Warum Phishing funktioniert: Psychologie erklärt

Im Jahr 2023 registrierte das Bundeskriminalamt über 130.000 Fälle von Cyberkriminalität mit direktem Bezug zu Betrugsmaschen per E-Mail und Messenger. Ein Großteil davon begann mit einer simplen Nachricht: scheinbar von der Bank, vom Chef oder vom Paketdienst. Der Empfänger klickte, gab Daten ein, und merkte erst Stunden später, was passiert war. Dabei lag das Problem selten in mangelnder Sorgfalt. Es lag in der Art, wie unser Gehirn unter Druck arbeitet.

Kein technisches Problem, sondern ein menschliches

Viele glauben, Phishing treffe nur Menschen, die das Internet nicht richtig verstehen. Das stimmt nicht. Studien zeigen regelmäßig, dass auch IT-Fachleute, Juristen und Führungskräfte auf gut gemachte Phishing-Nachrichten hereinfallen. Der Grund ist einfach: Social Engineering setzt nicht an technischen Schwachstellen an, sondern an kognitiven. Es nutzt Mechanismen, die tief im menschlichen Entscheidungsverhalten verankert sind.

Das Konzept ist nicht neu. Der Psychologe Robert Cialdini beschrieb bereits in den 1980er Jahren sechs Grundprinzipien der Beeinflussung, darunter Knappheit, Autorität und soziale Bewährtheit. Angreifer wenden genau diese Prinzipien an, oft ohne je ein Psychologiebuch gelesen zu haben. Sie haben einfach gelernt, was funktioniert.

Dringlichkeit als Hauptwerkzeug

Die häufigste Technik in Phishing-Nachrichten ist die künstliche Zeitdruck-Erzeugung. Formulierungen wie „Ihr Konto wird in 24 Stunden gesperrt“ oder „Handeln Sie jetzt, um Schaden zu vermeiden“ aktivieren im Gehirn das sogenannte limbische System. Dieses steuert emotionale Reaktionen und kann rationales Denken kurzschließen. Wer sich bedroht fühlt, analysiert weniger und reagiert schneller. Das passt auch zur Notfallvorsorge: Der Notfall-ratgeber hilft bei der Vorbereitung auf Krisen und Ausnahmesituationen.

Genau das wollen Angreifer. Ein Nutzer, der ruhig nachdenkt, würde merken, dass die Absenderadresse leicht abweicht, der Link zu einer unbekannten Domain führt oder die Anrede unpersönlich ist. Unter Stress übersieht das Gehirn diese Signale zuverlässig. Das ist keine Schwäche, sondern eine evolutionäre Funktion, die in anderen Kontexten sehr sinnvoll ist.

Autorität und Vertrauen als Einfallstor

Eine zweite zentrale Technik ist die Nachahmung von Autorität. E-Mails im Corporate Design der Sparkasse, der DHL oder des Finanzamts wirken vertrauenswürdig, weil wir gelernt haben, diesen Institutionen zu vertrauen. Das Gehirn verarbeitet visuelle Signale schneller als Inhalte. Wer ein bekanntes Logo sieht, senkt unbewusst die Skepsis.

Besonders wirksam ist das sogenannte Spear-Phishing: gezielte Angriffe auf einzelne Personen, bei denen der Angreifer vorab Informationen gesammelt hat, etwa über LinkedIn oder öffentliche Unternehmenswebseiten. Eine E-Mail, die den vollständigen Namen, die Abteilung und einen aktuellen Projektbezug enthält, wirkt so authentisch, dass selbst geschulte Mitarbeiter zögern, sie zu hinterfragen. Laut einer Untersuchung der Universität Friedrich-Alexander-Erlangen-Nürnberg klickten bei einem simulierten Spear-Phishing-Angriff knapp 45 Prozent der Teilnehmer auf einen schadhaften Link.

Was die Forschung dazu sagt

Die Mechanismen, die Angreifer ausnutzen, sind in der Verhaltenspsychologie gut dokumentiert. Wer sich für die wissenschaftliche Basis interessiert, findet auf Ressourcen zur Psychologie hinter Social Engineering strukturierte Übersichten darüber, welche Prinzipien in der Praxis am häufigsten eingesetzt werden und warum sie so wirkungsvoll sind.

Zusätzlich liefert die Wikipedia-Seite zu kognitiven Verzerrungen einen guten Überblick über die psychologischen Grundlagen, auf denen viele Angriffstechniken aufbauen. Phishing nutzt unter anderem den Bestätigungsfehler, den Ankereffekt und die Verfügbarkeitsheuristik, also Denkmuster, die bei jedem Menschen aktiv sind.

Die Rolle sozialer Einbettung

Neben Dringlichkeit und Autorität spielt das Prinzip der sozialen Bewährtheit eine wachsende Rolle. Angriffe über WhatsApp oder andere Messenger nutzen gezielt die Tatsache, dass Nachrichten von bekannten Kontakten als sicher gelten. Wenn die Nummer einer Freundin anzeigt, dass sie in der Klemme sitzt und Geld braucht, schaltet das soziale Vertrauen die kognitive Kontrolle ab. Solche Betrugsmaschen, häufig als „Enkeltrick 2.0“ bezeichnet, funktionieren wegen dieser Einbettung in vertraute Beziehungen besonders gut.

Ähnliches gilt für gefälschte Bewertungen oder Sicherheitswarnungen, die so gestaltet sind, als kämen sie von anderen Nutzern oder verifizierten Quellen. Der Mensch orientiert sich in unsicheren Situationen an dem, was andere tun. Angreifer simulieren genau diesen sozialen Kontext.

Schutz durch Wissen und Verlangsamung

Der wirksamste Schutz gegen Social Engineering ist kein technisches Tool, sondern eine Haltung: bewusstes Verlangsamen. Wer bei einer dringlichen Nachricht nicht sofort reagiert, sondern erst drei Sekunden innehält und die Absenderadresse vollständig liest, eliminiert einen Großteil der Risiken. Organisationen, die regelmäßige Phishing-Simulationen durchführen, verzeichnen nach sechs Monaten deutlich niedrigere Klickraten auf Testangriffe, oft unter zehn Prozent gegenüber ursprünglichen Werten von über 30 Prozent.

Das Bundesamt für Sicherheit in der Informationstechnik gibt auf seiner Website des BSI konkrete Handlungsempfehlungen für Privatpersonen und Unternehmen heraus, darunter Checklisten zur Erkennung von Phishing-Nachrichten. Diese sind kostenfrei und ohne Registrierung zugänglich.

Technische Maßnahmen wie Zwei-Faktor-Authentifizierung, aktuelle Spamfilter und DMARC-Einstellungen für E-Mail-Domains sind sinnvolle Ergänzungen. Sie ersetzen aber nicht das Verständnis dafür, warum diese Angriffe überhaupt wirken. Solange Menschen unter Zeitdruck stehen, Autoritäten vertrauen und soziale Signale höher gewichten als rationale Prüfung, werden Phishing-Angriffe erfolgreich sein. Das ist keine düstere Prognose, sondern eine Beschreibung menschlicher Kognition. Und genau dort muss Prävention ansetzen.