Albert Heijn bewijst: een datalek is pas de eerste ramp, slechte communicatie is de tweede

Een datalek overkomt je. Slechte crisiscommunicatie kies je zelf. Dat onderscheid is precies waarom de hack bij Albert Heijn zo'n interessante casus is voor elke ondernemer in Nederland, van zzp'er tot scale-up. Niet omdat een supermarktketen gehackt werd — dat gebeurt dagelijks ergens — maar omdat de nasleep laat zien hoe makkelijk je, zelfs met alle middelen en communicatieadviseurs van de wereld, een technisch probleem kunt laten uitgroeien tot een reputatieprobleem.

Het patroon is inmiddels een klassieker. Eerst blijft het stil. Dan komt er een mondjesmaat statement, vol juridisch getoetste formuleringen die vooral risico's afdekken in plaats van duidelijkheid scheppen. Vervolgens ontstaat er ruis: klanten, journalisten en techneuten vullen zelf de gaten in het verhaal in, meestal met het ergst denkbare scenario. En tegen de tijd dat het bedrijf met een volledig en helder antwoord komt, is het momentum allang verloren en is "Albert Heijn hack" al wekenlang het eerste wat mensen associëren met het merk in plaats van verse groente en een AH-appje vol bonuskaart-kortingen.

Voor een bedrijf van dat formaat is dat vervelend, maar overleefbaar. Albert Heijn heeft decennia aan opgebouwd vertrouwen, een enorm marketingbudget en klanten die, laten we eerlijk zijn, voor hun boodschappen toch niet massaal naar een andere keten overstappen omdat er iets mis ging met data. Voor een mkb-bedrijf, een webshop of een zzp'er die met klantgegevens werkt, is diezelfde fout vaak fataal. Je hebt niet het blootje van naamsbekendheid om op te interen. Eén verkeerd gemanagede crisis en de klant is voorgoed weg, inclusief alle mond-tot-mondreclame die je ooit nog had kunnen krijgen.

Dat is precies waarom dit verhaal relevanter is dan het op het eerste gezicht lijkt. Het gaat niet over techniek. Het gaat over de volgorde waarin je als ondernemer moet handelen zodra je ontdekt dat er iets ernstig mis is: eerst de mensen die geraakt worden, dan pas de juristen, en daarna pas de poging om je imago te redden. Bij veel crisiscommunicatie, ook bij grote bedrijven, gebeurt het in precies de omgekeerde volgorde. Juristen bepalen wat er gezegd mag worden, communicatiemensen proberen daar nog iets leesbaars van te maken, en de klant — degene van wie de gegevens zijn buitgemaakt — hoort als laatste wat er precies aan de hand is.

Onderzoek naar crisiscommunicatie, van zowel Nederlandse als internationale bronnen, is hier opvallend eenduidig over. Snelheid en transparantie zijn niet "nice to have" in een crisis, ze zijn het enige dat er echt toe doet. Klanten vergeven bedrijven fouten. Ze vergeven veel minder snel het gevoel dat ze voor de gek gehouden worden, of dat een bedrijf eerst probeerde het probleem onder het tapijt te vegen voordat het naar buiten kwam via een journalist of een anonieme tipgever. Dat gevoel van bedrog weegt zwaarder dan de hack zelf. Mensen begrijpen heus dat systemen gehackt kunnen worden; we leven niet meer in 2010. Wat ze niet begrijpen, en niet accepteren, is het idee dat een bedrijf wist van het probleem en er bewust voor koos om zo lang mogelijk stil te blijven.

Daarom is onderstaande vergelijking relevant voor iedere ondernemer die ooit, hopelijk nooit, in zo'n situatie belandt.

Het verschil tussen een snelle transparante reactie en stilte is niet een beetje reputatieschade meer of minder. Het is het verschil tussen een merk dat er, achteraf bezien, sterker uitkomt omdat het integer handelde onder druk, en een merk dat jarenlang wordt achtervolgd door de vraag "wisten jullie dit al eerder?" Dat laatste scenario is desastreus, juist omdat het vertrouwen ondermijnt in alles wat een bedrijf daarna nog communiceert. Als je één keer hebt gelogen, of zelfs maar de schijn hebt gewekt dat te doen, wordt elke volgende uitspraak met argwaan ontvangen.

Voor ondernemers die klantdata verzamelen — en wie doet dat tegenwoordig niet, van de kapper met een boekingssysteem tot de webshop met duizenden klantprofielen — betekent dit dat crisiscommunicatie geen bijzaak mag zijn die je regelt zodra het misgaat. Het moet onderdeel zijn van je bedrijfsvoering, net zoals een verzekering of een noodplan bij brand. Wie nu, terwijl alles nog rustig is, geen protocol heeft voor "wat doen we als onze systemen gehackt worden", gaat dat protocol in paniek moeten verzinnen op het moment dat het er juist op aankomt. En paniek is nooit een goede basis voor heldere, geruststellende taal.

Daar zit meteen de makkelijkste en goedkoopste les in deze hele affaire: je hoeft geen miljoenenbudget te hebben om dit goed te doen. Je hebt alleen een paar basisprincipes nodig die iedere ondernemer zelf kan opstellen. Wie is binnen het bedrijf verantwoordelijk voor communicatie bij een incident? Binnen welke termijn informeer je getroffen klanten, ongeacht hoe onvolledig het beeld nog is? Welke kanalen gebruik je, en hoe zorg je dat je verhaal niet via via, maar rechtstreeks bij de klant terechtkomt? Wie dat vooraf heeft uitgedacht, wint tijd op het moment dat tijd het schaarste goed is dat er bestaat.

Er is nog een tweede laag aan dit verhaal die ondernemers zich moeten aantrekken, en die gaat niet over communicatie maar over aansprakelijkheid en verwachtingen. Klanten zijn de afgelopen jaren, mede door een stroom aan datalekken bij telecombedrijven, zorgverzekeraars en nu dus ook supermarkten, een stuk alerter geworden op wat er met hun gegevens gebeurt. De tijd dat een bedrijf kon wegkomen met een vaag mailtje over "ongeautoriseerde toegang tot bepaalde systemen" is voorbij. Mensen willen weten: zijn mijn wachtwoorden gelekt, mijn adres, mijn betaalgegevens, mijn aankoopgeschiedenis? En zo ja, wat ga je daaraan doen, en wat moet ik zelf doen om mezelf te beschermen?

Een bedrijf dat die vragen niet concreet beantwoordt, maar wegduikt achter juridisch jargon, voedt wantrouwen. En wantrouwen is in het tijdperk van sociale media binnen uren viraal. Een enkele, goed gedocumenteerde ervaring van een klant die het gevoel heeft genegeerd te worden, kan het narratief rond een hele crisis bepalen, nog voordat het bedrijf zelf de kans heeft gehad om het officiële verhaal te vertellen. Dat is precies wat er leek te gebeuren rond deze zaak: de ruis, de speculatie en de frustratie namen het communicatieve initiatief over, simpelweg omdat het bedrijf zelf niet snel en duidelijk genoeg was.

De cijfers eronder maken pijnlijk duidelijk wat er financieel op het spel staat, ook voor kleinere spelers die denken dat dit soort problemen alleen grote namen treft.

Wat deze casus voor ondernemers vooral laat zien, is dat cybersecurity niet alleen een IT-vraagstuk is, maar een bedrijfsrisico dat net zo goed op de agenda van de directie, de eigenaar of de oprichter hoort als de liquiditeitspositie of de personeelsplanning. Een firewall beschermt je systemen. Niets beschermt je reputatie behalve de manier waarop je je mensen behandelt op het moment dat het misgaat. En dat laatste kun je, in tegenstelling tot een hack zelf, wél volledig zelf regisseren.

De verleiding bij een datalek is altijd om het probleem zo klein mogelijk voor te stellen, in de hoop dat het vanzelf overwaait. Dat is menselijk, begrijpelijk, en volstrekt verkeerd. De bedrijven die uiteindelijk het meeste krediet krijgen van hun klanten zijn niet de bedrijven die nooit iets fout doen — die bestaan niet — maar de bedrijven die, zodra het misgaat, volledige openheid van zaken geven, excuses aanbieden zonder mitsen en maren, en concreet maken wat ze gaan doen om het te herstellen en te voorkomen dat het weer gebeurt.

Albert Heijn heeft, met alle middelen die het bedrijf tot zijn beschikking heeft, laten zien hoe moeilijk dat in de praktijk is, zelfs voor een organisatie met een complete afdeling corporate communicatie. Dat zou voor elke ondernemer een waarschuwing moeten zijn in plaats van een geruststelling dat "als zelfs zij het niet goed doen, hoef ik me er ook geen zorgen over te maken." Het tegenovergestelde is waar: juist omdat de grote jongens het verprutsen, is er een kans voor kleinere, wendbare bedrijven om zich te onderscheiden door het wél goed te doen. Snel, eerlijk, en zonder de klant het gevoel te geven dat hij de laatste is die het mag weten.

Wie vandaag nog geen idee heeft wat hij morgen zou zeggen bij een datalek, moet dat deze week nog uitzoeken. Niet omdat het waarschijnlijk is dat het je overkomt, maar juist omdat het inmiddels bijna onvermijdelijk is. De vraag is niet óf je ooit met een incident te maken krijgt, maar of je dan klaarstaat met een verhaal, of met stilte. En stilte, dat heeft deze week nog maar eens bewezen, is nooit onschuldig.