Verkauft wird keine Lüge, sondern eine Rolle
Eine Phishing-Mail setzt auf Masse: Sie wird an Tausende verschickt, und irgendjemand klickt. Pretexting funktioniert anders: Für dich wird eine Geschichte zusammengestellt. Der Name deiner Abteilung, der Name der Bank, bei der du tatsächlich ein Konto hast, die Bestellnummer, auf die du wirklich wartest. Nichts davon sind geheime Informationen: Sie stehen in sozialen Netzwerken, in Datenleaks oder in deiner eigenen E-Mail-Signatur.
Der Sinn der Details besteht nicht darin, etwas zu beweisen. Sie nehmen die Frage aus dem Spiel: „Wer ist das überhaupt?“ Während du ein Detail prüfst und es stimmt, prüfst du die anderen schon nicht mehr - dein Gehirn vervollständigt die ganze Rolle. Ein passendes kleines Detail wirkt wie eine Bürgschaft für die ganze Geschichte.
Die Legende. Im Voraus werden eine Rolle und ein Anlass vorbereitet: eine Anmeldeprüfung, eine Lieferung oder ein Fehler in den Unterlagen. Der Anlass erklärt, warum man gerade dich und gerade jetzt anruft.
Eine kleine Wahrheit. In den ersten Sekunden wird etwas genannt, das tatsächlich über dich bekannt ist. Das ist keine Bitte, sondern eine Anzahlung auf Vertrauen.
Dringlichkeit. Es öffnet sich ein Zeitfenster: „Der Antrag ist noch zehn Minuten offen.“ Dass keine Zeit zum Prüfen bleibt, ist Absicht und kein Zufall.
Isolation. Man bittet dich, nicht aufzulegen, nicht darüber zu sprechen oder in einen Messenger zu wechseln. Jede dritte Person kann das Szenario zum Einsturz bringen.
Eine kleine Bitte. Zuerst wird um eine Kleinigkeit gebeten - etwas zu bestätigen, zu diktieren oder anzutippen. Wenn du einmal zugestimmt hast, fällt eine zweite Ablehnung schwerer.
Woran du es hörst
Das Gespräch läuft fast immer in eine Richtung: Die andere Person stellt Fragen, und du antwortest. Dabei wirst eigentlich du geprüft, obwohl man dich angerufen hat. Hier ist ein typischer Ausschnitt - achte nicht auf die Worte, sondern darauf, wie sich die Rolle verschiebt.
Hier ist der Sicherheitsdienst. Ich sehe einen Anmeldeversuch bei deinem Konto aus einer anderen Stadt.
Ich habe mich nirgendwo angemeldet.
Das dachte ich mir. Ich kann den Antrag auf Sperrung noch abschicken, aber das Zeitfenster beträgt zehn Minuten.
Was muss ich tun?
Diktiere mir den Code aus der Nachricht - er bestätigt, dass ich mit der kontoinhabenden Person spreche.
Okay, einen Moment.
Hier kommen drei Warnzeichen direkt hintereinander. Dir wurde eine beunruhigende Nachricht mitgeteilt, die du nicht überprüfen kannst. Dir wurde eine Frist gesetzt. Und du sollst beweisen, dass du du selbst bist, obwohl nicht du den Anruf begonnen hast. Der Code aus der Nachricht bestätigt der anderen Person gar nichts: Er wird genau dafür gebraucht, sich einzuloggen, und der echte Support fragt niemals danach.
Achte auch darauf, wer hier in Eile ist. In so einem Gespräch gehört die Eile immer jemand anderem: Sie wurde dir gebracht. Nimm den Zeitdruck weg, und das Szenario fällt in sich zusammen - deshalb halten sie daran fest.
Das Szenario beruht nicht auf Naivität, sondern auf normalen Reaktionen: helfen, nicht widersprechen, eine Sache schnell erledigen. Deshalb trifft es am häufigsten beschäftigte und höfliche Menschen.
Warum nennen Pretexter ein kleines wahres Detail über dich?
Was hilft, wenn man dich drängt und nach einem Nachrichtencode fragt?
Quellen
- Mechanismen der Einflussnahme - nach den Arbeiten von Robert Cialdini zu Autorität, Knappheit und Konsistenz
- eine Analyse von Pretexting findet sich bei Kevin Mitnick, „Die Kunst der Täuschung“
- Warnzeichen finden sich in öffentlichen Merkblättern von Banken und CERTs
Weiter in der Reihe „Soziale Manipulation“
3 Artikel vollständig auf der Website, noch 4 in der App
