Home

Risiken von Phishing Angriffen effektiv minimieren - Die Psychologie des Social Engineerings verstehen - Geeignete Maßnahmen umsetzen - Teil 1

Details

Kategorie: Information Security

Veröffentlicht: 26. Juli 2025

Zuletzt aktualisiert: 28. Juli 2025

Zugriffe: 91

• Phishing
• Phishing Risiko minimieren
• Phishing ganzheitliches Konzept
• Psychologie des Social Engineerings
• Phishing Angriffsvektoren
• Multilayer-Ansatz

Fast täglich gibt es auf sozialen Medien Tipps, Hinweise und Lösungsansätze zum Thema Phishing, ebenso täglich gibt es global eine Vielzahl an erfolgreichen Phishing Angriffen. Phishing ist einer der erfolgreichsten Angriffsmethoden. Viele dieser Tipps sind aus meiner Sicht aber eher generell, fokussieren sich essentiell auf das Thema Faktor Mensch, auf "Human Risk" und Phishing Awareness (Mitarbeiter Sensibilisierungs- Kampagnen und Trainings). Manche der Beiträge sind auch sehr abenteuerlich, manche erschaudern mich z.B. setzen nur auf "Vertrauen" und glauben an das korrekte Verhalten der eigenen Mitarbeiter. Natürlich haben wir alle wunderbare smarte Kollegen und Kolleginnen, ich sehe jeden Tag welch großartige Leistungen vollbracht werden. Kein Zweifel. Dennoch, Vertrauen alleine ist heutzutage schon nahe an der Fahrlässigkeit. Cyber Risiko ist Business Risiko #1. 

Warum der alleinige Fokus auf den Faktor Mensch nicht klappen kann, erläutere ich euch unten in meiner ersten Beitragsreihe zum Thema: Die Psychologie des Social Engineerings verstehen | Die Theorie des Einflusses. Andere sehen in Phishing Awareness Simulationen die ultimative Lösung. Alle diese "Postings" haben eins gemeinsam: Es steckt kein ganzheitlicher Ansatz bzw. ganzheitliche Strategie zur Reduzierung des Risikos "Phishing" dahinter. Natürlich sind diese Beiträge alle "gut" gemeint und die meisten tragen einen Teil zur messbaren Risikominimierung bei, aber sie sind aus meiner Sicht nicht ausreichend. Es wird bei ausschließlichem Fokus auf Phishing Awareness Kampagnen/Trainings immer einen prozentualen Anteil an Menschen verbleiben die potentielle "Klicker" sind. 

Phishing Awareness ist keine alleinige effektive Lösung, sie sollte ein Teil eines Sicherheits-Mehrschichten-Ansatzes (security multilayer approach) sein. Dieser Ansatz ist aus meiner Sicht der einzig effektive Ansatz. Phishing Awareness ist ein wichtiges und elementares Puzzlestück, niemals eine Einheitslösung. Der "Faktor Mensch" kann aber das alles entscheidende Puzzlestück - die "Human Firewall" - sein, wenn alle Sicherheitsmaßnahmen ausgehebelt wurden, oder womöglich unwirksam werden könnten. Was, wenn aber die "Human Firewall" ein Insider Threat ist? Wenn bewusst auf links geklickt, oder Anhänge ausgeführt werden. Dürfen wir diesen Faktor nicht mit berücksichtigen? Entspricht dieser Gedankengang nicht den Unternehmenswerten und Prinzipien ? Im Rahmen des Risikomanagements denke ich sehr wohl! Der Schutz des Unternehmens und des Unternehmenserfolges kann davon abhängen.

Darüber hinaus, seid mir nicht böse wenn ich das schreibe, gibt es viele Tipps und Lösungen von Personen die die Seite eines Unternehmens nicht kennen. Sie haben noch nie in der freien Wirtschaft oder auch Kommunen gearbeitet, verstehen nicht wie der "Faktor Mensch" im Alltag reagiert, was deren Arbeitsabläufe und "Stresspegel" ist, deren Level an Eigenmotivation zur Sensibilisierung. Preisen aber ihre Lösung als die ultimative Lösung an. Natürlich haben viele Lösungsanbieter eine Menge Daten und Statistiken über ihre Kunden und diese sind auch sehr gut und hilfreich, auch gibt es sehr gute Lösungen zu einzelnen Problemstellungen, aber das ist nicht ausreichend da viele weitere Faktoren zu Phishing Resilienz eine Rolle spielen. Man geht von einem (theoretischen) "best practice" Ansatz aus, hat aber so gut wie keine praktischen oder langjährigen Erfahrungen im Umgang mit dem komplizierten "Faktor Mensch" bzw. keinen direkten Kontakt mit dem Endanwender.

Der Mensch ist keine Maschine, Gleichschaltung wird nicht funktionieren, auch der akademische Ansatz eines optimalen Scenarios/Ansatzes reicht nicht aus diesen zu kommunizieren, er muss praktisch transformiert werden und eine gute Balance zwischen Risikominimierung und Wirtschaftlichkeit herstellen. Der Faktor Mensch ist nicht vollständig kontrollierbar. Die ganze Komplexität nimmt zu bei Betrachtung der unterschiedlichen Sicherheits-Reifegraden von Unternehmen, wieviel Risiko ein Unternehmen und deren Geschäftsleitung gewillt ist einzugehen, letztendlich gibt es ganz unterschiedliche Sicherheits-Kulturen der jeweiligen Unternehmen. Auch Regulatorien und die effektive Umsetzung von Regulatorien spielen hier ebenso eine Rolle. Mein Beitrag ist kein ultimativer Guide und auch keine Garantie auf 100%ige Sicherheit. Meine Intention in dieser Beitragsreihe ist es, dass Risiko eines "erfolgreichen" Phishing Angriffs so gut wie möglich zu minimieren, ein Framework zu haben das weitestgehend resilient ist und mit euch meine Erfahrungswerte und Wissen zu teilen. 

Bevor ich mich u.a. mit dem Thema Angriffsvektoren und "security multilayer approach" im zweiten Teil meines Postings befasse, finde ich es außerordentlich wichtig, sich zuerst mit der Psychologie und die Beeinflussbarkeit des "Faktor Mensch" auseinanderzusetzen. Mit den Grundlagen. Dann versteht ihr auch besser meine einleitenden Worte und meine Gedankengänge.

Wer hat sich nicht schon die Frage gestellt:
Warum klicken eigentlich Menschen auf eine Phishing E-Mail? Warum passiert dies sowohl der Geschäftsleitung, als auch bis zum Tarifangestellten? Warum zeigen manche Geschäftsbereiche höhere Sensibilisierungsrade als andere? Warum sind IT Angestellte nicht minder anfällig? 

Anbei die Themen meiner geplanten Reihe: "Risiken von Phishing Angriffen effektiv minimieren - Die Psychologie des Social Engineerings verstehen - Geeignete Maßnahmen umsetzen"

• Teil 1: Die Psychologie des Social Engineerings verstehen | Die Theorie des Einflusses
• Teil 2: Angriffsvektoren Phishing - Phishing ist nicht nur Datendiebstahl
• Teil 3: Sicherheits-Mehrschichten-Ansatzes (security multilayer approach) - Risiken effektiv minimieren

Die Psychologie des Social Engineerings verstehen | Die Theorie des Einflusses

Im Jahr 1984 stellte der Verhaltenspsychologe Robert Cialdini in seinem Buch Influence: The Psychology of Persuasion ein Konzept vor, das er die „Theorie des Einflusses“ nannte. Er fand heraus, dass Einfluss auf sechs zentrale Prinzipien beruht, und auf die Annahme das diese auf jeden Menschen angewandt werden können.  

• Reziprozität | Reciprocity (gifting - we try to repay it)
• Verpflichtung/Konsistenz | Commitment/Consistency
• Konsens/soziale Bewährtheit | Consensus/Social Proof
• Autorität | Authority
• Sympathie | Liking
• Knappheit (Handlungsdruck) | Scarcity

Ein besonders prominentes Beispiel: Im Jahr 2014 enthielten Edward Snowdens Enthüllungen über US-Geheimdienstdokumente eine als geheim eingestufte Präsentation des britischen Government Communications Headquarters (GCHQ) mit dem Titel „The Art of Deception: Training for Online Covert Operations“ („Die Kunst der Täuschung: Ausbildung für verdeckte Online-Operationen“), die sich stark auf die Psychologie von Einfluss und Überzeugung stützt.

Abschließend lässt sich von Robert Cialdini ableiten:
„Um einen Social-Engineering-Angriff erfolgreich durchzuführen, benötigt der Angreifer eine Form von Einfluss auf das Ziel!“

Heutzutage werden die Prinzipien des Einflusses um Folgende erweitert, ganz hervorragend finde ich die Veröffentlichung von Barry Coatesworth aus dem Jahr 2022. Er führt die folgenden 10 Prinzipien des Einflusses auf: 

• Täuschung und Manipulation | Deception and manipulation
• Prinzip der Unehrlichkeit | Dishonesty principle
• Soziale Bewährtheit | Social Proof
• Das Prinzip der Konsistenz | The consistency principle
• Reziprozität | Reciprocity (gifting - we try to repay it)
• Das Prinzip der Ablenkung | The distraction principle
• Schmeichel-Prinzip | Flattery principle
• Prinzip der sozialen Autoritätskonformität | The Social Compliance Authority principle
• Bedürfnis- und Gier-Prinzip | Need and Greed principle
• Zeit-Prinzip | Time principle

Diese Prinzipien des Einflusses führen uns zu "kognitiven Verzerrung" (cognitive bias) und "Heuristiken" (heuristics) des Faktor Mensch. Wir wollen ja verstehen warum der Faktor Mensch auf eine Phishing E-Mail klickt bzw. darauf reagiert. Nebenbei bemerkt dies gilt auch für andere Formen des Social Engineering (Vishing, Tailgaiting, Quid Pro Quo, SMSishing uvm.).

Menschen sind komplexe Wesen, und unsere Anfälligkeit für Social Engineering ist nicht auf einen einzigen Faktor zurückzuführen – zahlreiche psychologische Faktoren und Verzerrungen beeinflussen unsere Entscheidungsfindung.
Ein weit verbreiteter Denkfehler, dem alle Menschen auf psychologischer Ebene unterliegen, ist jedoch die kognitive Verzerrung.

• Eine kognitive Verzerrung ist ein systematisches Muster der Abweichung von der Norm oder Rationalität im Urteil.
  Individuen erschaffen ihre eigene „subjektive Realität“ basierend auf ihrer Wahrnehmung der Informationen.
  Die subjektive Konstruktion dieser Realität – und nicht der objektive Input – kann ihr Verhalten in der Welt bestimmen.
• Daher können kognitive Verzerrungen manchmal zu Wahrnehmungsverzerrungen, fehlerhaften Urteilen, unlogischen Interpretationen und irrationalem Verhalten führen.
• Heuristiken sind mentale Abkürzungen, die eine schnelle und effiziente Entscheidungsfindung ermöglichen.

Die Gründe für unsere - im Security Kontext - nicht gewünschten (schlechten) Entscheidungen können eine Folge von Heuristiken und kognitiven Verzerrungen sein.  

Cialdinis Prinzipien des Einflusses, die auf kognitiven Verzerrungen basieren, stellen den am häufigsten verwendeten Rahmen bei Social-Engineering-Angriffen dar. 

Amygdala Hijacking verstehen
Der Begriff "Amygdala Hijacking" beschreibt eine Situation, in der die emotionale Reaktion – gesteuert durch die Amygdala im Gehirn – so stark ist, dass sie das rationale Denken "überlagert" oder „entführt“.

Die Überlebensinstinkte des Menschen haben dazu geführt, dass sich in unserem Gehirn zwei unterschiedliche Arten der Informationsverarbeitungseinheiten entwickelt haben:

• Der Frontallappen (frontal lobe) ist der rationale Informationsverarbeiter, der sich Zeit nimmt, um Informationen zu verarbeiten – einschließlich der emotionalen Kontrolle – und Teil bewusster Entscheidungsfindung ist. Weitere Infos: Cleveland Clinic | Health Harvard.
• Der zweite Teil ist die Amygdala, die eine Kampf-oder-Flucht-Reaktion auslöst. Sie verarbeitet Informationen als Bedrohung und aktiviert sofortige Reaktionen außerhalb unserer Kontrolle – das bedeutet, wir reagieren emotional aufgeladen.
  „Die Amygdala war in unserer Evolution und für unser Überleben entscheidend, um Bedrohungen zu erkennen und in der zeiteffizientesten Weise darauf zu reagieren.“

Aber wie können wir nun uns selbst und andere dazu bringen - z.B. beim öffnen einer E-Mail - nicht im Amygdala Modus zu verbleiben? Wie kommen wir in den rationalen Modus?

• Es erfordert eine bewusste Anstrengung, um Ihre Amygdala zu deaktivieren und Ihre Frontallappen zu aktivieren, den Teil Ihres Gehirns, der für rationales, logisches Denken zuständig ist.
• Wenn Sie eine emotionale Reaktion spüren, nehmen Sie sie wahr und versuchen Sie, die Kontrolle zurückzugewinnen. Erinnern Sie sich daran, dass es sich um eine automatische Reaktion handelt, die jedoch nicht die logischste ist. Z.b. beim öffnen einer E-Mail ein kurze Pause machen und nicht sofort auf Inhalte reagieren. Sammeln sie sich. Arbeiten sie nicht im Multitasking-Modus. z.b. einer Videokonferenz teilnehmen und zeitgleich E-Mails abarbeiten. Lassen Sie sich nicht vom Arbeitsstress beeinflussen.
• Wenn Sie sich beruhigt haben oder sich weniger gestresst fühlen, können Sie Ihren Frontalkortex aktivieren. Beginnen Sie damit, darüber nachzudenken, was die Reaktion ausgelöst hat und wie Sie sich dabei gefühlt haben. 
• Überlegen Sie sich dann, welche Reaktionen Sie zeigen können und sollten. Diese werden durchdachter und rationaler sein. Wenn Sie in diesem Moment noch emotional sind, geben Sie sich mehr Zeit. Machen Sie eine Pause, halten Sie einen Moment inne! Ein guter Zeitpunkt um auf das vergangene Phishing Awareness Training zuzugreifen und entsprechend das gelernte anzuwenden? 

Der beste Weg, um eine Amygdala-Hijack zu verhindern, besteht darin, zu verstehen, welche Dinge diese Reaktion auslösen, damit Sie sie vermeiden können. 

Techniken, um eine Amygdala-Hijack zu stoppen

• Vernunft. Sobald Sie Ihre emotionale Reaktion beruhigt haben, können Sie mit Vernunft und Logik Ihre Situation durchdenken. Auf diese Weise haben Sie verschiedene Optionen, wie Sie reagieren können, und können diejenige auswählen, die am besten zur Situation passt, und nicht die, die einer emotionalen Reaktion entspricht. 
• Achtsamkeit. Nutzen Sie Meditation oder kontrollierte Atmung, um die Energie Ihres Körpers zu fokussieren. Dies wird Ihnen helfen, friedlich auf eine Bedrohung oder Stress zu reagieren. Es wird Ihnen helfen, eine Amygdala-Hijack zu stoppen, sodass Sie die Kontrolle behalten können.

In meinem dritten Teil: "Sicherheits-Mehrschichten-Ansatzes (security multilayer approach) - Risiken effektiv minimieren" werde ich darauf eingehen welche technische und visuelle Maßnahmen die Achtsamkeit fördern können.