Bundes-Phishing Opfer: Wie blöd muss man sein [Forschungsüberblick]

Liest man die ARD-tagesschau, dann gewinnt man den Eindruck, jemand habe die Accounts von Bundespolitikern auf Signal, nein, in diesem Fall wohl vor allem „politikerinnen“ gehackt und sich dort umgesehen, Informationen gesammelt, Daten gesourced, the lot.

Tatsächlich ist nichts dergleichen geschehen.

Die Sicherheitsarchitektur von Signal wurde nicht kompromittiert. Denn: Phishing verlangt Kooperation der Opfer. Sie müssen naiv, dumm oder überheblich genug sein, um auf Phishing hereinzufallen, in diesem Fall eine direkte Nachricht, die von Personen verschickt wurde, die sich als Mitarbeiter des Support von Signal ausgegeben haben. Die Masche, die die Phisher benutzt haben, ist so alt und so rustikal, dass man sich wirklich fragt, wer überhaupt noch auf so etwas hereinfällt … Dazu gleich.

Sie müssen Ihre PIN eingeben, so die Aufforderung in der Message, die angeblich vom Signal-Support stammte, denn es habe ein Sicherheitsproblem gegeben, das es erforderlich mache, die eigene Identität per PIN zu verifizieren. Tatsächlich gibt es wohl eine nicht geringe Zahl von Bundespolitikern, die auf diese Uraltmasche, vor der das BKA schon seit Februar warnt, hereingefallen sind:

Grund für uns, die Forschung nach Studien zu durchforsten, deren Autoren sich für die Merkmale derjenigen interssiert haben, die Opfer von Online-Betrug im Allgemeinen und Phishing im Besonderen sind.

• Judges et al. (2017) haben Erwachsene im Alter von 60 bis 90 Jahren untersucht und sich gefragt, in welchem Zusammenhang kognitive Fähigkeiten mit der Wahrscheinlichkeit stehen, Opfer von Online-Fraud / Phishing zu werden. Die Autoren können zeigen, dass ältere Menschen, deren kognitive Fähigkeiten in Sprache, Erinnerung und Aufmerksamkeit schlechter waren (selbstberichtet), eine deutlich höhere Wahrscheinlichkeit hatten, Opfer von Online-Fraud zu werden als ältere Menschen, deren kognitive Fähigkeiten ihnen keinen Anlass zur Sorge gegeben haben.

• Malisa et al. (2025) greifen auf Musterungsergebnisse des Schwedischen Militärs zurück, genau auf die kognitiven Tests, mit denen die Fähigkeiten der potentiellen Rekruten ermittelt werden sollen und finden einen nahezu perfekten linearen Zusammenhang zwischen kognitiven Fähigkeiten und der Wahrscheinlichkeit, Opfer von Online-Betrug zu werden: Je höher die kognitiven Fähigkeiten, desto geringer das Risiko.

• Sarno et al. (2023) haben Probanden direkt getestet und herausgefunden, dass diejenigen, die analytisch denken konnten, es gewohnt waren, systematisch und überlegt vorzugehen, eine geringere Wahrscheinlichkeit hatten, auf Phishing hereinzufallen. Impulsivität, geringes Alter, Extrovertiertheit und vorschnelles Entscheiden erhöhten das Risiko, auf Phishing hereinzufallen, Liebeswürdigkeit reduzierte das Risiko.

• Sommestad und Karlzén (2019) sammeln 48 Studien, in denen 140 Tests durchgeführt wurden und finden, dass durchschnittlich 21% der Probanden auf Phishing hereinfallen. Befördert wurde erfolgreiches Phishing durch eine gute Cover Story, angebliche Dringlichkeit und ein autoritäres Auftreten.

• Desolda et al. (2022) analysieren die vorhandene Forschung zu Phishing im Hinblick auf psychologische Variablen und extrahieren eine Reihe von Faktoren, die eine Anfälligkeit für Phishing begründen, allen voran ein übereiltes Handeln, das entweder auf „Vertrauen“ oder Selbstüberschätzung basiert, intuitives Entscheiden sowie Entscheiden auf Grundlage kognitiver Defizite.

Das typische Phishing Opfer zeichnet sich demnach durch Überheblichkeit und/oder ungerechtfertigtes Vertrauen, gemeinhin ausgelöst durch freiwillige Unterordnung unter Autorität, zumeist begünstigt durch eigene Ahnungslosigkeit und/oder schnelles, übereiltes, oft intuitives Entscheiden und/oder kognitive Defizite aus.

Irgendwie scheint diese Sammlung von Problemen bei manchen Bundestagsabgeordneten zu kumulieren.