Ein wirksames Holding Statement beantwortet in drei Sätzen, was geschehen ist, was das Unternehmen tut und was das für Betroffene bedeutet – die erste Stunde entscheidet über Deutungshoheit.
Das Reaktionsfenster in Unternehmenskrisen hat sich laut famefact (2025) von vier bis sechs Stunden auf 30 bis 90 Minuten verkürzt.
Seit Umsetzung der NIS-2-Richtlinie müssen erhebliche Cyber-Sicherheitsvorfälle binnen 24 Stunden ans BSI gemeldet werden.
Die DSGVO schreibt 72 Stunden Meldefrist an die Datenschutzaufsicht vor (Art. 33 DSGVO).
Ein wirksamer Holding Statement kommt mit drei Sätzen aus: Was ist passiert, was unternehmen wir, was bedeutet das für Betroffene.
Jeder Holding Statement trägt Zeitstempel und ein Update-Versprechen mit konkreter Uhrzeit – „Nächstes Statement bis 16:00 Uhr” schlägt vages „wir informieren”.
Für die drei häufigsten Krisenanlässe – Cyber-Vorfall, Produktrückruf, Vorwurf gegen Führungskraft – lassen sich vorbereitete Textbausteine in unter 60 Minuten abrufbar machen.
Wer in der ersten Stunde Verantwortung für den Umgang mit einem Vorfall übernimmt, ohne Schuld vorwegzunehmen, verteidigt Deutungshoheit und verliert weniger Vertrauen – Schweigen verstärkt jedes fälschende Narrativ.
Ein Holding Statement ist die erste öffentliche Äußerung eines Unternehmens zu einem Vorfall, bevor alle Fakten vorliegen. Er benennt den Stand des Wissens, signalisiert Handlungsfähigkeit und verschafft dem Krisenstab Zeit für eine belastbare Stellungnahme. Funktion: die Deutungslücke schließen, die andere sonst mit Spekulation füllen.
Krisen werden schneller, lauter und technischer. Ein Clip auf TikTok, eine manipulierte Sprachnachricht, ein Kommentar im falschen Ton – und ein Vorfall wird binnen Minuten zur Reputationsfrage. Gleichzeitig verlangen NIS-2 und DSGVO formale Meldungen innerhalb enger Fristen. Was ein Unternehmen in den ersten 60 Minuten sagt, entscheidet nicht nur über die Wahrnehmung einer einzelnen Meldung, sondern über die Tonalität der gesamten Krisenphase.
Dieser Artikel liefert sieben Tipps, die in dieser Stunde zählen – plus drei Textbausteine für die häufigsten Anlässe bzw. Szenarien.
Das Reaktionsfenster hat sich halbiert. Wo früher vier bis sechs Stunden für die erste Reaktion blieben, entscheiden sich heute die ersten 30 bis 90 Minuten über Deutungshoheit und Tonalität einer Krise. Laut famefact (2025) verschiebt sich die Dynamik zunehmend in halböffentliche Kanäle wie TikTok, Instagram Reels und WhatsApp-Statusmeldungen – dort entsteht Stimmung innerhalb von Minuten.
Parallel zum medialen Tempo greift der Gesetzgeber. Seit Umsetzung der NIS-2-Richtlinie in Deutschland müssen erhebliche Cyber-Sicherheitsvorfälle binnen 24 Stunden ans BSI gemeldet werden; die DSGVO schreibt 72 Stunden für Datenschutzverletzungen vor (secjur (2026); Art. 33 DSGVO). Wer in dieser Phase schweigt oder sich in Floskeln verliert, überlässt das Narrativ anderen – und haftet als Geschäftsleitung persönlich, wenn Prozesse fehlen.
Die Lösung ist nicht Tempo um jeden Preis, sondern strukturierte Schnelligkeit. Sieben Tipps machen den Unterschied zwischen einem wirksamen Holding Statement und einer formelhaften Verlautbarung.
Tipp 1 – Drei Sätze, nicht sieben. Beginnen Sie mit dem, was gesichert ist. Nicht mit dem, was spekulativ wäre. Wenn die Ursache eines Cyber-Vorfalls noch unklar ist, gehört die Ursache nicht in den Statement – wohl aber die Tatsache, dass Sie sie aktiv klären. Jede weitere Information, die später revidiert werden muss, beschädigt Vertrauen stärker als das anfängliche Eingeständnis einer Wissenslücke.
Tipp 2 – Unklarheiten als Unklarheiten benennen. Was Sie nicht wissen, markieren Sie. „Ursache und Umfang werden aktuell geprüft” schlägt jede Formulierung, die Sicherheit suggeriert, die es nicht gibt. Diese Transparenz wird in der Krise als Stärke gelesen, nicht als Schwäche. Spekulation dagegen wird später gegen Sie verwendet – durch Medien, Behörden oder Geschädigte.
Geschwindigkeit entsteht nicht durch Schnell-Sprechen, sondern durch sichtbare Taktung. Zwei Elemente machen jeden Holding Statement messbar und geben Journalist:innen, Behörden und der eigenen Organisation einen Takt, an den sie sich halten können.
Tipp 3 – Zeitstempel in jedes Statement. Notieren Sie Uhrzeit und Datum der Freigabe sichtbar im Text. Das dokumentiert für alle Adressaten, dass zu diesem Zeitpunkt genau dieser Wissensstand galt. Später veränderte Angaben lassen sich so nachvollziehbar einordnen – und nicht als Widersprüche deuten. In regulierten Branchen wird der Zeitstempel Teil der späteren Behörden-Dokumentation.
Tipp 4 – Update-Versprechen mit konkreter Uhrzeit. Nennen Sie den nächsten Kommunikationszeitpunkt konkret. „Nächstes Statement bis 16:00 Uhr” signalisiert Taktung und gibt Medien eine Erwartung, an die sie sich halten. Vages „wir informieren fortlaufend” erzeugt das Gegenteil: ständige Nachfragen und den Eindruck des Ausweichens. Ein gebrochenes Update-Versprechen ist teurer als ein knapper Folge-Statement zur zugesagten Zeit.
In der ersten Stunde greifen bei vielen Unternehmen drei Reflexe, die den Statement schwächen. Sie lassen sich benennen – und vermeiden.
Tipp 5 – Legal-Review in 30 Minuten, kein Juristendeutsch. Ein juristisches Review ist Pflicht, aber mit einem festen SLA. Zwei Stunden sind zu lang. Klar formuliertes Deutsch schlägt jede Formulierung, die nur Haftung absichern will. Wer hinter Konjunktiven und Einschüben verschwindet, wird von Medien und Öffentlichkeit als ausweichend gelesen. Klarheit ist das bessere Risikomanagement – auch aus juristischer Sicht.
Tipp 6 – Verantwortung ohne vorzeitige Schuldzuweisung. Niemand verlangt in der ersten Stunde eine Selbstanklage. Aber Ausweichen wird sofort entlarvt. Die kommunikativ tragfähige Mitte: Verantwortung für den Umgang mit dem Vorfall übernehmen, ohne die juristische Schuldfrage vorwegzunehmen. „Wir bedauern, dass es zu diesem Vorfall gekommen ist” ist nicht dasselbe wie „wir sind schuld” – und wird auch nicht so gelesen. Die Trennung muss hör- und lesbar sein.
Tipp 7 – Website zuerst, dann spiegeln. Das Holding Statement steht zuerst auf der Unternehmenswebsite, sichtbar oben oder auf einer Darksite. Erst dann wird es auf LinkedIn geteilt, an Medien geschickt und auf weiteren Social-Plattformen gespiegelt. Diese Reihenfolge hat einen Grund: Die Website ist die einzige Quelle, die das Unternehmen selbst kontrolliert. Was dort steht, ist die Referenz, auf die alle weiteren Kanäle verweisen – und die nicht durch Plattform-Algorithmen verändert wird.
Parallel-Improvisation auf mehreren Kanälen erzeugt Inkonsistenz. Das One-Voice-Prinzip verlangt nicht, dass alle Sprecher:innen denselben Wortlaut verwenden – aber dass alle auf denselben Basistext verweisen. Das gilt auch für Führungskräfte auf ihren privaten Social-Accounts: Sprachregelungs-Briefing vor dem ersten Tweet, nicht danach.
Alle drei folgen dem Drei-Satz-Fundament. Ergänzen Sie [Zeitstempel] und [Uhrzeit des nächsten Updates]. Die Bausteine sind Ausgangspunkte, keine Endprodukte – jeder Vorfall verlangt redaktionelle Anpassung.
Cyber-Vorfall „Wir haben am [Datum, Uhrzeit] einen Sicherheitsvorfall in einem unserer Systeme festgestellt. Unsere IT-Sicherheit analysiert aktuell Umfang und betroffene Systeme; die Meldung an das BSI ist erfolgt. Wir informieren Mitarbeitende, Kundinnen und Kunden bis [Uhrzeit] über den aktuellen Stand. [Zeitstempel].”
Produktrückruf „Nach Prüfungen unseres Qualitätsmanagements rufen wir die Produktserie [Bezeichnung], Chargennummer [X], freiwillig zurück. Wir bitten Kundinnen und Kunden, das Produkt nicht weiter zu verwenden und sich über [Kanal/Hotline] zu melden. Bis [Uhrzeit] veröffentlichen wir die Handlungsanweisung und die betroffenen Verkaufsstellen. [Zeitstempel].”
Vorwurf gegen Führungskraft „Uns liegt ein Vorwurf gegen ein Mitglied unserer Führung vor. Wir nehmen den Vorwurf ernst und klären den Sachverhalt mit Unterstützung unabhängiger Stellen; bis zur Aufklärung gilt die Unschuldsvermutung. Ein Update mit dem Stand der Prüfung geben wir bis [Uhrzeit]. [Zeitstempel].”
Das erste Statement definiert die Tonalität der gesamten Krise – wer später einen ruhigen Ton etablieren will, muss ihn in Minute 30 schon angelegt haben.
Taktung schlägt Wortlaut. Ein Statement mit Zeitstempel und konkretem Update-Versprechen wirkt professioneller als ein stilistisch besserer Text ohne diese beiden Elemente.
Verantwortung für den Umgang mit einem Vorfall und juristische Schuld sind zwei verschiedene Dinge – die Trennung muss im Statement hör- und lesbar sein, nicht erst im Gerichtsverfahren.
Eine Krise ohne vorbereitete Textbausteine verlängert sich systematisch: Was in Ruhe formuliert ist, geht unter Druck in 30 Minuten raus – was erst unter Druck formuliert wird, braucht oft drei Stunden.
Die Website als erster Kanal ist keine Stilfrage, sondern Infrastruktur-Frage: Sie ist die einzige Quelle, die das Unternehmen selbst kontrolliert und die Plattform-Algorithmen nicht verändern.
Krisenkommunikation wird nicht in der Krise gemacht. Sie wird davor eingeübt, im Ernstfall abgerufen und danach ausgewertet. Die sieben Tipps in diesem Artikel funktionieren jedoch nur, wenn die Infrastruktur für Krisenkommunikation steht: ein geübter Krisenstab, eine aktuelle Stakeholder-Karte inklusive Verteilerlisten, vorbereitete Textbausteine und klare Freigabewege. Wer diese Grundlagen pflegt, kann die erste Stunde einer Krise mit Ruhe durchlaufen – wer sie vernachlässigt, schreibt in dieser Stunde an vier Stellen gleichzeitig und verliert an jeder.
Die ausführliche Arbeitsunterlage zu diesen Grundlagen steht als Checkliste Krisenkommunikation kostenfrei zum Download bereit. Für strategische Vorbereitung und Krisenstabs-Simulation können Sie sich hier informieren: Krisen-PR München und Krisenkommunikation.
famefact (2025): Shitstorm-Management 2025 — Krisenkommunikation in sozialen Medien. https://famefact.com/2025/06/21/shitstorm-management-2025-krisenkommunikation-in-sozialen-medien/
secjur (2026): NIS-2-Meldepflichten — Fristen und Ablauf 2026. https://www.secjur.com/blog/nis2-meldepflicht-cybervorfaelle-deutschland
Art. 33 DSGVO: Meldung von Datenschutzverletzungen. https://dsgvo-gesetz.de/art-33-dsgvo/
consense communications (2026): Checkliste ad hoc Krisenkommunikation.
Die Autorin hat diesen Artikel auf Basis ihrer langjährigen Expertise mit Unterstützung von Claude Opus 4.7 erstellt. Das Bild wurde von Nano Banana 2 generiert.
Geschäftsführerin consense communications GmbH (GPRA) Expertin für Strategie-, Change- und Krisenkommunikation sowie zertifizierte systemische Coachin und Organisationsentwicklerin. Strategin für Kommunikation im KI-Zeitalter.
