Was ist Risikokommunikation?
Du merkst, dass eine Charge deines Produkts einen Fehler haben könnte. Noch ist nichts passiert. Sagst du es deinen Kunden? Die Antwort darauf ist Risikokommunikation.
Das Bundesinstitut für Risikobewertung (BfR) beschreibt sie als kontinuierlichen und interaktiven Prozess, geprägt von einem Dialog mit verschiedenen Zielgruppen. Die WHO spricht vom Austausch in Echtzeit zwischen Fachleuten und Menschen, die einer Gefahr ausgesetzt sind. Das Ziel: Sie sollen informiert entscheiden und sich schützen können.
Beide Definitionen kommen aus der Behördenwelt. Für Unternehmen gilt dasselbe Prinzip, sobald es um Produktsicherheit, Datenlecks oder Gesundheit geht. Wichtig ist das Wort Dialog: Eine Pressemitteilung allein reicht nicht.
Warum das auch dein Unternehmen betrifft
Gefährliche Produkte und Sicherheitsvorfälle sind kein Konzernthema. Drei aktuelle Zahlen zeigen die Größenordnung:
Bereich
Wert
Safety Gate EU
4.671 Warnungen 2025
Lebensmittelwarnung
323 Rückrufe 2025
Bitkom-Umfrage
96 % betroffen oder vermutet
Safety Gate ist das EU-Schnellwarnsystem für gefährliche Produkte außer Lebensmitteln, 2025 ein Plus von 13 %. Bei lebensmittelwarnung.de waren 291 der 323 Rückrufe Lebensmittel. Die Bitkom-Zahl stammt aus 1.003 befragten Unternehmen ab zehn Beschäftigten: 67 % waren sicher von Datendiebstahl, Spionage oder Sabotage betroffen, 29 % vermuten es.
Laien und Fachleute bewerten Gefahren außerdem unterschiedlich. Beim BfR-Verbrauchermonitor vom August 2026 kannten 84 % gesundheitliche Risiken durch Mikroplastik, aber nur 10 % die Chemikalie TFA. Reine Zahlen reichen also nicht. Du musst erklären, was sie für dein Gegenüber bedeuten.
Wann du reden musst
An einigen Stellen ist Risikokommunikation keine Kür, sondern Gesetz:
- Datenpanne: Nach Art. 34 DSGVO informierst du Betroffene unverzüglich in klarer, einfacher Sprache, wenn voraussichtlich ein hohes Risiko für sie besteht.
- Produktrückruf: Die EU-Produktsicherheitsverordnung GPSR gilt seit dem 13.12.2024. Kunden, die du identifizieren kannst, benachrichtigst du direkt. Sonst braucht es eine Rückrufanzeige, etwa über Website, Social Media und Handel.
- Cybervorfall: Fällt dein Betrieb unter das NIS-2-Umsetzungsgesetz, meldest du erhebliche Vorfälle an das BSI: nach 24 Stunden, nach 72 Stunden und abschließend nach einem Monat.
Die GPSR geht ins Detail: Rückrufanzeigen sollen das Risiko nicht kleinreden. Rechtsauswertungen nennen hier Wörter wie „freiwillig“ oder „vorsorglich“. Daten, die du für den Rückruf erhoben hast, sind außerdem fürs Marketing tabu.
So gehst du vor
Das Handbuch „Risikokommunikation“ von BfR und Bundesamt für Bevölkerungsschutz (BBK) nennt sechs Schritte. Sie funktionieren auch im kleinen Betrieb:
- Lage analysieren: Was ist bekannt, was nicht?
- Ziele setzen: Was sollen die Leute am Ende wissen und tun?
- Zielgruppen bestimmen: Wer ist betroffen, wer berichtet darüber?
- Kernbotschaften schreiben: Risiko, Handlung, Kontakt.
- Vorgehen planen: Kanäle, Zuständigkeiten, Antworten auf Rückfragen.
- Auswerten: Kam die Botschaft an?
Beispiele aus der Praxis
Case A · IT-Sicherheit
CrowdStrike, Juli 2024
78 Min.
fehlerhaftes Update online
8,5 Mio.
betroffene Windows-Geräte
Fünf Tage später lag ein vorläufiger Bericht mit Ursache und Gegenmaßnahmen vor.
Eher Krise als Vorsorge, aber ein gutes Muster: Was ist passiert, warum, was ändert sich? Die Gerätezahl ist eine Schätzung von Microsoft.
Case B · Forschung
Selbst melden oder ertappt werden
273
Teilnehmende im Experiment
2
Strategien im Vergleich
Selbst offenlegen wirkte bei Produktschäden besser als reagieren.
Fachleute nennen das „Stealing Thunder“. Gemessen wurden Vertrauen und Kaufabsicht in Szenarien, kein echter Umsatz.
Häufige Fehler
Fehler 1 · Verharmlosen
„Nur rein vorsorglich“ beruhigt niemanden. Wer abwiegelt und später nachlegen muss, verspielt Glaubwürdigkeit. Bei Rückrufen kann es zusätzlich gegen die GPSR-Vorgaben verstoßen.
Fehler 2 · Einbahnstraße
Eine Mitteilung ohne Rückkanal ist keine Risikokommunikation. Gib eine Hotline oder Adresse an und hör zu. Die WHO warnt: Ohne Vertrauen werden Ratschläge wahrscheinlich nicht befolgt.
Fehler 3 · Warten, bis es jemand anderes sagt
Dann bestimmen andere die Erzählung. Die Forschung zu Stealing Thunder spricht klar dafür, selbst den ersten Schritt zu machen.
Fehler 4 · Nur auf der Website informieren
Kennst du deine Kunden, schreib ihnen direkt. Eine Meldung unter „Aktuelles“ liest kaum jemand, und bei Rückrufen reicht sie dann oft nicht aus.
Häufige Fragen
Was ist der Unterschied zwischen Risiko- und Krisenkommunikation?
Der Zeitpunkt. Risikokommunikation ist vorbeugend und läuft meist außerhalb akuter Ereignisse. Krisenkommunikation setzt unmittelbar vor und während eines Ereignisses ein. Beide können in langen Krisen parallel laufen.
Brauchen auch kleine Unternehmen Risikokommunikation?
Ja, sobald du Kundendaten verarbeitest oder Produkte verkaufst. Die Pflichten aus DSGVO und GPSR hängen nicht von der Größe ab. Es genügt ein kurzer Plan: Wer entscheidet, wer schreibt, über welche Kanäle erreichst du die Leute?
Muss ich Kunden über ein Datenleck informieren?
Wenn voraussichtlich ein hohes Risiko für die Betroffenen besteht, ja, unverzüglich und in einfacher Sprache. Das regelt Art. 34 DSGVO. Es gibt Ausnahmen, etwa wenn die Daten sicher verschlüsselt waren. Lass den Einzelfall rechtlich prüfen.
Schadet offene Kommunikation dem Umsatz?
Belastbare Umsatzzahlen gibt es dafür nicht. Experimente zeigen aber: Wer selbst offenlegt, wird milder beurteilt und erzielt höhere Kaufabsichten als jemand, der nur reagiert. Teurer ist meist, wenn das Thema anders ans Licht kommt.
Was ist der Unterschied zu einem Warnhinweis?
Ein Warnhinweis auf der Packung ist eine einzelne Maßnahme, oft gesetzlich gefordert. Risikokommunikation ist der gesamte Prozess: analysieren, erklären, zuhören, nachsteuern.
Quellen
- BfR: Risikokommunikation
- WHO: Emergencies, Risk communication
- bpb: Kommunikation in und über Krisen
- EU-Kommission: Safety Gate Bericht 2025
- BVL: Rückrufe auf lebensmittelwarnung.de 2025
- Bitkom: Wirtschaftsschutz 2026
- BfR: Verbrauchermonitor 2026
- Art. 34 DSGVO
- BSI: NIS-2-Pflichten
- BfR und BBK: Handbuch Risikokommunikation
- CrowdStrike: Preliminary Post Incident Review
- Microsoft: Helping our customers through the CrowdStrike outage
- Beldad u. a.: Should the shady steal thunder? (2018)
