An Analysis of the Impact of Psychological Factors and Techniques Across Different Types of Social Engineering

Jeden Tag treffen Menschen Entscheidungen darüber, worauf sie klicken, was sie öffnen und was sie vertrauen. In der Welt der Cybersicherheit sind diese Entscheidungen die vorderste Verteidigungslinie. Angreifer müssen nicht immer komplexe Computercodes durchbrechen; oft müssen sie lediglich einen Menschen manipulieren, um ihm ein Passwort zu entlocken oder einen Virus herunterzuladen. Diese Methode der Manipulation wird als Social Engineering bezeichnet. Sie beruht darauf, die Funktionsweise des menschlichen Geistes auszunutzen, indem spezifische psychologische Auslöser verwendet werden, um Vorsicht zu umgehen. Einige dieser Auslöser sind vertraute Emotionen wie Angst oder das Versprechen einer Belohnung, während andere soziale Gewohnheiten wie das Gehorchen gegenüber einem Vorgesetzten oder das Vertrauen in eine bekannte Marke sind. Das Verständnis darüber, welcher emotionale Auslöser am besten zu welcher Art von Nachricht passt, ist entscheidend, da es Organisationen dabei hilft, ihren Mitarbeitern beizubringen, die Falle zu erkennen, bevor sie zuschnappt.

Ein Forscherteam in Deutschland setzte sich zum Ziel, diese Fallen abzubilden. Sie wollten wissen, ob bestimmte emotionale Auslöser besser mit bestimmten Arten von Nachrichten funktionierten. Funktioniert beispielsweise das Versprechen von kostenlosem Geld besser in einer Textnachricht oder in einer E-Mail? Funktioniert die Angst vor einem gesperrten Bankkonto besser über einen Telefonanruf oder in einem Pop-up-Fenster? Um die Antworten zu finden, führten die Forscher ein kontrolliertes Experiment in einem Labor durch. Sie versammten zwölf Freiwillige und zeigten ihnen eine Serie von simulierten Angriffen. Jeder Teilnehmer sah fünfundzwanzig verschiedene Szenarien. Diese Szenarien wurden erstellt, indem fünf verschiedene Arten von Nachrichten mit fünf verschiedenen psychologischen Auslösern kombiniert wurden. Die Nachrichtentypen umfassten Standard-E-Mails, gezielte E-Mails, die so aussah, als kämen sie von einer bestimmten Person, Textnachrichten, Sprachanrufe und Pop-up-Fenster, die auf einem Bildschirm erscheinen. Die psychologischen Auslöser waren Neugier, Gier, Vertrauen, Angst und das Gefühl, einer Autoritätsperson zu gehorchen.

Die Forscher baten die Freiwilligen nicht darum, tatsächlich auf Links zu klicken oder echte Informationen preiszugeben. Stattdessen zeigten sie ihnen Bilder der Nachrichten oder spielten Aufzeichnungen der Anrufe ab und stellten eine einfache Frage: Würden Sie auf dies reagieren? Die Freiwilligen erklärten auch laut ihre Denkweise, während sie die Szenarien betrachteten. Dies ermöglichte es den Forschern, nicht nur zu sehen, was die Menschen taten, sondern warum sie diese Entscheidungen trafen. Die Studie war klein und fand in einem ruhigen Raum statt, sodass die Ergebnisse eher ein erster Blick darauf sind, wie diese Faktoren interagieren, als eine endgültige Regel für die ganze Welt.

Die Ergebnisse zeigten ein klares Muster in der Reaktion der Menschen. Die erfolgreichste Kombination, um die Freiwilligen zu täuschen, war eine gezielte E-Mail, die eine finanzielle Belohnung versprach. Wenn eine E-Mail so aussah, als käme sie von einer bestimmten Person und ein Angebot machte, sagten drei von vier Teilnehmern, dass sie darauf reagieren würden. Dies deutet darauf hin, dass die Kombination aus persönlicher Aufmerksamkeit und dem Versprechen von Geld ein mächtiger Köder ist. Die zweitwirksamste Methode war eine Standard-E-Mail, die entweder eine Belohnung versprach oder den Empfänger aufforderte, dem Absender zu vertrauen, wie etwa eine Nachricht, die vorgab, von einem Streaming-Dienst zu sein. In diesen Fällen sagten mehr als die Hälfte der Freiwilligen, dass sie auf die Nachricht eingehen würden.

Jedoch funktionierten nicht alle Kombinationen. Die Forscher fanden heraus, dass einige Methoden fast vollständig scheiterten. Wenn die Angreifer versuchten, die Autorität eines Vorgesetzten zu nutzen, um eine dringende Handlung zu fordern, funktionierte dies selten, insbesondere wenn die Nachricht über einen Telefonanruf, eine Textnachricht oder ein Pop-up-Fenster kam. Tatsächlich funktionierte es überhaupt nicht, wenn ein Sprachanruf versuchte, durch Neugier die Aufmerksamkeit zu gewinnen, damit die Person zuhören sollte; kein einziger der Freiwilligen sagte, dass er auf dieses spezifische Szenario reagieren würde. Die Freiwilligen erklärten, dass sie diese Kanäle für die Art der Anfrage als unangemessen empfanden. Zum Beispiel fanden sie, dass ein Chef nicht anrufen würde, um einen Date-Download zu verlangen, oder dass ein Unternehmen keine Textnachricht über einen gemeinsamen Ordner senden würde.

Die Studie zeigte auch, dass die Art der Emotion entscheidend war. Angst war ein starker Motivator, aber sie hatte zwei Seiten. Wenn eine Nachricht behauptete, dass ein Bankkonto gesperrt sei, verspürten viele Menschen den Drang, dies zu beheben, aber eine noch größere Gruppe fühlte sich verdächtig und weigerte sich zu klicken, weil sie besorgt um die Sicherheit war. Gier hingegen war ein direkterer Antrieb. Wenn eine Nachricht einen Rabatt oder ein Angebot anbot, neigten die Menschen eher dazu, darauf zu reagieren, sofern die Nachricht legitim aussah. Vertrauen spielte ebenfalls eine große Rolle; wenn eine Nachricht den Anschein erweckte, von einem vertrauten Unternehmen wie einem Streaming-Dienst zu kommen, waren die Leute bereit zu klicken, aber nur, wenn die Nachricht in einem Format ankam, das sie erwarteten, wie etwa per E-Mail.

Interessanterweise stellten die Forscher fest, dass das Selbstvertrauen einer Person in ihre eigene digitale Sicherheit nicht immer mit ihrem Verhalten übereinstimmte. Einige Freiwillige, die angaben, sehr sicher im Umgang mit digitalen Risiken zu sein, fielen dennoch auf die Fallen herein, während andere, die angaben, unsicher zu sein, tatsächlich vorsichtiger waren. Dies deutet darauf hin, dass sich das Gefühl von Sicherheit nicht immer mit tatsächlicher Sicherheit deckt. Die Studie hob auch hervor, dass Sprachanrufe und Textnachrichten im Allgemeinen weniger effektiv waren als E-Mails. Die Freiwilligen waren gegenüber Telefonanrufen und Textnachrichten von Natur aus misstrauischer und gaben oft an, dass diese Kanäle für die Art der Anfrage unpassend seien.

Am Ende zeichnet die Forschung das Bild einer menschlichen Verletzlichkeit, die spezifisch und situational ist. Es geht nicht nur darum, leichtgläubig zu sein; es geht um den Kontext. Eine Nachricht, die in einem Format funktioniert, kann in einem anderen scheitern, und das Versprechen von Geld funktioniert besser als ein Befehl eines Vorgesetzten. Die effektivsten Angriffe waren jene, die ein vertrautes, vertrauenswürdiges Format mit einem starken emotionalen Aufhänger kombinierten. Obwohl die Studie klein war, liefert sie eine klare Karte darüber, welche psychologischen Auslöser in welchen digitalen Umgebungen am gefährlichsten sind, und bietet somit einen Leitfaden für den Aufbau besserer Abwehrkräfte und Bewusstseinsschulungen für die Zukunft.