Warum eine Krise in den ersten 48 Stunden gewonnen oder verloren wird
Unternehmenskrisen haben eine Gemeinsamkeit: Die rechtlichen Folgen werden weniger vom Ereignis selbst geprägt als von den ersten Reaktionen darauf. Ein gelöschter Logeintrag, eine überstürzt veröffentlichte Entschuldigung, eine versäumte Meldung an die Versicherung — all das begegnet Ihnen Monate später im Prozess, in einer Prüfung oder am Verhandlungstisch über den Schadensersatz. In den ersten 48 Stunden geht es nicht darum, die Krise zu „lösen“, sondern darum, den Entscheidungsraum zu schützen.
Praxishinweis
Wenn Sie kein Krisenprotokoll haben, macht schon eine einseitige „erste Anrufliste“ einen Unterschied: Wer wird angerufen, welche Systemaufzeichnungen werden eingefroren, wer spricht?
Wir bauen Ihr Krisenprotokoll gemeinsam auf
Wir kartieren die Krisenszenarien Ihres Unternehmens und bereiten den Plan für die ersten 48 Stunden sowie die vertragliche Grundlage vor.
Schritt 1: Ereigniskarte und eine einzige Zentrale
In den ersten Stunden sind die Informationen verstreut, und jede Person sieht ein anderes Teilstück. Zu tun ist Folgendes: das Bekannte, das Unbekannte und die Annahmen in einer einzigen Ereigniskarte zusammenzuführen und dafür zu sorgen, dass die Entscheidungen aus einem einzigen Krisenstab kommen. Das Rechtsteam gehört von Anfang an an diesen Tisch, denn jeder Schritt hat eine Beweis-, eine Haftungs- und eine Meldedimension.
Schritt 2: Sicherung von Beweisen und Aufzeichnungen
E-Mails, Systemprotokolle, Kameraaufzeichnungen und Nachrichten sind der Rohstoff sowohl Ihrer Verteidigung als auch Ihrer möglichen Ansprüche. Gegen die Gefahr des Löschens und Überschreibens sind die Aufzeichnungen unverzüglich einzufrieren; das hat innerhalb der Grenzen des türkischen Datenschutzgesetzes (KVKK, Gesetz Nr. 6698), auf schriftliche Weisung und mit einem Nachweis darüber zu geschehen, wer wann auf was zugegriffen hat. Der Zugriff auf Daten auf privaten Endgeräten verlangt wiederum eine gesonderte rechtliche Bewertung.
Schritt 3: Inventur der Meldepflichten
Je nach Art der Krise greifen fristgebundene Meldungen: Bei einer Verletzung des Schutzes personenbezogener Daten ist die Meldepraxis gegenüber dem türkischen Datenschutzausschuss (Kurul) auf 72 Stunden angelegt; Versicherungspolicen verlangen häufig eine „unverzügliche“ Anzeige; in regulierten Branchen wie Börse, Bankwesen und Energie kommen weitere Pflichten hinzu. Noch am ersten Tag sollte eine vollständige Inventur der Meldepflichten entstehen, und die Fristen gehören in einen einzigen Kalender.
Schritt 4: Kommunikationsdisziplin
In der Krisenkommunikation gelten zwei Regeln: eine einzige Stimme nach außen und freigegebene Texte. Der Belegschaft wird nicht Schweigen aufgetragen, sondern Weiterleitung: „Die Auskunft erteilt X.“ Jeder Satz, den Sie der Presse geben, sollte so geschrieben sein, als werde er später als Beweismittel gelesen; selbst ein harmloses „Es tut uns leid“ kann in manchen Rechtsordnungen einem Anerkenntnis der Haftung nahekommen.
Schritt 5: Aufarbeitung und Haftungsanalyse
Ist die akute Phase vorüber, folgt die Schadensaufnahme: Vertragsverletzungen, Regressmöglichkeiten, arbeitsrechtliche Verfahren und, wo nötig, Strafanzeigen. Die Qualität dieser Phase hängt von den Beweisen ab, die in den ersten 48 Stunden gesichert wurden — so schließt sich der Kreis.
Prioritäten je nach Krisentyp
Die ersten 48 Stunden sind nicht in jeder Krise gleich. Bei einer Datenschutzverletzung haben die Eindämmung des Abflusses, die Feststellung der betroffenen Datenkategorien und die Meldung an den Kurul Vorrang — die Einzelheiten dieses Szenarios behandeln wir gesondert in unserem Schwerpunkt Cybersicherheit. Bei Durchsuchung und Beschlagnahme haben die Kontrolle des Beschlussumfangs, die Protokolldisziplin und der Schutz der nicht erfassten Systeme Vorrang. Bei einer Produktkrise stehen die Dokumentation der Rückrufentscheidung und die Anzeige gegenüber der Versicherung im Vordergrund; bei einer Medienkrise das Timing von Zugangssperre, Gegendarstellung und den Instrumenten zur Wiederherstellung der Reputation. Der Krisenstab muss diese Prioritätenliste je nach Szenario umstellen können.
Nach der Krise: die Akte in Wert verwandeln
Wenn die akute Phase endet, bleiben Ihnen zwei Dinge: eine Schadensübersicht und eine Liste der Lehren. Die Schadensübersicht wird gegenüber Vertragsverletzungen in Verfahren und Forderungseinzug vor türkischen Gerichten überführt, gegenüber schuldhaft handelnden Lieferanten oder Dienstleistern in Regress und, wo nötig, in die Schritte interne Untersuchung und Strafanzeige. Die Liste der Lehren fließt in die Fortschreibung des Protokolls: Welche Meldung kam zu spät, welche Zuständigkeit war unklar, welche Aufzeichnung fehlte? Das Unternehmen, das aus einer Krise herauskommt, sollte nicht dasselbe sein wie das, das in sie hineingegangen ist.
Der Ansatz von Köksal
In Krisenmandaten koordiniert unser Schwerpunkt Krisenmanagement rechtliche, kommunikative und unternehmerische Maßnahmen aus einer Zentrale. Bei unserer laufend beratenen Mandantschaft ist ein Krisenprotokoll ein fester Bestandteil der präventiven Beratung: die erste Anrufliste, die Weisung zum Einfrieren der Beweise, die Inventur der Meldepflichten und freigegebene Kommunikationsvorlagen liegen vorab bereit. Für Szenarien, die eine interne Untersuchung erfordern, empfehlen wir einen Blick in unseren Leitfaden zur internen Untersuchung.
Fazit
Krisenmanagement im Unternehmen verträgt keine Improvisation. Ein vorab geschriebenes Protokoll, ein aktueller Satz Kommunikationsvorlagen und eine Weisung zur Beweissicherung zahlen sich in der ersten Krise mehr als aus. Die Fähigkeit zum Krisenmanagement entsteht nicht am Tag der Krise, sondern heute.
