Doxxing-Angriff auf Ihr Unternehmen: das Krisen-Playbook

In der Krise wird kein Plan mehr gemacht, sondern nur noch abgearbeitet. Das ist der ganze Kern dieses Artikels: Der Wert eines Krisen-Playbooks entsteht vollständig vor dem Ereignis. Wer erst im laufenden Angriff klärt, wer entscheidet, wer meldet und wer mit der betroffenen Person spricht, verliert den ersten Tag, und der erste Tag ist der, in dem sich Inhalte am schnellsten verbreiten. Dieser Artikel ist so gebaut, dass er beides bedient: die Sofortstruktur für den akuten Fall oben, die Vorlage für den Plan darunter. Er ist bewusst auch dann verwendbar, wenn Sie ihn nur intern nutzen und nie mit uns sprechen.

Sofortstruktur: die ersten sechs Entscheidungen

Wenn der Vorfall gerade läuft und noch kein Playbook existiert, sind das die sechs Entscheidungen der ersten Stunden, in dieser Reihenfolge:

1. Wer führt? Eine Person übernimmt die Fallführung und bündelt alle Informationen. Ohne diese Entscheidung arbeiten drei Abteilungen parallel aneinander vorbei und die Zielperson beantwortet dieselben Fragen viermal.
2. Ist die Zielperson physisch sicher? Wurde die Wohnadresse veröffentlicht: Klärung, wo die Person und ihre Familie heute Nacht schlafen, wer die Nachbarschaft und gegebenenfalls die Polizei informiert. Erst danach alles Weitere.
3. Beweissicherung starten, sofort und vor jeder Löschmeldung. Screenshots mit vollständiger URL, Datum und Kontext, alle Fundstellen, zentral abgelegt. Was gemeldet und entfernt ist, lässt sich nicht mehr sichern.
4. Lagebild aufbauen: Welche Daten, welche Kanäle, welche Dynamik? Eine Person beobachtet die Verbreitung fortlaufend; die Zielperson selbst gehört ausdrücklich nicht in diese Rolle.
5. Kommunikationslinie festlegen: intern zuerst, extern nur wenn nötig. Empfang, Zentrale und Assistenz erhalten eine klare Sprachregelung, bevor der erste Anruf von außen kommt.
6. Rechtliche Schiene aktivieren: Kanzlei einschalten, Anzeige vorbereiten, Meldungen nach Art. 16 DSA aufsetzen. Parallel, nicht nacheinander.

Rollen: wer macht was, wer entscheidet

Doxxing-Fälle scheitern intern selten am fehlenden Willen, sondern an ungeklärten Zuständigkeiten. Die Verteilung, die sich in der Praxis bewährt:

Die Assistenz verdient dabei besondere Aufmerksamkeit: Sie ist die erste Kontaktfläche für Anrufe, Zustellungen und Social-Engineering-Versuche und entscheidet in den ersten Stunden mehr als jede Richtlinie: Assistenz als Schutzschild.

Die betroffene Person zuerst

Ein Unternehmens-Playbook kippt schnell in Prozesslogik: Meldungen, Fristen, Kommunikationslinien. Der Maßstab, an dem die Zielperson den Arbeitgeber später misst, ist ein anderer: Wurde sie geschützt oder verwaltet? Konkret heißt Schutz:

• Physische Sicherheit und Familie zuerst: Klärung der Wohnsituation, Briefing der Angehörigen (keine Auskünfte, nichts beantworten, alles weiterleiten), bei Kindern Schule oder Kita einbeziehen.
• Erreichbarkeit umleiten: Anrufe und Post über Dritte filtern, private Nummer aus dem Verkehr nehmen, Konten härten.
• Von operativer Arbeit entlasten, sichtbar und ohne Karrierebotschaft: Die Person führt in diesen Tagen ihren eigenen Fall nicht selbst und muss das auch nicht kompensieren.
• Unterstützung anbieten, nicht verordnen: psychologische Begleitung, eine feste Ansprechperson im Haus, klare Zusage zur Kostenübernahme für Schutzmaßnahmen. Die arbeitsrechtliche Grundlage dafür liefert die Fürsorgepflicht: Fürsorgepflicht digital.

Beweissicherung und Monitoring der Verbreitung

Alles, was später gemeldet, angezeigt oder zivilrechtlich verfolgt werden soll, braucht Beweise von heute: Screenshots mit vollständiger URL und sichtbarem Datum, den Kontext (Profil, Thread, Reaktionen), alle Kopien und Weiterverbreitungen, dazu eine zentrale Vorgangsliste mit Datum, Fundort, Maßnahme und Referenznummer jeder Meldung. Ab dann läuft Monitoring: dieselben Suchen in festen Abständen, neue Fundstellen in die Liste, Eskalation bei neuen Datenarten (erst Name und Firma, dann Adresse, dann Familie ist eine andere Lage als ein einzelner Post). Die Methodik im Detail: Bedrohung dokumentieren.

Plattformen und Suchmaschinen: parallel, nicht nacheinander

Hosting- und Plattformanbieter in der EU müssen ein Meldeverfahren für rechtswidrige Inhalte bereitstellen (Art. 16 DSA). Eine wirksame Meldung enthält vier Elemente: eine begründete Erläuterung der Rechtswidrigkeit, die genaue URL jeder Fundstelle, Name und E-Mail-Adresse der meldenden Stelle und die Erklärung, dass die Angaben in gutem Glauben gemacht werden. Melden Sie alle Kanäle gleichzeitig: Plattformen, Suchmaschinen und gegebenenfalls Hosting-Anbieter. Wer nacheinander meldet, läuft der Verbreitung hinterher. Bleibt ein Anbieter untätig, bestehen interne Beschwerde, außergerichtliche Streitbeilegung und die Beschwerde beim Koordinator für digitale Dienste bei der Bundesnetzagentur (dsc.bund.de); der Koordinator entfernt allerdings keine einzelnen Inhalte, er beaufsichtigt das Verfahren. Die rechtliche Durchsetzung im Einzelfall läuft über die Kanzlei.

Kommunikation: intern zuerst, extern nur wenn nötig

• Intern: Empfang, Zentrale, Assistenz und das direkte Team der Zielperson erhalten sofort eine Sprachregelung: keine Auskünfte zu Personen, keine Bestätigung von Details, verdächtige Anfragen an die Fallführung. Die Belegschaft wird knapp und sachlich informiert, wenn der Vorfall intern ohnehin sichtbar ist; Gerüchte sind schlechter als eine kontrollierte Information.
• Extern: Standard ist Schweigen. Eine öffentliche Reaktion erhöht die Reichweite des Angriffs und bestätigt die Wirkung; genau das ist aus Angreifersicht der Erfolg. Öffentlich reagiert wird nur bei eigenem Anlass, etwa wenn Falschbehauptungen Geschäftspartner erreichen, und dann als abgestimmte Entscheidung von Kommunikation, Recht und Krisenstab.
• Nie: die Zielperson selbst antworten lassen, Details bestätigen, mit Angreifern verhandeln oder einzelne Fundstellen öffentlich benennen und ihnen damit Reichweite geben.

Die rechtliche Schiene

Die kooperierende Fachkanzlei übernimmt mit eigenem Mandat die rechtsförmigen Schritte: Unterlassungs- und Löschungsansprüche, die rechtliche Nachverfolgung der Meldungen und die Vorbereitung der Strafanzeige. Strafrechtlich ist das gefährdende Verbreiten personenbezogener Daten seit dem 22. September 2021 nach § 126a StGB strafbar (Freiheitsstrafe bis zu zwei Jahren, bei nicht allgemein zugänglichen Daten bis zu drei Jahren); je nach Fall kommen Bedrohung und Beleidigungsdelikte hinzu. Erstatten Sie die Anzeige früh: Der Vorgang wird aktenkundig, und das Aktenzeichen trägt spätere Schritte, von der Auskunftssperre der Zielperson nach § 51 BMG bis zur zivilrechtlichen Durchsetzung.

Nach der Welle: der Nachlauf entscheidet über das nächste Mal

1. Dauerhafte Sperren für die Zielperson: Auskunftssperre nach § 51 BMG, Übermittlungssperren, Kfz-Sperre nach § 41 Abs. 2 StVG, Bereinigung von Verzeichnissen und Registerpfaden.
2. Monitoring weiterführen: Wellen flammen wieder auf, oft beim nächsten öffentlichen Anlass. Wer weiter beobachtet, erkennt das früh.
3. Re-Assessment der Exposition: Woher stammten die Daten, welche Wege sind noch offen, wer im Führungskreis ist ähnlich auffindbar? Die Systematik dazu: Executive Exposure. Dieselben offenen Daten tragen übrigens auch Betrugsmuster wie CEO-Fraud.
4. Lessons Learned in das Playbook zurückschreiben: Was hat gefehlt, welche Rolle war unbesetzt, welche Vorlage hat gefehlt? Der Vorfall ist die beste Übung, die Sie nie wollten.

Das Playbook vorher schreiben: das Inhaltsverzeichnis

Ein brauchbares Doxxing-Playbook passt auf 10 bis 15 Seiten. Mehr wird in der Krise nicht gelesen. Das Gerüst:

1. Alarmierung: Was zählt als Vorfall, wer meldet an wen, rund um die Uhr erreichbare Kontakte.
2. Rollen und Vertretungen: die Tabelle oben, mit Namen statt Funktionsbezeichnungen, halbjährlich aktualisiert.
3. Eskalationsstufen: vom Einzelpost ohne Adressdaten bis zur Veröffentlichung von Wohnadresse und Familie, mit je zugeordneten Maßnahmen.
4. Sofortmaßnahmen-Checkliste für die ersten 24 Stunden: Beweissicherung, Plattformmeldungen, Schutz der Zielperson und Familie, Briefing von Assistenz und Empfang.
5. Vorbereitete Bausteine: Meldetexte nach Art. 16 DSA je Plattform, interne Sprachregelungen, Briefing-Vorlagen für Empfang und Angehörige, Sperrlisten der relevanten Register und Verzeichnisse.
6. Kanzlei-Standby und Dienstleister: Wer wird mit welchem Auftrag aktiviert, mit geklärter Erreichbarkeit und Konditionen vor dem Ernstfall.
7. Nachlauf: Monitoring-Rhythmus, Re-Assessment, Rückführung der Erkenntnisse in Playbook und Prävention.
8. Übung: einmal jährlich ein Planspiel von zwei Stunden. Ein Playbook, das niemand geprobt hat, ist eine Textdatei.