorgung und dem Nachschub aussehen wird. Die Führungsstruktur muss klar und überschaubar sein und der Skill-Mix muss sicherstellen, dass man mit den Problemen unterwegs gut fertig wird.

Und dann ist da noch die Sache mit den Zielen: Natürlich haben Expeditionen auch klare Ziele. Diese können aber so formuliert sein, dass sie flexibel auf die "Lage vor Ort" angewendet werden können bzw. müssen. Hier kommt dann die strategische Komponente zum Tragen.

Der Krisenmanager ist in diesem Paradigma also weder der Lotse, der das Schiff in den sicheren Hafen geleitet, noch der Projektleiter, der das "Projekt Krise" rasch und effizient abarbeitet. Vielmehr ist der der Expeditionsleiter, der mit viel Umsicht, Erfahrung und Achtsamkeit das Unternehmen durch unbekannte Gefilde führt und ermöglicht, dass am Ende des Weges etwas Neues entstehen kann.

Und dieses "Neue" entsteht durch strategische Ausrichtung. Im Idealfall kann es ein Unternehmen bzw. eine Organisation so schaffen, aktiv aus der Krise "auszusteigen". Indem es seine "Normalität" neu definiert und sich in der veränderten Umwelt entsprechend positioniert. Was wiederum große strategische Vorteile bringen kann und wird.

Daher meine Empfehlung an alle Unternehmen und Organisationen: Planen Sie Krisenmanagement als Expedition. Das bietet zwar auch keine Garantie dafür, dass alles gut wird. Aber es fördert und verstärkt die strategische Arbeit noch während der Krise. Und damit die Ausrichtung auf eine neue Zukunft.

Wenn sie Wünsche oder Anregungen haben, freue ich mich wie immer über eine Email: [email protected]

Meine Website

Über mich

Jedes Unternehmen möchte seine Lieferkette so resilient wie möglich ausgestaltet haben. Dennoch erleben wir, gerade in Zeiten von Covid-19, dass viele Lieferketten statt zur Resilienz eher zur Vulnerabilität von Unternehmen beitragen. Wurde die Krisenfestigkeit von Zuliefereren (gleich ob Produzenten oder Dienstleistern) bisher also vernachlässigt?

Nun, sicher nicht bewusst oder absichtlich. Tatsache ist natürlich, dass die Eintrittswahrscheinlichkeit eines derartigen Ereignisses wie Covid-19 von unterschiedlichen Personen und Institutionen unterschiedlich hoch bewertet wurde. Viele Unternehmen, Organisationen und Behörden sind aber auch deswegen nicht in der Lage, die Krisenfestigkeit ihrer Lieferanten ausreichend zu beurteilen, weil effiziente neutrale und objektive Beurteilungssysteme großteils noch fehlen. Daher besteht so gut wie immer eine Informationsasymmetrie zwischen beschaffender Seite und dem Leistungserbringer. Und diese führt automatisch zur sogenannten "Adverse Selection": Ein Leistungserbringer, der besonders viel in sein Krisenmanagement investiert, wird üblicherweise teurer sein als ein Mitbewerber mit weniger Engagement auf diesem Sektor. Wenn dieser Unterschied für den Beschaffenden nicht transparent dargestellt werden kann, dann kommt es so gut wie immer zur Auswahl über den Preis.

Was braucht es, damit nun eine resilientere Beschaffung möglich wird? Ideal wäre ein gutes Zertifizierungssystem dafür - hier hoffe ich auf eine Weiterentwicklung der ONR CEN/TS 17091 in den nächsten Jahren zu einer Norm nach der auch zertifiziert werden kann.

Abgesehen davon müssen sich beschaffende Unternehmen und Organisationen zunächst einmal mit der eigenen Resilienz befassen. Wenn sie sich selbst vom Notfallmanagement über Business Continuity Management bis zum strategischen Krisenmanagement entsprechend aufgestellt haben, dann wissen sie schon alleine aufgrund dieses Entwicklungsprozesses ziemlich genau, was sie von einem Leistungserbringer wollen und wie sie dessen Leistungsfähigkeit im Bereich des Krisenmanagements einschätzen können. Und damit, ob ihre Beschaffung eher zur eigenen Resilienz oder aber Vulnerabilität beiträgt.

Weiterführende Links:

Wenn sie Wünsche oder Anregungen haben, freue ich mich wie immer über eine Email: [email protected]

Meine Website

Über mich

Wenn Top-Führungskräfte sagen, ihr Unternehmen, ihre Organisation oder ihre Behörde sei auf alle Szenarien vorbereitet, so entspricht das nicht immer der Wahrheit - auch wenn sie selbst davon womöglich felsenfest überzeugt sind. Denn oft wird fehlende Planung seitens der operativen Basis kompensiert. Was dazu führt, dass Notfälle und kleine Krisen auch ohne entsprechende Vorbereitung überstanden wird. Und, dass sich diese Führungskräfte bestätigt fühlen.

Was wiederum gefährlich ist, denn derartige Kompensationen halten nicht lange. Spätestens dann, wenn es nicht nur operative sondern auch dispositive und strategische Maßnahmen braucht, kommt das System ins Straucheln.

Es ist also wichtig bei der Frage "Sind wir vorbereitet?" nicht auf angenehme Einflüsterer zu hören sondern zu überprüfen, ob entsprechende Pläne und evaluierte Übungen bzw. Simulationen die Grundlage für die Antwort darstellen.

Darüber hinaus kann eine gute Vorbereitung nur erreicht werden, wenn es möglich ist auf die Frage "Sind wir vorbereitet?" mit "Nein" zu antworten. Eine No-Blame-Culture muss es ermöglichen, Fehler im System und unangenehme Wahrheiten offen anzusprechen.

Zuletzt ist es wichtig, Erfahrungen zu sammeln und auszuwerten. Insbesondere auch dann, wenn etwas gut gegangen ist ohne dass es entsprechende Vorbereitungen gab. Dann muss der dringenden Frage "Warum?" in einem After-Action Review nachgegangen werden um so die offensichtlich erfolgreichen Improvisationen und Kompensationen zu evaluieren und in die Vorbereitungen aufzunehmen. Das motiviert letztendlich auch die Mitarbeiter*innen, die sich dafür eingesetzt haben und erhöht die Krisenfestigkeit nachhaltig.

Wenn sie Wünsche oder Anregungen haben, freue ich mich wie immer über eine Email: [email protected]

Meine Website

Über mich

Die beste Krisenvorbereitung nützt nichts, wenn die Krisenreaktion nicht oder erst viel zu spät ausgelöst wird. Damit hier nicht wertvolle Zeit verloren wird, braucht unser Team ein Bewusstsein für unsere Umgebung und die daraus resultierenden Handlungsimplikationen - Awareness.

Wie kann man Awareness nun gezielt steigern? Ein mögliches Modell für eine Awareness-Kampagne besteht aus fünf Phasen:

Wenn sie Wünsche oder Anregungen haben, freue ich mich wie immer über eine Email: [email protected]

Meine Website

Über mich

In meinem Gespräch mit Herbert Saurugg, dem Experten für Blackout-Vorsorge, geht es um die Auswirkungen von weitreichenden Infrastruktur- und Versorgungsausfällen und wie man sich darauf vorbereiten kann.

Herbert Saurugg beschäftigt sich seit Jahren mit diesen Themen und wirkt bei vielen Projekten, auch international, mit. Er betreibt den Blog "Vernetzung & Komplexität" (Link siehe unten). In unserem Gespräch plaudert er über seine Erfahrung mit Vorsorgeprojekten, wie gut wir allgemein vorbereitet sind und wie abhängig unsere Gesellschaft vom reibungslosen Funktionieren ihrer einzelnen Komponenten geworden ist.

Sein Fazit: Gerade im letzten Jahr ist viel in Hinsicht Resilienzbildung geschehen - aber es ist noch viel zu tun…

Website & Blog von Herbert Saurugg:

Herbert Saurugg - Der Blackout-Experte (externer Link)

Wenn sie Wünsche oder Anregungen haben, freue ich mich wie immer über eine Email: [email protected]

Meine Website

Über mich

Erst vor Kurzem wurde ich gefragt: "Wenn ich Risikomanagement und Business Continuity Management implementiert habe - wozu brauche ich noch Krisenmanagement?"

Diese und ähnliche Fragen haben mir klargemacht, dass es einige Managementsysteme rund um das Thema der Resilienz gibt, deren Abgrenzungen aber vor allem auch gegenseitige Synergien häufig nicht ganz klar sind. In dieser Podcast-Folge gehe ich genau darauf ein:

Alle diese Bereiche bzw. Disziplinen müssen als Komponenten eines Managementsystems gesehen, definiert und umgesetzt werden und nicht konkurrierend nebeneinander. Es muss quer über diese Themenbereiche intensiv kommuniziert und ausgetauscht werden. Das beginnt mit einer proaktiven Risikokommunikation und endet mit einem professionellen After-Action-Review.

Wenn sie Wünsche oder Anregungen haben, freue ich mich wie immer über eine Email: [email protected]

Meine Website

Über mich

Ein zentrales, wichtiges Element für die Vorbereitung auf Krisen ist ein gutes Informationsmanagement. Dieses liefert die Voraussetzung für ein entsprechendes Lagebewusstsein und somit für jegliche Entscheidung im Krisenstab.

Dazu ist es wichtig, relevante Informationen zu erfassen, ihre Qualität zu prüfen und sie dann rasch an die Stelle zu leiten, wo sie für Entscheidungen gebraucht werden. Damit ergibt sich bereits die erste Herausforderung: Wann sind Informationen relevant? Wer entscheidet das? Hier braucht es entsprechende Vorbereitungen und Definitionen, damit es nicht zu gravierenden Bottlenecks kommt. Gleichzeitig müssen derartige Klassifikationen auch revidiert werden können: Eine als nicht relevant eingestufte Information kann sich möglicherweise Stunden später aufgrund einer geänderten Lage als sehr wichtig herausstellen.

Dann ist da die Sache mit der Qualität: Interne Informationen kann man üblicherweise recht gut einschätzen. Aber bei externen Informationen aus unbekannten Quellen ist das schon wesentlich schwerer. Auch hierfür braucht es Vorbereitungen und Erfahrung seitens jener Personen, die mit diesen Informationen dann arbeiten müssen.

Und: Wenn die Informationen dorthin geleitet werden, wo sie für Entscheidungen gebraucht werden - wie sieht es dann mit der Information von "normalen" MitarbeiterInnen aus? Auch diese müssen vom Informationsmanagement berücksichtigt werden. Denn Team-Mitglieder, die mehr aus den Medien als über interne Kanäle erfahren, werden über kurz oder lang nicht mehr sehr motiviert und vertrauensvoll sein.

Zu guter Letzt geht es auch noch um die Rolle der IT. Gerade im Informationsmanagement verlassen sich viele auf reine IT-Systeme. Um diese abzusichern werden vielleicht auch noch redundante Systeme eingesetzt. Meine Empfehlung ist dennoch, sich auch auf eine Informationsmanagement ohne IT einzustellen. Wichtige Informationen müssen immer auch ausgedruckt zur Verfügung stehen, für wichtige Geschäftsfälle müssen auch entsprechende Papierformulare vorbereitet sein. Natürlich wird ein "papier-basiertes" Informationsmanagement nie so leistungsfähig und schnell sein wie ein IT-System. Aber es ist noch immer besser als gar keines. Und ganz ohne Informationsmanagement ist in der Regeln kein erfolgreiches Krisenmanagement mehr möglich.

Weiterführende Links:

Wenn sie Wünsche oder Anregungen haben, freue ich mich wie immer über eine Email: [email protected]

Meine Website

Über mich

Als die Wissenschaftlerin Rhona Flin mit ihrem Team die Überprüfung von U-Boot-KommandantInnen evaluierte stellte sie fest, dass sich Überforderung unter anderem dadurch manifestiert, dass die KommandantInnen ihre eigentliche Rolle verlassen und sich mehr und mehr in die Tätigkeiten und Aufgaben ihrer direkten MitarbeiterInnen einmischen. Sie behalten nicht mehr souverän den Überblick sondern "flattern" wie ein Schmetterling von Arbeitsplatz zu Arbeitsplatz.

Mein Gegenmodell zu diesen Schmetterlingen ist der Adler: Adler agieren mit Weitblick, vermeiden unnötiges Herumflattern und agieren bei Bedarf rasch und genau. Genau wie wir es auch von KrisenmanagerInnen erwarten: Kompetent und souverän.

Wie leicht oder wie schwer das ist, hängt aber nicht nur von der Person des Krisenmanagers/der Krisenmanagerin selbst ab. Es hängt auch von seinem bzw. ihrem Team - dem Krisenstab - ab. Denn je sicherer, eingespielter und souveräner der Stab agiert, desto "einfacher" wird es, dieses Team zu führen.

Wie jedes Team ist aber auch ein Krisenstab gewissen Dynamiken unterworfen. Personelle Änderungen oder starke Lageveränderungen können diese Dynamiken auslösen. Allgemein werden sie mit den Teamphasen nach Tuckman - Forming, Storming, Norming und Performing - beschrieben. Für Krisenmanager ist es wichtig, diese Phasen zu kennen und das eigene Führungsverhalten entsprechend anzupassen. So kann das Team in kürzest möglicher Zeit wieder in die Phase "Performing" gebracht werden.

Aber natürlich: Das alleine reicht nicht. Es hilft nur, wenn Ausbildung, Training und Übung bei allen involvierten Personen in ausreichendem Ausmaß vorhanden sind.

Weiterführende Links:

Wenn sie Wünsche oder Anregungen haben, freue ich mich wie immer über eine Email: [email protected]

Meine Website

Über mich

Die Wissenschaftlerin Mica R. Endsley definiert den Weg zu Lagebewußtsein ("Situation Awareness") so:

Die Basis dafür ist zunächst einmal ein Informationsmanagement, welches dafür sorgt dass möglichst zuverlässige Informationen zeitnah zur Verfügung stehen - auch wenn während einer akuten Krise häufig dringende und wichtige Informationen fehlen. Diese Informationen müssen dann zu einem Lagebild zusammengefügt werden. Dieses soll in Form einer Lagedarstellung auch unbedingt visualisiert werden. Selbst wenn es sich um sehr abstrakte Informationen handelt - bzw. gerade dann. Denn diese Lagedarstellung ("Lagekarte") unterstützt uns bei der mentalen Bearbeitung der Lage.

Danach folgt die Lagebeurteilung: Was bedeuten diese Informationen für meine aktuelle Situation und was kann sich in absehbarer Zukunft daraus entwickeln? Wenn diese Bewertung kompetent und zutreffend erfolgt, dann führt das zu guten Entscheidungen und einer aktiven Einflussnahme auf das Krisengeschehen.

Was bedeutet nun hinter, in oder vor der Lage zu leben:

Das Ziel im Krisenmanagement ist es, "in der Lage zu leben" und "vor die Lage" zu kommen - durch sehr hohes Lagebewusstsein und optimale Vorbereitung die Krise so rasch wie möglich zu bewältigen.

Weiterführende Links:

Wenn sie Wünsche oder Anregungen haben, freue ich mich wie immer über eine Email: [email protected]

Meine Website

Über mich