Sie sind in Gefahr – Warum Ihre Mitarbeiterinnen und Mitarbeiter die falschen Entscheidungen treffen

Um das Notfallset zu erhalten, muss ich lediglich an einer kurzen Umfrage teilnehmen. Acht Fragen – das sollte in wenigen Minuten erledigt sein.

Oh, und ich muss mich beeilen! Das Angebot verfällt in sechs Minuten! Nur acht Fragen? Ein kleiner Aufwand.

Geschafft. Jetzt noch schnell die Adresse für den Versand eingeben. Im nächsten Schritt soll ich die Versandkosten bezahlen. Schade, PayPal wird nicht angeboten. Stattdessen soll ich meine Kreditkartendaten eingeben. Ein kurzer Moment des Zögerns. Andererseits habe ich die Umfrage bereits ausgefüllt und bin fast am Ziel. Jetzt noch abzubrechen, wäre doch irgendwie ärgerlich.

Also Kreditkartendaten eingeben, Zahlung bestätigen – fertig.

Wie ging es Ihnen beim Lesen dieses Textes? Hat sich ein Gefühl der Unruhe eingestellt? Gut so! Natürlich handelt es sich hier um einen Betrug! Die Mail und die Webseite sind auch nicht vom ADAC, sondern sehen nur so aus. Ich würde kein Notfallset bekommen. Was anschließend mit meinen Kreditkartendaten passieren würde? Ich weiß es nicht. Ich habe natürlich keine echten Zahlungsdaten eingegeben. Und damit könnte die Sache auch erledigt sein.

Sie haben in Ihren Unternehmen sicherlich ein Awareness-Programm, um Ihre Mitarbeiterinnen und Mitarbeiter auf derartige Angriffe aufmerksam zu machen. Schließlich geht es den Angreifern nicht nur um den Verlust privater Kreditkartendaten, sondern auch um Zugangsdaten zu Benutzerkonten von Mitarbeiterinnen und Mitarbeitern, Firmengeheimnisse oder schlicht um Erpressung und Sabotage. Laut Bitkom verursachte Cyberkriminalität im Jahr 2025 einen Schaden in Höhe von 202,4 Mrd. Euro.

Aber wie kann der Schaden so groß sein? Haben die meisten Unternehmen vielleicht doch keine Awareness-Programme? Doch! Je nach Quelle führen die Hälfte bis zwei Drittel der deutschen Unternehmen regelmäßige Awareness-Programme durch. Und dennoch sind Betrüger und Cyberkriminelle immer wieder erfolgreich. Warum ist das so?

Wissen schützt nicht vor Fehlentscheidungen

Lange Zeit ging man in der Ökonomie davon aus, dass Menschen ihre Entscheidungen rational und basierend auf einer Kosten-Nutzen-Abwägung treffen. Für wirtschaftliche Akteure, die definierte Prozesse zum Finden von Entscheidungen nutzen, mag das zutreffen. Im Allgemeinen verhalten sich Menschen jedoch nicht so. Im Jahr 1979 wurde von den Psychologen Daniel Kahnemann und Amos Tversky die sogenannte „Prospect Theory“ vorgestellt, für die Kahnemann im Jahr 2002 den Nobel-Gedächtnispreis für Wirtschaftswissenschaften erhalten hat. Ziel der Forschung war, herauszufinden, auf welcher Grundlage Menschen Entscheidungen treffen.

Stellen Sie sich folgendes Experiment mit zwei Varianten vor:

1. Sie bieten einem Freund an, sofort 5 Euro zu bekommen (Sicherheit). Alternativ werfen Sie eine Münze. Bei „Zahl“ bekommt ihr Freund 10 Euro (Risiko).
2. Ihr Freund gibt Ihnen 5 Euro (Sicherheit). Alternativ werfen Sie eine Münze. Bei „Zahl“ bekommen Sie 10 Euro von ihrem Freund (Risiko).

Sie spielen dieses Spiel nun mehrmals und wählen manchmal Variante 1, und manchmal Variante 2. Ob eine Münze geworfen wird, darf jeweils Ihr Freund entscheiden. Als Forscher würden Sie das Experiment außerdem mit vielen Personen wiederholen.

Kurze mathematische Einordnung: Beim Werfen einer Münze kann man davon ausgehen, dass in 50 Prozent der Fälle „Kopf“ fällt, und in 50 Prozent der Fälle „Zahl“. Bei Variante 1 heißt das, dass bei 50 Prozent der Spiele mit Münzwurf jeweils 10 Euro Gewinn ausgezahlt werden; bei den anderen 50 Prozent gibt es keinen Gewinn, also 0 Euro. Im Durchschnitt werden also bei den Spielen mit Münzwurf 5 Euro pro Spiel gewonnen, was der gleiche Betrag ist wie bei den Spielen ohne Münzwurf. Es ist also statistisch gesehen – wenn man das Spiel oft wiederholt – egal, ob man sich für den Münzwurf entscheidet oder nicht. Genauso verhält es sich bei Variante 2, nur dass man hier „Gewinn“ durch „Verlust“ ersetzen muss: die Wahrscheinlichkeiten sind identisch und der zu erwartende Verlust beträgt durchschnittlich 5 Euro pro Spiel, unabhängig davon, ob eine Münze geworfen wird oder nicht.

Jetzt würde man annehmen, dass sich in Variante 1 genauso viele Personen für das Werfen der Münze (Risiko) entscheiden, wie in Variante 2, denn beide Varianten haben die gleichen statistischen Eigenschaften. Tatsächlich haben Kahnemann und Tversky in Varianten beobachtet, dass Menschen dazu neigen, sich in beiden Varianten unterschiedlich zu verhalten:

In Variante 1 haben sich 72 Prozent der Versuchsteilnehmer für die sichere Option entschieden, und das Geld genommen ohne eine Münze zu werden. In Variante 2 haben 64 Prozent der Teilnehmer entschieden, eine Münze zu werfen.

In Erwartung eines sicheren kleinen Gewinns haben die Teilnehmerinnen und Teilnehmer also das Risiko vermieden, aber in Erwartung eines sicheren kleinen Verlusts haben sie die riskante Option gewählt.

Was können wir daraus lernen:

1. Menschen treffen ihre Entscheidungen nicht auf Basis messbarer Fakten (selbst wenn sie bekannt sind, was man bei einem so einfachen Experiment annehmen kann), wie etwa Kosten/Nutzen.
2. Menschen sind schlecht darin, die Wahrscheinlichkeit von Ereignissen abzuschätzen, insbesondere wenn sie als „Gewinn“ oder „Verlust“ geframt sind. Das Framing eines Ereignisses beeinflusst, wie Menschen die Eintrittswahrscheinlichkeit des Ereignisses einschätzen, selbst wenn den Menschen objektiv die Wahrscheinlichkeit bekannt ist.
3. Wenn Menschen eine Entscheidung mit Auswirkung auf die Sicherheit treffen müssen, neigen sie im Fall eines zu erwartenden sicheren kleinen Verlusts dazu, zu hoffen, dass „schon nichts schiefgehen wird“ und wählen eher die riskante Option mit hoher Verlustmöglichkeit.
4. Das ist eine Tatsache, die sie durch Awareness-Programme nicht ändern, sondern bestenfalls deren Auswirkungen mildern können.

Angreifer sind Psychologen

Die typischen Verhaltensweisen von Menschen werden durch Angreifer zielgerichtet ausgenutzt. Nehmen wir das Beispiel mit dem ADAC-Notfallset:

• Zunächst wurde mit einer sicheren Gewinnerwartung gelockt. Niemand möchte sich gern einen Gewinn entgehen lassen.
• Es wurde Zeitdruck aufgebaut. Unter Druck treffen Menschen schlechtere Entscheidungen. Nicht umsonst denkt man über wichtige Entscheidungen länger nach, recherchiert noch einmal, befragt andere Personen (Beispiel: ärztliche Zweitmeinung), man „überschläft das Ganze“ noch einmal… All das möchten Angreifer nicht, und suggerieren deswegen, dass ein „Angebot“ nur kurz gilt.
• Alles wirkt seriös: passendes Design, keine Grammatikfehler, per HTTPS geschützte Seite, VISA-zertifizierte Zahlungsabwicklung. Das reduziert das Gefühl, ein Risiko einzugehen.
• Die „versunkene Kosten“-Falle: Jetzt haben Sie die Umfrage ausgefüllt, das hat vielleicht fünf Minuten gedauert. Wenn Sie sich jetzt entscheiden, den Versand des „Notfallsets“ nicht bezahlen zu wollen, sind die fünf Minuten vergebens gewesen. Das ist die „versunkene Kosten“-Falle: Menschen neigen dazu, an Aufwendungen der Vergangenheit zu hängen wie an Investitionen. Deswegen werden Sie auch die „Versandgebühren“ bezahlen.

Und nicht zuletzt stellt sich die Frage, was in dem „Notfallset“ eigentlich drin sein soll, was ich nicht ohnehin schon im Auto habe? Ziemlich spät für diese Frage, oder?

Sie sind in Gefahr — Warum Ihre Mitarbeiterinnen und Mitarbeiter die falschen Entscheidungen treffen!

Unabhängig davon, wie Sie Ihr Unternehmen strukturiert haben, wie gut Ihre Prozesse sind: Die meisten Entscheidungen werden von einzelnen Menschen getroffen: Öffne ich die Datei im Anhang? Gebe ich die Information am Telefon weiter? Halte ich der Person mit der großen Kiste die Tür auf? Dafür haben Sie keine Gremien, keine Prozesse, und kein Risikomanagement. Und ein Großteil dieser Entscheidungen, die Ihre Mitarbeiterinnen und Mitarbeiter täglich – teilweise unter Zeitdruck – allein treffen müssen, werden die richtigen Entscheidungen sein.

Aber eine dieser Entscheidungen wird falsch sein.

Nicht, weil die Mitarbeiterin bzw. der Mitarbeiter unzureichend qualifiziert ist, sondern weil der Angreifer es so wollte und wusste, wie man die Mitarbeiterin bzw. den Mitarbeiter zu einer falschen Entscheidung drängt.

Deswegen geht gute Unternehmenssicherheit immer davon aus, dass trotz aller Maßnahmen ein Angriff erfolgreich sein wird! Sie wissen nur noch nicht, wie und wann. Die Frage ist dann: Wie funktioniert Ihr Unternehmen weiter, wenn alle Daten verschlüsselt sind, weil ein Mitarbeiter sein Passwort „verloren“ hat? Und wie reagieren ihre Kunden, wenn sie aus den Medien erfahren, dass bei Ihnen Daten gestohlen wurden, die Sie eigentlich gar nicht haben dürften? Und wen können Sie verlässlich und kurzfristig als Unterstützung holen, wenn Sie die Kontrolle über Ihre Computer an Hacker verloren haben?

All diese Fragen können Sie im Vorfeld eines Angriffs effizient und strukturiert beantworten, um gut gerüstet zu sein. Das kostet natürlich Geld: ein sicherer „Verlust“. Oder Sie können hoffen, dass „schon alles gut gehen wird“.

Vor der Veröffentlichung wurde Rücksprache mit dem ADAC gehalten. Von dort wurde bestätigt, dass eine Veröffentlichung aus ihrer Sicht in Ordnung ist und dazu beiträgt, für diese Betrugsmasche zu sensibilisieren. Zudem stellt der ADAC auf seiner Website weitere Informationen zu entsprechenden Betrugsfällen bereit.

Außer der eingangs beschriebenen Mail habe ich noch weitere ähnliche Mails bekommen, bei denen die Namen anderer namhafte Vereine, Versicherungen oder Banken missbraucht wurden. 

Dieser Artikel wurde inspiriert vom nach wie vor aktuellen Artikel The Psychology of Security – Communications of the ACM von 2008.