Kapitel 6
Beeinflussung – Die Macht der Überredung
Wenn Sie jemanden überreden wollen, müssen Sie eher sein Interesse ansprechen als seinen Intellekt.
Benjamin Franklin
Dieses Zitat fasst dieses gesamte Kapitel zusammen. Sie mögen sich vielleicht fragen, warum ich dies nicht bereits in Kapitel 5 bei der Diskussion der psychologischen Prinzipien des Social Engineering mit aufgenommen habe. Die Psychologie ist eine Wissenschaft mit einem Regelwerk, das bei Befolgung ein bestimmtes Resultat ergibt. Die Psychologie des Social Engineering ist wissenschaftlich und berechenbar.
Beeinflussung und Überredung gleichen eher einer Kunst, die von Wissenschaft untermauert wird. Beide sprechen Emotionen und Überzeugungen an. Wie bereits diskutiert, müssen Sie genau Bescheid wissen, wie und was die Menschen denken.
Beeinflussung und Überredungskunst ist der Prozess, jemanden dazu zu bringen, dass er so handeln, reagieren, denken oder glauben will, wie Sie es für ihn wollen.
Lesen Sie gegebenenfalls diesen Satz noch einmal. Wahrscheinlich ist dies einer der kraftvollsten Sätze dieses ganzen Buches. Er bedeutet, dass Sie mit den hier ausgeführten Prinzipien in der Lage sind, jemanden dazu zu bringen, dass er denkt, handelt und vielleicht sogar glaubt auf die Art und Weise, wie Sie es wollen, und er denkt aber, dass er es so will. Social Engineer setzen die Überredungskunst täglich ein, und bedauerlicherweise lässt sich das auch von böswilligen Scammern und heimtückischen Social Engineers sagen.
Manche Menschen widmen ihr ganzes Leben der Forschung, dem Studium und der Perfektionierung dieser Kunst der Beeinflussung. Personen wie Dr. Ellen Langer, Robert Cialdini und Kevin Hogan haben zu dem umfangreichen Wissensbestand in diesem Bereich beigetragen. Kombinieren Sie dieses Wissen mit den Forschungen und Lehren der Meister des NLP (dem neurolinguistischen Programmieren) wie Bandler, Grinder und seit einiger Zeit auch Jamie Smart, und Sie bekommen das Rezept, wie man ein wahrer Künstler wird.
Echte Beeinflussung ist elegant und geschmeidig und für jene, die beeinflusst werden, meist unmerklich. Wenn Sie diese Methoden lernen, werden sie Ihnen in Werbesendungen, auf Plakattafeln und bei der Nutzung durch Vertreter auffallen. Sie werden anfangen, sich über die minderwertigen Versuche der Marketingleute zu ärgern, und wenn Sie so wie ich gestrickt sind, regen Sie sich beim Autofahren auch über die fürchterlichen Werbesendungen im Radio und die Plakatwände auf (was meine Frau nicht wirklich glücklich macht).
Bevor wir uns damit beschäftigen, wie Social Engineers Beeinflussung und Überredung einsetzen, beginnen wir in diesem Kapitel mit einer kurzen Tour durch deren zentralen Elemente, die ich dafür zusammengestellt und verwendet habe. Dieses Kapitel beschäftigt sich mit Dingen wie Reziprozität, Manipulation und der Kraft, sich Ziele zu setzen, um nur einige dieser Schlüsselelemente zu nennen.
Beeinflussung und Überredung kann man auf fünf wichtige Aspekte herunterbrechen, die wir in den folgenden Abschnitten ausführen wollen.
6.1 Die fünf Säulen von Beeinflussung und Überredung
Die fünf Säulen der Überredung sind elementar wichtig, um irgendeine Art des wirksamen Einflusses auf eine Zielperson zu bekommen:
• Klare Ziele setzen
• Rapport schaffen
• Die Umgebung beobachten
• Flexibel sein
• Mit sich selbst in Kontakt sein
Das ganze Ziel des Social Engineering ist, die Zielperson derart zu beeinflussen, dass sie eine Aktion ausführt, die für sie möglicherweise nicht vorteilhaft ist. Und doch wird die Zielperson diese Aktion nicht nur ausführen, sondern ausführen wollen und Ihnen womöglich am Ende dafür danken. Diese Art von Beeinflussung ist sehr machtvoll und führt dazu, dass Social Engineers mit diesem Skill legendäre Figuren werden.
Der weltbekannte NLP-Trainer Jamie Smart sagte einmal: „Die Karte ist nicht die Landschaft.“ Ich liebe dieses Zitat, weil es sich perfekt in diese fünf Säulen einfügt. Keines von ihnen ist für sich genommen die Gesamtsumme, aber individuell sind sie wie Punkte auf einer Karte, die Ihnen das ganze Territorium dessen zeigen, was Sie vollbringen wollen. Der folgende Abschnitt beschäftigt sich eingehend mit der ersten Säule: warum es so wichtig ist, sich klare Ziele zu setzen.
6.1.1 Ein klares Ziel im Kopf haben
Sie sollten nicht nur ein klares Ziel im Kopf haben, sondern es sogar aufschreiben. Fragen Sie sich selbst: „Was soll für mich aus diesem Engagement oder dieser Interaktion herausspringen?“
Wie ich schon in Kapitel 5 erläutert habe, vor allem in Bezug auf NLP, werden die internen Systeme des Menschen von seinen Gedanken und Zielen beeinflusst. Wenn Sie sich auf etwas konzentrieren, wird es wahrscheinlicher, dass Sie es bekommen oder dass Sie so werden. Das bedeutet nicht, dass wenn Sie sich auf den Gedanken konzentrieren, eine Million Dollar zu bekommen, das Geld auch bekommen. Tatsächlich ist das eher unwahrscheinlich. Doch wenn Sie sich vornehmen, eine Million Dollar zu verdienen, und sich auf die dafür nötigen Schritte konzentrieren, erhöhen Ihre Ziele, Ihre Schulung und Handlungen die Wahrscheinlichkeit, dieses Ziel zu erreichen. Das Gleiche gilt bei der Überredung. Welches Ziel haben Sie? Geht es darum, die Überzeugungen eines anderen zu verändern? Dass er in bestimmter Richtung aktiv wird? Nehmen wir an, eine gute Freundin von Ihnen macht etwas schrecklich Ungesundes, und Sie wollen sie überzeugen, damit aufzuhören. Was ist das Ziel? Vielleicht besteht das Endziel darin, sie vom Aufhören zu überzeugen, aber vielleicht gibt es auch unterwegs schon kleinere Ziele. Wenn man all diese (Zwischen-)Ziele skizziert, wird der Weg klarer, diese Person zu beeinflussen.
Nachdem Sie das Ziel festgelegt haben, müssen Sie sich fragen: „Woher weiß ich, wann ich es erreicht habe?“ Ich habe mal eine CD mit einem Schulungsprogramm von Jamie Smart, einer der weltweit führenden NLP-Persönlichkeiten, angehört, und er stellte allen Anwesenden diese beiden Fragen:
• Was wollen Sie?
• Woher wissen Sie, wann Sie es erreicht haben?
An diesem Punkt drückte ich bei der CD auf Pause und beantwortete laut die erste Frage, was ich von diesem Kurs will. Dann drückte ich auf Wiedergabe, und als er die andere Frage stellte: „Woher wissen Sie, wann Sie es erreicht haben?“, drückte ich erneut auf Pause … und hing fest. Für mich wurde ziemlich deutlich, dass ich keine Roadmap hatte. Ich wusste, was ich aus diesem Kurs haben wollte, hatte aber keine Ahnung, wie ich beurteilen sollte, wann ich es bekommen hatte.
Ein wichtiger Aspekt Ihrer Taktiken zu Überredung und Beeinflussung ist zu wissen, was für Sie bei Ihren Engagements herauskommen soll. Wenn Sie sich mit einer Zielperson beschäftigen und wissen, welche Ziele Sie haben und worin die Kennzeichen bestehen, dass Sie das Gewollte auch bekommen, identifizieren Sie klar den Weg, den Sie einzuschlagen haben. Klar definierte Ziele sorgen für den Erfolg oder Misserfolg der Beeinflussungstaktiken, die der Social Engineer einsetzt, und machen auch den nächsten Schritt deutlich einfacher.
6.1.2 Rapport, Rapport, Rapport
In Kapitel 5 beschäftigen wir uns einen ganzen Abschnitt lang mit dem Aufbau von Rapport. Lesen Sie diesen Abschnitt, studieren Sie ihn und perfektionieren Sie Ihr Geschick, Rapport zu schaffen.
Rapport zu schaffen bedeutet, dass Sie die Aufmerksamkeit der Person in Ihrem Fadenkreuz und deren Unbewusstes bekommen, und Sie sorgen für Vertrauen innerhalb dieses unbewussten Bereichs. Wenn Sie den Skill beherrschen, Rapport zu schaffen, ändert das die Art, wie Sie mit Menschen umgehen, und fürs Social Engineering verändert das möglicherweise Ihre ganze Methode komplett.
Um Rapport zu schaffen, beginnen Sie dort, wo sich die Person mental befindet, die Sie beeinflussen wollen. Versuchen Sie, deren Geistesverfassung zu verstehen. Ist sie argwöhnisch? Ist sie aufgeregt, traurig oder besorgt? Egal welchen emotionalen Zustand Sie bei Ihrer Zielperson wahrnehmen, nehmen Sie das als Startpunkt. Konzentrieren Sie sich weniger auf Ihre Ziele und mehr darauf, die Person zu verstehen. Das ist ein sehr wesentlicher Punkt: Ein Social Engineer muss seine Zielperson so gut verstehen, dass er sich vorstellen kann, wo sie sich von ihrer Bewusstheit her befindet. Was sind die Gedanken und die Gemütsverfassung der Zielperson?
Stellen Sie sich beispielsweise vor, Sie wollen eine liebe Freundin so beeinflussen, dass sie mit dem Rauchen aufhört oder keine Drogen mehr nimmt oder so etwas. Beachten Sie, dass Sie sie nicht vom Aufhören überzeugen wollen, sondern davon, dass sie selbst es will. Bei Ihrem Ziel kann es also nicht um Sie gehen, oder? Vielmehr müssen Sie sich auf die Zielperson konzentrieren. Sie können bei Ihrem Gespräch nicht damit einsteigen, was ihre Abhängigkeit Ihnen antut und wie sehr Sie den Geruch usw. hassen. Die Argumentation muss sich damit beschäftigen, was für sie drinsteckt. Sie können das Gespräch nicht mit einem verbalen Angriff beginnen, was die Person Ihnen mit ihrer Gewohnheit angetan hat, sondern Sie müssen verstehen, in welcher Gemütsverfassung sich diese Person befindet, diese akzeptieren und sich daran ausrichten.
Beim Social Engineering geht es weitgehend um das Gleiche: Sie können nicht damit beginnen, wo Sie sich mental befinden. Das wird für viele Leute eine ziemliche Herausforderung sein. Wissen Sie, warum sie raucht? Verstehen Sie die psychologischen, körperlichen oder mentalen Gründe dafür? Sie können keinen starken Rapport schaffen, wenn Sie sich nicht wirklich in sie einfühlen können, und alle Bemühungen um Beeinflussung werden misslingen.
Außerdem können Sie den Aufbau von Rapport nicht immer auf Logik gründen. Ich habe mal einen guten Freund im Krankenhaus besucht, der an Kehlkopfkrebs starb. Er hatte über 40 Jahre geraucht und musste eines Tages feststellen, an Krebs erkrankt zu sein. Der Krebs breitete sich schnell aus, und er musste für seine letzten Tage stationär aufgenommen werden. Seine Kinder besuchten ihn dort, und immer wieder verließ eines von ihnen den Raum. Ich dachte, sie wären von ihren Gefühlen überwältigt und müssten um Fassung ringen. Als gerade mal wieder welche draußen waren, ging ich hinterher, um sie zu trösten. Aber ich fand sie rauchend vor dem Gebäude! Ich war wie vom Donner gerührt. Ich selbst rauche nicht und habe auch nicht den Wunsch danach, und obwohl ich nachvollziehen kann, wie stark eine Sucht ist, konnte ich nicht begreifen, wie sie sich eine Zigarette in den Mund stecken konnten, nachdem sie gerade erlebt hatten, unter welchen Schmerzen ihr Vater leidet.
Logik würde in diesem Fall nichts bringen. Wenn ich den Kindern meines Freundes gesagt hätte, warum Rauchen schlecht ist und dass sie daran sterben werden, hätte das zu nichts Gute geführt. Diese Information ist nutzlos, weil sie bloß streitlustig ist und nur dazu geführt hätte, dass ich mich gut fühle, wenn ich das anspreche, aber es orientiert sich nicht an deren momentaner Gemütsverfassung. Erst wenn Sie die Person verstehen, können Sie erfolgreich einen ausreichend guten Rapport aufbauen, um sie zu beeinflussen.
Jemanden dazu zu bringen, selbst etwas tun zu wollen, ist eine Mischung aus Emotion und Logik sowie in vielen Fällen eine Übung in Verstehen und Demut. Ich ging einmal in ein Büro, wo ich ein paar Arbeiten zu erledigen hatte. Draußen hatte ich von jemandem noch einen lustigen Kommentar mitbekommen, und als ich nun in den Eingangsbereich trat, musste ich immer noch schmunzeln. Die Frau hinter dem Empfangstisch musste gerade etwas Peinliches gemacht haben, denn als sie mich sah, wurde sie sofort sehr ärgerlich und rief mir zu: „Das ist absolut nicht witzig! Was sind Sie denn für ein Trottel?“
Ich kannte diese Frau nun also nicht persönlich, und um die Wahrheit zu sagen, hatte ich Ziele im Kopf, denen diese Interaktion nicht sonderlich zuträglich waren. Außerdem war ich beleidigt, dass sie annahm, ich hätte sie ausgelacht, und wollte sie selbst schon anfahren. Doch stattdessen erkannte ich, wie aufgeregt sie war. Ich kam zur die Empfangstheke, und um sie nicht mehr länger in Verlegenheit zu bringen, schaute ich sie direkt an und sagte aufrichtig zu ihr: „Tut mir leid, wenn Sie glauben, dass ich über Sie gelacht habe. Ich komme gerade vom Parkplatz, und einer Ihrer Kollegen hat gerade was Witziges über eine Party am Wochenende erzählt, da musste ich schmunzeln.“
Sie schaute mich an, und ich merkte, dass sie nun noch peinlicher berührt war. Um also ihr Gesicht zu retten, sagte ich vernehmlich: „Ma’am, es tut mir leid, dass ich gelacht habe und Sie in Verlegenheit gebracht habe.“ So konnte sie vor den Umstehenden ihr Gesicht wahren. Sie hatte verstanden, dass ich „mich aufgeopfert“ hatte, und reagierte mit ausgesuchter Freundlichkeit. Eine Minute später entschuldigte sie sich, und es geriet für mich zum Vorteil, weil ich alle Daten bekam, um die ich gebeten hatte – Daten, für die ich normalerweise schwer hätte arbeiten müssen.
Einer meiner Lehrer von früher hat immer davon gesprochen, man solle „andere mit Freundlichkeit bekämpfen“. Das ist eine ganz schön mächtige Feststellung. Wenn man freundlich zu anderen ist, schafft man schnell Rapport und etabliert sich in den fünf Säulen von Beeinflussung und Überredung.
Um Menschen mit Freundlichkeit und Rapport zu beeinflussen, kann man z.B. Fragen stellen und dann Wahlmöglichkeiten anbieten, die sie auf den von Ihnen gewünschten Pfad bringen. Mich hat man z.B. mal so beeinflusst, als Teammitglied einen Job zu übernehmen, den ich wirklich nicht haben wollte. Der Teamleiter war sehr charismatisch und freundlich und hatte jenen „Charme-Faktor“, auf den alle direkt ansprangen. Er kam zu mir und sagte: „Chris, ich möchte gerne ohne das Team mit Ihnen sprechen. Ich brauche Unterstützung für ein kleines Projekt. Dafür brauche ich eine Art rechte Hand, doch diese Person muss von sich aus höchst motiviert sein und gut anpacken können. Ich glaube, bei Ihnen bin ich da genau richtig, aber ich will da nichts unterstellen. Was meinen Sie denn?“
Ich war so aufgeregt und geschmeichelt von diesen Komplimenten und der Chance, „bedeutsam“ zu sein, dass ich antwortete: „Motiviert bin ich absolut. Sagen Sie mir einfach, was gebraucht wird, ich bin dabei.“
Der Teamleiter fuhr fort: „Nun, ich halte sehr viel davon, durch Vorbild zu führen. Und ich glaube, dass Sie diese Führungsqualitäten haben. Das Problem ist, dass einige vom Team das nicht so haben, und diese brauchen eine starke Person, die ihnen zeigt, wie es gemacht werden soll.“
Noch vor Beendigung des Gesprächs hatte er sein Ziel erreicht, dass es so wirken sollte, als sei ich selbst auf die Idee gekommen, sodass es mir unmöglich war, wieder zurückzurudern. Wirklich sehr kraftvoll, und alles begann mit der Kraft der Überredung.
6.1.3 Beobachten Sie Ihre Umgebung
Auf sich selbst und die eigene Umgebung zu achten, nennt man gesteigerte Sinneswahrnehmung. Das ist die Fähigkeit, bei Ihrer Zielperson und auch bei sich selbst die Zeichen wahrzunehmen, ob Sie sich in die richtige Richtung bewegen oder nicht.
Viele der im vorigen Kapitel diskutierten Prinzipien gelten auch für Überredung. Wenn Sie Körpersprache und mimische Zeichen lesen können, erfahren Sie sehr viel über Ihren Einfluss auf die Person.
Um die doppelte Kunst von Beeinflussung und Überredung zu beherrschen, müssen Sie ein meisterlicher Beobachter und Lauscher werden. Chris Westbury, ein kognitiver Neuropsychologe von der kanadischen University of Alberta, schätzt, dass das menschliche Gehirn Informationen mit 20 Billiarden Berechnungen pro Sekunde verarbeitet. Diese Berechnungen sorgen dann für Gesichtsausdruck, Mikroexpressionen, Gesten, Haltungen, Stimmlagen, Augenblinzeln, Atemtempo, Sprachmuster, nonverbale Äußerungen und viele weitere Arten von kennzeichnenden Mustern. Wenn man die Beeinflussung beherrscht, bedeutet das, sich dieser subtilen Dinge bei sich selbst und anderen bewusst zu sein.
Ich habe bei mir selbst gemerkt, dass die Fähigkeit des Beobachtens für mich einfacher war, nachdem Dr. Ekman mich in Mikroexpressionen geschult hat. Hinterher habe ich gemerkt, dass mir nicht nur viel mehr von dem bewusst wurde, was mit den Menschen in meiner Umgebung geschieht, sondern auch bei mir selbst. Wenn ich einen bestimmten Ausdruck auf meinem Gesicht spüre, kann ich ihn analysieren und schauen, wie er auf andere wirkt. Diese Wahrnehmung meiner selbst und meiner Umgebung gehört zu den einflussreichsten und erhellendsten Erfahrungen meines Lebens.
NLP-Experten sprechen davon, dass man den internen Dialog minimieren soll, wenn man versucht, andere zu beeinflussen. Wenn Sie die Zielperson ansprechen und bereits über die nächste Phase des Angriffs, des Endziels oder das Auftragen möglicher Gesprächsabbrüche nachdenken, kann dieser innere Dialog dafür sorgen, dass Sie eine Menge von dem verpassen, was um Sie herum geschieht. Aufmerksam zu beobachten ist eine Menge Arbeit, zahlt sich aber wirklich aus.
6.1.4 Handeln Sie nicht verrückt, sondern flexibel
Was meine ich damit, nicht verrückt zu handeln und flexibel zu sein? Eine schon viele Jahre gängige Definition von Verrücktheit lautet: „Wenn man die gleiche Sache immer wieder auf die gleiche Weise macht und trotzdem erwartet, dass etwas anderes herauskommt“. Bereit und fähig zu sein, sich zu biegen, gehört zu den zentralen Faktoren von Überredung.
Sie können sich diese Flexibilität auch physisch vorstellen. Wenn Sie etwas verbiegen sollen, möchten Sie dafür lieber eine Stahlstange nehmen oder einen Weidenzweig? Die meisten würden den Weidenzweig vorziehen, denn er ist flexibel und einfacher zu biegen, wodurch die Aufgabe auch umsetzbar wird. Wenn man versucht, andere zu überreden, und selbst unnachgiebig und unflexibel ist, funktioniert das nicht. Auch die Überredung greift nicht, wenn Sie nicht selbst biegsam und geschmeidig sind.
Sehr oft läuft ein Audit nicht so wie geplant. Ein guter Social Engineer bleibt nun ganz locker und passt seine Ziele und Methoden je nach Bedarf an. Das spricht nicht gegen das Konzept der Vorausplanung, sondern lässt darauf schließen, nicht so rigide zu sein, keinen Spielraum mehr zu haben, wenn die Dinge nicht wie geplant laufen: Man kann sich anpassen, und das Ziel ist nicht verloren.
So wie man einen Verrückten ansieht, betrachtet auch die Zielperson einen unflexiblen Social Engineer. Der Social Engineer wirkt dadurch unvernünftig, und Sie gelangen so wahrscheinlich nie zum Endspiel.
6.1.5 Mit sich selbst in Kontakt sein
Ich möchte Ihnen hier keinen meditativen Zen-Weg vorschlagen, sondern meine damit, dass Sie Ihre Gefühle verstehen sollten. Emotionen steuern praktisch alles, was Sie machen, und das geht Ihrer Zielperson im Prinzip genauso. Wenn Sie Ihre Gefühle kennen und guten Kontakt zu sich haben, hilft Ihnen das dabei, die Grundlage für effektives Arbeiten als Social Engineer zu legen.
Nehmen wir noch einmal das Beispiel mit Ihrer rauchenden Freundin: Wenn Sie sich mit ihr beschäftigen und dabei einen tief sitzenden Hass auf alle Raucher hegen, wirkt sich das auf Ihre Umgehensweise mit ihr aus. Es kann dafür sorgen, dass Sie sich auf eine Weise verhalten, etwas ausdrücken, sagen oder machen, was die Tür zur Überredung zufallen lässt. Vielleicht lassen Sie bei bestimmten Dingen keine Kompromisse zu, und wenn Sie sich darüber im Klaren sind und Ihre Gefühle dazu kennen, hilft es Ihnen, einen klar definierten Pfad in Richtung der Beeinflussung der Zielperson zu entwickeln.
Diese fünf Säulen sind der Schlüssel zum Verständnis von Beeinflussung und Überredung. Das Ziel des Überredens ist, eine Umgebung zu schaffen, wo die Zielperson genau das machen will, was Sie selbst einfordern, und diese fünf Säulen helfen Ihnen dabei, diese Umgebung zu kreieren. Im nächsten Abschnitt untersuchen wir, wie Social Engineers mit diesen Säulen arbeiten.
6.2 Taktiken der Beeinflussung
Wie bereits erwähnt, müssen Social Engineers ihre Überredungsfähigkeit üben, bis sie zu einer alltäglichen Gewohnheit geworden sind. Das bedeutet nicht, die Handlungen von allem und jedem beeinflussen zu müssen, aber es ist eine wesentliche Eigenschaft eines guten Social Engineer, diesen Skill bei Bedarf abrufen zu können.
Beeinflussung und Überredung haben viele Aspekte, die Sie einsetzen können, und viele passen auch sehr gut in ein Audit. Andere Aspekte passen nicht so gut dazu, sind aber trotzdem in der Welt der Beeinflussung sehr kraftvoll. In den folgenden Abschnitten erläutern wir acht verschiedene Techniken der Beeinflussung, die sehr oft in den Medien, von Politikern, der Regierung, Trickbetrügern, Scammern und natürlich auch Social Engineers eingesetzt werden.
In jedem Abschnitt finden Sie eine Analyse der Technik, wie sie außerhalb des Social Engineering auch in anderen Bereichen eingesetzt wird. Außerdem schauen wir uns genauer an, was für den Social Engineer von Vorteil ist.
Die Reziprozität (Gegenseitigkeit oder Wechselwirkung) ist die inhärente Erwartung, wenn Sie von anderen gut behandelt werden, dass auch Sie ähnlich reagieren. Ein einfaches Beispiel ist, wenn Sie in ein Gebäude gehen und jemand Ihnen dabei die Tür aufhält. Von Ihnen wird nun erwartet, dass Sie sich bedanken und darauf achten, dass die nächste Tür für den anderen offengehalten wird, wenn er hinterher kommt.
Diese Regel der Gegenseitigkeit ist wichtig, denn oft gibt man unbewusst die Gefälligkeit wieder zurück. Das zu wissen, bedeutet, dass Sie nun einen Schritt weiter sind, um dies als Social Engineer einzusetzen. Bevor wir das eingehender beleuchten, folgen hier einige Beispiele für gegenseitige Gefälligkeiten:
• Pharmafirmen spenden oft zwischen 10.000 und 15.000 Dollar pro Arzt (richtig gelesen: pro Arzt!) für „Geschenke“, z.B. Abendessen, Bücher, Computer, Kleidung oder andere Dinge mit dem Logo dieser Firma. Wenn es darum geht, sich für ein Medikament zu entscheiden und es zu verschreiben oder zu kaufen, was glauben Sie wohl, was diese Ärzte dann wahrscheinlich bevorzugen?
• Politiker werden auf ziemlich genau die gleiche Weise beeinflusst. Es ist kein Geheimnis, dass Politiker oder Lobbyisten sehr oft eher solchen Leuten zugeneigt sind und sich erkenntlich zeigen, die ihnen bei ihren politischen Kampagnen geholfen haben, als anderen, die das nicht gemacht haben.
• Diese Gegenseitigkeit wird auch oft im Geschäftsleben eingesetzt, vor allem wenn es um Vertragsabschlüsse geht. Vielleicht zahlt der Verhandler das Essen und lässt später die Bitte um ein Zugeständnis beim Vertrag einfließen. Der Kunde fühlt sich bemüßigt, dieses Zugeständnis einzuräumen.
• Ein Kollege ist für Sie eingesprungen, als Sie einen Tag frei brauchten. Nun bittet er Sie darum, sich entsprechend zu revanchieren, aber Sie haben schon was anderes vor. In einer solchen Situation organisieren die Leute ihre Termine um und erfüllen die Bitte.
All dies sind Beispiele für Reziprozität. Der Soziologe Alvin Gouldner verfasste einen Beitrag namens „Die Norm der Reziprozität“ (http://media.pfeiffer.edu/lridener/courses/normrecp.html), in dem er feststellt:
Insbesondere gehe ich davon aus, dass eine Norm der Reziprozität in ihrer universellen Form zwei miteinander zusammenhängende, minimale Anforderungen stellt: (1) Die Menschen sollten denen helfen, die ihnen geholfen haben, und (2) die Menschen sollten jene nicht verletzen, die ihnen geholfen haben. Allgemein nimmt man die Norm der Reziprozität als eine Dimension wahr, die sich in allen Wertesystemen finden lässt, und speziell als eine unter mehreren „prinzipiellen Komponenten“, die im Moralkodex universell präsent ist.
Im Wesentlichen haben seine Forschungen ergeben, dass die Gegenseitigkeit immer funktioniert – trotz unterschiedlicher kultureller Hintergründe. Dieser Reziprozität, wenn sie im richtigen Moment eingesetzt wird, kann man sich praktisch nicht widersetzen.
Stellen Sie sich das wie den in Abbildung 6.1 gezeigten Vorgang vor.
Abb. 6.1: Der Kreislauf der Reziprozität
In den folgenden Abschnitten werden die wesentlichen Punkte dieses Konzepts näher vorgestellt.
Etwas weggeben
Wenn Sie etwas weggeben, darf das nicht irgendetwas Wertloses sein. Es muss einen gewissen Wert haben – für den Empfänger. Wenn man einen schön eingebundenen Roman in einer Sprache verschenkt, die der Empfänger nicht lesen oder begreifen kann, ist das nutzlos.
Bei dieser Gabe kann es sich um einen Dienst handeln, einen Gegenstand, wertvolle Informationen, eine Unterstützung oder Hilfe oder irgendetwas anderes, was für den Empfänger von Wert ist (sogar etwas so Einfaches wie die Tür aufzuhalten oder etwas Fallengelassenes aufzuheben). Manche Verkaufsorganisationen werben anhand dieser Methode, lösen das Versprechen dann aber nicht ein, da sie wertlose Dinge anbieten. Stellen Sie sich mal vor, Sie seien auf einer Messe, und an jedem Stand gibt es Werbegeschenke. Wenn Sie zu einem Tisch kommen und einen Haufen billiger Kulis sehen, werden Sie wahrscheinlich weitergehen. Auf dem nächsten Tisch liegt ein interessantes Geschicklichkeitsspiel. Davon werden Sie angelockt, also nehmen Sie es in die Hand und spielen damit herum. Nach ein paar Minuten erscheint der Vertreter der Firma und sagt: „Wollen Sie einen Tipp?“ Nachdem er Ihnen beim Puzzle ein wenig geholfen hat, fragt er, ob Sie noch einen Moment Zeit haben, dann würde er Ihnen die Leistung der Firma zeigen, die Ihnen sicher sehr gefallen werde.
Wie könnten Sie da ablehnen? Sie bekommen ein faszinierendes Spiel und einen kostenlosen Tipp, und er will nun nur eine Minute von Ihrer Zeit? Perfekt eingefädelt.
Schaffen Sie das Gefühl der Verpflichtung
Je wertvoller das Geschenk für den Empfänger ist und je weniger er es erwartet hat, desto größer fühlt er sich in der Schuld.
Besonders wichtig ist hierbei, dass man das Geschenk nicht im Rahmen einer offensichtlichen Manipulationstaktik einsetzt. Sie sollten nicht sagen „Ich habe dir etwas Tolles geschenkt, und nun bist du mir auch was schuldig“ und sich auch nicht so verhalten. Auch wenn Sie es nur denken, mindert das möglicherweise diese Gefühle der Verpflichtung oder lässt sie ganz kippen. Das „Geschenk“ sollte wirklich gratis und für den Empfänger wertvoll sein.
Die Tierschutzorganisation Humane Society of the United States gibt beispielsweise personalisierte Adressetiketten als Gratisgeschenke ab. Es gibt keine Bedingungen, und viele Leute nutzen sie für Urlaubsgrüße oder persönliche Briefe. Die Etiketten sind attraktiv und von guter Qualität. Man meldet sich dafür an, und viele Monate später wird man telefonisch gebeten, für die lokale Gruppe der Humane Society zu spenden. Beim Empfänger ist dieses Gefühl der Verpflichtung meist viel zu groß, um nicht wenigstens eine kleine Spende zu leisten.
Ein weiteres Beispiel: Fortune Magazine bietet Hochschullehrern ohne weitere Bedingungen kostenlose Ausgaben ihres Magazins, die sie in ihren Seminaren ausprobieren können.
Viele Beispiele solcher Gegenseitigkeit existieren. Auf der anderen Seite misslingt vielen Firmen diese Reziprozität, weil man annimmt, so etwas seien gute Geschenke:
• Todschicke und farbenprächtige Firmenbroschüren
• Nutzloses und schrottiges Spielzeug
• Verkaufsunterlagen über Ihre Produkte oder Firma
So etwas schafft keine Verpflichtungen. Der Empfänger muss das „Geschenk“ als wertvoll erachten. Eine andere Art von „Geschenken“, die echte Verpflichtung aufbaut, ist Information. Wenn man wertvolle, vorteilhafte oder nützliche Informationen weitergibt, kann das für viele deutlich interessanter sein als ein materielles Geschenk.
Sprechen Sie an, was Sie haben wollen
Einmal wollte ich gerade in ein Gebäude gehen und sah davor einen Mann, dem „Chef“ regelrecht auf der Stirn stand, wie er auf dem Parkplatz mit dem Schild „Geschäftsführung“ aus dem Auto stieg und mit dem Handy telefonierte. Er wirkte nicht gerade wie ein zufriedener Mensch, und ich bekam mit, wie er jemandem erzählte, wie geladen er sei, weil er gleich reingehen und ein paar Leute rauswerfen müsse. Seinem Tonfall konnte ich entnehmen, dass er mit seiner Frau oder Freundin sprach und nicht sonderlich erpicht war auf die Aufgabe, die er nun vor sich hatte.
Ich ging an ihm vorbei und weiter bis zum Empfangsschalter. Als ich näher kam, sah ich, dass die junge Frau dahinter gerade Minesweeper spielte. Sie schaute mich mit diesem standardmäßig „Wie kann ich Ihnen helfen?“-Blick an. Sie strahlte Überdruss aus und war offenbar in keiner guten Stimmung. Ich sagte: „Hören Sie, ich bin hier wegen eines Meetings, und gleich kommt Ihr Chef hier rein, der hat ziemlich schlechte Laune ...“ Das ließ ich so nachwirken und blieb mit meinem Ordner in der Hand einfach stehen. Wenige Sekunden später stürmte der Chef durch den Eingang, und ich sagte vernehmlich: „Vielen Dank, dass Sie mir geholfen haben.“
Sie schaute an mir vorbei und sagte zu mir: „Entschuldigen Sie bitte“, dann zu ihrem Chef: „Guten Morgen, Mr. Smith, hier sind Ihre Infos.“ Dann reichte sie ihm einen kleinen Stapel Papiere, während er vorbeiging.
Als er in Richtung seines Büros verschwand, bedankte sie sich vielmals. Ich hatte sie gerade gerettet, und sie wusste das. Die Information, die ich ihr gegeben hatte, war unschätzbar, und meine nächsten Worte ließen ihr keine Wahl: „Ich brauche Ihre Hilfe. Ich wollte die Personalchefin für ein kurzes Meeting treffen. Können Sie mich bitte schnell zu ihrem Büro bringen?“
Sie geleitete mich zum Büro der Personalerin und stellte mich als „Freund“ von ihr vor, der gerade vorbeigekommen war. Innerhalb weniger Minuten war ich mit meinem Plan durchgestartet, und alles dank dieser Gegenseitigkeit.
Als Social Engineer sollten Sie auf kleine Gelegenheiten achten, um Informationen weiterzugeben, durch die Sie für den Empfänger wertvoll und bedeutsam werden, und wichtiger noch: durch die der Empfänger Ihnen gegenüber zu etwas verpflichtet wird.
Achten Sie auf Ihre Umgebung und welche kleinen Dinge Sie vornehmen können, damit die Zielpersonen Ihnen verpflichtet sind. Denken Sie daran, das muss nichts Erstaunliches oder Verblüffendes sein: Es reicht schon, wenn das etwas für den anderen Vorteilhaftes ist. Stets sollte man dabei im Hinterkopf behalten, dass man das Ziel nicht „stalken“ oder bedrängen darf. Einfach nur dazustehen und ihn oder sie anzustarren in Erwartung einer Gelegenheit, um etwas zu machen oder zu sagen, wirkt sicher abschreckend. Diese Prinzipien sollten ganz natürlich rüberkommen.
Natürlichkeit bedeutet hier, dass Sie diese Prinzipien bereits in Ihrem Alltag leben sollten. Halten Sie anderen die Tür auf, seien Sie besonders höflich und achten Sie auf Gelegenheiten, anderen Gutes tun zu können. Diese Aktionen gehen Ihnen dann in Fleisch und Blut über, und Sie müssen sich weniger abmühen, sie bei einem Audit umzusetzen.
Als Beeinflussungstaktik ist Reziprozität sehr kraftvoll, und die nächsten beiden Prinzipien sind eng damit verknüpft.
Eine Verpflichtung hat mit solchen Handlungen zu tun, von denen man das Gefühl hat, sie aufgrund einer sozialen, rechtlichen oder moralischen Anforderung, einer Pflicht oder wegen eines Vertrags oder Versprechens tun zu müssen. Im Kontext des Social Engineering ist eine solche Verbindlichkeit eng verknüpft mit der Reziprozität, aber nicht darauf beschränkt. Eine derartige Verpflichtung kann so einfach sein wie das Türen offenhalten, wo sich der andere dann bemüßigt fühlt, wiederum die nächste Tür für Sie aufzuhalten. Das kann erweitert werden auf jemanden, der Ihnen private Infos gibt, weil Sie bei ihm ein Gefühl der Verpflichtung geschaffen haben. Als Angriffsvektor nutzt man Verpflichtung üblicherweise gerne bei Kundendienstlern.
Sie können so ein Verpflichtungsgefühl auch dezent dosieren, indem Sie clevere Komplimente machen. Schenken Sie der Person beispielsweise ein Kompliment und schieben Sie dann eine Bitte oder Anfrage nach. Bei dieser Technik kann man leicht etwas verkehrt machen, wenn man neu oder unerfahren ist, und es kann derart geheuchelt rüberkommen, dass die Antennen der Zielperson alarmiert werden, und es den verkehrten Effekt hat. Doch macht man es richtig, greift man damit gut und gerne auch kleine, wertvolle Infos ab.
Ein Beispiel für schiefe Komplimente wäre: „Ach, Sie haben so wunderschöne Augen. Dürfte ich bitte in Ihren Serverraum?“ Klingt bescheuert, nicht wahr? Achten Sie darauf, Ihre Methode laut auszusprechen, damit Sie merken, wie es sich anhört. Wenn es wie ein billiger Anmachspruch klingt, fliegt es raus.
Ein kurzes Gespräch wie das folgende kann andererseits ein Kompliment passend anbahnen:
Als Sie an die Empfangstheke kommen, sehen Sie darauf Bilder von einigen kleinen Kindern in Disney World. Nachdem Sie sich vorgestellt haben, sagen Sie: „Ach, sind das Ihre? Die sind aber süß.“ Egal ob das die Kinder oder Neffen der Empfangsdame sind, sie genießt höchstwahrscheinlich Ihr Kompliment. Dann legen Sie noch nach: „Ich habe selbst auch welche. Die halten uns jung, was?“
„Ja, das sind meine beiden. Über das Junghalten bin ich mir nicht so sicher“, schmunzelt sie, „aber manchmal schaffen die mich echt.“
„Mit meinen war ich noch nicht bei Disney“, sage ich. „Ist das denn was für die beiden in dem Alter?“
„Ja sicher, die haben jeden Augenblick toll gefunden“, sagt die Empfangsdame. „Solange meine Tochter mit ihrem Daddy zusammen ist, hat sie total viel Spaß.“
„Ah, ja, ich habe auch so eine kleine Prinzessin“, gebe ich zurück. „Tja, ich könnte hier noch stundenlang stehen und über meine Kinder sprechen, aber ich wollte Sie eigentlich fragen, ob Sie mir weiterhelfen können. Ich hatte letzte Woche angerufen und mit jemandem über eine neue Personalsoftware gesprochen. Da hatte ich versprochen, hier bei Ihnen ein Infopaket dazu reinzureichen, aber ich habe den Zettel verbaselt, wo ich den Namen der Dame draufgeschrieben hatte. Das ist mir schrecklich peinlich.“
„Oh, das war wahrscheinlich Mrs. Smith“, bietet die Dame an. „Sie kümmert sich um all diese Sachen.“
„Sie sind meine Rettung. Dafür schulde ich Ihnen was. Vielen Dank.“
Diese Art Kompliment ist sehr wirksam dafür, die Zielperson derart vorzubereiten, dass sie der Beeinflussung weitaus mehr zustimmt und empfänglich dafür wird.
Die Goldene Regel „Behandele andere so, wie du selbst behandelt werden möchtest“ ist ein zentrales Prinzip bei der Schaffung von Verpflichtung. Wenn Sie andere freundlich behandeln, großzügig sind und ihnen etwas geben, was sie gebrauchen können, auch wenn es nur so gering wie ein Kompliment ist, „installieren“ Sie bei ihnen quasi ein Gefühl der Verpflichtung gegenüber.
Der Psychologe Steve Bressert greift diesen Punkt in seinem Artikel „Überredung und wie man andere beeinflusst“ auf, wenn er feststellt: „Der amerikanischen Veteranenorganisation American Disabled Veterans zufolge entsteht ein Rücklauf von etwa 18 %, wenn man einfach nur um Spenden wirbt. Legt man ein kleines Geschenk wie persönliche Adressenetiketten bei, dann verdoppelt sich die Erfolgsrate fast auf 35 %. ›Weil Sie mir ein paar praktische Etiketten geschenkt haben, spende ich im Gegenzug auch Ihnen.‹“
Wenn Sie sich die Kraft dieses Prinzips beweisen wollen, probieren Sie doch mal folgende kleine Übung aus. Sogar etwas so Geringes wie eine Frage kann eine Verpflichtung schaffen: Das nächste Mal, wenn Sie von jemandem gefragt werden, antworten Sie nichts. Schweigen Sie einfach oder ignorieren die Frage und machen im Gespräch weiter. Achten Sie darauf, wie unangenehm das ist: Sogar etwas so Einfaches wie eine Frage sorgt für den verbindlichen Druck, antworten zu wollen. Einfach der Zielperson eine Frage zu stellen, kann zu erstaunlichen Ergebnissen führen.
Wenn Ihre erste Aktion den Eindruck vermittelt, dass da noch etwas zu erwarten sei, führt das zu starken Verpflichtungsgefühlen, diese Erwartung tatsächlich zu erfüllen. Wenn Ihr Gegenüber ein Ergebnis erwartet, sorgt es für ein starkes Gefühl des Commitments (etwa: Eingehen einer Verpflichtung) bei ihr, das Gleiche auch für Sie zu machen.
Diese Methode kann man beispielsweise nutzen, um dem CFO einer Firma ein technisches Gerät zu schicken, z.B. einen iPod voller heimtückischer Software. Wenn er das Geschenk bekommt, fühlt er sich bemüßigt, es auch anzuschließen. Ich habe mal live einen erfolgreichen Angriffsvektor erlebt, wo ein Social Engineer ein kleines, aber relevantes Geschenk an den CFO oder CEO mit einer Karte sandte, auf der stand: „Hiermit überreichen wir Ihnen mit besten Grüßen ein Geschenk unserer Firma. Wir möchten Sie nur darum bitten, sich mal unsere Produkte unter www.produkte.de anzuschauen und unseren PDF-Katalog unter www.produkte.de/katalog.pdf herunterzuladen. Gerne würde ich mich bei Ihnen in der kommenden Woche melden.“
Diese Methode hat noch jedes Mal funktioniert.
Ein Zugeständnis oder der Akt, etwas einzuräumen, definiert man als „Anerkenntnis oder Erlaubnis“ oder als „Akt des Nachgebens“. Im Social Engineering-Kontext spielt man bei solchen Zugeständnisse mit dem menschlichen Instinkt der Reziprozität. Menschen haben eine eingebaute Funktion, durch die sie andere so behandeln wollen, wie sie von ihnen selbst behandelt wurden. Als Social Engineer setzt man so das Konzept „Eine Hand wäscht die andere“ um.
Es gibt einige Grundprinzipien für Zugeständnisse und wie man sie korrekt einsetzt:
• Kennzeichnen Sie Ihre Zugeständnisse: Machen Sie deutlich, wann und wobei Sie Zugeständnisse eingehen. Dadurch wird es für Ihre Zielperson schwerer, den Drang zu ignorieren, sich zu revanchieren. Das sorgt für Ausgeglichenheit oder eine Balance, da Sie ja hier nicht dick auftragen wollen, um ein Zugeständnis anzukündigen. Hier reicht eine einfache Aussage wie „Okay, von mir bekommen Sie dies“ oder „Dann treffen wir uns eben auf halber Strecke“, um den Willen für ein Zugeständnis zu verdeutlichen.
• Verlangen und definieren Sie Reziprozität: Sie können beginnen, indem Sie die Samen der Gegenseitigkeit pflanzen und damit Ihre Chancen steigern, etwas im Gegenzug zurückzubekommen. Nonverbale Kommunikation, die zeigt, wie flexibel und was für ein guter Zuhörer Sie sind, kann sich als einfacher Weg erweisen, solche Samen zu legen. Diese kleinen Dinge sorgen für großen Effekt, wenn Sie in der Zielperson das Gefühl der Gegenseitigkeit aufbauen.
• Machen Sie bedingte Zugeständnisse: Sie können mit „risikofreien“ Zugeständnissen arbeiten, wenn das Vertrauen gering ist oder wenn Sie signalisieren müssen, dass Sie für andere Zugeständnisse bereit sind. Damit meine ich ein Zugeständnis, das nicht begleitet wird von der Haltung „Jetzt mach auch mal was für mich“. Wenn man bei etwas nachgibt, was die Zielperson will oder braucht, und keine Gegenleistung erwartet, baut man eine sehr starke Verbindung zu ihr auf.
• Machen Sie Zugeständnisse in Raten: Das Konzept der Reziprozität (Gegenseitigkeit) ist unserem Wesen zutiefst eingeprägt. Die meisten Menschen haben das Gefühl, wenn ihnen jemand einen Gefallen tut, sind sie sozial dazu verpflichtet, sich revanchieren zu müssen. Wenn entsprechend jemand ein Zugeständnis eingeht, z.B. bei Verhandlungen oder Geschäftsabschlüssen, dann fühlt man sich instinktiv verpflichtet, dem anderen auch ein wenig entgegenzukommen. Weil es sich dabei um eine Tatsache handelt, brauchen Sie nicht das Gefühl zu haben, alle Zugeständnisse auf einmal machen zu müssen. Sie können das auch „ratenweise“ eingehen und dabei mal hier, mal da etwas zugestehen, um bei Ihrer Zielperson den Wunsch der Gegenleistung aufrechtzuerhalten.
Solche Zugeständnisse oder Konzessionen werden täglich von Vertretern, Verhandlern und Social Engineers eingesetzt. Ein erfolgreicher Social Engineer setzt diese instinktive Tendenz ein oder missbraucht sie, indem er nicht nur den Manipulationen durch andere widersteht, sondern auch, indem er die Situation vollständig übernimmt. Die Fähigkeiten für Konzession und Reziprozität passen hervorragend zu vielen der anderen Techniken des Social Engineering aus diesem Buch.
Ein Beispiel, wie viele Menschen auf Konzessionen hereinfallen, kennt man aus dem Telemarketing, wo für Spenden aufgerufen wird. Dort arbeitet man mit der Strategie, Konzessionen zu erreichen, nachdem jemand zuerst die Möglichkeit bekommen hat, ein weitergehendes Anliegen abzulehnen. Die gleiche Person, die dieses Anliegen vorgebracht hat, nennt ein Gegenangebot, das Sie viel eher akzeptieren als das große Anliegen.
Großes Anliegen: „Würden Sie wohl 200 Dollar für unsere Wohltätigkeitsorganisation spenden?“
Antwort: „Nein, das würde ich nicht.“
Kleineres Anliegen: „Oh, bitte entschuldigen Sie, das verstehe ich natürlich. Können Sie vielleicht nur 20 Dollar spenden?“
Wer diese Technik nicht kennt, hat vielleicht das Gefühl, dass ihm eine Last von den Schultern genommen wurde, und merkt, dass er auch mit gerade mal 20 Dollar dabei ist anstatt mit den anfänglichen 200 Dollar.
Ein anderes gutes Beispiel erschien in einem von David Hill geschriebenen Artikel (http://ezinearticles.com/?How-to-Negotiate-the-Salary-Using-the-Power-of-the-Norm-of-Reciprocity&id=2449465):
Die Kraft dieser Norm spürt man in den meisten Situationen, in denen etwas ausgehandelt wird. Nehmen wir an, Kunde und Verkäufer feilschen über den Preis eines Autos. Der Verkäufer beginnt sein Angebot mit 24.000 Dollar. Der Kunde findet dies inakzeptabel und gibt ein Gegenangebot von 15.000 Dollar ab. Nun verringert der Verkäufer sein Angebot auf 20.000 Dollar, geht also Konzessionen ein. In diesem Fall fühlt sich der Käufer meist verpflichtet, sein Gebot zu erhöhen, vielleicht auf 17.000 Dollar. Der Grund für dieses Gefühl der Verpflichtung ist die Norm der Reziprozität. Diese Norm verlangt, dass der Kunde auf das Zugeständnis des Verkäufers mit einem eigenen Zugeständnis antwortet.
So wie bei den meisten der bisher diskutierten Prinzipien muss die Konzession für den Empfänger auch wertvoll oder relevant sein. Man kann nicht bei etwas nachgeben, das nur für einen selbst wertvoll ist, oder man verliert die Macht, die man bei einer guten Konzession bekäme.
Als Social Engineer dürfen Sie auf keinen Fall eine Konzession machen, bei der Sie das Gesicht, den Rapport oder Ihre Position verlieren. Es muss eine heikle Balance existieren zwischen dem Zugeständnis und dem Ansehen, was Sie bei der Zielperson haben, und es ist schon die halbe Miete, dies zu finden. Doch Sie sollten sich bemühen, diese Balance herauszufinden, und Zugeständnisse werden dann in Ihren Händen zu einem sehr wirksamen Instrument.
Die Leute halten Gegenstände oder Gelegenheiten oft für anziehender, wenn sie selten, knapp oder schwer zu kriegen sind. Darum treffen Sie in Radio- oder Zeitungswerbung oft auf Anzeigen, in denen etwas wie „Letzte Chance“, „Nur kurze Zeit“ oder „Schlussverkauf“ steht. Es wird damit gelockt, dass dieses Produkt nie wieder oder nie wieder so erhältlich ist, und das zieht natürlich Leute von überall her an.
Am ehesten kennt man den Nutzen der Knappheit im Verkaufskontext aus dem Werbespruch „Greifen Sie zu! Nur begrenztes Angebot!“ Andere Techniken sind das bekannte „Die ersten X Anrufer bekommen ein Gratisgeschenk“ oder dass man ein beliebtes Produkt absichtlich nur in kleiner Menge verfügbar macht. In letzter Zeit wurde diese Praxis besonders dem Nintendo Wii zugeschrieben. Jason Dobson, ein Autor für Gamasutra, schreibt: „Aber ich glaube, dass [Nintendo] absichtlich wenige Geräte bereitstellt, weil sie ihre Zahlen für dieses Jahr schon erreicht haben. Das neue Jahr beginnt am 1. April, und ich bin davon überzeugt, dass die Lieferungen dann wieder anlaufen“ (www.gamasutra.com/php-bin/news_index.php?story=13297).
An meinem Wohnort schaltete ein Autohändler donnerstags eine Anzeige, dass X Wagen abverkauft werden müssen, weil neue Fahrzeuge eingetroffen seien. Die Preise waren so gering, und einige der Fahrzeuge wurden nicht mehr produziert, und dieses Wochenende war also die allerletzte Gelegenheit, an einem Event teilhaben zu können, das in die Geschichte des Autoverkaufs eingehen sollte.
An diesem Wochenende explodierten die Verkäufe natürlich, also war der Ausverkauf damit auch beendet, oder? Nein, absolut nicht: Die Anzeige erschien über drei Monate lang jeden Donnerstag. Ich habe mich oft gefragt, ob das wohl keinem aufgefallen ist, aber der Händler hat mit dieser Methode eine Menge Autos verkauft.
Gesellschaftliche Ereignisse können ebenfalls deutlich exklusiver wirken, wenn Knappheit eingeführt wird. Der wahrgenommene soziale Vorteil, an diesen Events teilzunehmen, steigt unter diesen Umständen. In der Werbung wird dieser Punkt besonders deutlich bei Musikevents, die damit werben, wie schnell das letzte Konzert ausverkauft war.
Von vielen beliebten Restaurants ist bekannt, dass sie bestimmte Bereiche sperren, damit es lebhafter und voller wirkt, als es tatsächlich ist. Die Wahrnehmung, dass solche Restaurants extrem populär sind, sorgt oft noch für den noch dringenderen Wunsch, in einer solchen Lokalität zu speisen. Wenn Sie mal eine Werbung sehen wollen, in der die Knappheit (scarcity) direkt für ein Event eingeführt wird, gehen Sie zu www.social-engineer.org/wiki/archives/Scarcity/Scarcity-Advertisment.html.
Diese Werbung spielt auf vier Hauptkomponenten der Knappheit an:
• Der Launch hat einen begrenzten Zugriff.
• Diese Applikation ist nicht öffentlich und nur begrenzt.
• Die Promoter sind handverlesen und begrenzt.
• Das eBook ist für alle gratis, die Glück genug hatten, eingeladen zu werden.
All diese Punkte arbeiten mit Verknappung, indem potenziellen Partygängern der Eindruck vermittelt wird, man komme nur schwer bei diesem Event hinein, nur die Elite, ein ganz paar und besonders Stolze und Glückliche hätten auch nur eine entfernte Chance, einen Fuß auf diesen geheiligten Grund zu setzen.
Die Grundlagen von Ökonomie bestehen aus der Zuweisung von Ressourcen, die alternative Verwendungsmöglichkeiten haben. Diese Zuweisung wird von der Knappheit oder dem Mangel an Objekten gesteuert. Je seltener die Ressource, desto höher ist der für das Objekt wahrgenommene Wert. Deswegen ist Gold wertvoller als Salz und dies wiederum kostbarer als Lehm.
Auch innerhalb täglicher Interaktionen gelangt oft Knappheit zum Einsatz. Die Verknappung wird auch bei sozialen Situationen als ein Versuch eingeführt, den eigenen Besitz im Wert zu steigern, wenn man sich z.B. immer so verhält, als habe man sehr viel zu tun, und könne sich nur schwer mal freinehmen. Ein solches Vorgehen liefert einem die Entschuldigung, nicht genug Zeit mit jemandem zu verbringen, für den man eigentlich Zeit haben müsste, und gleichzeitig wird die Zeit dann um ein Vielfaches wertvoller, wenn man sie aufbringt.
Sie können auch Aufmerksamkeit durch den Einsatz von Verknappung manipulieren. Denken Sie daran, wie oft sich die Leute über Verkäufer beschweren, die sie im Laden belästigen – dann, wenn es keinen Mangel an Aufmerksamkeit dieser Verkäufer gibt. Doch die gleichen Leute sind ebenso ärgerlich, wenn sie von den Verkäufern ignoriert werden – deren Aufmerksamkeit ist dann nur begrenzt. Insgesamt begehren die Menschen das, was schwer zu kriegen ist, weil es als wertvoller erachtet wird. Das gilt auch für Aufmerksamkeit.
In Social Engineering-Zusammenhängen wird Verknappung oft als Werkzeug verwendet, in einem Prozess der Entscheidungsfindung Druck aufzubauen. Diese Dringlichkeit kann oft die Entscheidungsfindung manipulieren, wodurch der Social Engineer die dem Opfer zugänglich gemachte Information steuern kann. Das nimmt man meist durch eine Mischung aus Prinzipien der Autorität und Knappheit vor. Wenn man beispielsweise sagt: „Der CFO Mr. Smith hat mich angerufen, bevor er ins verlängerte Wochenende gefahren ist, und mich beauftragt, endlich sein E-Mail-Problem zu beheben. Er sagte, er sei diese ewigen Abstürze leid und wolle es unbedingt bis Montag gelöst haben.“ Das sorgt neben der Verknappung auch für Dringlichkeit, denn der CFO ist nicht erreichbar, und das knappe Gut ist hier die Zeit.
Wenn man Verknappung mit anderen Prinzipien mischt, wird der Angriff u.U. noch wirksamer. Jedenfalls schafft die Knappheit Begehrlichkeit, was dazu führt, dass jemand eine Entscheidung trifft, die er hinterher vielleicht bereut.
Das konnte ich letztens gut beobachten, als ein Kühltransporter bei uns an die Auffahrt fuhr. Ein anständig gekleideter junger Mann sprach meine Frau an und erklärte ihr, dass er Vertreter für Fleischwaren sei. Er liefere Fleischwaren an Kunden und wolle gerade zurück zur Firma fahren, als er sie im Garten arbeiten sah. Er begann, über Fleischpreise zu sprechen und wie teuer alles im Supermarkt sei. Meine Frau geht bei ihren Einkäufen sehr preisbewusst vor, also schuf das gleich Rapport. Außerdem hatte er einen sehr angenehmen Südstaatenakzent, sprach sie als „Ma’am“ an und war sehr respektvoll.
Nach ein paar Minuten Gespräch platzte sie mit der Frage heraus, die Verkäufern meist die Sprache verschlägt: „Wie viel soll’s denn kosten?“
Ohne groß mit der Wimper zu zucken, entgegnete er: „Schauen Sie, ich verkaufe die hier schon den ganzen Tag für 400 Dollar pro Container, aber das hier ist mein letzter. Ich würde total gerne zur Firma zurückfahren und meinen Kühlcontainer leer haben, und dafür sollen Sie dann Fleisch in bester Qualität bekommen.“
Oh nein, der letzte Container! Er erzählte ihr, er käme nur etwa alle zwei Monate vorbei. Die Begehrlichkeit wurde dadurch gesteigert, aber meine Frau ist nicht auf den Kopf gefallen. Sie durchschaute, dass sie manipuliert werden sollte. Sie entschuldigte sich kurz und holte mich hinzu.
Er spulte sein Geschwafel noch einmal ab und trug dick mit der Knappheit auf. Natürlich bietet ein solcher Bericht eine Lektion darüber, wie man auf solche Taktiken nicht hereinfällt. Das Problem ist, dass Gefühle mit hineinspielen. Er sah, dass bei uns draußen ein Grill steht, der benutzt aussah, wusste also, dass ich gerne draußen grille, und passte sich dem an. Dann sprach er von der Qualität des Fleisches und verglich die Qualität in Restaurants mit dem, was sich in seinen Containern befand.
Viele Leute wären sehr leicht auf den emotionalen Aspekt seiner Verkaufstour angesprungen. „Was ist, wenn dies wirklich der letzte ist?“ „Er hat recht, das ist wirklich viel billiger als Essen gehen.“ „Er kommt hier zu uns … wir brauchen nicht mal mehr zum Laden fahren.“
Stattdessen zog ich den Taschenrechner heraus und fragte ihn nach dem Betrag für die letzten beiden Container, teilte das durch das Gewicht und fragte meine Frau, wie viel sie normalerweise für ein Pfund Rib-Eye-Steak im Laden bezahlt. Als sie einen Preis unter 3 Dollar pro Pfund nannte, hörte ich einfach auf zu reden. Nun kamen seine Emotionen ins Spiel. Er ruderte, um das Gesicht zu wahren. Dann senkte er den Preis kurzerhand um 150 Dollar. Ich rechnete noch mal nach: immer noch 0,50 Dollar pro Pfund teurer.
Er fing dann an, von Qualität, Bequemlichkeit und allen möglichen anderen Aspekten zu sprechen, die die 0,50 Dollar mehr rechtfertigen sollten. Ich wechselte Haltung und Position, um bei ihm etwas auf Abstand zu gehen und Desinteresse zu zeigen. Ohne weiter darauf einzugehen, ließ er sein Geschwafel ausklingen und bot mir eine weiter Reduzierung von 50 Dollar an. Ich sage: „Tut mir leid, aber ich glaube nicht, dass es das wert ist.“
Dann beging er den klassischen Fehler, der zeigt, wie falsch seine Behauptung der Knappheit war: Er gab weiter nach. „Wie viel würden Sie für einen dieser Container bezahlen?“
„Ich würde wohl 100 Dollar dafür ausgeben.“
„Wenn Sie mir 125 Dollar geben, sind wir im Geschäft.“
Nun erinnern Sie sich bitte, dass er eben noch 400 Dollar pro Container haben wollte und dass dies die letzten beiden in dieser Gegend für die nächsten zwei, drei Monate sein sollten. Dies hätte zu einem Feilschen um die Wette werden können, doch stattdessen ließ ich ihn seine beiden Container wieder einpacken und ohne Geld abrauschen.
Die Lektion aus dieser Story besteht für Social Engineer darin, dass Knappheit entweder real sein muss oder man nicht locker lassen darf, um den Anschein der Realität zu wahren, damit das Argument der Knappheit funktioniert.
Die Menschen schätzen einen Wert höher ein, wenn etwas wirklich benötigt wird. Ein schlimmes Beispiel dafür war, als die Erdölfirmen die Brennstoffpreise nach dem Hurrikan Katrina erhöhten. Man behauptete, Brennstoffe seien wegen der Zerstörungen Mangelware, was zu immensen Preissteigerungen führte. Natürlich wäre der Brennstoff viel wertvoller, wenn das stimmt. Doch das war ein Beispiel für die Behauptung von Knappheit, um Geld zu verdienen. Als von der BP-Ölplattform Millionen Liter Öl in den Golf von Mexiko strömten und das Ökosystem ruinierten, gingen die Brennstoffpreise wegen dieser immensen Verluste eben nicht in die Höhe, sondern fielen sogar. Wie das? Tja, das will ich hier nicht weiter ausführen, aber es beweist den Punkt, dass Verknappung nur dann funktioniert, wenn sie glaubhaft ist. Hier haben die Erdölfirmen versagt, und das kann auch einem Social Engineer passieren.
Vom Standpunkt des Social Engineer ist es so: Je begrenzter oder schwerer erreichbar eine Gelegenheit ist, desto wertvoller wird sie von den Leuten erachtet. Wenn Information als privat, beschränkt und schwer erhältlich eingeschätzt wird und Sie bereit sind, sie mit jemandem zu teilen, haben Sie in dessen Augen gerade einen immensen Wertzuwachs erlebt.
Ein Social Engineer kann die Knappheit von Informationen nutzen, indem er Aussagen wie folgende trifft: „Ich darf das eigentlich nicht sagen, aber …“ oder „Ich bin nicht sicher, ob Sie diese Info schon kennen, aber ich habe mitbekommen, dass …“ Solche Aussagen, in gedämpften Ton gesprochen, implizieren, wie rar die Information ist.
Man ist eher bereit, den Anweisungen oder Empfehlungen einer Person zu folgen, die man als Autorität betrachtet. Es ist eher unüblich, auf jemanden zu treffen, der ausreichend Durchsetzungskraft besitzt, um eine Autorität direkt in Frage zu stellen, vor allem wenn diese Autorität ihm gegenüber Macht hat oder direkt vor ihm steht.
Kindern wird beigebracht, Erwachsenen wie z.B. Lehrern, Ratgebern, Priestern oder Kindermädchen zu gehorchen, weil diese für Kinder Autoritäten darstellen. Oft betrachtet man es als respektlos, eine Autorität in Frage zu stellen, und unterwürfiger Gehorsam hingegen wird belohnt. Diese Prinzipien wirken sich auch aufs Erwachsenenleben aus, weil wir gelernt haben, Autoritätspersonen zu respektieren und Regeln oder Befehle nicht zu hinterfragen, die wir von jenen bekommen, die wir als Autoritäten erachten.
Bedauerlicherweise treibt dieses Prinzip auch viele Kinder in die Hände von Kinderschändern. Natürlich nicht dieses Prinzip allein, aber wer Kindern nachstellt, weiß, was ihnen über Autoritäten beigebracht wurde, und sucht vor allem nach solchen, die folgsam sind. Entsprechend nutzen heimtückische Social Engineers dieses Prinzip, um ihre Ziele zu manipulieren, damit diese Person etwas tun oder lassen, was zu einer Sicherheitslücke führt.
Man muss also verstanden haben, wie man Autorität aus Sicht des Social Engineering einsetzt. Der Soziologe und Nationalökonom Max Weber definierte Autorität in Kategorien, die ich etwas angepasst habe, damit sie besser ins Gebiet des Social Engineering passen.
Legale Autorität
Die legale Autorität basiert auf Regierung und Gesetz. Das gilt generell für Polizeibeamte oder andere Strafverfolger, die die Gesetze des Landes, des Bereiches oder der Einrichtung durchsetzen, in der man sich jeweils befindet.
Für Social Engineers sind Pretexte mit Polizisten oder anderen Behördenvertretern normalerweise illegal. Doch Wachpersonal, Sicherheitsleute in Banken oder andere Autoritätspersonen, die etwas erzwingen oder durchsetzen, können sehr wohl von Social Engineers dargestellt werden.
In einer Episode der BBC-Serie The Real Hustle verkleideten sich Paul Wilson und seine Truppe wie die Wachleute eines Geldtransports. Wenn jemand in einer Uniform auftaucht, die einer echten ähnelt, und sich so verhält, wie eine normale Person in dieser Autorität habenden Position handeln würde, haben die Zielperson wenig Grund zu der Annahme, dass der Betrüger nicht der ist, der er vorgibt zu sein. Sich als Autoritätsfigur auszugeben, ist ein wichtiger Trick, mit dem sich Social Engineers Zugang in eine Firma verschaffen.
Eine andere, ebenso effektive List ist, sich als Anwalt auszugeben, der bestimmte Informationen braucht. Wenn man eine Rolle spielt, die normalerweise von den meisten Menschen gefürchtet oder respektiert wird, ist das ein weiterer Weg, diese legale Autorität einzusetzen.
Organisatorische Autorität
Die organisatorische Autorität ist eine solche, die sich über eine Organisation definiert. Üblicherweise bezieht sich das auf eine Vorgesetztenhierarchie. Jemand in einer Machtposition innerhalb einer Organisation hat mehr Macht und Zugriff auf mehr Informationen als einer, der in dieser Hierarchie ganz unten steht.
Bei einem Social Engineer-Audit kann sich ein Berater als CIO oder eine andere Person mit klar definierter organisatorischer Autorität ausgeben. Der Berater bekommt dann vom Help Desk oder anderen Mitarbeitern möglicherweise Passwörter oder andere Informationen, weil man glaubt, dass die vorgegebene Person über Autorität verfügt.
In einem Papier mit dem Titel „The ›Social Engineering‹ of the Internet Fraud“ schreibt Jonathan J. Rusch vom U.S. Department of Justice: „In der richtigen Situation sind Menschen höchstwahrscheinlich sehr bereitwillig, Zusicherungen von Autorität zu folgen, auch wenn die Person, die behauptet, sich in der Position einer Autorität zu befinden, persönlich nicht anwesend ist“ (www.isoc.org/inet99/proceedings/3g/3g_2.htm).
Dieser Trick wird z.B. auch so verwendet, dass man sich nicht selbst als CFO ausgibt, sondern als vom CFO gesandt oder autorisiert. Die mit diesem Namen und Titel verbundene Autorität kann ausreichen, in den Augen der Zielperson dem Angreifer diese Macht zuzuschreiben.
Rusch zitiert ein Experiment, das von Robert B. Cialdini durchgeführt und in seinem Buch Die Psychologie des Überzeugens (2009) beschrieben wird. Darin wird gezeigt, dass 95 % des Pflegepersonals von 22 Stationen aus drei verschiedenen Krankenhäusern bereit waren, einem Patienten eine gefährliche Dosis eines Medikaments zu geben, nur weil ihnen einer der Forscher, der sich am Telefon als Arzt ausgegeben hat, sie damit beauftragt hat – und sie haben ihn noch nicht einmal persönlich getroffen.
Dieses Experiment zeigt klar, dass man leicht geneigt ist, trotz besseren Wissens aufgrund von Befehlen oder Anordnungen und einer wahrgenommenen Autorität Handlungen auszuführen. Diese Art Autorität wird auch oft benutzt, um Firmen auszubeuten und sie dazu zu bringen, wertvolle Daten weiterzugeben.
Soziale Autorität
Die soziale Autorität bezieht sich auf die „geborenen Anführer“ einer sozialen Gruppe. Diese kann aus Kollegen, Schulfreunden oder irgendeiner anderen Gruppierung von Menschen bestehen.
Cialdini schreibt in Die Psychologie des Überzeugens: „Wenn man automatisch auf eine Autorität reagiert, gibt es die Tendenz, dies oft als Reaktion rein auf die Symbole der Autorität zu machen, anstatt auf dessen Wesen.“
Damit soziale Autorität wirkt, braucht es vielleicht gar nicht übermäßig viel Zeit oder Struktur, um eine respekteinflößende Figur zu definieren. In einem beliebigen Setting reicht ein kurzer Social Proof (siehe weiter hinten in diesem Kapitel), dass jemand soziale Autorität bekommt, wenn man sich durch das Handeln einer Gruppe in seinem eigenen Handeln beeinflussen lässt.
Soziale Autorität kann man beim Social Engineering vorteilhaft einsetzen, indem man die Zielperson nach Informationen fragt oder entsprechend unter Druck setzt. Wenn die Zielperson sich verweigert und somit auch vom Anführer der Gruppe nicht mehr gemocht wird, hat sie wahrscheinlich auch die Gunst der ganzen Gruppe verspielt. Es wird als vorteilhaft betrachtet, sich der sozialen Autorität des Anführers zu beugen.
Soziale Autorität wird erfolgreich eingesetzt, wenn man sie entweder direkt feststellt oder es impliziert wird, dass eine Person oder Gruppe bereits schon so gehandelt hat, wie es der Angreifer jetzt einfordert: „Gestern hat mich der CFO hergeschickt, damit ich mich um dieses Problem kümmere, und Joe hat mich reingelassen, alle meine Zugangsberechtigungen überprüft. Hat er sie in die Akte eingetragen?“ Eine solch einfache Feststellung nutzt mehrere Formen der Autorität:
Wenn Sie sich ohne Nachzudenken einer Autorität beugen, reagieren Sie womöglich auf die Symbole der Autorität als auf die Realität. Drei Autoritätssymbole sind in westlichen Ländern besonders wirksam: Damit kann man andere für ihre Folgsamkeit (Compliance) belohnen (und braucht keinen anderen Beweis der Autorität):
• Titel
• Kleidung
• Fahrzeuge
In einem Interview, das ich mit Dr. Ellen Langer führte, einer Psychologin und Forscherin über Überredung und Beeinflussung von der Uni Harvard (www.social-engineer.org/episode-007-using-persuasion-on-the-mindless-masses/), sprach sie ausführlich über Gedankenlosigkeit. Sie stellte fest, dass Menschen oft einen Großteil ihrer Arbeit in einem Zustand ausführen, bei dem sie nicht viel nachdenken. Anders gesagt: Sie fliegen mit Autopilot. In diesen Positionen ist der Missbrauch der Autoritätsrolle sehr gefährlich. Eine wahrgenommene Autorität kann jemanden unter Autopilot grenzenlos reagieren lassen.
Mit der richtigen Kleidung, Körpersprache und schon einer falschen Visitenkarte ist es vielen Social Engineers gelungen, eine Gehorsam heischende Position zu beziehen, während ihre Zielpersonen im Autopilot blieben.
Auch andere Formen der Autorität können für einen Social Engineer ins Spiel kommen, aber die hier dargestellten werden am häufigsten eingesetzt. Autorität ist eine sehr wirksame Kraft, wenn es um die Beeinflussung anderer geht, und nur ein bisschen Argumentation und Informationssammlung reicht, dass ein Social Engineer einen autoritären Pretext zum eigenen Vorteil nutzen kann.
6.2.6 Commitment und Konsistenz
Die Menschen schätzen bei anderen konsistentes Verhalten und wollen auch selbst konsistent erscheinen. Im Allgemeinen wollen die Leute wohl, dass ihre Worte, innere Einstellung und Taten konsistent und kongruent sind. Die Konsistenz reduziert den Bedarf, Informationen neu zu verarbeiten, und bietet für komplexe Entscheidungen Abkürzungen.
Das Bauchgefühl, also jene Momente, wo Sie spüren, ob eine Handlung gut oder schlecht, richtig oder falsch ist, basiert auf früheren Erfahrungen. Das ist oft ein Anzeichen, ob eine getroffene Entscheidung gegen bereits vorhandene Gefühle oder Überzeugungen verstößt. Diese Signale deuten oft darauf hin, dass man sich genötigt fühlt, einer Sache zuzustimmen, die man eigentlich nicht will.
Ein Bauchgefühl kann auch wirksam werden, wenn man sich für etwas verpflichten soll (auch Commitments genannt). Ihr Bauchgefühl könnte Sie darauf hinweisen, dass es vielleicht ein Fehler war, sich für etwas zu „committen“. Sie können sich die Frage stellen: „Würde ich mit meinem heutigen Wissen, wenn ich wieder vor der gleichen Entscheidung stände, die gleiche Verpflichtung eingehen?“
Bevor wir uns anschauen, wie ein Social Engineer durch Konsistenz dafür sorgt, dass jemand sich committet, wollen wir uns drei Beispiele vornehmen, die diesen Aspekt besonders verdeutlichen.
• Marketing: Firmen geben oft außergewöhnlich hohe Summen Geld aus, um Marktanteile zu bekommen. Eigentlich haben sie keinen wirklichen Gewinn, aber sie kämpfen darum, in diesem Bereich zu bleiben, den sie für profitabel halten. Coca-Cola und Pepsi sind zwei gute Beispiele dafür, wie man im Laufe der Jahrzehnte über Marketing darum kämpft, sichtbar zu bleiben, und doch wird ein Werbespot oft kaum jemanden veranlassen, von Pepsi zu Coke zu wechseln. Weil die beiden Firmen sich dem Krieg gegeneinander „committet“ haben, scheint es so zu sein, dass wenn die eine mit einem neuen Produkt oder einer neuen Marketingidee herauskommt, die andere auch nicht zurück steht.
• Auktionen: Die gesteigerte Beliebtheit solcher Online-Auktionshäuser wie eBay zeigt dieses Prinzip deutlich. Man hat das Gefühl der Verpflichtung, wenn man auf etwas geboten hat und überboten wurde, dann spürt man den Druck, erneut zu bieten. Gelegentlich erhöht man das Gebot über die Vernunftgrenze hinaus, weil man sich verpflichtet fühlt. Ein klassisches Beispiel davon ist, als Robert Campeau Bloomingdale’s kaufte. Er zahlte 600 Millionen Dollar mehr als das, was es wert war. Max Bazerman, Autor von Negotiating Rationally, zitiert einen Journalisten des Wall Street Journal: „Wir haben es nicht mehr mit Preisen zu tun, sondern mit Egos …“
• Jahrmärkte, Spielkasinos usw.: Sobald es ums Zocken oder um Spielkasinos geht, gibt es ein größeres Risiko, dass die Menschen durch Commitments und Konsistenz überredet werden sollen. Der Kolumnist Ryan Healy, ein Online-Marketing-Berater, beschreibt in einer Story, wie er mit seiner Tochter in den Zirkus ging (www.ryanhealy.com/commitment-and-consistency/). Er fuhr 40 Minuten, um dorthin zu kommen, gab 44 Dollar für die Tickets aus und 5 Dollar fürs Parken. Er hatte sich fest vorgenommen, in den Zirkus zu gehen. Als er mit seiner Tochter schließlich drin war, wollte sie unbedingt Zuckerwatte haben. Den Wunsch wollte er ihr gerne erfüllen und drückte ihr 5 Dollar dafür in die Hand. Das sollte ja für Zuckerwatte reichen, oder? Als der Verkäufer vorbeikam und sagte, dass eine Tüte 12 Dollar koste, wie hätte er da von seiner Zusage zurückrudern können? Das ging nicht, und darum zahlte er schließlich 12 Dollar nur für Zuckerwatte.
Konsistenz in diesem Zusammenhang wird definiert als das, was man basierend auf früheren Erfahrungen oder Erwartungen erwarten kann. Diese Erfahrung oder Erwartung kann eine Zielperson zu Handlungen motivieren, die für eine Bresche in der Sicherheit sorgen können. Wenn der Kollege vom technischen Kundendienst kommt, wird erwartet, dass er zum Serverraum geht. Diese Anforderung ist konsistent mit früherer Erfahrung und Erwartung. Wenn der Zugang zum Serverraum erbeten wird, wird diese Bitte auch eher erfüllt, weil diese mit der Erwartung konsistent ist.
Commitment und Konsistenz können starke Einflussfaktoren für die meisten Menschen sein, um Handlungen auszuführen, Informationen weiterzugeben oder Geheimnisse zu enthüllen.
Ein Social Engineer kann Commitment und Konsistenz mit zu den wirkungsvollsten Tools in seinem Arsenal machen. Wenn es einem Social Engineer gelingt, dass sich seine Zielperson für eine Kleinigkeit committet, ist es meist nicht sonderlich schwer, dieses Commitment weiter auszubauen.
In seinem Buch Die Psychologie des Überzeugens schreibt Robert Cialdini:
Der Schlüssel, um die Prinzipien Commitment und Konsistenz zur Manipulation einzusetzen, besteht im ersten Commitment. Das heißt, nachdem man ein Commitment eingegangen ist oder eine Stellung bzw. Position bezogen hat, ist man eher geneigt, Anfragen bereitwillig zu erfüllen, die mit dem vorigen Bekenntnis konsistent sind. Viele Profis der Compliance werden versuchen, andere in eine Anfangsposition zu bringen, die mit einem Verhalten konsistent ist, das sie später abfragen oder einfordern werden.
Der Social Engineer, der die Technik von Commitment und Konsistenz einsetzen möchte, versucht normalerweise, die Zielperson dazu zu bringen, eine kleine Information preiszugeben, die in Richtung des letztendlichen Ziels geht. Indem der Angreifer die Zielperson dazu bringt, konsistent mit etwas zu sein, was sie bereits gesagt hat, schafft er es möglicherweise, dass die Zielperson noch mehr verrät.
Andererseits muss der Angreifer auch selbst konsistent mit dem bleiben, was er verlangt. Er sollte mit kleinen Dingen beginnen und die Sammlung von Informationen dann ausbauen.
Um ein unrealistisches Beispiel anzubringen: Ein Angreifer sollte natürlich nie gleich als Erstes nach den Freigabecodes für die Atomraketen fragen. Dieses Anliegen wird abgelehnt, und der Angreifer hat kaum noch andere Optionen als zurückzurudern. Doch wenn man klein anfängt und stetig den Wert der angefragten Information ausbaut, wirkt das wie eine natürlichere Steigerung und wird dem Opfer nicht so offensichtlich erscheinen.
Langsam und progressiv vorzugehen, kann für Social Engineers eine Herausforderung darstellen, weil sie oft ungeduldig sind und das „Passwort“ jetzt sofort haben wollen. Wenn man gelassen weitermacht und geduldig bleibt, lohnt sich das hingegen. Sie sollten einen Pfad klar definieren und ihn vielleicht sogar schriftlich festhalten, um ihn bei jedem Audit zu nutzen. Dann gehen Sie mit klar definierten Zielen und einem Pfad, wie man sie erreicht, ins Audit.
In Abbildung 6.2 zeige ich Ihnen auf einem Diagramm, wie Social Engineers sich diesen Pfad visualisieren, über Commitment und Konsistenz Informationen zu bekommen.
Gelingt es, dass sich die Zielperson verbal zu einer bestimmten Handlung committet, zwingt dies die Zielperson in eine bestimmte Handlungsrichtung. Cialdini stellt fest: „Die Regel Commitment und Konsistenz besagt, dass wenn wir erst mal eine Entscheidung getroffen haben, dann spüren wir Druck von anderen und uns selbst, sich konsistent zu dieser Entscheidung zu verhalten. Man kann sich abhängig von früheren Handlungen dazu zwingen (lassen), entweder gute oder schlechte Entscheidungen zu treffen.“
Vielleicht haben Sie so etwas schon mal gespürt, als Sie Ihrer Gattin oder Ihrem Ehemann gesagt haben, dass Sie abnehmen wollen. Dieses verbale „Commitment“ führt zu einem großen Druck, die eigene Seite der „Abmachung“ einzuhalten.
Manchmal ist es sehr schwer oder fast unmöglich, am Ende sein Wort nicht einzuhalten. Jeder hat bestimmt schon mal die Worte „Tut mir leid, ich habe meine Meinung geändert“ wenigstens einmal im Leben gemurmelt. Tun wir das, lassen wir den Kopf beschämt hängen, die Stimme sinkt in den Keller, und wir klingen traurig. Warum? Wir haben gerade ein Versprechen gebrochen, das wir eingegangen sind, und deswegen fühlen wir uns schuldig.
Abb. 6.2: Klare Definition der eigenen Ziele sorgt dafür, dass Sie ein Informations-Commitment bekommen.
Auch kleine, scheinbar unwesentliche Commitments können ausgenutzt werden. Beispielsweise laufen Telefonate von Bittstellern oft ungefähr so ab:
Anrufer: „Hallo, wie geht es Ihnen denn heute so?“
Sie antworten: „Oh, ich fühle mich recht gut.“
(Achtung jetzt, nun kommt der Haken:) „Das ist schön zu hören, denn manche Leute, denen es nicht so gut geht, könnten Ihre Hilfe gebrauchen.“
Sie können das Gesagte nun nicht mehr zurücknehmen, weil es Ihnen immer noch gut geht und Sie dazu stehen.
Das soll nun nicht heißen, dass Sie so paranoid sein müssen, nicht mal einfache Fragen beantworten zu dürfen, ohne Angst vor einer Ausnutzung zu haben, aber es muss Ihnen klar und bewusst sein, dass ein Commitment nicht bedeutet, dass Sie sich für alles verpflichten müssen, was darauf folgt – eine ganz wesentliche Feststellung! Ich habe mal mit einem zusammengearbeitet, der buchstäblich alle dazu bringen konnte, die schlimmsten Aufgaben zu übernehmen, und alle hielten das dann auch noch für ihre eigene Idee! Als Methode hat er u.a. dafür gesorgt, dass sich die Leute committet haben.
Wenn man sich darauf eingelassen hatte, ihm bei bestimmten Dingen zuzustimmen, was praktisch unmöglich war, weil er einen dazu brachte, vorab schon mal „ja“ zu sagen, dann musste man auch immer weiter „ja“ sagen. Mit diesen Zustimmungen rückte man immer weiter in eine bestimmte Richtung, und schnell hatte er einen dort, wo er einen brauchte: nämlich eine von ihm vorgegebene Aufgabe zu übernehmen.
Seien Sie sich darüber im Klaren, dass Sie auch „Nein“ sagen können. Das bewahrt Sie davor, sich auf etwas festnageln zu lassen, was in die Katastrophe führt. Doch manchmal überzeugen wir uns selbst, dass „Nein“ zu sagen irgendeine Form von Todsünde ist, für deren Vergebung man viele Gebete sprechen muss.
Bei dem vorigen Beispiel mit dem Fleischverkäufer ist meine Frau eine sehr selbstbewusste Person gewesen. Weil sie wusste, dass sie vielleicht durch ein „scheinbar tolles Angebot“ manipuliert werden könnte, kam sie herein, um mich zu holen, weil ich kein „Trottel“ bin.
Eines der besten Beispiele, die ich kenne und die wirklich die Macht des Commitments zeigen, ist ein von Dr. Thomas Moriarty 1972 durchgeführtes soziales Experiment. Er schickte seinen Assistenten als „Opfer“ mit einem Kofferradio an den Strand. Das Opfer saß in seinem Stuhl und hörte etwa zehn Minuten Radio, stand dann auf und holte sich einen Drink.
Als er weg war, kam ein anderer Assistent als „Krimineller“, um das Radio zu „klauen“. Keiner wusste, dass beide zusammenarbeiteten. Nur 4 von 20 Personen, also nur 20 %, hielten den Dieb davon ab, das Radio mitzunehmen.
In der nächsten Runde legten die Forscher noch einen drauf. Bevor das „Opfer“ wegging, um sich den Drink zu kaufen, bat es einen der Sonnenanbeter neben ihm, auf das Radio aufzupassen. Was meinen Sie wohl, hat sich nun geändert?
Nun hielten 19 von 20 Leuten den Dieb auf, und manche wurden dabei auch handgreiflich. Woher der erstaunliche Unterschied? Commitment und Konsistenz. Der Forscher kümmerte sich um ein Commitment der anderen in seiner Umgebung, und das sorgte dafür, dass alle konsistent mit diesem Commitment handeln mussten. Meines Erachtens zeigt diese erstaunliche Statistik die Macht dieser Beeinflussungsmethode.
Ein Social Engineer kann diese Methode der Beeinflussung effektiv nutzen, um eine Zielperson zu einer wenn auch nur kleinen Handlung oder einem kleinen „Ja“ zu verleiten, und dieses Commitment dann zu weitreichenderen Aktivitäten ausbauen.
Die Leute mögen die Leute, die sie auch mögen. Mag dieser Satz auch ein Zungenbrecher klingen, ist es doch eine sehr wahre Feststellung. Wenn Sie die ganze Tiefe dieser Aussage verstehen, nähern Sie sich deutlich der Beherrschung der Überredung.
Wenn ich davon spreche, die Tiefe zu verstehen, meine ich das wirklich so, denn dieser Satz birgt mehr, als auf den ersten Blick ersichtlich ist.
Diese Feststellung besagt nicht, dass Menschen, die Sie mögen, gut reagieren. Vertretern wird oft beigebracht, dass Leute dann anderen etwas abkaufen, wenn sie sie mögen. Das stimmt, ist aber hier nicht der Punkt. Es besagt auch nicht, dass man Sie mögen muss: Vielmehr besagt dieser Satz, dass Sie Menschen mögen müssen, und dann werden Sie im Gegenzug auch gemocht.
Diese Aufgabe ist nicht so einfach, wie sie klingt, weil man nicht heucheln kann, jemanden zu mögen. Wie in Kapitel 5 angesprochen, sind Lächeln und Glück nur äußerst schwer vorzutäuschen. Sie müssen in die Situation hineingehen und sich wirklich um die Person kümmern wollen, die beeinflusst werden soll. Sich um andere Menschen und deren Gefühle zu kümmern, ist keine Standardpraxis des böswilligen Social Engineer, und somit verlässt er sich oft auf Charme. Charme funktioniert kurzfristig, aber auf lange Sicht braucht man diesen praktizierten und erlernten Skill, andere zu mögen.
Dieses Gefallen-Finden an etwas wird beim Marketing extensiv eingesetzt. 1990 veröffentlichten Jonathan Frenzen und Harry Davis eine Studie mit dem Titel „Purchasing Behavior in Embedded Markets“ (www.jstor.org/pss/2626820), in der untersucht wurde, warum Tupper-Partys so erfolgreich sind. All ihre Recherchen führten zu diesem Prinzip des einander Mögens.
Die Forscher schlossen daraus, dass die meisten Leute kaufen, weil sie möchten, dass die Gastgeberin glücklich und zufrieden ist, weil sie einer Freundin helfen möchten und weil sie gemocht werden wollen. Wie peinlich ist das, wenn man zu einer solchen Party geht und nichts kauft! Die Furcht davor, nicht gemocht zu werden, treibt die meisten Leute bei diesen Partys zum Kauf, und das hat wenig damit zu tun, mehr Tupperware zu brauchen.
In anderen Studien und Untersuchungen wurde das Vertrauen, das die Leute beim Annehmen von „Tipps oder Ratschlägen“ durch von ihnen als Freunde betrachteten Menschen verglichen mit dem Vertrauen, das sie völlig Fremden (oder schlimmer noch: Menschen, die sie nicht mögen) entgegenbringen. Ein Freund kann einem schlechte Ratschläge geben, und denen folgt man noch eher als einem guten Rat von einer Person, die man nicht mag.
Vom Social Engineer-Aspekt aus ist das Konzept des Gemochtwerdens ein sehr mächtiges Tool. Man muss nicht nur so sympathisch sein, dass man gemocht wird und das Vertrauen anderer gewinnt, sondern man muss auch wirklich echt an Menschen interessiert sein. Dieses Konzept geht zurück auf die Diskussion des Pretexting aus Kapitel 4. Wenn Sie einen Pretext verfolgen, handeln Sie nicht nur aufgrund einer Idee oder Überzeugung, sondern Sie müssen zu der Person werden, die Sie als Pretext haben. Diese Rolle ist das, worum es in Ihrem Leben geht. Wenn Sie das machen können, wird der Schritt des Gernhabens einfacher. Ihr Pretext wird darin bestehen, dieser Person wirklich aufrichtig helfen oder unterstützen zu wollen oder sie gerne zu haben.
Ein letzter, für Sie als Social Engineer wichtiger Aspekt dieses Gernhabens ist die körperliche Attraktivität. Die Menschen neigen automatisch dazu, jene zu „mögen“, die sie attraktiv finden. So eitel das klingen mag, ist es doch wahr. Manche ernsthafte psychologische Prinzipien belegen diese Idee.
Was schön ist, ist auch gut. 1971 führten Berscheid, Walster und Dion eine Studie durch und gaben ihr genau diesen Titel: „Was schön ist, ist gut“. Darin deckten sie einige wesentliche Erkenntnisse auf. Die Teilnehmer dieser Studie sollten Fotos dreier Personen nach ihrer geringen, mittleren und hohen Attraktivität beurteilen. Allein anhand der Fotos sollten sie auch Charaktereigenschaften, allgemeine Zufriedenheit und Karriereerfolg einschätzen.
Dann stellten sie die Einschätzungen zusammen und bildeten den Mittelwert: So fanden sie heraus, dass Personen, die man für attraktiv hielt, sozial begehrter waren, bessere Beschäftigungen bekamen, zufriedener und erfolgreicher waren. Die Studie bewies, dass Menschen dazu neigen, Schönheit mit anderen Erfolgsqualitäten zu verknüpfen. Außerdem verändert Schönheit ihre Meinungen und die Bereitschaft, schönen Menschen zu trauen.
Diese Studie ist ein Beispiel für ein Phänomen namens Halo-Effekt (von engl. halo, Heiligenschein), wo eine bestimmte Eigenschaft die anderen Qualitäten der Person beeinflusst oder erweitert. Nachgewiesenermaßen wirkt sich das auch auf die Entscheidungen einer Person aus mit einer Tendenz, sich auf die guten Eigenschaften der anderen Person zu konzentrieren. Ich habe eine Kopie dieser erstaunlichen Studie unter www.social-engineer.org/wiki/archives/BlogPosts/BeautifulGood.pdf abgelegt.
Mit anderen Worten: Wenn jemand Sie als schön betrachtet, dann wird diese gute Eigenschaft auf andere Annahmen und Urteile ausgedehnt, die sich diese Person von Ihnen macht. Dieser Halo-Effekt wird oft auch im Marketing eingesetzt. Schöne Menschen trinken, essen oder tragen bestimmte Produkte. Andere nehmen dann automatisch an, dass diese Waren gut sein müssen. Wahrscheinlich geht der Gedankengang etwa in Richtung „Nun, die Ware muss gut sein, wenn dieser schöne Mensch sie benutzt.“
Kürzlich sah ich eine Werbung im Fernsehen, bei der das besonders deutlich wird: Darin griff man scherzhaft, aber auf intelligente Weise Marketingmechanismen auf. Eine attraktive junge Frau erscheint auf dem Bildschirm und ist wunderschön gekleidet. Sie sagt: „Hallo, ich bin eine glaubwürdig attraktive Frau und zwischen 18 und 24 Jahren alt.“
Das ist wirklich eine geniale Marketingidee, eine attraktive Frau zu verwenden, die nicht außerordentlich, sondern glaubhaft real schön ist, also jemand, zu dem wir normalen Leute aufschauen können. Wir können ihr Alter nicht wirklich präzise feststellen, aber wegen ihrer Schönheit wird sie irgendwo zwischen 18 und 24 Jahre alt sein.
„Sie können sich auf mich beziehen, weil ich von der Rasse her nicht eindeutig bin.“
Schon wieder so eine geniale Marketingidee. Sie ist weder schwarz noch weiß oder Native American – das lässt sich schwer sagen, doch sie könnte eine Mischung aus allem sein, ist also für viele Rassen attraktiv und für die meisten nicht unerfreulich.
„Ich bin in diesem Werbespot, weil Marktforschungen ergeben haben, dass Girls wie Sie Girls wie mich lieben.“
Ihre Schönheit und Zuversichtlichkeit bringen uns dazu, sie zu mögen. Sie ist gut gekleidet, spricht angenehm und wir wollen sie kennenlernen.
Die Kamera wechselt dann zwischen verschiedenen Aufnahmen der Dinge, die sie macht, z.B. Kickboxen, Cheerleading und mit Blumen spielen. Indem die Betrachter sehen, dass sie all diese Dinge machen kann und dabei so schön bleibt, wie sie ist, nehmen wir sie als stark und kraftvoll war und auch alles, was sie macht, als gut.
„Nun werde ich Ihnen sagen, dass Sie etwas kaufen sollen …“
Dann geht sie dazu über, den Kauf von Tampons anzuraten. Dieser Werbespot ist genial, weil der Konsument hier vom Werber genau erfährt, mit welchen Methoden er zum Kauf gebracht werden soll. Doch trotz alledem liegen diesem Spot das Prinzip des Gernhabens und der Halo-Effekt zugrunde.
Wenn Sie all dies über die Bedeutsamkeit des Gernhabens wissen, was können Sie machen? Mir ist es schon schwer genug gefallen, zu einem attraktiven Mann zu werden, von einer attraktiven Frau ganz zu schweigen. Endlose Besuche bei meinem Schönheitschirurgen sind nun nicht mehr drin. Gibt es also irgendwas, was ein Social Engineer machen kann, um dieses Prinzip gewinnbringend einzusetzen?
Kennen Sie Ihr Ziel. Machen Sie sich klar, was für Ihr Gegenüber akzeptabel ist und was nicht. Wie kleidet es sich und was betrachtet es als gut und schlecht? Zu viel Schmuck, Make-up oder ein anderer Aspekt der Kleidung, und das Ziel geht auf Abstand. Nehmen wir an, Sie machen ein Audit eines Arztbüros, und Ihr Pretext ist Pharmavertreter. Sie wissen, dass die meisten Vertreter Anzug tragen, perfekt frisiert sind und selbstbewusst aussehen und handeln und gut duften, das ist eine Eigenschaft vieler attraktiver Leute. Also würden Sie mit einem Irokesenschnitt und Piercings im Gesicht mehr Aufmerksamkeit auf sich selbst ziehen als auf Ihr Ziel.
Sie müssen Ihr Ziel kennen, damit es Ihnen gelingt, genauso auszusehen, wie sich Ihre Zielperson das vorstellt. Tragen Sie Kleidung, Frisuren, Schmuck und Make-up, von dem die Zielperson weder schockiert, überrascht noch abgeschreckt ist. Es bringt sehr viel, wenn Sie es schaffen, Ihr Gegenüber zu beruhigen oder in Sicherheit zu wiegen, indem Sie eine Atmosphäre schaffen, in der Sie gemocht werden: Das schafft Vertrauen und führt zum Erfolg.
Ein Social Engineer sollte auf Dinge achten, über die er seiner Zielperson Komplimente machen kann. Wenn Sie sich mit einer Zielperson beschäftigen, sollten Sie – wenn es passend ist – das Gespräch mit einfachen schmeichelhaften Fragen einleiten (z.B. „Das sind aber schöne Schuhe, wo haben Sie die denn gekauft?“). Den Leuten gefällt die positive Verstärkung. Wenn einer Komplimente bekommt, dann neigt er dazu, weiter in Kontakt zu gehen, um noch mehr positive Verstärkung zu bekommen. Diese Komplimente tendieren dazu, das Selbstbild der Zielperson aufzubauen, und geben ihr das Gefühl, als hätten Sie ein über Gebühr großes Verständnis für sie.
An der University of Minnesota erschien ein Papier über diese Verstärkung (www.cehd.umn.edu/ceed/publications/tipsheets/preschoolbehaviortipsheets/posrein.pdf), in dem festgestellt wird, dass zuviel positive Verstärkung einen negativen Effekt haben kann. Es wird als Sättigung bezeichnet, was bedeutet, dass die Bekräftigung ihre Wirkung verliert, wenn sie zu häufig gegeben wird. Um diesem Effekt entgegenzuwirken, können Sie die positive Verstärkung mit einer Frage untermauern. Diese Methode verstärkt positives Verhalten oder Einstellungen, aber macht die Leute auch glücklich, weil sie über sich selbst sprechen können.
Vier Schritte helfen Ihnen dabei, dass die Leute Sie gern haben:
1. Projizieren Sie eine zuversichtliche und positive innere Einstellung.
2. Schaffen Sie Rapport.
3. Stimmen Sie sich anhand der bereits erwähnten Methoden auf Zielperson und Umgebung ein.
4. Kommunizieren Sie effektiv.
In seinem Buch How to Make People Like You in 90 Seconds schreibt Nicholas Boothman: Menschen entscheiden bei einem Treffen in den ersten zwei Sekunden, ob sie diese Person mögen. Nachdem man einen Eindruck gemacht hat, wird es schwer, diesen zu ändern. Boothman rät dazu, mit einer guten inneren Einstellung in die Interaktion zu gehen. Wenn man in der Lage ist, sich in vielen verschiedenen Situationen zu engagieren und effektiv zu kommunizieren, sorgt das dafür, dass man leichter gemocht wird. Was Sie auf andere projizieren, ist das, was diese dann auch fühlen. Ihr Gesichtsausdruck, die Körpersprache, Kleidung usw. – alles sollte eine gute, positive Haltung ausstrahlen.
Boothman spricht in seinem Buch über wesentliche Dinge, wenn man gemocht werden will, z.B. viele Fragen zu stellen, aktiv zuzuhören und daran interessiert zu sein, was andere sagen. Wenn Sie sich so verhalten, ist das hilfreich dabei, dass andere Sie mögen.
Als Social Engineer muss man das u.U. üben, aber in den Audits bringt es sehr viel, wenn man gemocht wird.
6.2.8 Übereinstimmung oder Social Proof
Der Zuschauereffekt Social Proof (etwa: sozialer Beweis) ist ein psychologisches Phänomen, das in sozialen Situationen vorkommt, wenn Menschen nicht erkennen können, welcher Verhaltensmodus angemessen ist. Sie wissen schnell, ob ein Verhalten angemessen ist, wenn Sie sehen, wie andere auf bestimmte Weise reden oder sich verhalten. Der soziale Einfluss im Allgemeinen kann zur Konformität von großen Gruppen führen, die sich entweder für das Richtige oder Falsche entscheiden. Dieses Verhalten ist üblich, wenn man sich in unvertrauten Situationen begibt und keinen Bezugsrahmen besitzt, wie mit der Situation umzugehen ist. Man spiegelt das Verhalten anderer, von denen man annimmt, dass sie mit der Situation vertrauter und deswegen besser informiert sind.
In seinem Buch Die Psychologie des Überzeugens stellt Dr. Robert Cialdini fest: „Social Proof – die Menschen machen Sachen, die sie auch bei anderen sehen. Bei einem Experiment stellten sich mehrere Eingeweihte hin und schauten in den Himmel. Umstehende haben dann auch den Blick in den Himmel gehoben, um zu erkennen, was es da zu sehen gibt. Dieses Experiment musste dann abgebrochen werden, weil so viele Leute nach oben schauten, dass sie den Verkehr störten.“
Ich werde einige hervorragende Beispiele für Social Proof nennen, denen Sie entnehmen können, wie wirksam dies ist. Versuchen Sie festzustellen, ob Sie darauf schon mal hereingefallen sind.
Dieser Zuschauereffekt wird auch intensiv beim Marketing eingesetzt. Er wird im Verkauf genutzt, wenn hohe Verkaufszahlen veröffentlicht werden und so potenziellen Kunden demonstriert wird, wie beliebt das Produkt ist. Ein anderes Beispiel wäre, dass Firmen Hemden mit aufgedruckten Logos oder Slogans herausbringen: Hier billigt der Träger dann implizit das Produkt bzw. die Firma (engl. endorsement).
Social Proof wird nicht nur von großen Gruppen beeinflusst, sondern auch von Personen, die in der Öffentlichkeit stehen. Eine bekannte Persönlichkeit, die mit einem Produkt verknüpft wird, sorgt beispielsweise dafür, dass auch andere mit den positiven Eigenschaften dieser Persönlichkeit in Verbindung stehen wollen. Darum verwenden sie dann das gleiche Produkt.
Viele Beispiele existieren für diese Unterstützung durch Prominente:
• Ein großer Hersteller von Baskenmützen konnte Samuel L. Jackson dafür gewinnen, sein Produkt zu unterstützen, den Kangol-Hut.
• Bis zum Jahr 2010 erhielt Marija Jurjewna Scharapowa mehrere Millionen Dollar, um Canon-Produkte zu bewerben.
• Catherine Zeta Jones bekommt insgesamt 20 Millionen Dollar, weil sie in TV-Spots und Werbeanzeigen T-Mobile-Produkte unterstützt.
• 2009 bekam Tiger Woods 100 Millionen Doller für seine Unterstützung von Produkten abseits des Grüns, z.B. von AT&T, Gatorade, Gillette, Nike Gold und TAG HEUER, um nur einige zu nennen.
• Michael Jordan verdient immer noch 45 Millionen Dollar pro Jahr für seine Nike-Endorsements.
Es gibt sogar noch ungewöhnlichere Endorsements von Prominenten, z.B.:
• Ozzy Osbourne für I Can’t Believe It’s Not Butter
• Michail Gorbatschow für Louis Vuitton
• Ben Stiller für das alkoholische Getränk Chu High für japanische Verbraucher
Warum geben Firmen so viel Geld aus, damit Prominente ihre Produkte unterstützen?
So funktioniert eben Social Proof: Wenn man berühmte Leute sieht, die bestimmte Produkte tragen, und man bewundert diese Leute und himmelt sie an, dann ist es, als bekäme man direkt von dieser Person gesagt, wie toll das Produkt ist, wenn die Prominenten es nutzen oder auch nur darüber sprechen. Viele betrachten es als soliden Beweis, dass diese Produkte jeden Cent wert sind.
Beim Marketing setzt das Unternehmen auf den Beweis, dass seine Kopfbedeckungen zu den heißesten Hüten auf dem Markt gehören, weil Samuel L. Jackson sie eben auch trägt.
Die Werbeleute sagen oft Dinge wie „meistverkauftes“ oder „meistgefragtes Produkt“, um uns als Kunden davon zu überzeugen, wie viel Resonanz diese Behauptungen bei uns haben.
Die Website Media-Studies.ca postete einen Artikel darüber, wie man Zielperson mit Social Proof beeinflusst (www.media-studies.ca/articles/influence_ch4.htm):
Durch Experimente mit Lachen vom Band fand man heraus, dass ein Publikum länger und öfter lacht, wenn humorvolles Material präsentiert wird, und dass man dieses Material auch als lustiger beurteilt. Außerdem gibt es Belege, dass solche Lachkonserven für schlechte Witze am effektivsten sind. Die Frage stellt sich: Warum funktioniert das – zumal dieses Gelächter vom Band oft so offensichtlich gefakt ist? Um diese Frage zu beantworten, postuliert Cialdini das Prinzip des Social Proof: „Wir finden u.a. dadurch heraus, was gerade korrekt ist, wenn wir schauen, was andere für korrekt halten … Wir betrachten ein Verhalten in einer bestimmten Situation als eher korrekt in dem Grad, wie wir andere dabei beobachten, ob sie genauso tun.“
So wie bei den anderen „Waffen der Beeinflussung“ erlaubt Social Proof uns Abkürzungen, die für uns normalerweise gut funktionieren: Wenn wir uns dem um uns herum beobachteten Verhalten konform verhalten, laufen wir weniger Gefahr, einen sozialen Fauxpas zu begehen. Die Tatsache, dass Lachen vom Band im Publikum eine automatische Reaktion provoziert, lässt darauf schließen, dass akustische Impulse machtvolle Stimuli sind, weil sie uns auf einer Bewusstseinsebene beeinflussen, die man nur schwerlich kritisieren kann.
Barkeeper legen beispielsweise schon mal ein paar Münzen oder Scheine in ihren Trinkgeldtopf. Wenn ein Kunde kommt und etwas bestellt, lautet die Botschaft logischerweise: „Viele Leute haben mir schon Trinkgeld gegeben, warum nicht auch Sie?“ Und es funktioniert auch!
Eine der tiefschürfendsten Forschungen in diesem Bereich wurde 1978 von Dr. K.D. Craig durchgeführt. Dr. Craig widmete sein Leben dem Studium von Schmerz und seinen Wirkungen auf Menschen. 1978 veröffentlichte er ein Papier mit dem Titel „Social Modeling Influences on Sensory Decision Theory and Psychophysiological Indexes of Pain“ (www.ncbi.nlm.nih.gov/pubmed/690805?dopt=Abstract), in dem er sein Experiment beschreibt.
Dieses Experiment lief darauf hinaus, dass er seine Testpersonen Elektroschocks aussetzte und sie hinterher aufforderte, den Grad des Schmerzes zu beurteilen. Dann verwendete er ähnliche, aber variierende Elektroschocks, aber beim nächsten Test war eine Person anwesend, die für den Schmerz „tolerant“ war, ihn also „besser“ aushielt. Nun war es, als hätte sich ein Zaubermantel über die Testperson gelegt, denn nun war sie dem Schmerz gegenüber duldsamer.
Dieses Experiment verweist auf die Tatsache, dass man in seiner Motivation, Schmerz zu zeigen, ihm Ausdruck zu verleihen oder wahrzunehmen, auch davon gesteuert wird, wie sich andere in der eigenen Umgebung verhalten. Die Teilnehmer der Studie wirkten nicht nur, als ob es weniger weh tat: Sogar Hautreaktionen und Herzschlag verrieten tatsächlich eine geringere Schmerzreaktion, wenn eine duldsame Person anwesend war.
Ein spaßiges Beispiel für die Macht des Social Proof finden Sie in einem Video der alten TV-Serie Candid Camera (Versteckte Kamera) unter www.social-engineer.org/framework/Influence_Tactics:_Consensus_ or_Social_Proof.
In diesem Video sehen Sie Personen, die so beeinflusst werden, dass sie in einem Fahrstuhl die Blickrichtung ändern, teilweise sogar einfach nur die Rückwand des Lifts anstarren, nur weil alle anderen das auch machen. Im Fahrstuhl standen vier bis fünf Fahrgäste als Kunden. In bestimmten Zeitabständen drehten sich die Teilnehmer gemeinsam nach links oder rechts oder schauten zusammen in Richtung Fahrstuhlrückwand. Nach ein paar Sekunden, so zeigt die versteckte Kamera, gibt das arglose Subjekt nach und dreht sich in die gleiche Richtung wie die anderen oder nimmt z.B. wie die Männer im Fahrstuhl ebenfalls den Hut ab.
Als Social Engineer mit Social Proof zu arbeiten, kann absolut wirksam sein. Dieses Prinzip kann man nutzen, um jemanden derart zu stimulieren, dass er eine Anweisung befolgt, indem man ihn informiert, es hätten bereits viele andere ebenfalls so gehandelt haben, wie Sie es von der Person wollen, darunter z.B. auch für die Person als Vorbilder geltende Menschen. Social Proof wird für eine schnelle Orientierung genutzt, um festzustellen, wie man sich verhalten soll. Doch gleichzeitig macht es die Zielperson angreifbar für die Manipulationen anderer, die diesen Einfluss ausbeuten wollen.
Social Proof entfaltet seine Wirkung unter zwei Bedingungen optimal:
• Ungewissheit: Wenn Menschen unsicher sind und die Situation mehrdeutig ist, beobachten sie wahrscheinlich eher das Verhalten anderer und akzeptieren deren Verhalten als korrekt.
• Gleichartigkeit: Die Menschen richten sich eher nach der Führung durch andere, die so wie sie sind.
Unter diesen Bedingungen kann ein Social Engineer für sich vorteilhaft Social Proof einsetzen. Es erhöht seine Erfolgschancen, wenn er feststellt oder sogar nur implizit andeutet, dass schon viele Leute vor der Zielperson eine bestimmte Handlung unternommen haben.
Bei einer Social Engineering-Situation wurde ich mal von einem misstrauischen Wachmann angehalten. Ich tat einfach ganz verwirrt, warum ich überhaupt angehalten wurde, und sagte: „Gestern hat Jim mich einfach reingelassen, nachdem er meine Nachweise komplett geprüft hatte. Ich hab einfach angenommen, dass ich immer noch auf der Liste stehe.“
Als der anwesende Sicherheitsmann hörte, dass ich bereits durch Jim akzeptiert worden war, erlaubte mir dann ohne weitere Fragen durchzugehen. Social Proof wird nicht immer so einfach funktionieren, ist aber eine sehr wirkungsvolle Kraft.
Die in diesem Abschnitt vorgestellten Prinzipien gehören zu den mächtigsten Beeinflussungstaktiken, die heutzutage eingesetzt werden. Mit diesen Taktiken bekommt ein Social Engineer die Macht, Menschen zu motivieren, in Richtungen zu drängen und sie zu Handlungen zu bringen, durch die sie unter Kontrolle des Social Engineer fallen.
Denken Sie daran, dass Beeinflussung und Überredungskunst der Prozess ist, jemanden dazu zu bringen, dass er so handeln, reagieren, denken oder glauben will, wie Sie es für ihn wollen. Eine solche Motivation bei einer Zielperson zu schaffen, ist eine sehr wirkmächtige Kraft – man kann von ihr als der Superkraft des Social Engineer sprechen. Die hier vorgestellten Prinzipien machen diese Superkraft zur Realität, aber dazu braucht es auch Konsequenz und viel Arbeit.
Was ich damit meine? Ich habe schon des Öfteren festgestellt, wenn ich eine bestimmte Fähigkeit trainiere und darin immer besser werde, ist es sehr schwer, sie „abzuschalten“. Das mag wie eine attraktive Charaktereigenschaft klingen, doch sollten Sie vorsichtig dabei sein, wen Sie beeinflussen – vor allem als Social Engineer. Um diese Skills Ihrer Persönlichkeit einzuprägen, sollten sie Sie jeweils nutzen, um anderen zu helfen. Wenn Sie beispielsweise damit anfangen, Mikroexpressionen zu lesen und sie vielleicht gar nutzen, um ein Ziel zu manipulieren, wäre eine denkbare erste Reaktionen zu glauben, dass Sie irgendeine geheime Kraft besitzen, mit der Sie beinahe Gedanken lesen können. Hier ist es klug, vorsichtig zu sein. Üben Sie diese Fertigkeit und arbeiten Sie daran, sie zu perfektionieren, aber gehen Sie nicht davon aus, dass Sie nun alles wissen und können.
Wenn Sie jemanden so beeinflussen können, mit dem Rauchen aufzuhören oder mit Sport anzufangen oder gesünder zu leben, dann werden Sie lernen, diese Skills zum Vorteil anderer bewusst bei Bedarf anzuzapfen, und dann ist es auch keine weit hergeholte Idee mehr, sie in Ihrer Social Engineering-Praxis einzusetzen.
Viele dieser Skills erfordern, dass Sie tatsächlich an Menschen interessiert sind, sich um sie kümmern und sorgen und auch mit ihnen mitfühlen. Wenn Ihnen so etwas nicht schon angeboren ist, müssen Sie hart dafür arbeiten, sich das anzueignen. Ich rate dringend dazu, sich diese Zeit zu nehmen, denn die Skills aus dem vorigen Abschnitt haben definitiv das Zeug, Sie zu einem meisterlichen Social Engineer zu machen.
Stellen Sie sich vor, dass Sie ändern können, wie Sie denken – sogar bis hin zu dem Gedanken, wie einfach es ist, sich diese Skills anzueignen. Stellen Sie sich nun auch vor, dass Sie das Denken Ihrer Zielperson verändern können, sodass deren Wahrnehmung genau das ist, was Sie wollen, dass sie es wahrnimmt. Die Realität derer zu verändern, mit denen Sie zu tun haben (und dazu gehören auch Sie selbst), ist das nächste Thema. Es hat das Zeug, Sie wirklich umzuhauen.
6.3 Die Realität verändern – Das Framing
Als Framing-Effekt (deutsch etwa: Einrahmungseffekt) wird lt. Wikipedia das Phänomen bezeichnet, dass unterschiedliche Formulierungen einer Botschaft – bei gleichem Inhalt – das Verhalten des Empfängers unterschiedlich beeinflussen. Außerhalb eines Social Engineering-Kontexts meint Framing die eigenen Erfahrungen und die anderer, die Sie in Ihr Bewusstsein aufnehmen und die Ihre Entscheidungen verändern.
Auf Lebensmittelverpackung arbeitet man z.B. mit Framing, wenn auf der Hackfleischpackung „75 % mager“ statt „25 % fett“ steht. Beides meint das Gleiche (der Fettgehalt des Fleisches beträgt 25 %), doch das eine klingt gesünder und spricht den Käufer eher an. Darum wird es auf der Verpackung sozusagen „umgekehrt“ formuliert, anstatt den eigentlichen Fettgehalt zu nennen.
Das ist ein einfaches Beispiel, verdeutlicht aber die Macht des Framing schon gut. Wenn man die Fakten einfach auf andere Weise präsentiert, wirkt manches gut, was sonst eher schlecht wegkommen würde.
In den folgenden Abschnitten schauen wir uns einige Bereiche an, in denen mit Framing gearbeitet wird, damit Sie dessen Wirksamkeit erkennen.
Framing gibt es in der Politik schon sehr lange. Es führt bereits zu großen Unterschieden in der öffentlichen Wahrnehmung einer Botschaft, wie man Kampagnen oder Infos formuliert.
Nehmen wir zum Beispiel den kognitiven Linguisten George Lakoff. In einer interessanten Beobachtung des Framing in der Politik stellt er fest, wie unterschiedlich man die Formulierungen „Terrorbekämpfung als Strafverfolgung“ und „Terrorbekämpfung als Krieg“ wahrnimmt. Nach den Anschlägen vom 11. September setzte sich Colin Powell dafür ein, sie als Straftaten zu behandeln. Als in der Öffentlichkeit mehr Aktionen und eine strengere Politik gefordert wurden, kündigte Präsident Bush die Kampagne „Krieg gegen den Terror“ an.
Ein weiteres Beispiel ist das Sozialversicherungssystem (Social Security) in den USA. Der Name impliziert, dass man sich auf dieses System verlassen kann, um in Zukunft abgesichert zu sein.
Beispielhaft wäre auch der Unterschied zwischen den Begriffen Schuldenübernahme und wirtschaftlicher Impuls zu nennen: Bei Schuldenübernahme hat man das Gefühl, jemand werde unproblematisch seine Schulden los. Doch wirtschaftlicher Impuls zeichnet in der Vorstellung das Bild, dass man die Ökonomie anheizt, indem man ihr Impulse versetzt. Beide Programme machten praktisch das Gleiche, doch letzterer Begriff ist durch die andere Wortwahl eher akzeptabel.
Judith Butler, Professorin in Berkeley und Autorin des von der Kritik gelobten Buchs Raster des Krieges schreibt darüber, wie Framing in westlichen Kulturen eingesetzt wird, vor allem wenn es um politische Agenden und Krieg geht. In ihrem Buch untersucht sie die Darstellung staatlicher Gewalt in den Medien:
Diese Darstellung hat unser Verständnis von menschlichem Leben durchtränkt und zur Ausbeutung und Preisgabe ganzer Völker geführt, denen man die Rolle existenzieller Bedrohungen aufprägt, statt sie als eine lebendige Bevölkerung mit einem Bedürfnis nach Schutz zu sehen. Diese Menschen sind – durch Inhaftierung, Arbeitslosigkeit und Hunger – bereits als verloren abgestempelt und können von daher einfach abgetan werden. In der verdrehten Logik, die ihren Tod rationalisiert, wird der Verlust dieser Bevölkerungen als notwendig erachtet, um das Leben „der Lebenden“ zu schützen.
Dies sind nur einige Beispiele, wie in der Politik mit Framing gearbeitet wird.
Der Begriff Referenzrahmen (frame of reference) wird definiert als Gruppe von Ideen, Bedingungen oder Annahmen, die bestimmen, wie man etwas wahrnimmt, anpackt oder versteht. Diese Definition dient dem Verständnis, wie Framing verwendet wird.
Alles, was die Wahrnehmung verändert oder die Art, wie Menschen Entscheidungen treffen, kann man als Framing bezeichnen. Eine Freundin berichtet Ihnen, dass sie letzte Woche in die Stadt gefahren ist, und wegen Bauarbeiten in einem 15 Kilometer langen Stau gestanden hat. Sie entscheiden sich daraufhin für einen längeren Umweg, um die potenzielle Verzögerung zu vermeiden, auch wenn die Info Ihrer Freundin schon über eine Woche alt ist.
Unser Gehirn ist so gestaltet, dass wir kein Chaos oder Durcheinander mögen. Wenn wir auf unordentliche Dinge treffen, versucht unser Gehirn, Ordnung zu schaffen. Ein interessantes Beispiel dafür findet sich in Abbildung 6.3.
Was gehört für Ihr momentanes Raster zum Hintergrund und was zum Vordergrund? Ihr Gehirn wird daran festhalten, vertraute Muster finden zu wollen. Das machen wir bei Wolken, im Raum und auch in unbewegten Objekten. Man „schaut“ in diese Dinge gerne Gesichter hinein.
Abb. 6.3: Können Sie Ihr Realitätsraster wechseln, um zu verändern, was Sie sehen?
Können Sie bei Abbildung 6.3 Ihren Bezugsrahmen verändern und Bild mit Hintergrund vertauschen? Probieren Sie aus, sich auf das Gegenteil dessen zu konzentrieren, was Sie zuerst wahrgenommen haben.
Ein anderes, sehr interessantes Beispiel, wie der menschliche Geist Ordnung ins Chaos bringt, findet sich in einer E-Mail, die in den letzten Jahren zirkulierte:
Nur suahlce Letue knnöen deis lseen.
Luat eienr Sidtue an eeinr enilhescgn Uetrinäsivt ist es eagl, in wehlecr Rilehgofnee die Bbhcsauetn in eenim Wrot snid. Das ezniig Wghtciie ist, dsas der estre und der ltztee Bhtcbsaue am rhcigetin Patlz snid. Der Rset knan toatl dnendhairucer sien, und man knan es iemmr ncoh onhe Pbrlomee leesn. Das liget daarn, dsas wir nhcit jdeen Buabeshtcn aellin lseen, sendorn das Wrot als Genazs.
Ich bin nicht sicher, ob es sich wirklich um eine Forschung aus Cambridge handelt, aber der interessante Teil dieser weitergeleiteten Mail ist, wie viele, die Deutsch als Muttersprache haben oder gut Deutsch lesen können, diesen Text wahrscheinlich ohne viel Mühe lesen können, weil unser Gehirn sehr effektiv Ordnung ins Chaos bringt.
Oft ist Framing viel unterschwelliger. Firmen nutzen dies oft im Marketing in der Hoffnung, dass die unterbewussten Botschaften dafür sorgen, dass die Zielperson ihr Produkt anders wahrnimmt. Sehr oft pflanzen Firmen mit dezentem Framing Ideen oder Vorstellungen ein.
In Abbildung 6.4 sehen Sie wahrscheinlich etwas sehr Vertrautes.
Abb. 6.4: Erkennen Sie das Raster?
Nachdem ich Ihnen dies hier verraten habe, werden Sie das Logo von FedEx niemals wieder auf die gleiche Weise anschauen. In einem Interview sagte der Schöpfer des Logos, dass er den Pfeil dort eingebettet habe, um die Idee über die FedEx-Dienste einzupflanzen. Der Pfeil steht dort, um Bewegung, Geschwindigkeit und die dynamische Natur des Unternehmens zu kommunizieren.
Haben Sie ihn schon gefunden? Schauen Sie Abbildung 6.4 an, wo ich den Pfeil nachgezogen habe.
Abb. 6.5: Der Pfeil deutet auf eine Qualitätsdienstsleistung hin, die stets in Bewegung ist.
FedEx ist nicht die einzige Firma, die mit Framing arbeitet. Seit vielen Jahrzehnten haben Unternehmen Botschaften in ihre Logos eingebettet, um dem Betrachter einen bestimmten Rahmen zu geben, wie er über die Firma denken, sie sehen und sich an sie erinnern soll. In den nächsten Abbildungen finden Sie weitere Beispiele.
Ist Ihnen beim Logo von Amazon schon einmal die eingebettete Framing-Botschaft aufgefallen (siehe Abbildung 6.6)?
Abb. 6.6: Sehen Sie den lächelnden Kunden?
Amazon transportiert zwei Botschaften in diesem Logo. Eine ist Ihre Zufriedenheit als Kunde, dargestellt von dem Lächeln im Bild. Doch dieses Lächeln ist auch ein Pfeil. Dieser Pfeil zeigt vom Buchstaben A auf das Z und verweist darauf, dass bei Amazon praktisch alles erhältlich ist.
Ein anderes tolles Beispiel ist das Logo von Tostitos. Dies ist ein sehr soziales Logo, wie Sie sich in Abbildung 6.7 überzeugen können.
Abb. 6.7: Sorgt dieses Logo dafür, dass Sie gerne Ihre Chips mit jemandem teilen möchten?
Die beiden Ts in der Mitte stellen Personen dar, die zusammen über einer Schüssel mit scharfer Soße Chips essen. 2004 beschrieb Tostitos in einer Pressemitteilung: „Tostitos spielen ihre Rolle als ›sozialer Snack‹, der dabei hilft, Verbindungen zwischen Freunden und Familie zu schaffen, sei es bei einer Party oder während eines tollen Spiels oder einfach nur bei geselligem Treffen im Alltag. Das neue Logo vermittelt diese Idee, Verbindungen zu schaffen.“
Diese Beispiele sind nur ein kleiner Einblick, wie Framing im Marketing eingesetzt wird. Beim Framing geht es aber nicht nur um Bilder, sondern vor allem um den Wert, den die Zielperson wahrnimmt. Wie die Zielperson das Objekt wahrnimmt, kann seinen Wert steigern oder mindern. Nehmen wir einen teuren Bekleidungsladen: Wenn Sie hineingehen, ist alles schön sauber und ordentlich aufgehängt, gebügelt und perfekt. Die Wahrnehmung wäre hier, dass diese Kleidung die exorbitanten Summen auf dem Preisschild wert ist. Doch wenn Sie einen dieser Pullover oder Gürtel aus dem Regal nehmen, ihn in ein Discount-Geschäft bringen und auf den Wühltisch werfen, an dem das Schild „75 % Rabatt“ steht, würde der wahrgenommene Wert dieses Objekts deutlich sinken.
Marketing-Gurus spielen dieses Phänomen aus, um der Kunden Wahrnehmung des Wertes zu beeinflussen. Viele Firmen sind dabei so erfolgreich, dass man mit den Markennamen ein ganzes Genre bezeichnet, um Produkte zu beschreiben.
Jeder hat wahrscheinlich schon mal gesagt: „Gibst du mir bitte mal den Edding“, auch wenn er dann vielleicht einen anderen Filzstift bekommt. Edding ist der Markenname, nicht der Stift selbst.
Ein aktuelleres Beispiel: Egal welche Suchmaschine man verwendet, sagen die Leute: „Kannst du das mal googeln?“, denn Google wurde zum Synonym fürs Suchen im Internet. Auch sagt man: „Kannst du mir bitte mal ein Tempo geben?“, wenn es in Wirklichkeit um ein Papiertaschentuch geht.
Andere Markennamen wurden bereits derart assimiliert, dass man sie gar nicht mehr als solche erkennt (außer Sie stammen aus der Generation, bei der sie eingeführt wurden):
• Aspirin ist eine Handelsmarke der Firma Bayer.
• Thermos ist ein Produktname der Thermos GmbH Company.
• Flex ist ein Markenname der Firma FLEX-Elektrowerkzeuge GmbH.
• Frisbee war ein Markenzeichen von Wham-O.
All diese Namen wurden so populär, dass der Referenzrahmen schließlich jedes Produkt umfasste, das so ähnlich war. Ich verwende kein Aspirin, sondern immer eine andere Marke, aber ich werde immer „zwei Aspirin, bitte“ sagen. Dann bekomme ich die Marke, die ich verwende, und bin glücklich und zufrieden.
Über das Framing gibt es dicke Bände, aber man kann die Informationen darin auf einige wichtige Prinzipien eindampfen, die für Social Engineers einsetzbar sind. Die vorige Information schuf eine sehr detaillierte Bühne, was Framing ist und wie es in den verschiedenen Lebensbereichen zum Einsatz kommt. Bevor wir uns dem Bereich des Social Engineering zuwenden, schauen wir uns an, mit welchen unterschiedlichen Arten das Framing angeglichen wird.
6.3.3 Vier Arten der Rasterangleichung
Die beiden Forscher David Snow von der University of Arizona und Robert Benford von der University of Nebraska verfassten eine Untersuchung mit dem Titel „Klärung der Beziehung zwischen Framing und Ideologie in der Studie sozialer Bewegungen“ (www.social-engineer.org/resources/book/SNOW_BED.pdf).
Snow und Benford argumentieren, wenn einzelne Raster (frames) kongruent und komplementär verknüpft werden, dann geschieht eine Rasterangleichung (frame alignment), was zu einer Rasterresonanz führt (frame resonance). Dies ist der wesentliche Aspekt für den Prozess, dass eine Gruppe sich von einem Raster zu einem anderen bewegt. Snow und Benford skizzieren dann vier Bedingungen, die sich auf das Framing auswirken:
• „Die Robustheit, Vollständigkeit und Gründlichkeit des Framing-Aufwands“: Snow und Benford identifizierten drei wesentliche Aufgaben beim Framing, und der Grad der Einbeziehung dieser Aufgaben bestimmt, wie sehr jeder Teilnehmer involviert ist.
Die drei Schritte sind:
1. Das Raster auf Probleme hin diagnostizieren.
2. Auf Lösungen analysieren.
3. Bei Erfolg ein Handlungsappell.
Je mehr Aufwand ins Framing gesteckt wird, desto größer die Chance, die die Person hat, jene zum Handeln zu bewegen, für die das Framing passiert.
• „Die Beziehung zwischen dem vorgeschlagenen Raster und dem größeren Glaubenssystem“: Man lässt vorgeschlagene Raster fallen, wenn keine Verbindung zu einer wesentlichen Überzeugung oder einem Wert aus dem eigenen Glaubenssystem existiert.
Ganz bestimmt wird es misslingen, jemanden vom Besuch eines Steakhauses wegen der dortigen Sonderangebote zu überzeugen, wenn diese Person der Überzeugung anhängt, Fleischverzehr sei Tieren gegenüber grausam. Das Raster muss zum Kern der Überzeugungen einer Person passen, um erfolgreich zu sein (außer Sie haben zum Ziel, mit einem Raster die Kernüberzeugungen zu verändern). Für den Erfolg ist das unverzichtbar.
Ein Framing-Versuch in großem Maßstab wurde durch eine kontroverse Antiraucherwerbung vorgenommen: Hier stapelten Freiwillige Leichensäcke vor der Eingangstür einer Tabakfirma auf. Die Leichensäcke sollen zeigen, wie viele Menschen jede Minute, Stunde und jeden Tag durchs Rauchen sterben. Die Hoffnung ist, dass man damit das Raster jener verändert, die Rauchen befürworten und nun über die Zahl der Todesopfer nachdenken sollen.
• „Relevanz des Rasters für die Realität der Teilnehmer“: Das Raster muss für die Person (das Ziel) relevant sein. Es muss glaubwürdig und überprüfbar sein, weil es in Beziehung zur Erfahrung der Zielperson steht.
Sie können nicht erwarten, mit einem Marketingraster zu arbeiten, das für eine Luxusreise in ein Land ermuntert, wo sich die Menschen ihr täglich Brot nicht leisten können. Egal wie gut Ihr Marketing-Framing ist, das klappt einfach nicht. Damit das Raster passt, muss es nicht nur relevant, sondern auch überprüfbar sein, um einen Wert zu bekommen, auch wenn dieser Beweis nur in der Vorstellung der Zielperson existiert.
Im Jahre 2007 berichtete beispielsweise eine sehr populäre und vertrauenswürdige Nachrichtenquelle namens Insight Magazine (das zum gleichen Unternehmen gehört wie The Washington Times), dass der damalige Präsidentschaftskandidat Obama eine reine Moslemschule besucht hat, die dafür bekannt war, dass dort eine sehr radikale und fundamentale Form des Islam gelehrt wurde. Als dieser Bericht erschien, wurde er von vielen sofort geglaubt … warum eigentlich? Er passte in ihr Realitätsraster, wirkte glaubwürdig und stammte aus einer „vertrauenswürdigen“ Quelle.
CNN, eine andere angesehene Nachrichtenquelle, schickte Ermittler aus und stellte fest, dass die Story falsch war. Auch darüber wurde berichtet.
Dies ist ein gutes Beispiel dafür, wie man das Raster über eine bestimmte Angelegenheit ändern kann, und zwar mit einer sehr vertrauenswürdigen Quelle für „Wahrheit“: die Nachrichtenmedien. Wer glauben wollte, dass Obama ein radikaler Moslem ist, übernahm diese Geschichte, und die Meldungen gerieten außer Rand und Band. Als die Recherchen ergaben, dass die Story erfunden war, veränderte sich die Denkweise vieler Menschen erneut.
• „Protestzyklen; der Punkt, an dem das Raster auf der Zeitlinie der aktuellen Ära erscheint, und das vorhandene Anliegen sozialer Veränderungen“: Was in der Welt geschieht, kann ein soziales Raster verändern. Denken Sie mal ein paar Jahre zurück: Hätte man damals Firmen in den USA oder anderen westlichen Kulturen die Idee des Körperscanners verkaufen wollen, wäre sie gleich im Papierkorb gelandet.
Aktivisten für die Privatsphäre hätten diese Idee bekämpft und gewonnen, einfach indem sie mit der Vorstellung gearbeitet hätten, dass jemand den Intimbereich sehen kann und möglicherweise solche Aufnahmen nutzt, um einen bloßzustellen oder sexuell zu belästigen. Dieses Argument hätte die Verkaufsbemühungen der Hersteller solcher Geräte ausgehebelt. Doch nach den Anschlägen vom 11. September und der anschließenden Zunahme terroristischer Aktivitäten werden diese Apparaturen auf Flughäfen in aller Welt trotz des Aufschreis von Aktivisten installiert, die sogar die Gesetze gegen Kinderpornografie ins Feld führen.
Warum? Das soziale Raster, wie man sicher bleibt, hat sich verändert und lässt neue Arten von Entscheidungen zu.
Snow und Benford sagen voraus, wenn die richtigen Raster wie in diesen vier Punkten beschrieben konstruiert werden, kann man durch die Rasterangleichung gesellschaftliche Veränderungen in großem Maßstab erreichen, wie sie für soziale Bewegungen nötig sind. Ihre Studien konzentrieren sich auf die Gesamtgesellschaft, doch die gleichen Prinzipien wirken auch in kleinerem Maßstab oder schon bei persönlichen Begegnungen unter vier Augen.
Die vorige Diskussion beschreibt nur den Prozess in Richtung einer Rasterangleichung. Tatsächlich können vier verschiedene Typen der Angleichung vorkommen, nachdem diese vier Bedingungen erfüllt sind. Obwohl viele dieser Aspekte auf ein Framing für ganze Gruppen zugeschnitten sind, werden in den folgenden Abschnitten die vier Rasterangleichung auf persönlicher Ebene diskutiert. Wir zeigen, wie Sie das in kleinerem Maßstab als Social Engineer umsetzen können und/oder einfach als jemand, der sein Raster mit anderen angleichen will. Stellen Sie sich vor, dass Sie Ihr Ziel, ein Gebäude zu betreten, an dem Raster des Wachmanns ausrichten, der Sie aufhalten soll. Wenn Sie sein Raster an Ihren Pretext angleichen können, ist Ihr Erfolg gesichert.
Was man aber bei solchen Rastern wissen muss: Sie werden nie von Grund auf neu konstruiert. Raster oder Frames werden immer unter Berücksichtigung kultureller Codes geformt, zu denen der Kern der Überzeugungen und Erfahrungen einer Person gehören. Dieses Wissen wirkt sich darauf aus, wie Sie mit Framing arbeiten.
Rasterüberbrückung
Das Cathie Marsh Centre for Census and Survey Information definiert Rasterüberbrückung (frame bridging) als Verbindung zwischen zwei oder mehr ideologisch kongruenten, aber strukturell unverbundenen Rastern, die auf ein bestimmtes Thema bezogen sind.
Diese Überbrückung bedeutet nicht, Leute so auszutricksen, dass sie Ihrem Raster Glauben schenken, sondern vielmehr deren Raster so gründlich zu begreifen, dass Sie ein Bindeglied finden. Dieses Bindeglied nutzen Sie dann, um die Zielperson in Ihr Raster zu bringen.
Die Situation könnte z.B. sein, dass Sie in einen Bereich oder ein Gebäude wollen oder eine bestimmte Information brauchen. Ihr Raster ist, dass genau das geschehen soll. Das Raster der Person, der Sie sich nun nähern, ist nicht unbedingt, Sie aufzuhalten. Vielleicht weiß diese Person gar nicht, was Sie vorhaben. Wenn Sie die Situation innerhalb dieses Rasters angehen, versetzen Sie diese Person vielleicht dadurch in Alarmbereitschaft und machen auf ein Problem aufmerksam: Das bringt Sie um Ihre Chancen.
Wenn Sie den Job, die Rolle und mentale Anschauung dieser Person verstehen, begreifen Sie auch deren Denkraster und finden vielleicht ein Bindeglied, über das der Übergang in Ihr Raster deutlich vereinfacht wird.
Welchen Pretext haben Sie? Wie würde die Person, die Sie kontaktieren, mit einer Person in Ihrem Pretext umgehen? Ein guter Social Engineer muss dies verstehen, um erfolgreich zu sein. Der „Torwächter“ behandelt den Vertreter anders als den Nachfüller für den Trinkwasserspender. Wenn man das Raster der Zielperson versteht, bedeutet das zu wissen, wie er Sie behandelt – nicht Sie als Social Engineer, sondern Sie in Ihrem Pretext.
Ein persönlicheres Beispiel wäre, sich einmal vorzustellen, wie Sie von anderen gesehen werden wollen: vielleicht als cool, gesellig, intelligent oder selbstbewusst. Ein Professor will klug erscheinen. Ein Manager will sich so darstellen, dass er alles in der Hand hat. Ein Sportler will ruhig und kraftvoll wirken. Ein Komiker will, dass das Publikum ihn als witzig wahrnimmt. Alles Raster, von denen man will, dass andere sich daran ausrichten.
Wie wäre es, wenn es im Fall des Komikers einen Zwischenrufer gibt: jemand, der ihn nicht als cool, witzig, intelligent oder selbstbewusst nimmt? Was das Raster des Zwischenrufers angeht: Er ist wahrscheinlich zornig, unzufrieden, abgestoßen oder vielleicht einfach nicht interessiert? Wenn der Komiker beharrlich in seinem Raster bleibt, könnte er vielleicht einige Menschen in seiner Umgebung „konvertieren“, aber erst wenn er tief einsteigt und zu begreifen versucht, woher jemand kommt, kann er beide Raster zur Deckung bringen und diese Person in sein Raster ziehen. Der Komiker, der mit einem Störer fertig wird, ist in der Lage, Ängste über sein Raster beiseite zu schieben und den Zwischenrufer für sich vorteilhaft zu nutzen.
Die Rasterüberbrückung kann eine der kraftvollsten Techniken eines Social Engineer sein, doch bedarf es einiger Vorbereitung, damit sie richtig gelingt.
Ein Social Engineer kann diese spezielle Form der Rasterangleichung nutzen, indem er der Zielperson dabei hilft, die Lücke zwischen dem, was sie sieht, und dem, was sie glauben soll, durch passenden Pretext zu überbrücken. Denken Sie noch einmal an das Beispiel, als Kundendienstler in ein Gebäude zu kommen. Ihre Kleidung, Werkzeuge und Sprache müssen zu dem Raster passen, das die Zielperson von einem solchen Repräsentanten erwartet. Ist das der Fall, steht die Brücke, und die Angleichung findet statt.
Rasterverstärkung
Die Rasterverstärkung (frame amplification) bezieht sich laut Snow auf „die Klärung und Kräftigung eines Interpretationsrasters, das sich auf ein bestimmtes Thema, Problem oder Gruppe von Geschehnissen auswirkt“. Anders gesagt verstärken Sie die Werte oder Überzeugungen der Zielperson oder konzentrieren sich darauf. Indem Sie sich auf diese Werte fokussieren, finden Sie einen Bereich, der Ihrer beider Raster angleichen wird, oder zumindest die Zielperson glauben lässt, dass eine solche Angleichung geschieht.
Diese Form der Angleichung ist die grundlegendste aller vier, weil es sich dabei eher um eine Art Aufrechterhaltungsmethode handelt. Dazu gehört die Akzentuierung, Erweiterung oder Betonung, dieses Ereignis sei wichtiger als andere. Dadurch kann dieses Ereignis einfacher mit anderen verknüpft werden.
Ein Beispiel der Rasterverstärkung stellen wir fest, wenn wir uns noch mal mit den Körperscannern beschäftigen. Diese Scanner werden nun als Abschreckungsmittel für Terroristen verkauft. Sie werden nun unter dem Raster angeboten, dass die aktuellen terroristischen Aktivitäten zeigen, wie wichtig solche Produkte sind, und nun gibt es endlich welche, um diesen Bedarf zu decken. Doch wenn man näher über diese Geräte nachforscht, erfährt man, dass sie lange vor den Anschlägen vom 11. September oder anderen, neueren Angriffen gebaut, vermarktet und abgelehnt wurden.
Durch die Anschläge vom 11. September, kombiniert mit der Flugangst vieler Leute nach diesen Ereignissen, können die Scanner-Hersteller ihr Raster mit dem Raster der Angst vieler Menschen verbinden und sorgen so dafür, dass der Einbau dieser Geräte auf Flughäfen in aller Welt befürwortet wird.
Die Rasterverstärkung ist auch deswegen so kraftvoll, weil man damit wirksam das Raster unschärfer machen kann. Damit sorgt man dafür, dass Personen mit einer bestimmten Überzeugung sich davon selbst distanzieren. Zum Beispiel haben die Scanner-Hersteller viele von denen, die ihre Privatsphäre schützen und frei wählen wollen, wie sie am Flughafen überprüft werden, in ein anderes Raster gebracht, indem sie andere Überprüfungsmethoden als unsicher oder unvollständig hervorgekehrt haben. Dazu nutzen sie Storys wie die über den „Unterhosenbomber“. Solche Taktiken verstärken das Raster, dass die neuen Körperscanner besser und sicherer sind, durch weit verbreitete Ansichten über die mangelnde Sicherheit anderer Methoden.
Ein Social Engineer kann diese Angleichungstechnik auf mehrere Arten einsetzen. Er kann beispielsweise das Sicherheitspersonal davon überzeugen, ihm Zutritt zum Müllentsorgungsbereich zu geben. Der Pretext, für eine Wertstofffirma zu arbeiten, ist gut und könnte an sich schon reichen, würde aber noch besser funktionieren, wenn man einbringt, dass einer der Container kaputt ist, was der Firma ein Sicherheitsproblem präsentiert. Wenn man dieses Raster verstärkt, gleichen Sie sich wahrscheinlich mit dem Wachmann insofern an, dass die beste Lösung ist, dass Sie vor Ort die Angelegenheit überprüfen.
Rastererweiterung
„Rastererweiterungen (frame extensions) sind die Bemühungen einer Bewegung, Teilnehmer durch Erweiterungen der Grenzen des vorgeschlagenen Rasters einzubinden, damit die Ansichten, Interessen und wichtiger noch die Empfindungen einer Gruppe einbezogen werden.“ Anders gesagt: Indem Sie die Grenzen Ihres Rasters erweitern, um andere Themen oder Interessen Ihrer Zielperson einzubinden, sorgen Sie für Angleichung.
Gruppen, die Umweltthemen oder „grüne“ Initiativen unterstützen, können beispielsweise ihr Raster auf Antiatombewegungen erweitern, weil diese sich ebenfalls Sorgen wegen der Umweltrisiken machen.
Doch bei Rastererweiterungen besteht das Risiko, dass sie die Einstellung zum ursprünglichen Raster schwächen und ein gewisser Grad der Anziehungskraft verlorengehen kann. Das passiert, wenn zu viele Rastererweiterungen in ein bestimmtes Raster aufgenommen werden. So wird das Hauptraster verwässert und das Interesse schwindet.
Auch auf persönlicher Ebene ist das Einfache das Beste. Halten Sie eine Rahmenangleichungstaktik einfach und leicht befolgbar. Stopfen Sie das Netz der Verbindungen nicht so voll, dass Sie das Interesse der Zielperson verlieren.
Ein Social Engineer kann diese Technik nutzen, indem er das in Kapitel 3 angesprochene Elizitieren nutzt. Wendet er sich an seine Zielperson, gewinnt er Informationen über das Ziel oder deren Firma, indem er sich daran eher uninteressiert gibt und einfach einen Plausch bei einer Party oder den Pretext als Reporter nutzt. So bekommt er das „Recht“, nach Informationen zu fragen, die normalerweise nur schwerlich zu kriegen wären.
Rastertransformation
„Die Rastertransformation (frame transformation) ist als Prozess dann erforderlich, wenn die vorgeschlagenen Raster nicht in Resonanz gehen und gelegentlich vielleicht sogar völlig gegensätzlich sind zu konventionellen Lebensstilen oder Ritualen und übrig gebliebenen Interpretationsrasters.“ Anders gesagt bietet ein Social Engineer neue Argumente dafür, warum sein Raster besser ist, um die Gedanken oder Überzeugungen seiner Zielperson von dort, wo sie gerade sind, dorthin zu bewegen, wo er sie hinhaben will.
Bei einer Rastertransformation sind neue Werte und ein neues Verständnis vonnöten, damit die Leute engagiert bleiben und man sich ihrer Unterstützung sicher ist. Diese Art Transformation passierte beispielsweise auf einem umfassenden sozialen Level in den 1970ern, wo sich die konservative Bewegung in eine progressivere Umweltbewegung verwandelte.
Auf einer niedrigeren, persönlicheren Ebene geschehen Rastertransformationen täglich, z.B. bei einer religiösen Konvertierung, bei dem das Raster bzw. das gesamte Glaubenssystem einer Person verwandelt, verändert und transformiert wird, um sich am neuen Denkraster auszurichten: dem der neuen Religion.
Es ist nicht einfach, das Raster einer Person zu transformieren. Für die Umsetzung dieser besonders komplizierten Angleichungstaktik braucht man Folgendes:
• Zeit: Die gesamte Überzeugungsstruktur einer Person zu verändern, geht nicht schnell und kann andere Angleichungstechniken sowie viel Zeit benötigen.
• Aufwand: Als erste Schritte müssen Sie wissen, wo die Zielperson steht und wo Sie sie haben wollen. Was werden ihre Einwände und mentalen Blockaden sein? Diese Dinge herauszufinden, bedeutet Arbeit.
• Ausbildung: Wissen ist Macht. Sie müssen der Zielperson dabei helfen, das neue Raster zu verstehen, zu dem Sie es „konvertieren“ wollen.
• Logik: Diese Ausbildung muss logisch sein und darf nicht nur gefühlsmäßig erfolgen. Die Zielperson muss fähig sein, die bevorstehenden Aktionen begründen und rationalisieren zu können. Das gelingt nur mit Logik.
• Tiefe emotionale Verbindungen: Wissen bereitet jemanden auf Aktionen vor, Logik überzeugt ihn davon, dass diese Aktion gut ist, aber erst durch Emotionen wird die Aktion auch umgesetzt. Wenn Sie Ihr „Anliegen“ oder Ihre „Begründung“ gefühlsmäßig durchdrungen haben, wird die Zielperson diese Emotion spüren. Achten Sie nur darauf, dass die Emotion, die Sie zeigen und spüren, zum Pretext passt. Wenn Ihr Pretext ein Berater ist und Sie kommen wie ein Cheerleader herein, verhindern Sie, dass die Zielperson sich daran angleicht.
Wenn man in der Lage ist, andere auf das eigene Raster auszurichten, und sich selbst an fremde Raster anzugleichen, spornt das die Menschen an, die von Ihnen gewünschten Dinge zu machen. Obwohl jede der vier Framing-Methoden kraftvoll ist, besitzt ein Social Engineer unendliche Macht, wenn er bei der Rastertransformation erfolgreich ist.
Wie setzen Sie diese Framing-Techniken als Social Engineer ein?
6.3.4 Framing für den Social Engineer
In diesem ganzen Abschnitt habe ich viele Arten vorgestellt, wie Framing vom Social Engineer als Technik eingesetzt werden kann. Einige dieser Methoden sind so machtvoll, dass Sie meisterlich beeinflussen können, wenn Sie sie perfektionieren.
Um Framing als Social Engineer wirklich nutzen zu können, müssen Sie vier Dinge übers Framing verstehen.
Denken Sie daran, was ein Raster ist: Dabei handelt es sich um eine konzeptionelle Struktur, die unser Gehirn beim Denken nutzt. Dies ist eine wesentliche Information, denn es ist Ihr Ziel, entweder ein neues Raster zu schaffen, sich an einem anderen Raster auszurichten oder die Zielperson in Ihr Raster zu bringen.
Eines dieser drei Ziele muss an den folgenden vier Regeln ausgerichtet sein, damit man Framing als Social Engineer beherrschen kann.
Regel 1: Alles, was Sie sagen, ruft ein Raster hervor
Das Gehirn der Menschen funktioniert, indem es sich Bilder vorstellt. Diese natürliche Tatsache ist nicht änderbar, kann man aber zum eigenen Vorteil nutzen.
Wenn ich anfange, mit Ihnen über Ihren Chef zu sprechen, dann erscheint er vor Ihrem geistigen Auge. Wenn ich mit Worten beschreibe, wie er draußen mit dem Handy telefoniert und dass er wütend ist, beginnen Sie, sich sein wütendes Gesicht, seine Körpersprache und Worte vorzustellen. Das können Sie nicht steuern, und dieses mentale Raster sorgt für Emotionen und Reaktionen.
Wenn man mit Worten Bilder zeichnet, ist das eine kraftvolle Art, mit Framing zu arbeiten. Indem Sie Ihre Worte sorgfältig wählen, sorgen Sie dafür, dass vor dem geistigen Auge der Zielperson Dinge auftauchen, die Sie wollen, und Sie beginnen, sie in ein von Ihnen gewünschtes Raster zu bringen.
Kennen Sie einen großartigen Geschichtenerzähler? Was macht ihn dazu? Warum ist er so großartig? Er kann geistige Bilder malen, lässt in Ihrer Vorstellung Dinge erscheinen, die Sie faszinieren und einbeziehen. Diese Fähigkeit ist für einen Social Engineer sehr wichtig. Das bedeutet nicht, die ganze Zeit so zu reden, als ob man eine tolle Geschichte erzählt, sondern Sie achten auf die von Ihnen gewählten Worte, weil diese Macht beinhalten, in der Vorstellung der Zielpersonen für Bilder zu sorgen.
Hier ist ein einfaches Beispiel: Ich kann Ihnen erzählen, dass ich gestern Abend Spaghetti gegessen habe. Wenn Sie nun kein Leckermaul oder Italiener sind, war es vielleicht nicht so angenehm, als Sie das letzte Mal Spaghetti gegessen haben. Ihr mentales Raster ist nicht so kraftvoll, und möglicherweise steigen Sie innerlich aus.
Wie wäre es hingegen, wenn ich Ihnen erzähle, dass meine Frau gestern Abend eine Sauce mit Strauchtomaten und Basilikum aus unserem eigenen Garten zubereitet hat? Darin waren auch frische Knoblauchwürfel und Oregano sowie ein Schuss Rotwein. Das hat sie zusammen mit perfekt gekochten Spaghettinudeln und selbstgebackenem Knoblauchbrot serviert.
Egal ob Sie nun Pasta-Fan sind oder nicht – Sie stellen sich ein qualitativ hochwertiges Gericht vor, das auch in einem Restaurant gereicht werden könnte. Genauso sollten Sie bei den Zielpersonen Ihre Worte planen. Sie sollten beschreibend, kraftvoll und voller Bilder sein. Und doch sollte man als Social Engineer darauf achten, nicht über Gebühr theatralisch zu werden. Ihr Ziel sollte sein, mit Worten ein Bild zu malen, und keine Aufmerksamkeit auf sich oder Ihre Darstellung zu ziehen.
Regel 2: In einem Raster definierte Worte rufen das mentale Raster hervor
Sie müssen die Dinge nicht genau benennen, wenn Sie wollen, dass eine Person sich ein von Ihnen gewünschtes Raster vorstellt. Was geht Ihnen beispielsweise durch den Kopf, wenn Sie Folgendes lesen?
„Ich sah, wie das Insekt sich abmühte, aus dem Netz freizukommen, aber es gelang ihm nicht. Nur wenige Augenblicke später war es in einen Kokon eingesponnen und sollte zu Nahrung werden.“
Beachten Sie, dass ich hier mit keinem Wort eine Spinne erwähnen muss, damit Sie an Spinnen denken. Wenn ich Ihr Raster so beeinflussen will, dass Sie an eine Spinne denken, geht das auch ohne die eigentliche Verwendung des Wortes Spinne. Diese machtvolle Regel der Beeinflussung und des Framing gibt dem Social Engineer die Fähigkeit, die Gedanken seines Ziels über indirekte Sprache zu steuern.
Die Toastmasters (eine internationale Organisation, die sich die Fähigkeit zur freien Rede auf die Fahnen schreibt) lehren ihre Mitglieder, während des Vortrags die Menschen in „Wallung“ zu bringen, und zwar indem die Emotionen des Publikums mit eingebunden werden. Wenn Sie eine Geschichte einbringen, durch die die Zielperson sich das von Ihnen gewünschte Raster vorstellt und gleichzeitig emotional involviert ist, bekräftig das Ihren Anspruch, dieses Gespräch zu leiten.
Auch hier braucht es wieder Planung, um mit dieser Framing-Methode zu arbeiten. Ein kraftvoller Aspekt dieser Regel ist folgender: Während das Gehirn der Zielperson die von Ihnen eingebrachte Information verarbeitet und die von Ihnen gemalten mentalen Bilder generiert, werden darin Momente möglich, in denen Sie Gedanken oder Ideen einpflanzen können. Anders als ich ein direktes Bild eines wundervollen Pastagerichts gezeichnet habe, verleiht diese Regel der Zielperson die Freiheit, sich etwas vorzustellen.
Ich könnte meine Spaghettistory von vorhin auch so beenden: „Meine Frau hat es dann auf einem Teller mit perfekt zubereiteter Pasta serviert. Welche Art Pasta? Das verrate ich Ihnen nicht, das müssen Sie sich schon selbst vorstellen.“ Und wenn Ihr Gehirn damit beginnt, es sich auszumalen, kann ich ergänzen: „Als ich meine Gabel auf dem Teller drehte, war die Sauce so dick und perfekt, dass sie gut an jeder Nudel haftete.“
Diese Beschreibung zeichnet das mentale Bild von Spaghetti. Welche andere Pasta wird mit der Gabel gedreht? (Sicher, ich kenne auch noch andere, aber Sie verstehen meinen Punkt.)
Regel 3: Das Raster negieren
Wenn ich Sie auffordere, nicht an eine Spinne in einem Netz zu denken, muss sich Ihr Gehirn zuerst die Spinne vorstellen, damit Sie sich vornehmen können, nicht daran zu denken.
Diese Technik, das Raster zu negieren, ist sehr wirkungsvoll. Wenn Sie der Zielperson sagen, sie möge achtsam und vorsichtig sein oder aufpassen, wird sie automatisch in das von Ihnen gewünschte Raster versetzt. Diese Technik wird oft von professionellen Social Engineers genutzt. In einem Interview, das ich in einem Gremium mit Social Engineers durchführte, stimmten alle zu, wie hervorragend diese Technik funktioniert.
Während eines Audits ließ ich ein paar USB-Sticks mit heimtückischem Code liegen, die jemand aus der Firma ohne nachzudenken starten sollte. Ich sprach einen Mitarbeiter an, mit dem ich schon etwas vertrauter war, und sagte: „John, ich habe gehört, da zirkuliert ein Memo, dass man auf ein paar USB-Sticks achten soll. Die sind hier irgendwo abgelegt, und man sucht jetzt danach.“
Zufälligerweise war ich nun als Hausmeister dort und habe die USB-Sticks mit Schadcode irgendwo verteilt, und wenn ich den Leuten nun sage, dass sie danach suchen sollen, pflanze ich ihnen im Grunde genommen den Gedanken ein, dass sie dem Folge leisten sollen. Diese Art Formulierung negiert die Besorgtheit, die sie vielleicht fühlen, wenn sie einen heimatlosen USB-Stick finden, und sorgt dafür, dass sie ihn in einen PC stecken, um zu sehen, wem der Stick gehört.
Regel 4: Bringt man die Zielperson dazu, über das Raster nachzudenken, wird das Raster dadurch verstärkt
Mit jedem Mal, wenn das Gehirn sich konzentriert oder an etwas denkt, wird dies verstärkt. Je mehr Sie die Zielperson dazu veranlassen, an das Raster zu denken, in das Sie sie bringen wollen, desto einfacher wird es, das Raster zu verstärken und sie dorthin zu bewegen.
Schauen Sie sich Kapitel 2 zum Thema Kommunikationsmodelle noch einmal an und analysieren Sie, welche erstaunlichen Effekte die vom Social Engineer entwickelten Botschaften auf die Zielperson haben können.
Einmal bin ich durch Indien gereist. Ich weiß nicht mehr, um welche Meldung es genau ging, nur noch, dass Präsident George W. Bush gerade bei den Europäern in Ungnade gefallen war. Ich schaltete die verschiedenen Nachrichtensender durch und sah, wie Leute in manchen europäischen Ländern auf der Straße Puppen aufknüpften, die wie Bush aussahen. Nachdem die Puppen in amerikanische Flaggen gewickelt wurden, hat man sie angesteckt.
Es war eine schockierende Szene, und als ich an dem Abend mit meiner Frau telefonierte, sagte ich: „Wow, was da gerade in Europa passiert, sind ganz schön abgedrehte Meldungen, nicht wahr?“
Sie hatte davon noch gar nichts gehört. Und warum nicht? Die Nachrichtenmedien und -sender beherrschen das Framing und die Manipulation meisterhaft.
Ein Social Engineer lernt eine Menge daraus, wenn er sich anschaut, wie Medien mit dieser Fähigkeit arbeiten. Indem die Medien etwas weglassen, streichen oder Details einer Story (oder gar die ganze Story) auslassen, führen sie die Menschen zu Schlussfolgerungen, die sie als eigene betrachten, aber in Wirklichkeit sind es die der Medien.
Social Engineers können das genauso. Indem man bestimmte Details ausspart und nur genehme Details „durchsickern“ lässt, schafft man das Raster, wie die Zielperson denken oder fühlen soll.
Etikettierung ist eine andere von den Medien genutzte Taktik. Wenn man etwas positiv darstellen will, sagt man etwas wie „die starke Verteidigung von ...“ oder „unsere gesunde Ökonomie“. Diese Formulierungen schaffen mentale Bilder von Stabilität und Gesundheit, die helfen, positive Schlüsse zu ziehen. Die gleichen Regeln gelten auch für negatives Framing. Solche Etiketten wie „islamische Terroristen“ oder „Verschwörungstheorien“ malen sehr negative Bilder.
Sie können diese Fertigkeiten einsetzen, um Dinge mit beschreibenden Worten zu versehen, die das Ziel in das von Ihnen gewünschte Raster versetzt. Als ich einmal an einem Wachposten vorbeikam und aufs Gelände wollte, ging ich einfach vorbei, als ob ich dazugehöre. Ich wurde sofort abrupt gestoppt. Ich schaute den Wachmann schockiert an und sagte entschuldigend: „Oh, gestern hat mich der äußerst hilfsbereite Sicherheitsmann Tom komplett überprüft und mich passieren lassen. Darum habe ich angenommen, dass ich immer noch auf der Liste stehe.“
Den Sicherheitsmann von gestern als „äußerst hilfsbereit“ zu kennzeichnen, versetzt den heutigen Wachmann automatisch in das von mir gewünschte Raster. Wenn er nun seinerseits ein solch prestigeträchtiges Etikett bekommen will, sollte er mindestens genauso „äußerst hilfsbereit“ sein wie Tom.
Framing ist deswegen so effektiv, weil es die Wahrheit verbiegt, aber nicht so sehr, dass sie ins Gegenteil umkippt, sondern glaubhaft bleibt. Ein Social Engineer kann den gewünschten Eindruck schaffen, ohne sich zu weit vom Anschein der Objektivität zu entfernen.
Ich las ein Weißbuch mit dem Titel „Status Quo Framing Increases Support for Torture“ (Das Framing des Status Quo steigert die Befürwortung von Folter), verfasst von den an verschiedenen Unis tätigen Forschern Christian Crandall, Scott Eidelman, Linda Skitka und Scott Morgan. In diesem Weißbuch liefern sie interessante Daten, die mich bei diesem Thema faszinieren. Es scheint, dass in den USA viele Menschen den Einsatz von Folter zu Kriegszeiten als Taktik, um Geheimdienstinformationen zu bekommen, ablehnen. Der Zweck dieser Studie war zu ermitteln, ob es den Forschern gelingen könnte, eine Untergruppe der Befragten zu einer Zustimmung zu bewegen, dass Folter weniger wünschenswert ist, indem sie die Botschaft unterschiedlich rahmten.
Sie nahmen eine Gruppe mit etwa 486 Personen und forderten sie auf, zwei Absätze zu lesen.
Der erste Absatz lautete:
In den Nachrichten wird berichtet, dass US-Kräfte Verdächtige im Mittleren Osten befragen und dabei Druck einsetzen. Diese Art von Befragung unter Druck ist neu. Einigen Berichten zufolge ist dies das erste Mal, dass sie allgemein vom US-Militär eingesetzt wurde. Amerikanische Kräfte haben viele unterschiedliche Methoden benutzt, z.B. Häftlinge auf ein Brett zu schnallen und sie unter Wasser zu tauchen, Gefangene mit dem Gesicht zuerst in einen Schlafsack zu stecken oder sie für lange Zeit an Seilen in schmerzhaften Positionen aufzuhängen. Häftlinge wurden auch tagelang wachgehalten und isoliert.
Dieser Absatz vermittelt die Vorstellung, dass es neue Techniken sind, die von der US-Regierung für Verhöre eingesetzt werden.
Im anderen Absatz stand:
In den Nachrichten wird berichtet, dass US-Kräfte Verdächtige im Mittleren Osten befragen und dabei Druck einsetzen. Diese Art von Befragungen unter Druck ist nicht neu. Einigen Berichten zufolge wird sie seit über 40 Jahren vom US-Militär eingesetzt. Amerikanische Kräfte haben viele unterschiedliche Methoden benutzt, z.B. Häftlinge auf ein Brett zu schnallen und sie unter Wasser zu tauchen, Gefangene mit dem Gesicht zuerst in einen Schlafsack zu stecken oder sie für lange Zeit an Seilen in schmerzhaften Positionen aufzuhängen. Häftlinge wurden auch tagelang wachgehalten und isoliert.
Die Status-quo-Version des Absatzes war identisch, außer dass der zweite Satz durch „Diese Art von Befragungen unter Druck ist nicht neu. Einigen Berichten zufolge wird sie seit über 40 Jahren vom US-Militär eingesetzt.“ ersetzt wurde.
Zu welchem Ergebnis führte es, nur ein Raster zu verändern – also dass neue Methoden eingesetzt werden bzw. dass es sich um bewährte und zuverlässige Methoden handelt, die seit Jahrzehnten genutzt werden?
Das Papier beschreibt die Maßnahmen der Forscher. Sieben Items bildeten den Basissatz abhängiger Variablen. Diese Items korrespondierten mit einer siebenstufigen Skala, gekennzeichnet mit lehne sehr ab, lehne moderat ab, lehne geringfügig ab, bin unsicher, stimme geringfügig zu, stimme moderat zu, stimme sehr zu. Alle Items wurden umgekehrt bewertet, sodass die höheren Werte einer größeren Zustimmung zu jedem Item entsprachen.
Die Schlussfolgerung? „Die Status-quo-Manipulation wirkte sich auf die Gesamteinschätzung von Folter aus: Wenn Folter als lang andauernde Praxis statt einer neu eingesetzten Praxis beschrieben wurde, hat man sie eher positiv eingeschätzt. Wenn man Folter als Status quo für Verhöre wirken ließ, erhöhte sich damit die individuelle Unterstützung und Rechtfertigung, diese Taktik zu nutzen.“
Indem die Forscher nur einen kleinen Teil des Rasters veränderten, waren sie in der Lage, eine nicht unbeträchtliche Gruppe Menschen anders auszurichten und sie (größtenteils) zu der Zustimmung zu bewegen, dass Folter als Politik akzeptabel sei.
Die Einschätzungen in diesem Papier führen weiter aus: „Das kann für sehr viele Bereiche gelten und sich auf Beurteilung, Entscheidungsfindung, Ästhetik und politische Vorlieben auswirken“ und schließen mit: „Relativ moderate Änderungen in der Art, wie ethische Entscheidungen und Wertdilemmata präsentiert, eingerahmt oder in Kontext gesetzt werden, können einen tief greifenden Effekt auf die politische Wahl und Politik haben.“
Dieses Experiment beweist, wie machtvoll Framing ist, weil es tatsächlich sogar zentrale Überzeugungen, Beurteilungen und Entscheidungen ändern kann, die Menschen vielleicht schon über Jahre hinweg besaßen. Als Social Engineer ist dies meist nicht das Ziel. Sie versuchen nicht, andere Menschen zum Konvertieren zu bringen: Sie wollen diese Leute nur zu Handlungen bewegen, die eigentlich mit ein wenig Nachdenken zum Schluss kommen müssten, dass lieber zu unterlassen.
Wenn Sie die vier Framing-Regeln anwenden und gut vorausplanen, wird Framing zu einer verheerenden Kraft, die man nicht unterschätzen darf, und genau deswegen arbeiten böswillige Social Engineers damit leider jeden Tag. In den USA und besonders den „verwestlichten Kulturen“ sind die Menschen trainiert zu akzeptieren, dass sie manipuliert werden, dass ihnen gesagt wird, was und wie sie denken sollen.
Wenn ich Ihnen vor 15 Jahren gesagt hätte, dass es nun im Fernsehen bei fast jedem Programm darum geht, echten Menschen dabei zuzuschauen, dass sie echte Sachen machen, hätten Sie mich ausgelacht. Wieso? Weil es sich langweilig und dumm anhört, solchen Shows zuschauen zu müssen. Und doch stellte die Los Angeles Times 2006 fest, dass die Zahl der Reality-TV-Programme um 128 % gestiegen ist (http://articles.latimes.com/2010/mar/31/business/la-fi-ct-onlocation31-2010mar31), und das hat sich seitdem kaum verlangsamt. Es wird uns als neu und hip verkauft, und wir kriegen gesagt, das sei gut und unterhaltsam, und darum schauen es auch alle. Diese Shows sind ein Beispiel dafür, wie man etwas toll wirken lässt, was noch vor wenigen Jahren als dumm betrachtet wurde.
Framing ist definitiv eine Kunstform. Verbunden mit Kommunikationswissenschaft und Beeinflussung kann es in den Händen eines geschickten Social Engineer zu einer beachtlichen Kraft in der persönlichen Begegnung werden. Wenn er Informationen so präsentiert, dass eine Angleichung des Social Engineer für die Zielperson erleichtert wird, führt sie das zu Handlungen, bei denen sie sich nicht schuldig fühlt, und ihre Wahrnehmung der Realität wird verändert.
Framing und Beeinflussung sind zentrale Bestandteile des Social Engineering, obwohl auch eine bestimmte andere Fähigkeit oft mit den „dunklen Ecken“ des Social Engineering verknüpft wird. In der Einführung zu diesem Buch wurde bereits von diesen Ecken gesprochen, und im folgenden Abschnitt werden Sie Informationen bekommen, die Ihre Sicht auf die Beeinflussung verändern.
6.4 Manipulation – Kontrollieren Sie Ihr Ziel
Viele halten Manipulation für ein sehr dunkles Thema, das oft Ängste hervorruft wegen der Art, wie es dargestellt wird.
Schauen wir uns einige Definitionen aus dem Internet an, um das zu erklären:
• „Der Einsatz von geschickter oder verschlagener Beeinflussung, vor allem zum eigenen Vorteil“
• „etwas geschickt oder hinterhältig beeinflussen oder steuern“
• „(sich oder andere) geschickt beeinflussen oder steuern, meist zum eigenen Vorteil“
Sie merken deutlich, warum vielen Social Engineers bei diesem Thema das Wasser im Mund zusammenläuft, nicht wahr? Können Sie sich vorstellen, mit Ihren Fähigkeiten jemanden zu Ihrem Vorteil zu steuern oder zu beeinflussen?
Manipulationstaktiken reichen von so düsteren Dingen wie Gehirnwäsche bis zu den dezenten Hinweisen von Vertretern oder Verkäufern. Jeder Social Engineer sollte dies studieren und perfektionieren. Manipulation soll das kritische Denken und den freien Willen der Zielperson überwinden. Verliert sie ihre Fähigkeit, Entscheidungen aufgrund sachkundiger Abläufe zu treffen, kann man ihr jene Ideen, Werte, Einstellungen oder Begründungen der Person, die sie manipuliert, vermitteln.
Manipulation gibt es in sechs Spielarten, und das gilt sowohl bei Gehirnwäsche als auch weniger heimtückischen Dingen. Diese werde ich alle kurz vorstellen, bevor wir näher in diesen Abschnitt einsteigen.
• Die Beeinflussbarkeit der Zielperson steigern. Am extremsten wird die Beeinflussbarkeit einer Zielperson durch Schlaf- oder Nahrungsmangel gesteigert. Etwas weniger invasiv ist, mit dezenten Hinweisen zu arbeiten, die sich im Laufe der Zeit steigern, um das Ziel für Einflussnahme vorzubereiten.
• Die Umgebung der Zielperson steuern. Zu dieser Technik gehören verschiedene Dinge, z.B. die Art und Menge der Information zu steuern, zu der die Zielperson Zugang hat, aber auch weitaus subtilere Dinge wie den Zugriff auf die Websites für Social Media der Zielperson. Im Kontext des Social Engineering lassen sich durch Zugriff auf Social Media die Kommunikation der Zielperson beobachten und auch die Informationen kontrollieren, die sie bekommt.
• Zweifel säen. Wenn das Glaubenssystem der Zielperson destabilisiert und untergraben wird, sorgt das in hohem Maße dafür, dass sie für eine gewünschte Aktion manipulierbar wird. Vom Standpunkt des Social Engineering muss man dabei sehr subtil vorgehen. Sie können nicht einfach hereinplatzen und damit anfangen, Ihr Ziel zu degradieren. Doch wenn man die Regeln, den Job oder die Überzeugung, die die Person befolgt, in Frage stellt, dann wirkt sich das auf ihre rationalen Entscheidungen aus.
• Schaffen Sie ein Gefühl der Machtlosigkeit. Diese wirklich bösartige Technik wird in Kriegszeiten bei Verhören eingesetzt, damit die Zielperson sich in ihrer Weltanschauung nicht mehr sicher fühlt. Ein Social Engineer nutzt diese Taktik, um der Zielperson ihre Kraft zu nehmen, indem ihr „Fakten“ präsentiert werden, die er von einer Autoritätsperson erlangt. Das sorgt für das Gefühl der Machtlosigkeit.
• Lösen Sie in der Zielperson starke emotionale Reaktionen aus. Zu starken gefühlsmäßigen Reaktionen gehört alles vom Zweifel über Schuld bis zur Demütigung und mehr. Wenn die Gefühle intensiv genug sind, sorgen sie dafür, dass die Zielperson ihr gesamtes Glaubenssystem umstellt. Ein Social Engineer muss sorgfältig darauf achten, keine schädlichen, negativen Emotionen zu schaffen, doch wenn Sie Taktiken für emotionale Reaktionen einsetzen, die auf Angst vor Verlust oder Bestrafung basieren, fördert das Ihre SE-Ziele.
• Starke Einschüchterung. Die Angst vor körperlichem Schmerz oder andere schreckliche Umstände kann man nutzen, um die Zielperson unter Druck zusammenbrechen zu lassen. Auch diese Route werden die meisten Social Engineers nicht wählen, außer sie nutzen Firmenspionage als Taktik. Doch beim normalen Social Engineering arbeitet man bei dieser Taktik mit wahrgenommener Autorität, um starke Angst und Verlustgefühle aufzubauen.
Doch meist ist Manipulation nicht derart extrem. Auf ganz niedrigem Level stellen Sie sich mal vor, Sie sind in einem überfüllten Raum und werden beim Namen gerufen. Wie reagieren Sie? Normal wäre, sich umzudrehen und „Ja?“ zu antworten. Sie wurden manipuliert, aber nicht unbedingt böswillig.
Auf psychologischer Ebene ist die Manipulation sogar noch weitreichender. Beachten Sie, was bei der vorigen Interaktion geschehen muss: Das Gehirn nimmt Ihren Namen wahr, und Sie formulieren automatisch eine Antwort („Ja?“). Die Verbindung zwischen dieser Antwort und Ihrer verbalen Reaktion ist sehr kurz. Auch wenn Sie nicht mit der Stimme geantwortet hätten oder der Namensruf gar nicht Ihnen persönlich gegolten hat, wird Ihr Gehirn eine Antwort formulieren, wenn eine Frage gestellt wird.
Es reicht schon, wenn Sie neben zwei Leuten stehen, die sich unterhalten. Wenn Sie eine Frage mithören, sorgt Ihr Gehirn bereits ungewollt dafür, dass eine Antwort formuliert wird. Die Antwort kann aus einem Bild oder Klang in Ihrem Geist bestehen. Wenn die Zielperson mithört, wie zwei Leute darüber sprechen, wie jemand aussieht, erscheint vor ihrem geistigen Auge gleich ein Bild. Wenn Sie mitkriegen, wie einer einen Witz über ein Huhn erzählt bekommt, das über die Straße läuft, stellen Sie sich das Huhn, die Straße oder gleich die ganze Szene vor.
Diese Art der Manipulation ist erst der Anfang des Möglichen. Eine weitere Manipulationstaktik ist Konditionierung.
Die Menschen können so konditioniert werden, dass sie bestimmte Klänge oder Handlungen mit Gefühlen und Emotionen verbinden. Wenn man jedes Mal, sobald etwas Positives gesagt wird, einen Kuli klicken hört, wird man nach kurzer Zeit so konditioniert, mit diesem Klang ein positives Gefühl zu verknüpfen.
Eines der klassischen Beispiele der Konditionierung war Iwan Pawlow und sein Hund (siehe Kapitel 5). Nun stellt sich die Frage, ob diese Art Konditionierung auch mit Menschen möglich ist. Zwar steht es nicht auf der Prioritätenliste der meisten Social Engineers, die Zielpersonen zum Sabbern zu bringen (obwohl das recht amüsant wäre), doch gibt es Wege, um ein Ziel so zu konditionieren, dass es auf bestimmte Inputs wie gewünscht reagiert?
Die Antwort finden Sie in den folgenden Abschnitten mit einigen Beispielen für Manipulation aus Business und Marketing. Damit stellen wir eine Grundlage der Diskussion zusammen und analysieren, wie man auf persönlicher Ebene mit Manipulation arbeiten kann.
Im Mai 2010 berichtete die Washington Post eine interessante Geschichte (www.washingtonpost.com/wp-dyn/content/article/2010/05/27/AR2010052705484.html). Die Hersteller der für Kinder gedachten Medikamente Tylenol, Motrin, Benadryl und Zyrtec entdeckten eine fehlerhafte Charge Motrin und wollten aufgrund der Kosten keinen Rückruf des Medikaments ausführen. Wie reagierte die Firma?
Sie arbeitete mit Manipulation. Die Firma beauftragte eine Menge Unternehmer, die verschiedenen Läden aufzusuchen und das gesamte Motrin aufzukaufen, das dann vernichtet werden sollte. Leider wurde dieser Plan vereitelt, als einer der Unternehmer im Laden einen Zettel verlor, auf dem dieser Vorgang beschrieben wurde. Das meldete man dann der Federal Drug Administration (FDA, amerikanische Arzneizulassungsbehörde).
Eine Randbemerkung: Die FDA zwang die Firma, bei einer von vier Rückrufaktionen 136 Millionen Flaschen zurückzunehmen. Leider war das zu spät, denn es wurden bereits 775 Fälle von Säuglingen und Kindern berichtet, die auf diese verunreinigte Charge negativ reagiert hatten, von denen 37 schließlich starben. Den Berichten lässt sich nicht schlüssig entnehmen, ob die Todesfälle die Folge des verdorbenen Motrin waren oder eine Reaktion auf das Motrin. Darum geht es hier aber auch nicht.
Dies ist ein sehr düsteres Beispiel der Manipulation oder zumindest einer versuchten Manipulation. Um ihr Image zu schützen, wollte die Firma bereitwillig auf die korrekten Prozeduren verzichten und setzte damit die Sicherheit von Kindern in aller Welt aufs Spiel. Sie versuchte, das System zu manipulieren, und dabei verloren Menschen ihr Leben. Die in jenem Laden gefundene Dokumentation führt aus, dass die Unternehmer angewiesen wurden, das Produkt zurückzukaufen, aber keinesfalls von „Rückrufaktion“ zu sprechen.
Als dieser Vorgang aufflog, setzte die Firma viele interessante Manipulationstechniken ein. Sie lenkte von der Situation ab mit der Behauptung, der Grund für die Rückkaufaktion sei, dass ihre Experten kein signifikantes Risiko für die Kinder erkennen konnten.
Daran schlossen sich eine formale Entschuldigung und die Entlassung von sechs Top-Managern an. Nun setzte die wahre Manipulation ein: Als die Firma zur Rede gestellt wurde, behauptete man, keine sogenannte „Phantom-Rückrufaktion“ machen zu wollen. Die Firma wollte die vorgeblich schadhafte Charge überprüfen und ließ die Unternehmer die Flaschen zurückkaufen, um sie testen zu können. Hätte man festgestellt, dass sie fehlerhaft sind, hätte die Firma die korrekten Maßnahmen getroffen. Diese Firma arbeitete mit der Manipulationstechnik Ablenkung, um von ihren wahren Aktivitäten abzulenken und sie besser dastehen zu lassen. Außerdem arbeitete sie mit Vertuschungstechniken und manipulierte alle, die mit ihren Aktionen nicht einverstanden waren: Es wurde nämlich in Mitteilungen davon gesprochen, dass die Firma die Tests machen wollte, um den Bedarf für einen Rückruf festzustellen.
Es lohnt sich, diese Art der Manipulation zu diskutieren, weil Ablenkungsmanöver auch in viel kleinerem Maßstab auf persönlicher Ebene funktionieren. Wenn Sie in einem Bereich oder an einem Ort erwischt werden, wo Sie nicht sein dürften, bringt es sehr viel, eine gute, glaubwürdige Tarngeschichte vorweisen zu können. Damit manipuliert man die Zielperson so, dass Ihnen der sichere Durchgang erlaubt wird. Wenn Sie die Aufmerksamkeit der Zielperson auf etwas anderes als das vorliegende Problem lenken können, gewinnen Sie genug Zeit, um ihre Bedenken umzuleiten. Wenn Sie beispielsweise von einem Wachmann ertappt werden, sollten Sie nicht nervös werden, sondern ihn einfach anschauen und sagen: „Wissen Sie eigentlich, was ich hier mache? Haben Sie nicht gehört, dass ein paar USB-Sticks mit sehr wichtigen Daten verloren gegangen sind? Wir müssen die unbedingt wiederfinden, bevor die Leute morgen wiederkommen. Wollen Sie die Toiletten überprüfen?“
Wahrscheinlich kennen viele von Ihnen diese Motrin-Rückrufgeschichte gar nicht, was beweist, dass die Firma ihre Arbeit der Manipulation von Medien und Justiz (bisher) sehr gut gemacht hat, um nicht ins Rampenlicht zu geraten. Aber abgesehen davon lässt sich an dieser Situation gut ablesen, wie man bei Manipulationen mit Ablenkungen und Tarnmanövern arbeitet.
1998 startete SmithKline Beecham, eine der weltweit größten Pharmafirmen, eine Werbekampagne, um die Massen über eine sogenannte „soziale Angststörung“ (social anxiety disorder) aufzuklären. Es wurden 50 Presseberichte eingeschleust und auch Befragungen mit Formulierungen wie „Haben Sie eine soziale Angststörung?“ vorgenommen. Diese Fragen und Untersuchungen waren darauf zugeschnitten, die Menschen über diese Störung „aufzuklären“, damit sie feststellen können, ob sie daran leiden.
Später im gleichen Jahr änderte die Firma ihren Werbetext bei Marketingkampagnen in medizinischen Journalen. Erst hieß es: „Paxil bedeutet Frieden ... bei Depression, Panikstörung und obsessiv-zwanghafte Störung“, und dann: „Zeigen Sie ihnen, dass es geht … die erste und einzige anerkannte Behandlung für soziale Angststörung“. Diese Änderung kostete das Unternehmen etwa 1 Million Dollar.
1999 wurde eine 30-Millionen-Dollar-Kampagne mit Print- und Fernsehwerbung gestartet, in der angekündigt wurde, SmithKline Beecham habe ein Heilmittel für die soziale Angststörung gefunden, dessen Name Paxil laute. Mit den Daten aus den Umfragen und Tests kaufte das Unternehmen Sendezeit in einigen der damals gefragtesten Fernsehshows und gab Statistiken heraus, dass zehn Millionen Amerikaner unter SAD (social anxiety disorder) leiden, doch nun gebe es endlich Hoffnung.
Bis 2000 waren die Verkäufe von Paxil für die Hälfte der Steigerung des gesamten Markts verantwortlich: Das Unternehmen wurde „im Jahre 2000 die Nummer eins im US-Markt für selektive Serotonin-Wiederaufnahmehemmer bei neuen Einzelverschreibungen“. 2001 wurde Paxil durch die FDA zugelassen und konnte sowohl für die allgemeine Angststörung als auch die posttraumatische Belastungsstörung vermarktet werden.
Die Anschläge vom 11. September führten zu einer dramatischen Zunahme der Verschreibungen für alle Antidepressiva und Angstmedikamente. Während dieser Zeit positionierte sich die Paxil-Werbung als Antwort auf die unkontrollierbaren Gefühle von Angst und Hilflosigkeit, unter denen viele als Nachwirkungen der Anschläge litten.
Ich behaupte nicht, dass diese Medikamente nicht wirken oder dass das Unternehmen schlechte Motive im Schilde führt. Doch ich finde diesen Fall insofern sehr interessant, da die Manipulation des Markts mit Schulungen anfing und mit beträchtlich steigenden Verkaufszahlen endete, währenddessen man nebenbei neue Störungen kreierte.
Diese Art der Manipulation durch Fallstudien wird im Marketing oft eingesetzt. Wir finden das aber auch in der Politik und sogar auf persönlicher Ebene, wenn ein schreckliches Problem präsentiert wird, aber dann „Fakten“ vorgestellt werden, die als Beleg dienen, dass die eigenen Behauptungen zutreffen. In einer Episode von The Real Hustle wollte Paul Wilson in einem Szenario einen berühmten Star festnehmen, der bei einem Trickbetrug eingesetzt wurde, um CDs aus einem Laden zu stehlen. Der Ladenangestellte hielt den Star fest und wartete, dass die Polizisten eintrafen. Paul kam herein, wies sich als Polizist aus, indem er seine Brieftasche mit einem Bild seiner Kinder darin vorzeigte, und konnte den Star „festnehmen“, CDs und das Geld aus der Kasse als Beweise mitnehmen und ungefragt wieder verschwinden. Diese Story ist ein ausgezeichnetes Beispiel dieser Art von Manipulation. Paul hatte ein Problem (den diebischen Star) und präsentierte sich als Lösung (Polizist) für dieses Problem. Egal welches Szenario Sie nutzen: Tragen Sie Beweise zusammen, was für ein guter Mensch Sie sind, bevor Sie Ihr Anliegen vorbringen. Mit diesen Beweisen wird das Anliegen für die Person genießbarer, die Sie manipulieren wollen.
6.4.3 Sie können mich nicht zwingen, das zu kaufen!
Kmart. Eigentlich wollte ich in diesem Abschnitt gar nicht mehr schreiben, aber ich glaube, ich sollte doch noch etwas erklären. Kmart entwickelte ein Konzept namens Planogramm. Auf diesem Diagramm wird dem Händler gezeigt, wie er seine Produkte anhand der Farben, Größen oder anderen Kriterien anordnen soll, um die Kunden so zu manipulieren, dass sie möglichst viel kaufen und Geld ausgeben.
Planogramme sollen die optimale visuelle und kommerzielle Produktplatzierung gestalten.
Der Einsatz dieser Planogramme ist eine Form der Manipulation, für die Forscher untersucht haben, wie Menschen shoppen, denken und einkaufen. Wenn man dies verstanden hat, kann man Mechanismen entwickeln, um den visuellen Input zu kontrollieren, um den Kaufanreiz für Kunden zu erhöhen.
Für die Planung und Ausführung dieser Planogramme hat man Software entwickelt und ganze Firmen beauftragt, um auf die Käufer und ihr Einkaufsverhalten maximal einwirken zu können.
Die Käufer werden anhand von drei verschiedenen Anordnungen manipuliert:
• Horizontale Produktplatzierung: Um die Konzentration des Kunden auf einen bestimmten Artikel zu ziehen, wird dieses Produkt mehrfach horizontal nebeneinander ins Regal gestellt. Manche Händler stellten fest, dass der eingeräumte Platz für ein einzelnes Produkt minimal zwischen 15 und 30 cm betragen muss, um die gesteigerte Aufmerksamkeit des Kunden auf sich zu ziehen (siehe Abbildung 6.8).
Abb. 6.8: Wenn man gleichen oder ähnlichen Artikel in einer horizontalen Reihe so wie in diesem computergenerierten Planogramm platzieren, steigert das die Aufmerksamkeit der Kunden.
• Vertikale Produktplatzierung: Eine andere Methode ist die vertikale Produktplatzierung. Hier wird das Produkt in mehr als einem Regal platziert, um einen Platzierungsbereich von 15 bis 30 cm zu erreichen (siehe Abbildung 6.9).
Abb. 6.9: Die Produkte werden zusammen gruppiert, um den Blick auf die Artikel zu ziehen, die man verkaufen will.
• Blockplatzierung: Produkte, die etwas gemeinsam haben, werden in einem Block platziert (Marken). Das kann man nebeneinander, übereinander, zentriert oder z.B. auch mit magnetischen Kleiderbügeln machen (siehe Abbildung 6.10).
Planogramme sind nicht die einzige Methode, um Käufer zu manipulieren. Bei einem Test in einem Einkaufszentrum wurden speziell gestaltete Musikschleifen verwendet. Das Ergebnis war, dass die Käufer durchschnittlich 18 % länger im Einkaufszentrum verweilten als ohne Musik.
Im Journal of Business Research veröffentlichten Jean-Charles Chebat und Richard Michon eine Studie, die sie in einem kanadischen Einkaufszentrum durchgeführt hatten (www.ryerson.ca/~rmichon/Publications/Ambient%20odors.pdf). Die Forscher versetzten die Luft mit bestimmten Aromen, die Zufriedenheit und den Wunsch zu kaufen auslösen sollten. Das Ergebnis war, dass während dieser einwöchigen Studie die Käufer durchschnittlich 50 Dollar mehr pro Person ausgaben.
Abb. 6.10: Ein anderes Beispiel für mehrere verschiedene Planogramme, die nebeneinander eingesetzt werden.
Nun werden Sie nie wieder wie früher durch Einkaufszentren und Supermärkte bummeln! Doch Sie können aus diesen Methoden und Experimenten eine Menge lernen. Wenn Sie wissen, wie Menschen Dinge in ihrem Gehirn gruppieren, wirkt sich das auch darauf aus, wie Sie Regale organisieren, um die Gedanken und Gefühle Ihrer Zielpersonen zu manipulieren.
Was Farben angeht – das ist ein sehr wichtiger Weg, um die Emotionen der Zielperson zu manipulieren. Viele der gleichen Prinzipien wie für die Produktplatzierung gelten auch für Farben. Die von Ihnen eingesetzten oder getragenen Farben können das Ziel beeinflussen. Eine Menge Forschungen widmen sich den Farben und ihren Wirkungen. In der folgenden Liste wird beschrieben, wie eine bestimmte Farbe sich auf das Denken oder Fühlen einer anderen Person auswirkt:
• Weiß: Weiß wird oft mit Reinheit, Licht und Sauberkeit verbunden. Es vermittelt Gefühle von Sicherheit und Neutralität und auch Güte und Vertrauen. Darum wird Weiß auch oft bei Hochzeiten eingesetzt oder als Farbe der Unterwerfung.
• Schwarz: Schwarz kennzeichnet oft Macht, Eleganz, Mysterium und Stärke. Es wird verwendet, um Autorität, Tiefe und Stabilität zu vermitteln. Schwarz verleiht das Gefühl von Gelassenheit und Ruhe. Weil es mit anderen Farben kontrastiert, kann man es auch nutzen, um andere Farben aufzuwerten.
• Rot: Rot verbindet man mit Aufregung und Freude. Diese Farbe ist voller Feierlichkeit, Aktion und Energie. Es kann gute Gesundheit, Tempo, Leidenschaft, Begehren und Liebe kennzeichnen. Rot kann Emotionen stimulieren und auch die Herzfrequenz, die Atmung und den Blutdruck.
Rot kann starke Emotionen auslösen – seien Sie vorsichtig, wenn Sie Rot nutzen. Es kann zwar Macht und Impulsivität kennzeichnen, steht aber auch für Macht, Einschüchterung und Eroberung, sogar Gewalt und Rache. Seien Sie vorsichtig, wenn Sie mit Rot arbeiten.
• Orange: Orange gibt Wärme, Enthusiasmus, Anziehungskraft, Entschlossenheit, Stärke und Ausdauer. Es kann eine Person stimulieren, damit sie sich gekräftigt fühlt, und sogar ihren Appetit anregen.
Orange ist eine weitere Farbe, bei der man vorsichtig sein sollte. Obwohl es viele Vorteile gibt, wenn man Orange nimmt (der Betrachter fühlt sich zum Beispiel warm oder wird von Ihnen oder Ihrem Produkt angezogen), kann zu viel davon oder die falsche Kombination Gefühle der Unsicherheit, Ignoranz und Trägheit auslösen.
• Gold: Gold verbindet man normalerweise mit Erleuchtung, Weisheit, Wohlstand und Prestige.
• Gelb: Gelb wird mit Energie und Optimismus, Freude und Fröhlichkeit, Loyalität und Frische verknüpft. Es kann dafür sorgen, dass sich jemand konzentriert und aufmerksam fühlt.
Gelb wirkt sich auch auf das Gedächtnis aus (warum sind wohl viele Haftzettel gelb?). In kleinen Dosen kann es positive Emotionen auslösen, aber zu viel sorgt dafür, dass eine Zielperson unkonzentriert wird oder sich kritisiert fühlt.
• Grün: Grün verbindet man oft mit Natur, Harmonie, Leben, Fruchtbarkeit, Ehrgeiz, Schutz und Frieden. Es kann einen sehr beruhigenden Effekt schaffen und dafür sorgen, dass man sich sicher fühlt.
Grün ist eine weitere Power-Farbe, kann einen aber auch gierig, schuldig, eifersüchtig und desorganisiert machen, wenn es im falschen Setting oder zu viel verwendet wird.
• Blau: Blau verbindet man mit der Farbe von Himmel und Ozean. Es kann mit Intelligenz, Intuition, Wahrheit, Beschaulichkeit, Gesundheit, Macht und Wissen verknüpft sein. Es ist sehr beruhigend und kühlend und ist bekannt dafür, dass es den Stoffwechsel verlangsamt.
Blau ist die Farbe, auf die sich die Augen am besten fokussieren können. Es kann viele positive Effekte haben, aber achten Sie darauf, dass sich die Zielperson nicht kühl oder deprimiert fühlt.
• Violett: Violett verbindet man mit Königlichkeit, Vornehmheit, Luxus, Kreativität und Mysterium.
• Braun: Braun steht für Erde, Verlässlichkeit, Zugänglichkeit, Konvention und Ordnung. Es kann Gefühle der Verbundenheit oder Verwurzelung schaffen oder dass man ein Gefühl der Ordnung bekommt.
Wie können Sie all diese Informationen nutzen? Ich will Sie nun nicht glauben machen, mit einem einfachen blauen Outfit könnten Sie dafür sorgen, dass jemand Ihnen ruhig und gelassen sein Passwort gibt. Und doch können Sie mit diesen Informationen Ihre Angriffsvektoren planen und sichergehen, dass Sie die besten Erfolgschancen haben, und dazu gehört auch, wie Sie aussehen und gekleidet sind.
Ein Social Engineer sollte die Zielperson analysieren, die er aufsuchen will, und darauf achten, dass seine Farben das Potenzial zur Manipulation erhöht und die Zielperson nicht abschreckt. Wenn man beispielsweise weiß, dass durch Grün Gefühle von Gier und Ehrgeiz hervorgerufen werden, sollte der Social Engineer beschließen, zum Treffen mit einer Wohltätigkeitsorganisation kein Grün zu tragen, weil sonst Gefühle entstehen, die der Mission dieser Organisation entgegenlaufen. Wenn man hingegen in einem Anwaltsbüro blaue Sachen trägt, wirkt das beruhigen und sorgt dafür, dass der Anwalt sich mehr öffnet. Sorgfältige Planung und sensibler Einsatz dieser Taktiken helfen, den Erfolg Ihrer Social Engineering-Audits zu sichern.
6.4.4 Zielpersonen auf positive Reaktionen konditionieren
Konditionierung wird praktisch überall eingesetzt: bei normalen Gesprächen, im Marketing und auch bei heimtückischer Manipulation. So wie Pawlows Hund werden Menschen konditioniert, um auf bestimmte Objekte zu reagieren. Oft bedienen sich die Manipulatoren der menschlichen Natur, um andere zu ihnen dienlichen Aktionen zu verführen.
Denken sie an Babys, lächeln die meisten Leute, sprechende Tiere findet man „süß“, und vielleicht werden wir manchmal derart manipuliert, dass uns der Jingle für ein populäres Produkt nicht aus dem Kopf geht und wir den sogar mitsingen.
Diese Taktiken sind derart versteckt, dass wir oft nicht einmal mitbekommen, dass sie funktionieren. Häufig frage ich mich, was ein spärlich bekleidetes Bikini-Mädchen mit Bier zu tun hat.
Ein Beispiel, wie Konditionierung funktioniert, finden wir bei Michelin Tires (siehe Abbildung 6.11). Seit Jahren wirbt diese Firma mit Babys. Warum nur? „Weil etwas Wertvolles auf Ihren Reifen fährt.“ Doch diese Werbung bewirkt noch mehr: Sie sehen ein Baby, lächeln und sind glücklich. Diese Emotion löst eine positive Reaktion aus, und diese Reaktion konditioniert Sie so, dass Sie dem zustimmen, was Sie als Nächstes gesagt bekommen. Wenn Sie das Baby sehen, lächeln Sie. Wenn Sie es oft genug sehen, sind Sie so konditioniert, dass Ihnen warme, glückliche Gefühle in den Sinn kommen, wenn Sie Michelin-Reifen sehen.
Abb. 6.11: Sind Babys nicht süß?
Wenn Sie das Baby neben dem Reifen sehen, stellen Sie eine direkte Verbindung zwischen positiven, glücklichen Gefühlen und der Marke her. Dies ist ein Beispiel für klassische Manipulation.
Eine andere Werbung (siehe Abbildung 6.12) stammt von Budweiser und hat wohl viele Leute zum Überlegen gebracht. Haben Sie mal diesen Spot mit den Fröschen gesehen, die „Bud“, „weis“ und „er“ quaken? Was haben Frösche mit Bier zu tun? In die gleiche Richtung zielen die neueren Spots mit den Clydesdale-Pferden und ihrer Truppe tierischer Freunde. Diese Werbung ist sehr eingängig, beim ersten Mal sogar lustig, aber erklären nicht wirklich, warum man dieses Bier kaufen sollte.
Diese Form der Manipulation, die Konditionierung, ist subtil. Sie lachen bei dieser Werbung, und wenn Sie dann später zum Getränkemarkt fahren, sehen Sie dort Pappaufsteller mit Fröschen oder Pferden. Dann müssen Sie lächeln. Das schafft ein positives Gefühl und versetzt Sie in die Stimmung, dieses Produkt zu kaufen.
Abb. 6.12: Frösche verkaufen Bier.
Diese Konditionierungstaktiken kommen oft in der Welt der Verkaufs- und Marketingfirmen zum Einsatz und sollen den Verbraucher manipulieren, dass lieber diese Produkte gekauft werden als die der Konkurrenz. Social Engineers verkaufen kein wirkliches Produkt, wollen aber doch, dass die Zielpersonen ihnen ihre Aussagen „abkaufen“, also auch den Pretext und die Handlungen, zu denen sie die Zielpersonen bewegen wollen. Aber warum mit Manipulation arbeiten? Was sind die Anreize, diese machtvolle Form der Steuerung einzusetzen? Im nächsten Abschnitt geht es um genau dieses Thema.
6.4.5 Anreize für Manipulation
Was sind die Anreize, jemanden zu manipulieren? Diese Frage richtet sich direkt auf den Kern der Methoden, die Denkweise und Taktiken, die bei jeder Manipulation eingesetzt werden. Nicht alle Manipulation ist negativ, hängt aber mit den Anreizen (in der Marketingsprache die sogenannten Incentives) dahinter zusammen. Doch jedes Incentive kann positiv oder negativ sein.
Was ist ein Incentive? Alles, was Sie zu einer Handlung motiviert: z.B. Geld, Liebe, Erfolg oder etwas anderes – sogar negative Emotionen wie Hass, Eifersucht und Neid.
Die wesentlichen Gründe, warum man andere manipuliert, lassen sich auf drei Kategorien zurückführen: finanzielle, soziale und ideologische Anreize. In den folgenden Abschnitten schauen wir uns diese Anreize einzeln an und wie sie bei Manipulation eingesetzt werden.
Finanzielle Anreize
Finanzielle Anreize sind am verbreitetsten, z.B. in den erwähnten Fällen, wo es um die Steigerung der Verkaufszahlen geht. Bei vielen Trickbetrügereien (Scams) liegen den Taktiken finanzielle Anreize zugrunde.
Wie viele Menschen spielen täglich bei der Lotterie mit und hoffen auf den Hauptgewinn? Im Laufe der Zeit investieren sie viel Geld, und wenn sie mal einen Zwanziger gewinnen, sind sie glücklich und kaufen gleich wieder Lose.
Ein nicht böswilliges Beispiel für finanzielle Anreize sind Rabattcoupons. Wenn Sie dieses Produkt in diesem speziellen Laden kaufen, wird Ihnen vom Preis X abgezogen. Wenn Sie beim Einkaufen sparsam sind oder dieses Produkt ausprobieren wollen, gehen Sie natürlich in diesen Laden.
Viele Werbespots, bei denen es um den Ausbau von Bildung, Karriere oder Fähigkeiten geht, arbeiten mit finanziellen Anreizen, indem sie ausmalen, wie Ihr Einkommen nach diesem Kurs oder der Schulung steigt.
Der Anreiz für den böswilligen Angreifer, mit Manipulation zu arbeiten, ist sein eigener finanzieller Vorteil, und dementsprechend wird seine Motivation und Technik das widerspiegeln. Wenn es beispielsweise das Ziel des böswilligen Social Engineer ist, dass seine Zielperson etwas von ihrem schwer verdienten Geld abgibt, arbeitet er mit Pretexte, in denen man nach Geld fragen darf, z.B. passenderweise Wohltätigkeitsorganisationen, denn hier ist es nicht ungewöhnlich, um Spenden oder finanzielle Informationen zu bitten.
Ideologische Anreize
Ideologische Anreize sind am schwersten zu beschreiben. Jeder hat andere Ideale, und diese Ideale beeinflussen den Anreiz. Wenn es Ihr Lebenstraum ist, ein Restaurant zu führen, hängen Sie sich leidenschaftlich hinein: Sie arbeiten länger und geben sich mehr Mühe als alle Ihre Angestellten. Sie arbeiten auch für weniger Geld, denn dies ist Ihr Traum oder Ihre Motivation; für alle anderen ist es nur ein Job.
Träume und Überzeugungen können derart in eine Person eingeprägt sein, dass man beides fast unmöglich voneinander trennen kann. Wenn Sie den Satz „Ich habe einen Traum“ hören, denken Sie dabei an Martin Luther King? Bei manchen Menschen geht es in ihren Träumen und Zielen darum, wer sie sind, und weniger darum, woran sie denken.
Wer bestimmte Träume und Ziele hat, tut sich gerne mit anderen zusammen, denen es ähnlich geht. Darum passt der Spruch „Gleich und gleich gesellt sich gern“ auch so gut in diesen Zusammenhang. Aber das ist ebenfalls ein Grund, warum so viele Menschen manipulierbar sind.
Schauen wir uns beispielsweise die christlichen Fernsehprediger an. Wer einer bestimmten Religion anhängt und an Gott glauben will, tut sich mit Gleichgesinnten zusammen. Diese Gleichgesinnten bekräftigen sich gegenseitig im Glauben und dem Wunsch nach richtigem Handeln, aber ein Fernsehprediger kann diese Ideologie auch dafür einsetzen, die Gläubigen davon zu überzeugen, es sei Gottes Wunsch, dass diese spezielle Kirche wächst und gedeiht. Deswegen sollen die Taschen des Fernsehpredigers mit Geld gefüllt werden.
Der Fernsehprediger hält ein paar motivierende Predigten, vergießt einige Tränen, und plötzlich schicken die Leute ihre Schecks los. Diese Fernsehprediger arbeiten mit dem Instrument der finanziellen und sozialen Ideale (siehe folgender Abschnitt „soziale Anreize“), um ihre Zuhörer zur Übernahme ihrer Ideale zu bewegen, damit sich diese Leute von ihrem schwerverdienten Geld trennen. Interessanterweise antworten diese Anhänger auf die Frage, wie es ihnen damit geht, dass der Prediger wohlhabender ist als sie selbst, sie seien davon überzeugt, dass dies Gottes Wille sei. Ihre Ideale wurden verändert oder manipuliert.
Ideologische Anreize kann man auch für Gutes einsetzen, z.B. die Schulung über Moral, und auch der Rückgriff auf Angst als Anreiz kann große Wirkung zeigen. Ideologische Anreize werden Kindern oft über Geschichten und Märchen vermittelt, hinter denen noch weitere Bedeutung steckt. Die Gebrüder Grimm sind ein hervorragendes Beispiel für diese Art Anreiz. Die Geschichten bauen auf der Befürchtung auf, dass Schlechtes zu schrecklicher Bestrafung oder gar Tod führt, weil die Bösewichte in den Märchen oft körperlich versehrt werden oder sterben und die Guten, die alle Nöte durchstehen, am Ende großartig belohnt werden.
Ideologische Anreize werden auch im Marketing eingesetzt, wenn es in den Anzeigen heißt, dass sich oft „gleichgesinnte“ Ideale „treffen“. Windelhersteller schalten ihre Anzeigen beispielsweise in Familienmagazinen, Tierschutzorganisationen inserieren in Zoos, Sportausstatter bieten ihre Produkte bei Sportveranstaltungen an usw. Diese Art Anreiz erhöht die Chance, dass die annoncierten Waren oder Dienstleistungen von jenen gekauft werden, die die gleichen Ideale teilen.
Ideologische Anreize werden verwendet, um die eigenen Ideale an jene mit ähnlicher Einstellung anzugleichen. Oft beginnen die Manipulationstaktiken, wenn Menschen Sympathien für ein Anliegen entwickeln. Noch einmal: Nicht jede Manipulation ist schlecht, aber sie muss auf korrekte Weise genutzt werden.
Soziale Anreize
Soziale Anreize werden wahrscheinlich am häufigsten eingesetzt und sind die komplexeste Gruppe, vor allem wenn es ums Social Engineering geht.
Menschen sind von ihrer Natur her sozial, das ist unser Alltag. Soziale Anreize umfassen auch alle anderen Arten von Anreizen. Die richtige Beziehung kann Ihre finanziellen Bedürfnisse erweitern und auch Ihre Ideale angleichen, ausrichten und aufwerten. Man könnte einwenden, dass soziale Anreize stärker sind als die beiden anderen.
Die Macht, die durch sozialen Druck aufgebaut wird und der sich viele unterwerfen, lässt sich leicht erkennen. Für Junge wie Alte ist Konformität eine sehr mächtige Triebfeder. Sehr oft ist das, was akzeptiert wird, direkt mit einem sozialen Anreiz verknüpft. Die Aussichten fürs eigene Leben und Wesen werden oft sehr stark von den sozialen Gegebenheiten beeinflusst. Letzten Endes ist Gruppenzwang auch möglich, wenn gar keiner persönlich anwesend ist.
Sehe ich gut aus? Nun, das kommt darauf an. In den USA, wo ein Supermodell Kleidergröße 0 hat und die Kerle Muskeln an Stellen, von denen ich gar nicht wusste, dass da welche existieren, wahrscheinlich nicht. Im alten Rom hingegen, wo etwas mehr Umfang ein Zeichen von Reichtum und Macht war, wahrscheinlich schon. Das gesamte innere Selbst wird von Ihrer sozialen Sicht der Welt umrahmt.
1975 führte die US-Luftwaffe eine Studie unter dem Titel „Identifikation und Analyse von sozialen Anreizen beim technischen Training der Luftwaffe“ durch, um herauszufinden, welche Wirkung soziale Anreize beim Aufbau von Führungspersönlichkeiten während der Trainings-Drills haben. Es wurden vier unterschiedliche Szenarien mit einer Gruppe durchlaufen und dann analysiert, welche Effekte sie auf die Studierenden hatten.
Das Endergebnis war, dass ein bestimmter sozialer Anreiz, also meist Lob oder positive Verstärkung durch Kollegen oder Autoritätspersonen, ein starkes Band zwischen den Studierenden und den Ausbildern schuf:
Die wichtigste Schlussfolgerung dieser gesamten Studie ist, dass das Management von sozialen Anreizen eine besonders schwierige Kunst ist. Während soziale Anreize relativ leicht identifiziert und eingeteilt werden können, erfordert es beträchtlich mehr Aufwand, ebendiese Anreize zu manipulieren und zu managen. Die Datenskala zeigt einen hohen Anziehungswert für verschiedene soziale Anreize. Das Ergebnis des Feldexperiments zeigt, wie positiv sich die Bekanntschaft und der psychologische Vertrag auf die Einstellungen zu anderen in der gleichen Ausbildungsgruppe auswirken. Beide Ergebnisse unterstreichen die Bedeutung von sozialen Faktoren.
Anders gesagt ist es nicht sonderlich schwer, die Attraktivität des sozialen Anreizes zu steigern oder zu senken, wenn Sie wissen, was jemanden motiviert. Dieses Phänomen wird besonders deutlich bei Teenagergruppen. Wenn man dort herausfindet, was jemanden ärgert, wird das oft als Waffe genutzt, um Fügsamkeit zu erzwingen. Je größer die Gruppe ist, die den Druck ausübt, desto wahrscheinlicher wird sich die Zielperson dem fügen.
Das ist eine sehr weitreichende Feststellung. Ich frage mich, wie diese Forschung abgelaufen wäre, hätte den Forschern die Vielzahl der heutigen Social Media Sites zur Verfügung gestanden. Der Gruppenzwang ist ein starker Einfluss, jeder will sich einfügen und zur Gruppe gehören.
Soziale Anreize funktionieren. 2007 verfasste eine Forschergruppe (Oriana Bandiera, Iwan Barankay und Imran Rasul) ein Papier mit dem Titel „Soziale Anreize: Ursache und Konsequenzen von sozialen Netzwerken am Arbeitsplatz“ (www.social-engineer.org/wiki/archives/Manipulation/ Manipulation-Social-Incentivespdf.pdf).
Der Bericht ist eine interessante Studie in Richtung der Luftwaffen-Studie, stammt aber aus dem Jahr 2007. Im Wesentlichen analysierten die Forscher, wie jene mit ihrem Job umgehen, die „Freunde“ bei der Arbeit haben, wenn sie in Gruppen mit ihren Freunden arbeiten. Die Schlussfolgerung:
Unsere Forschungsergebnisse verweisen auf soziale Anreize: Die Anwesenheit von Freunden wirkt sich auf die Arbeitsproduktivität aus, obwohl aufgrund der Produktionstechnologie oder des vorhandenen Vergütungssystems keine externen Effekte auf den Arbeitsaufwand für die Arbeitskollegen festzustellen sind. Wegen der sozialen Anreize halten sich die Arbeiter an eine allgemeine Norm, wenn sie zusammenarbeiten. Diese Norm drückt sich derart aus, dass die Anwesenheit von Freunden die Arbeitsproduktivität jener Personen steigert, die weniger leistungsfähig sind als ihre Freunde, und wer hingegen leistungsfähiger ist als seine Freunde, dessen Produktivität sinkt.
Soziale Anreize sind ein quantitativ wichtiger Faktor zur Bestimmung der Leistung eines Arbeiters. Weil die Mitarbeiter nach Stückzahl und der individuellen Produktivität vergütet werden, liegt die Stärke der sozialen Anreize darin, dass (i) die Mitarbeiter, die leistungsfähiger sind als ihre Freunde, bereit sind, auf 10 % ihres Einkommens zu verzichten, um die Norm einzuhalten, und dass (ii) Mitarbeiter, die mindestens einen Freund haben, der leistungsfähiger ist als sie selbst, bereit sind, die Produktivität um 10 % zu steigern, um die Norm zu erfüllen. Insgesamt stellt sich die Verteilung der Leistungsfähigkeit der Mitarbeiter so dar, dass letzterer Effekt dominiert, sodass der Nettoeffekt sozialer Anreize auf die Unternehmensleistung insgesamt positiv ist.
Die Anwesenheit von Freunden bedeutete also, dass jemand abhängig von der eigenen normalen Arbeitsleistung mehr bzw. weniger hart arbeitet. Der Gruppenzwang ohne wirklichen äußeren Druck kann sich auf die Arbeitsleistung auswirken. Der Druck wird abhängig davon wahrgenommen, was Standard ist. Wie das? Wenn jemand vielleicht besser oder schneller arbeiten kann, will er möglicherweise nicht als Klugscheißer oder Arschkriecher erscheinen, wie solche Leute auch genannt werden. Ist er vielleicht eher ein Bummelant, will er nicht faul wirken und legt noch einen Zahn zu. In beiden Fällen hat sich auf die Arbeitseinstellung ausgewirkt, dass Freunde anwesend sind.
Ein interessanter Punkt für das Management ist, dass man stets die leistungsfähigsten Mitarbeiter und die geborenen Führungspersonen vor die Gruppe stellen sollte. Aber aus dieser Forschungsarbeit lässt sich noch viel mehr lernen.
Mit dieser Methode arbeiten Social Engineers auch beim „Huckepack-Eintritt“. Wenn man bei einer großen Gruppe mitläuft, die aus der Pause oder vom Mittagessen zurückkehrt, und aussieht wie ein Mitarbeiter, minimiert das die Chance, dass der Wachmann einen beim Durchgang ins Gebäude aufhält.
So können auch ganze Gruppen manipuliert werden zu denken, dass eine bestimmte Handlung oder Einstellung akzeptabel ist. Das sehen wir in der Unterhaltungsbranche, wo der Standard dessen, was akzeptabel oder moralisch einwandfrei ist, scheinbar jährlich sinkt, und dieser nachlassende Standard wird dann als „Freiheit“ verkauft.
Diese drei Anreize sind nicht die einzigen, die eingesetzt werden. Sie können sich auch in andere Aspekte verzweigen, die außerhalb der Thematik dieses Buches liegen, aber die Frage bleibt, wie ein Social Engineer dies einsetzen kann.
6.5 Manipulation beim Social Engineering
Bei der Manipulation geht es weniger darum, andere dazu zu bringen, dass sie wie Sie denken und sich wohlfühlen, sondern mehr darum, sie zu nötigen, Ihren Wünschen zu folgen.
Nötigen ist kein freundliches Wort. Es bedeutet, „jemanden zwingen, auf bestimmte Weise zu handeln oder zu denken“ oder „durch Zwang zu dominieren, zu zügeln oder zu kontrollieren“.
Manipulation und Nötigung arbeiten mit psychologischem Druck, um die Ideologie, Überzeugungen, inneren Einstellungen und Verhaltensweisen der Zielperson zu ändern. Um damit zu arbeiten, ist es zentral wichtig, die Schritte derart klein zu halten, dass sie fast unsichtbar werden. Der Social Engineer sollte sein Ziel nicht alarmieren, dass manipuliert wird. Einige der folgenden Methoden sind umstritten oder einfach nur schrecklich, aber sie werden täglich von Trickbetrügern, Identitätsdieben und ähnlichen Personen eingesetzt. Zu den Zielen der Manipulation gehört u.a., Angst, Stress und unzulässigen sozialen Druck aufzubauen. Fühlt die Zielperson dies, dann wird sie eher eine vom Social Engineer manipulierte Aktion ausführen.
Vor diesem Hintergrund können Sie sehen, warum Manipulation oft in negativem Licht gesehen wird. Doch weil sie zum Social Engineering gehört, muss sie diskutiert werden.
6.5.1 Die Beeinflussbarkeit einer Zielperson erhöhen
Um eine Zielperson besser beeinflussen zu können, kann man die in Kapitel 5 erläuterten Skills des neurolinguistischen Programmierens (NLP) oder andere visuelle Hinweise einsetzen. Sie haben bereits davon gelesen, wie man Menschen durch Klicken mit dem Kuli oder anderen Klängen oder Gesten konditionieren kann, die Emotionen hervorlocken, auch wenn nichts gesagt wird.
Das habe ich mal live erlebt, als ich jemanden begleitete, der eine Zielperson manipulierte. Er klickte mit seinem Kuli, um auf eine positive Aussage hinzuweisen. Er sagte etwas Positives, lächelte dann und klickte mit seinem Stift. Nachdem er das etwas vier oder fünf Mal gemacht hat, habe ich tatsächlich erlebt, wie die andere Person lächelte, als sie das Klicken hörte. Dann sprach er ein sehr deprimierendes Thema an und klickte wieder mit dem Kuli. Die Zielperson lächelte und war deswegen sofort peinlich berührt. Diese peinliche Reaktion war die offene Tür, die er brauchte, um sein Ziel seinen Wünschen entsprechend zu manipulieren.
Man kann eine Situation schaffen, in der die andere Person für Suggestionen anfällig wird, indem man bestimmte Ideen oder andere Mittel wiederholt einsetzt, um das Ziel für die von Ihnen präsentierten Gedanken „aufzuweichen“.
Ein Social Engineer sollte darauf achten, dass der gesamte Rahmen auf diese Manipulation zugeschnitten ist: die Formulierungen, die mit Worten gemalten Bilder, die Farben der Kleidung, die er trägt usw. All das trägt dazu bei, dass das Ziel empfänglicher wird.
William Sargant, ein umstrittener Psychiater und Autor des Buches Der Kampf um die Seele, spricht darin über Methoden, wie Menschen manipuliert werden. Sargant zufolge kann man verschiedene Arten von Überzeugungen in Menschen implantieren, wenn die Zielperson durch Angst, Zorn oder Erregung beunruhigt wurde. Diese Gefühle sorgen für erhöhte Beeinflussbarkeit und beeinträchtigtes Urteilsvermögen.
Ein Social Engineer kann dies zu seinem Vorteil einsetzen, indem er der Zielperson eine Suggestion anbietet, die für Angst oder Erregung sorgt, und dann eine Lösung vorstellt, die sich in eine Suggestion verwandelt.
In der BBC-Serie The Real Hustle arbeitete das Team nach diesen Prinzipien ein Trickbetrug aus: Man baute in einem Einkaufszentrum einen Stand auf, an dem die Leute Lotterielose kaufen konnten. Man kaufte ein Los mit der Chance, drei Preise zu gewinnen, die viel mehr wert waren als das gerade gekaufte Los.
Eine Frau kaufte das Ticket, und natürlich gewann sie den Hauptpreis. Sie war absolut aus dem Häuschen, weil sie noch nie so etwas gewonnen hatte. In diesem Moment brachte Paul Wilson die Suggestion ein, um sie zu manipulieren: Als die Aufregung auf dem Höhepunkt war, sagte er ihr, sie müsse eine Telefonnummer anrufen und dort ihre Bankdaten mitteilen, um den Preis zu bekommen.
Das hat sie ohne Zögern sofort erledigt. Diese Suggestion war sinnvoll, vor allem vor dem Hintergrund ihrer Aufregung.
Es wird deutlich einfacher, eine solche Atmosphäre der Empfänglichkeit zu bewirken, wenn man die Zielperson kennt und auch ihre Vorlieben, Abneigungen, die Namen ihrer Kinder, die favorisierten Sportmannschaften oder das Lieblingsessen nutzt, um eine emotionale Umgebung zu schaffen.
6.5.2 Die Umgebung der Zielperson kontrollieren
Die Kontrolle der Umgebung der Zielperson nutzt man beim Social Engineering oft online, bei Trickbetrug (Scams) und Identitätsdiebstahl.
Wenn der Angreifer in die gleichen sozialen Netzwerke und Gruppen gelangt, hat er die Chance zur „persönlichen Ansprache“, um die Zielpersonen auf das von ihm gewünschte Denken oder Handeln hin zu manipulieren. Es ist ein besonders kraftvolles Instrument, über die sozialen Netzwerke herauszufinden, was eine Zielperson triggert.
Diese Methode habe ich einmal eingesetzt, als ich für einen Kunden einen Trickbetrüger suchte, von dem er die Kontaktdaten haben wollte. Ich besorgte mir ein Konto in einem Forum, in dem der Betrüger seine „Leistungen“ postete. Mit dieser Taktik, in seine Umgebung einzudringen und sich mit ihm anzufreunden, gewann ich sein Vertrauen und konnte seine sozialen Netzwerke nutzen, um sein Handeln besser kennenzulernen. So gelangte ich schließlich an seine Kontaktdaten.
Bei dieser Manipulationstechnik findet jede Methode Einsatz, um die Umgebung der Zielperson zu kontrollieren. Das kann ganz einfach sein zu wissen, wann man die Zielperson möglichst ungestört ansprechen kann, oder ihr zu erlauben, etwas zu sehen (oder auch nicht), was eine Reaktion nach sich zieht.
Natürlich können Sie die gesamte Umgebung der Zielperson nur dann wirklich kontrollieren, wenn Sie sie einsperren. Weil das nicht geht, benötigt eine solche Kontrolle viel Planung und Recherchen. Nachdem Sie die sozialen Kreise Ihrer Zielperson online bzw. in der realen Welt ausfindig gemacht haben, müssen Sie überlegen, wie Sie dort hineingelangen. Welche Elemente wollen Sie kontrollieren, wenn Sie erst einmal drin sind? Ein guter Social Engineer legt es nicht gleich auf den „Blattschuss“ an, sondern nimmt sich Zeit, eine Beziehung aufzubauen und Informationen zu sammeln, bevor der finale Stoß angesetzt wird.
Die Kontrolle der Umgebung wird oft bei polizeilichen Befragungen oder Verhören in Kriegszeiten eingesetzt. Die Umgebung, in der die Befragung vorgenommen wird, besitzt eine bestimmte Atmosphäre, damit die Zielperson sich wohlfühlt, nervös oder ängstlich wird oder welche anderen Emotionen der Angreifer (oder der leitende Beamte) noch hervorrufen will.
6.5.3 Die Zielperson zur Neubewertung zwingen
Wenn man die Überzeugungen, das Bewusstsein oder die emotionale Kontrolle ihrer Lage untergräbt, kann sich das sehr verstörend auf die Zielperson auswirken. Diese Taktik ist sehr negativ, weil sie dazu genutzt wird, dass die Zielperson den Wahrheitsgehalt dessen bezweifelt, was ihr mitgeteilt wird.
Sekten nutzen diese Taktik auf der Jagd nach Personen, die im Leben Führung suchen. Sehr oft werden Menschen, die sich alleine oder verwirrt fühlen, davon überzeugt, ihr gesamtes Glaubenssystem müsse neu bewertet werden. Wenn solche Sekten die Kontrolle haben, können sie derart glaubwürdig sein, dass die Opfer zutiefst davon überzeugt sind, dass weder ihre Familie noch ihre Freunde wissen, was gut für sie ist.
Auf persönlicher Ebene als Social Engineer bringen Sie jemanden dazu, sein Wissen über das, was sicher ist und was nicht, bzw. die jeweiligen Richtlinien der Firma in Frage zu stellen.
Jeden Tag arbeiten Social Engineers mit ähnlichen Taktiken, um eine wohldurchdachte Frage zu präsentieren, die bei der Zielperson dafür sorgt, ihre Einstellung zu einem bestimmten Thema neu überzudenken und möglicherweise einzuknicken.
In unserer Wirtschaft sind beispielsweise Vertreter sehr begierig, Verkäufe zu tätigen. So können Sie die Verkaufsabteilung einer Firma anrufen, die zufälligerweise strenge Richtlinien über den Download von PDFs aus dem Internet ohne korrekte Virenscans und Sicherheitsvorkehrungen hat. Doch ein Telefonat wie folgendes kann trotzdem noch wirksam sein:
„Hi, ich rufe von der Firma ABC an und möchte eine Bestellung Ihres Produkts aufgeben. Dabei wird es um mehr als 10.000 Stück gehen. Mein Arbeitgeber will, dass ich drei Angebote einhole, um das Beste zu kriegen. Ich habe das Angebotspaket auf unsere Website hochgeladen. Darf ich Ihnen die Internetadresse nennen? Ich muss in zwei Stunden in ein Meeting. Könnten Sie sich das Paket vorher vielleicht anschauen und mir bis dahin ein vorläufiges Angebot erstellen?“
Meinen Sie, dass diese Taktik funktioniert? Höchstwahrscheinlich lädt der Vertreter ohne groß nachzudenken diese Datei herunter und führt sie aus. Sie haben dafür gesorgt, dass er die Richtlinie neu einschätzt, die ihm beigebracht wurde.
6.5.4 Die Zielperson soll sich ohnmächtig fühlen
Eine weitere dunkle, aber effektive Taktik ist, dafür zu sorgen, dass die Zielperson sich verletzbar oder machtlos fühlt. Das kommt beim Social Engineering oftmals dann zum Einsatz, wenn der Pretext ein wütender Vorgesetzter ist oder jemand, der Macht über die Zielperson hat. Zornig darüber, dass die Zielperson mangelhaft reagiert oder nicht schnell genug antwortet, bedroht der Angreifer sie oder schimpft auf sie ein. So zweifelt sie ihre Position an und fühlt sich machtlos.
Ein anderer, subtilerer Weg ist, das Glaubenssystem anhand sozialer Anreize zu untergraben. Bei einem Audit wurde ich von einer Aufseherin gestoppt, während ich das interne Netzwerk gescannt habe. Als sie das Richtige tat, mich zu aufzuhalten, reagierte ich etwa wie folgt: „Wussten Sie eigentlich, dass diese Firma in jedem Jahr ständig gegen Netzwerkeinbrüche zu kämpfen hat? Ich versuche hier, sie abzusichern, und Sie versuchen, mich von meinem Job abzuhalten!“
Mein erdrückendes Auftreten sorgte dafür, dass sie sich machtlos fühlte und einlenkte.
Wenn man der Zielperson den Eindruck vermittelt, es bleibe keine Zeit zum Nachdenken oder es bestünde die dringende Notwendigkeit, fühlt sie sich u.U. auch machtlos. Sie kann sich nicht Zeit lassen, um über den Umgang mit einem Problem nachzudenken, und darum muss die Entscheidung auf eine ungute Weise gefällt werden.
Diese Taktik wurde auch kürzlich nach den Erdbeben in Haiti eingesetzt. Auf einer Website wurde behauptet, man führe dort Informationen über Vermisste, falls jemand nach Freunden oder Verwandten suche. Wegen der Behauptung, dass niemand außer der Gruppe, die diese Site eingerichtet hat, an Informationen aus dem Krisengebiet käme, konnten sie die Erfüllung bestimmter Kriterien verlangen, um an diese Informationen zu kommen. Viele Leute waren derart verzweifelt und ohnmächtig, dass sie zu viele Daten eingaben und etwas anklickten, von dem sie wussten, dass sie das lieber nicht machen sollten. Am Ende war das für sie selbst schädlich. Die BBC brachte darüber eine Story heraus und stellte Tipps vor, wie man sich schützen kann: http://news.bbc.co.uk/2/hi/business/8469885.stm.
6.5.5 Immaterielle Strafen verteilen
Eng mit solchen Ohnmachtsgefühlen der Zielperson ist, wenn sie sich schuldig, gedemütigt, verängstigt fühlt oder Privilegien verliert. Diese Gefühle können so stark sein, dass die Zielperson möglicherweise zu allem bereit ist, um nicht weiter „in Ungnade“ zu sein.
Das Schuldgefühl, nicht das gegeben zu haben, was erwartet wurde, kann zu Demütigung und Zweifel führen und letzten Endes dazu, dass die Zielperson den Wünschen des Angreifers nachgibt.
In den meisten Social Engineering-Settings sollten Demütigungen meines Erachtens nicht genutzt werden. Aber ich habe es mal erlebt, wie ein Team damit arbeitete, um „reinzukommen“. Auch bei einem vom Social Engineering-Team wurde das eingesetzt, um die Rüstung der Zielperson aufzuweichen und sie für Suggestionen offener zu machen.
Der erste Angreifer wandte sich in einer öffentlichen Situation an die Zielperson und versuchte, Informationen zu bekommen. Dabei spielte er die Rolle einer bedeutenden Person.
Mitten im Gespräch kam eine Untergebene (die zufällig zum Team gehörte) hinzu und stellte eine Frage, die den ersten Angreifer erboste. Darauf blaffte er sie an: „Sie sind doch die dümmste Person, die ich je getroffen habe!“ In seinem Wutanfall ging er dann weg. Die Frau wirkte entmutigt und verletzt und wurde von der Zielperson schnell getröstet (passend zu diesem Auftritt). Durch ihr Mitleid wurde die Zielperson so manipuliert, dass sie weitaus mehr Informationen beisteuerte als gewollt.
6.5.6 Die Zielperson einschüchtern
An Einschüchterung als Taktik denken Sie möglicherweise nicht für ein Social Engineering im traditionellen Sinn. Sie werden Ihre Zielperson nicht fesseln und dann den „Jack Bauer“ geben, aber Sie können sie auch auf dezentere Weise einschüchtern.
Wenn man andeutet, dass es zu Entlassung oder anderen ungünstigen Konsequenzen führen kann, wenn man nicht mitspielt, wird die Zielperson eingeschüchtert und handelt auf gewünschte Weise. Regierungen arbeiten oft mit dieser Taktik, um die Bevölkerung zu dem Glauben zu manipulieren, die Wirtschaft breche zusammen. So steuern sie die Emotionen der Leute, die sie regieren.
Sie können damit in einem Social Engineering-Audit arbeiten, indem Sie ein einschüchterndes Verhalten an den Tag legen. Wenn man hochbeschäftigt und aufgeregt wirk und als ob man mit einem wichtigen Auftrag unterwegs sei, lassen sich viele davon einschüchtern. Es kann auch sehr einschüchternd wirken, wenn man mit sehr autoritären Ausdrücken um sich wirft.
Wenn man in geschäftlichen Zusammenhängen etwas per Einschreiben oder Boten schickt, schwingt dabei eine gewisse Einschüchterung mit. Wenn man für ein Paket mit unbekanntem Inhalt unterschreiben muss, wirkt das auf manche einschüchternd. Das Ziel dieser Manipulationstaktik ist, dass sich die Person unwohl und ängstlich fühlt. Dann verhält sie sich möglicherweise auf eine Art, die sie später bedauert, was dann aber zu spät ist.
Diese dunkleren Manipulationstechniken werden von Social Engineers und professionellen Auditoren erfolgreich eingesetzt. Wenn man eine Person so manipuliert, dass sie sich völlig hilflos fühlt, wird es für sie sinnvoll, dem Angreifer nachzugeben.
Darin unterscheidet sich die Manipulation in einem Social Engineering-Einsatz von anderen Formen der Beeinflussung. Nach negativer Manipulation verschwindet der Social Engineer und kümmert sich nicht darum, wie sich die Zielperson fühlt. Auch wenn die Zielperson erkennt, dass sie hereingelegt wurde, macht das nichts mehr, da der Schaden eingetreten ist und die Firma oder Person bereits infiltriert wurde.
Andere Aspekte der Manipulation sind ebenfalls sehr kraftvoll, aber nicht so dunkel.
Positive Manipulation führt die gleichen Ziele im Schilde wie negative – am Ende soll die Zielperson sich nach Ihren Gedanken und Wünschen richten. Der Unterschied besteht darin, wie Sie dahin gelangen. Doch bei der positiven Manipulation braucht die Zielperson hinterher keine Therapie, wenn Sie fertig sind.
In meinen jahrelangen Recherchen habe ich einige Tipps zusammengestellt, wie Eltern mit ihren Kindern umgehen sollten, damit diese die Wünsche der Eltern befolgen. Einige dieser Punkte über positive Manipulation sind auch für Social Engineers nützlich. In den folgenden Abschnitten beschäftigen wir uns mit diesen positiven Techniken.
Entkoppeln Sie Ihre Emotionen von Ihrem Verhalten
Es ist sehr wichtig, Ihre Emotionen vom Verhalten der Zielperson getrennt zu halten. Sobald Sie zulassen, dass Ihre Emotionen ins Spiel kommen, werden Sie von der Zielperson manipuliert. Sie dürfen natürlich Emotionen spüren, aber Sie sollten steuern, was Sie fühlen und wie Sie es zeigen.
Sie sollten nicht derjenige sein, der unkontrolliert ist. Sie sollten auch die negativen Emotionen so gut wie möglich steuern, damit Sie stets kontrolliert sind.
Wenn Sie Ihre Emotionen abkoppeln, sorgt das wahrscheinlich auch dafür, dass sich die Leute wohlfühlen. Das bedeutet nicht, dass Sie bar aller Emotionen sein sollten. Das ist für andere nicht beruhigend. Wenn jemand wirklich aufgeregt ist, ist es gut, einen angemessenen Grad an Interesse zu zeigen. Doch wenn Sie zu viel Gefühl zeigen, verschreckt das die Zielperson und ruiniert den Auftrag.
Halten Sie Ihre Emotionen daran ausgerichtet, mit welchem Pretext Sie arbeiten. Wenn Sie Ihren Emotionen nicht gestatten, sich einzumischen, bleiben Sie die ganze Zeit beherrscht. Einem guten Social Engineer gelingt dies trotz der Aktionen oder Haltungen, die die Zielperson auffährt. Wenn sie aufgeregt, wütend, aggressiv oder unhöflich ist oder andere negative Emotionen zeigt, bleibt ein guter Social Engineer gelassen, cool und gefasst.
Achten Sie darauf, was positiv erwähnenswert ist
Wo es möglich ist, suchen Sie sich etwas, über das Sie scherzen oder ein Kompliment machen können, aber ohne schleimig zu wirken. Sie gehen natürlich nicht zum Wachmann und sagen ihm: „Also, da gehen zwei Nonnen in eine Bar …“ Mit dieser Methode werden Sie eher nicht landen. Ebenso können Sie auch nicht ins Front Office gehen und der Dame hinterm Schalter sagen: „Wow, Sie sind aber hübsch.“
Wenn man etwas Positives sagen kann, fühlen sich alle locker, das muss aber ausgewogen, geordnet und geschmackvoll sein. Anhand des Beispiels mit dem Wachpersonal könnten Sie sich erst einmal selber vorstellen und dann z.B. ein Kompliment über die Kinder machen, indem Sie etwa so sprechen: „Oh, das ist aber eine Süße. Wie alt mag sie wohl sein? Vier oder fünf? Ich habe auch ein kleines Mädchen zu Hause.“ Das sorgt dafür, dass Türen aufgehen.
Unterstellungen, Unterstellungen
Sie wissen wahrscheinlich, was man über Leute sagt, die etwas unterstellen, aber in diesem Fall sollten Sie alles unterstellen. Unterstellen Sie, dass die Zielperson sich nach Ihren Wünschen verhalten wird, gehen Sie davon aus, dass sie auf die Weise antwortet, wie Sie es wollen, und nehmen Sie an, dass sie all Ihren Bitten Folge leisten wird.
Treffen Sie Feststellungen mit den Fragen, die Sie stellen und den Aussagen, die Sie machen:
„Wenn ich vom Serverraum zurückkomme …“
Diese Aussage unterstellt, dass Sie dorthin gehören und Ihnen der Zugang bereits erlaubt wurde. In der Situation vorhin mit dem Wachpersonal schieben Sie nach dem Kompliment vielleicht noch etwas hinterher: „Wenn ich mit der Überprüfung der Server fertig bin, werde ich Ihnen ein Foto meiner Tochter zeigen.“
Wenn Sie unterstellen, dass das, was Sie wollen, auch passiert, ist das ein sehr kraftvoller Aspekt, weil sich das auf Ihre mentalen Aussichten auswirkt. Sie müssen die mentale Aussicht haben, das zu kriegen, weswegen Sie gekommen sind. Dieses Glaubenssystem sorgt für eine neue Körpersprache und Mimik, und das unterstützt Ihren Pretext.
Wenn Sie mit der Befürchtung oder Erwartung von Misserfolg antreten, wird die Aktion auch fehlschlagen oder sich bestenfalls auf Ihre Körpersprache und Gesichtsausdrücke auswirken. Wenn Sie mit der Grundeinstellung kommen, alles sei schon geregelt und unter Dach und Fach, gelingt es dann auch. Aber noch ein Wort der Vorsicht: Treiben Sie diesen Schritt nicht so weit, dass Sie arrogant werden.
Wenn Sie z.B. die Situation mit dem Gedanken angehen „Natürlich habe ich alles praktisch schon in der Tasche, weil ich der Tollste und Beste bin“, kann sich das negativ auf Ihren Erfolg auswirken und die Zielperson möglicherweise abschrecken.
Probieren Sie verschiedene Eröffnungssätze
Wenn man ein Gespräch mit dem standardmäßigen Wieso, Weshalb, Warum anfängt, bewegt man sich auf vertrautem Gebiet, aber probieren Sie auch mal einen anderen Ansatz und schauen, was dann passiert. Die Forschergruppe, die eine beliebte Dating-Site führt (www.okcupid.com), hat Daten erfasst, die zeigen, wie wertvoll eine Eröffnung mit ungewöhnlichen Sätzen ist.
Erinnern Sie sich noch an die Ausführungen über Komplimente? Nun, die Leute von OkCupid fanden heraus, dass es den gegenteiligen Effekt hat, wenn man mit einem „zu dicken“ Kompliment einsteigt. Wörter wie sexy, wunderschön oder heiß wirkten auf die Leute ganz fürchterlich, während Begriffe wie cool, echt stark oder faszinierend einen besseren Effekt hatten.
Bei normaler Begrüßung, stellten sie fest, wirken Dinge wie „Hi“, „Hey“ oder „Hallo“ auf die Zielperson eher blöde und unmotivierend, während „Wie läuft’s denn so?“ oder „Sei mir gegrüßt!“ eher gute Opener sind.
Natürlich geht’s hier ums Dating, aber man sollte sich merken, dass Leute auf unkonventionelle Begrüßungen besser reagieren.
Bei einer Social Engineering-Situation sollten Sie also auch entsprechend Ihr Vorgehen variieren, und vielleicht merken Sie eine positive Veränderung, wie die Zielperson auf die Botschaft reagiert.
Sprechen Sie in der Vergangenheit
Wenn Sie etwas Negatives ansprechen wollen, das die Zielperson nicht noch einmal wiederholen soll, formulieren Sie es in Vergangenheitsform. Mit dieser Technik verschieben Sie im Denken der Zielperson negative Haltungen und Aktionen in die Vergangenheit, und präsentieren ihr den sprichwörtlichen tabula rasa, auf dem sie nun gute Dinge für Sie anstellen kann. Hier ein Beispiel:
„Wenn Sie sagten, dass ich nicht herein kann, um Mr. Smith zu treffen …“
im Gegensatz zu: „Wenn Sie sagen, dass ich nicht herein kann, um Mr. Smith zu treffen …“
Hier hat sich nur die Zeitform des Verbs verändert, aber der Effekt ist sehr bedeutsam. Damit wird der Eindruck vermittelt, dass die negative Aussage ganz weit zurückliegt, und nun wollen wir uns in Richtung etwas Neuem und Besserem bewegen. Es sorgt bei der Zielperson auch für das Gefühl, dass Sie fühlen, das sei vergangen.
Finden und Zerstören
Sie sollten genau identifizieren, ausarbeiten und planen, wie Sie mit störenden oder negativen Einstellungen oder Aktionen umgehen wollen. Stellen Sie sich vor, Ihr Pretext sei ein Kundendienstler, der in den Serverraum will. Aus früheren Telefonaten wissen Sie, dass jeden Tag gegen 10 Uhr eine große Gruppe zur Raucherpause hinausgeht. Sie beschließen, dass dies eine gute Zeit sei, weil die Leute hinaus gehen und wieder herein kommen. Sie haben alles vorbereitet, doch als Sie ins Gebäude kommen, hat die Rezeptionistin gerade schlechte Nachrichten erhalten und ist ein Häufchen Elend. Sie sollten nun einen Plan besitzen, wie mit einer solchen Unterbrechung umzugehen ist.
Wenn Sie erst dann überlegen, wie Sie mit potenziellen Gesprächskillern oder störenden Einflüssen umgehen, sobald sie das erste Mal auftreten, wird Ihnen der Umgang damit wahrscheinlich misslingen. Das stellt uns vor einen interessanten Gedanken. Sie müssen sich zurücklehnen und wie die Zielperson denken: Welche Einwände würde sie erheben? Wenn eine Person, die sie nicht kennt, anruft oder sie anspricht, was würde sie sagen? Welche Gegenrede würde sie erheben? Welche Haltungen würde sie vermitteln? Wenn Sie diese Dinge vorab bedacht haben, hilft das beim Erstellen einer Strategie für solche potenziellen Probleme.
Schreiben Sie Ihre Gedanken und die möglichen Einwände der Zielperson auf und machen Sie dann ein Rollenspiel. Lassen Sie Ihren Lebensgefährten oder einen Freund den bösen Torwächter oder Wachmann spielen. Natürlich kann er oder sie solche Elemente wie Mimik usw. nicht imitieren. Aber Sie können ihm eine kleine Liste mit Gesprächskillern überreichen, aus denen er dann wählt, damit Sie Ihren Wiedereinstieg testen.
Üben Sie das ein, bis Sie es beherrschen und sich damit wohlfühlen, aber lernen Sie nichts auswendig. Denken Sie daran, dass ein Wiedereinstieg ins Gespräch nicht so steif strukturiert sein muss, dass es gar nicht mehr anpassbar wäre.
Positive Manipulation kann auf die Zielperson sehr starke Wirkungen haben. Sie wird dadurch nicht nur nicht verletzt, sondern richtig angepackt hat sie sogar das Gefühl, etwas vollbracht zu haben, als sei ihr heute eine gute Tat gelungen.
Manipulation ist wie Beeinflussung eine der wesentlichen Komponenten beim Social Engineering. Dieses Kapitel hat Bereiche menschlichen Verhaltens abgedeckt, die jahrzehntelange Forschung besonders heller Köpfe aufgreift.
Beim Gedanken an Manipulation gibt es vielleicht solche üblichen Reaktionen wie z.B.:
• „Ich will niemanden manipulieren.“
• „Es fühlt sich falsch an, so etwas zu lernen.“
Diese Kommentare stehen für die Art, wie die meisten Leute über Manipulation denken. Hoffentlich sind Sie nun davon überzeugt, dass Manipulation nicht immer nur eine dunkle Kunst ist, sondern auch für Gutes eingesetzt werden kann.
Die Welt der Beeinflussung wurde von den heutzutage besten Psychologen und Forschern auseinandergenommen, erforscht und analysiert. Diese Forschungen dienten als Basis meiner eigenen Recherchen für die Informationen dieses Kapitels. Der Abschnitt übers Framing z.B. kann wirklich dafür sorgen, dass sich die Art verändert, wie Sie mit anderen umgehen, und das Konzept der Reziprozität kann Ihre Denkweise als Social Engineer formen und wie Sie mit Beeinflussung arbeiten. Beeinflussung ist ein derart erstaunliches Thema, dass ganze Bände nur allein diesem Thema gewidmet sind.
Wenn man versteht, mit welchen Triggern jemand sich für etwas motivieren lässt und bestimmte Aktionen ausführt, und wenn diese Aktionen für die Zielperson dann auch noch gut wirken, stellt man fest, wie machtvoll Beeinflussung ist.
Dieses Kapitel leuchtete die Wissenschaft und Psychologie dessen aus, was Menschen antreibt, und erläuterte, wie Beeinflussung von Social Engineers eingesetzt wird.
Denken Sie daran, dass Beeinflussung und Überredungskunst der Prozess ist, jemanden dazu zu bringen, dass er so handeln, reagieren, denken oder glauben will, wie Sie es für ihn wollen.
Die Kraft dieser Aussage transzendiert das Social Engineering und die Manipulation. Sie ist der Schlüssel, um jedes Raster zu verändern und jedes Tor der Manipulation zu öffnen, und der Pfad, um zum Meister der Beeinflussung zu werden.
Social Engineers nutzen auch viele materielle Werkzeuge, von denen manche wirken, als stammten sie direkt aus einem James-Bond-Film. Darum geht es im nächsten Kapitel.