Was können wir mit Sicherheit sagen?
Wie Führung Orientierung gibt, wenn Fakten fehlen und trotzdem entschieden werden muss
Am 16. Oktober 2026 meldete ConnectWise einen Sicherheitsvorfall in seiner Cloud-Backup-Umgebung. Nach später ergänzten Angaben hatte das Unternehmen das Problem bereits am 14. Oktober entdeckt und interne sowie externe Incident-Response-Maßnahmen eingeleitet.
Zunächst sprach ConnectWise von Versuchen unbefugten Zugriffs. In den folgenden Updates konkretisierte das Unternehmen den Befund: Es hatte unbefugten Zugriff auf Anwendungsidentitäten im Cloud-Backup-Umfeld gegeben.
Als Schutzmaßnahme wurde der Cloud-Backup-Zugang abgeschaltet. Dadurch waren zeitweise auch Backup-Jobs, Archivzugriff und Wiederherstellungen nicht verfügbar.
Die Untersuchung lief weiter.
ConnectWise musste damit etwas tun, das während eines Incidents ausgesprochen schwierig ist:
kommunizieren, während sich das eigene Lagebild noch verändert.
In solchen Situationen braucht die Geschäftsführung häufig schon eine Antwort, während Security noch prüft.
Kunden warten auf Informationen. Mitarbeitende brauchen Orientierung. Der Vertrieb möchte wissen, was er sagen darf.
Und eine einmal getroffene Aussage lässt sich nicht beliebig zurückholen.
Was können wir mit Sicherheit sagen?
Diese Frage stelle ich in solchen Situationen zuerst.
Denn vollständige Gewissheit gibt es am Anfang oft nicht. Und Führung kann auch nicht darauf warten
Der Druck soll raus
Ein Incident erzeugt Druck. Security untersucht, die IT arbeitet, Kundinnen und Kunden warten, der Vertrieb braucht Informationen und die Geschäftsführung möchte wissen, wann der Betrieb wieder normal läuft.
Irgendwann fällt die Frage:
„Was können wir jetzt sagen?“
Eine Ursache wäre hilfreich. Eine Entwarnung noch besser. Und „Problem gelöst“ würde vieles erleichtern.
Nur richtet sich eine Untersuchung leider nicht danach, wann wir eine beruhigende Antwort brauchen.
Neue Informationen kommen hinzu. Eine Vermutung verändert sich. Manche Systeme laufen vielleicht wieder, während bei anderen noch Fragen offen sind.
Und die Gefahr dabei?
Aus:
„Wir haben derzeit keinen Hinweis darauf.“
wird im nächsten Gespräch schnell:
„Das ist nicht passiert.“
Nur ein paar Wörter Unterschied, doch inhaltlich liegen Welten dazwischen.
Denn in einer unklaren Lage entscheidet sich an solchen Stellen, ob ein Unternehmen später nur eine neue Erkenntnis erklären muss. Oder zusätzlich seine frühere Kommunikation.
"Kein Hinweis" bedeutet nicht "ausgeschlossen"
Das zeigt der ConnectWise-Fall sehr deutlich.
In seinen laufenden Mitteilungen trennt das Unternehmen unterschiedliche Erkenntnisse voneinander.
Für die bestehenden Backup-Archive gibt es weiterhin keinen Hinweis auf eine Kompromittierung. Die Archive sind nach Angaben von ConnectWise verschlüsselt, isoliert und erhalten geblieben.
Daraus lässt sich jedoch nicht ableiten, ob einzelne Microsoft-365-Umgebungen von Partnern oder deren Kunden betroffen waren.
ConnectWise formuliert diesen Unterschied ausdrücklich: Es wurden keine bestätigten nachgelagerten Kompromittierungen bei Kunden festgestellt. Das sei jedoch keine Zusicherung, dass keinerlei unbefugte Aktivität stattgefunden habe.
Die Überprüfung einzelner Kundenumgebungen bleibt erforderlich.
Eine Information beantwortet eben nur die Frage, die sie tatsächlich beantworten kann.
Nicht automatisch die nächste.
Das Gleiche gilt für den technischen Wiederanlauf.
Am 28. Oktober begann ConnectWise mit der schrittweisen Wiederherstellung über eine neue, sicherheitstechnisch gehärtete Anwendung.
Im Update vom 30. Oktober waren die ersten beiden Phasen abgeschlossen: Backups und Wiederherstellungen standen für erneut autorisierte Microsoft-365-Tenants zur Verfügung, ebenso das Kundenportal und die Backup-Monitoring-Dashboards.
Weitere Funktionen, darunter Reporting, Exporte und Abrechnung, befanden sich noch in der Wiederherstellung. Benachrichtigungen sollten erst in einer späteren Phase folgen.
ConnectWise benennt die einzelnen Schritte und macht deutlich, wovon sie abhängen.
Keine vorweggenommene Entwarnung.
Besonders aufschlussreich finde ich einen weiteren Hinweis: Selbst die erneute Autorisierung eines Microsoft-365-Tenants bestätigt noch nicht, dass Backups tatsächlich wieder laufen. Dafür sollen neue, erfolgreich abgeschlossene Backup-Snapshots geprüft werden.
„Das System läuft wieder.“
Ja, das ist eine gute Nachricht. Doch nicht automatisch die Antwort auf alle anderen Fragen.
Genau solche Zwischenstände sind kommunikativ unbequem.
Aber sie sind sachlich und nachvollziehbar.
4 Felder für den ersten Blick auf die Lage
In der Unternehmenssicherheit habe ich gelernt: Informationen sind nicht allein deshalb gleichwertig, nur weil sie im selben Lagebericht stehen.
Für einen ersten Blick trenne ich deshalb vier Felder.
Zu einem Lagebild gehört für mich auch der Zeitpunkt, zu dem die Informationen erhoben wurden.
Was am Vormittag als gesichert gilt, kann am Abend durch neue Erkenntnisse ergänzt oder korrigiert werden.
Mehr soll dieses Bild zunächst gar nicht leisten.
Die ersten drei Felder ordnen, was wir wissen und was nicht.
Das vierte hält fest, was wir trotzdem entschieden haben.
Denn fehlende Gewissheit entbindet nicht davon, zu handeln. Sie verlangt aber, sauber zu unterscheiden, worauf sich eine Entscheidung stützt.
Unter Zeitdruck vermischen sich diese Dinge leicht: Aus einer Vermutung wird beim Weitererzählen ein Fakt. Aus einer Vorsichtsmaßnahme wird scheinbar der Beweis für einen Schaden. Oder aus dem technischen Wiederanlauf wird plötzlich: „Der Vorfall ist erledigt.“
Gerade die letzte Verwechslung verbreitet sich in Unternehmen schnell über den Flurfunk.
"Das wissen wir nicht nicht" kann eine Führungsantwort sein
Dieser Satz ist unbeliebt.
Vor allem, wenn Kunden warten oder ein wichtiges Meeting bevorsteht.
Trotzdem kann er die präziseste Antwort sein, sofern er nicht als Ausrede dient.
Entscheidend ist, was danach kommt.
Was wissen wir bereits? Was wird noch geprüft? Was haben wir inzwischen entschieden? Und wann können die Adressaten mit weiteren Informationen rechnen?
ConnectWise veröffentlicht seit dem 16. Oktober fortlaufend Updates. Auch Zwischenstände werden benannt. Geplante Wiederherstellungsschritte stehen unter dem Vorbehalt erfolgreicher Tests und Sicherheitsprüfungen.
Damit verschwindet der Druck zwar nicht. Doch die Adressaten können erkennen, welche Erkenntnisse vorliegen, welche Maßnahmen getroffen wurden und welche Fragen noch offen sind.
Das gibt ihnen eine Grundlage für ihre eigenen nächsten Schritte.
Ob die gesamte Krisenkommunikation von ConnectWise gelungen ist, kann ich von außen nicht abschließend beurteilen.
Was sich anhand der öffentlich zugänglichen Updates jedoch beobachten lässt, ist die sorgfältige Trennung von Erkenntnisstand, Sicherheitsmaßnahmen, technischer Wiederherstellung und offenen Punkten.
Und genau das halte ich für bemerkenswert.
Führung beginnt vor vollständiger Gewissheit
Unternehmen können mit Entscheidungen selten warten, bis der letzte Logeintrag ausgewertet wurde.
Zugänge werden gesperrt. Prozesse gestoppt. Kunden informiert. Systeme schrittweise wieder freigegeben.
Die Entscheidung fällt also möglicherweise früher als die abschließende Erkenntnis.
Und genau dort kommt Leadership Voice, die wirksame Führungskommunikation, ins Spiel. Sie ist keine Deko am Ende eines technischen Prozesses.
Sie ist die Fähigkeit, unter Druck treffend zu sprechen.
Weder größer als das, was bekannt ist, noch kleiner als das, was entschieden werden muss.
Denn eine Geschäftsführung muss nicht nur wissen, welche Aussage fachlich bestätigt ist. Sie muss auch entscheiden, welche Konsequenzen daraus folgen und was gegenüber Mitarbeitenden, Kunden oder Geschäftspartnern vertreten werden kann.
Das mag vielleicht einfach aussehen.
Doch nur solange, bis man selbst im Raum sitzt und alle eine Antwort wollen.
Die entscheidende Frage
In kritischen Situationen wird häufig fieberhaft nach der richtigen Formulierung gesucht.
Ich würde zuerst mit dieser Frage beginnen:
Was können wir mit Sicherheit sagen?
Denn erst wenn das klar ist, lässt sich entscheiden, wie weit eine Aussage gehen darf.
Manchmal ist der stärkste Satz deshalb nicht derjenige, der am meisten Sicherheit vermittelt.
Sondern derjenige, der auch morgen noch stimmt.
Wenn die Lage noch schwierig ist, die Entscheidung aber ansteht
Genau in solchen Situationen begleite ich Führungskräfte im vertraulichen Executive Sparring. Wenn Entscheidungen anstehen, der Sachstand sich aber noch verändert.
Damit eine Aussage heute Orientierung gibt und morgen noch wahr ist.
Quelle zum aktuellen Fall:
ConnectWise Trust Center, „Cloud Backup (formerly known as SkyKick) Service Interruption“.
Erstmals veröffentlicht am 16. Oktober 2026. Nach Angaben in den ergänzten FAQs wurde der Vorfall am 14. Oktober entdeckt. Für die Darstellung des Wiederanlaufs zugrunde gelegtes Update: 30. Oktober 2026, 21:00 UTC.
Abruf und Prüfung für diesen Beitrag: 3. November 2026.
Über Uta-Alexandra Kral
Uta-Alexandra Kral arbeitet mit Führungskräften an kritischen Entscheidungen zwischen IT, Fachbereich, Security und Compliance. Sie verbindet fast 30 Jahre Konzernerfahrung, eigene Führungs- und Sicherheitsverantwortung mit Rhetorik und Kommunikation. In Kral-Klartext schreibt sie darüber, wo Entscheidungen hängen, Verantwortung wandert und Führung gefragt ist.
Weitere Beiträge und Einordnungen: Kral-Klartext und das Pressearchiv von Kral-Kommunikation.
Weitere Kral-Klartext-Artikel | Zum Pressearchiv
