Was ist Reziprozität?
Du bist auf einem Kongress. Am Stand eines Consultingunternehmens drückt dir eine freundliche Frau einen Kaffee in die Hand und fragt wie dein Tag bisher war. Sie erzählt ganz offen, dass sie selbst noch nicht so lange in der Branche arbeitet und manche Themen noch nicht ganz durchschaut hat. Zehn Minuten später hast du ihr erklärt, welche Systeme ihr im Haus einsetzt, wer für interne Freigaben verantwortlich ist und dass ein spezieller Prozess Verbesserungspotential hat. Niemand hat dich dazu gezwungen diese Informationen preiszugeben. Du wolltest einfach nur nett sein.
Reziprozität ist das tief verankerte Bedürfnis, etwas zurückzugeben, wenn man etwas bekommen hat. Ein Geschenk, einen Gefallen, ein Zugeständnis oder auch nur eine persönliche Information. Wir fühlen uns in der Schuld etwas zurückzugeben müssen. Es fühlt sich unangenehm an, nichts zu tun.
Im üblichen Alltag ist das was ganz Normales und Gutes. Reziprozität hält soziale Kontakte, Freundschaften, Nachbarschaften und Beziehungen zusammen. Genau deswegen ist sie aber auch eines der wirksamsten Werkzeuge von Spionen und Social Engineers. Wir werden uns nun genauer anschauen, wie das psychologisch funktioniert, wie es in Spionage und Cyberangriffen eingesetzt wird und wie man sich davor schützt.
Die Psychologie dahinter
Eine Regel die überall gilt
Der Soziologe Alvin Gouldner beschrieb 1960 die „Norm der Reziprozität“ als eine der wenigen sozialen Regeln, die in praktisch allen Kulturen vorkommen. Wer dir hilft, dem hilfst du. Und wer dir hilft, dem schadest du nicht. Einige Jahrzehnte davor hat der Ethnologe Marcel Mauss beschrieben, dass Geschenke in traditionellen Gesellschaften nie wirklich „gratis“ sind, sondern immer eine Pflicht zur Gegengabe erzeugen.
Warum ist das so tief in uns verankert? Kooperation war überlebenswichtig. Wer teilte und darauf vertrauen konnte, dass ihm später auch geholfen wird, hatte bessere Chancen. Ernst Fehr und Simon Gächter (Verhaltensökonomen) zeigten in einigen Experimenten, dass Menschen Freundlichkeit selbst dann erwidern, wenn es ihnen finanziell nichts bringt. Unfaires Verhalten wurde auch bestraft, auch wenn sie es selbst etwas kostet.
Das wohl bekannteste Experiment stammt von Dennis Regan (1971). Versuchspersonen sollten gemeinsam mit einem anderen Teilnehmer Kunstwerke bewerten. Der andere Teilnehmer war in Wirklichkeit ein Mitarbeiter des Versuchsleiters. In der Pause brachte er ungefragt einem Teil der Versuchspersonen eine Cola mit. Später bat er alle, ihm Tickets für eine Verlosung abzukaufen. Wer vorher eine Cola bekommen hatte, kaufte durchschnittlich doppelt so viele Tickets, obwohl die Tickets mehr kosteten als die Cola. Was noch spannend war: Regan hatte die Teilnehmer auch befragt, wie sympathisch die Versuchspersonen den anderen Teilnehmer fanden. Bei denen, die eine Cola bekamen, spielte Sympathie kaum eine Rolle. Das Gefühl jemandem etwas zu schulden war stärker als die Frage, ob man jemanden mag.
Der Soziologe Philip Kunz schickte zusammen mit Michael Woolcott Weihnachtskarten an ca. 600 völlig Fremde. Ca. 20% schickten eine Karte zurück, manche mit langen Briefen und Familienfotos, ohne zu wissen wer der Absender war.
Eine Studie in Gasthäusern zeigte, dass wenn eine Kellnerin ein Zuckerl zur Rechnung dazu legte, das Trinkgeld nur leicht stieg. Bei zwei Zuckerl stieg das Trinkgeld deutlich an. Wenn sie eines hinlegte und sich zum Gehen umdrehte, dann aber kehrt machte und mit den Worten „für euch netten Leute“ noch ein zweites dazulegte, stieg das Trinkgeld um ca. 23% (Strohmetz et al, 2002).
Reziprozität im Detail
Es gibt mehrere Varianten der Reziprozität, die von Angreifern genutzt werden.
Das ungebetene Geschenk
Jemand gibt dir etwas, um das du nicht gebeten hast. Ein Kaffee, ein Werbegeschenk, ein Tipp, ein Kontakt. Du kannst es kaum ablehnen, ohne unhöflich zu wirken. Jedoch hast du trotzdem das Gefühl, etwas zu schulden. Robert Cialdini nennt das in seinem Buch „Influence“ den Kern der Reziprozitätsfalle. Der Geber bestimmt, was gegeben wird und damit auch, wann die Schuld entsteht. Die Gegenleistung ist teilweise größer als das Geschenk, das man erhalten hat.
Das Zugeständnis
Reziprozität gilt auch für Zugeständnisse. Cialdini und seine Kollegen fragten Studenten, ob sie zwei Jahre lang wöchentlich als Betreuer für straffällige Jugendliche arbeiten würden. Fast alle lehnten ab. Dann kam die kleinere Bitte. Einmal eine Gruppe Jugendlicher für zwei Stunden in den Zoo zu begleiten. Wer zuerst die große Bitte abgelehnt hatte, sagte deutlich häufiger Ja als jene, die nur die kleine Bitte gehört hatten. Das nennt man die „Door in the face“ Technik. Der andere ist mir entgegengekommen, also komme ich ihm auch entgegen. Bei Social Engineering wäre das so umgelegt: „Ich bräuchte eigentlich Administrator Zugriff auf das ganze Laufwerk. Ah ok, verstehe, geht nicht. Könntest du mir dann zumindest die eine Datei schicken?“
Information gegen Information
Offenheit wird auch erwidert. Wer etwas Persönliches erzählt, bekommt meistens etwas Persönliches zurück. Eine Metaanalyse von Nancy Collins und Lynn Miller zeigt, dass Menschen sich gegenüber jenen stärker öffnen, die sich zuvor ihnen gegenüber geöffnet haben. Genau das macht die Frau am Messestand aus der Einleitung. Es wird zuerst etwas preisgegeben („ich bin neu hier, verstehe nicht alles…“) und bekommt dafür echte Informationen zurück. Unter Geheimdiensten heißt diese Gesprächstechnik „Elicitation“. Es sollen Informationen herausgelockt werden, ohne dass das Gegenüber etwas merkt.
Die Gefallen*d*en
Große Wünsche und Bitten kommen selten am Anfang. Freedman und Fraser haben im Jahr 1966 gezeigt, dass Menschen, die eine kleinen Bitte, einem kleinen Gefallen zugestimmt haben, später auch größeren Bitten leichter zustimmen („Foot in the door“). Kombiniert mit Reziprozität entsteht eine Hebelwirkung. Ich geb dir etwas Kleines, du gibst mir was Kleines zurück. Ich gebe dir etwas Größeres, du gibst mir was größeres zurück. Irgendwann ist man so tief in diesem Austausch, dass ein Nein kaum mehr möglich ist. Vorallem wenn man Dinge oder Informationen weitergegeben hat, die man nicht hätte weitergeben dürfen. Für einen Angreifer ist diese Herangehensweise mit mehr Aufwand verbunden, da sie einiges an Vorarbeit und Zeit voraussetzt. Jedoch ist sie am Ende am lohnenswertesten.
Der Benjamin-Franklin-Effekt
Es klingt zwar paradox, funktioniert aber. Wenn man jemanden um einen kleinen Gefallen bittet, wird man von ihm danach oft sympathischer gefunden. Jecker und Landy (1969) zeigten, dass Versuchspersonen den Versuchsleiter mehr mochten, wenn er sie persönlich um einen Gefallen gebeten hatte. Zum Beispiel: „Kannst du mir kurz sagen, wo ich das Formular finde?“
Der Zeitfaktor
Das Schuldgefühl hält nicht ewig. Burger und Kollegen fanden 1997 heraus, dass die Bereitschaft zur Gegenleistung nach einem Gefallen mit der Zeit nachlässt. Entweder fragen Angreifer meistens kurz nach dem Geschenk oder die Bindung wird mit kleinen Gesten oder Geschenken aufrecht erhalten.
Reziprozität in der Spionage
MICE zu RASCLS
Lange galt in der Spionageabwehr das Modell MICE als Grundlage, warum Menschen zu Verrätern werden: Money, Ideology, Compromise, Ego. 2013 schlug Randy Burkett, in der CIA Zeitschrift „Studies in Intelligence“ ein modernes Modell mit dem Namen RASCLS vor. Es basiert direkt auf Cialdinis Prinzipien der Beeinflussung (Reciprocation, Authority, Scarcity, Commitment/Consistency, Liking, Social Proof) und Reziprozität steht dabei nicht zufällig an der ersten Stelle. Burkett beschreibt sie als eine der ersten Lektionen in der Ausbildung von Führungsoffizieren. Bei jedem Treffen eine Kleinigkeit anbieten. Z.B: einen Kaffee oder ein Essen. Noch wirkungsvoller ist es, ein kleines Problem der Zielperson zu lösen, das sie im Gespräch nebenbei erwähnt hat. Hilfe bei einem Visum oder ein Kontakt. Daraus entsteht eine Beziehung, in der die Zielperson das Gefühl hat, etwas zurückgeben zu wollen. Kombiniert mit kleinen Verpflichtungen wird daraus Schritt für Schritt eine echte Anwerbung.
Der Fall Glenn Duffie Shriver
Wie das im echten Leben funktioniert, zeigt der Fall des Amerikaners Glenn Duffie Shriver. Er lebte nach dem Studium in Shanghai und hatte wenige Mittel, als er 2004 auf eine englischsprachige Anzeige antwortete. Gesucht wurden Leute, die gegen Bezahlung Aufsätze über die Beziehungen zwischen den USA und China schreiben. Eine Frau namens „Amanda“ traf sich mit ihm, lobte seinen Text und zahlte ihm $120. Ein paar Monate später meldete sie sich wieder. Der Aufsatz wäre so gut gewesen und ob er nicht ihre Kollegen kennenlernen wollen würde. Diese „Freunde“, Mitarbeiter des chinesischen Geheimdienstes, überzeugten ihn, sich bei US-Behörden zu bewerben, um schlussendlich Informationen abzugreifen. Für den ersten, gescheiterten Versuch beim Foreign Service Exam bekam er $10.000 für die „Freundschaft“. Für den zweiten Versuch $20.000. Später bewarb er sich bei der CIA. Insgesamt flossen rund $70.000. 2010 wurde er verhaftet, da er sich in Lügen beim Aufnahmetest bei der CIA verstrickte und er wurde zu vier Jahren Haft verurteilt. Das FBI hat den Fall später im Kurzfilm „Game of Pawns“ verfilmt. Hier kann man den Wikipedia Artikel und den Link zum Film finden: https://en.wikipedia.org/wiki/Glenn_Duffie_Shriver
Heutzutage über Anwerbung via LinkedIn
Die Methode bleibt gleich. Der britische Geheimdienst MI5 warnte 2022, dass ausländische Dienste über 10.000 verdeckte Annäherungen über berufliche Netzwerke wie LinkedIn gestartet hatten. 2023 sprach MI5 Chef Ken McCallum bereits von rund 20.000 Briten, die allein von chinesischen Stellen kontaktiert wurden. Wie läuft es ab? Ein freundlicher Headhunter oder Thinktank bietet bezahlte Beratungsaufträge, Vorträge oder Reisen an. Zuerst geht es um harmlose Analysen, dann um immer spezifischere Informationen. Ähnlich wie bei Shriver, jedoch von zuhause aus und skalierbar. Generell wird stark in den Social Media Netzwerken geworben. Bei LinkedIn unter dem Deckmantel der Karriere, bei Facebook über Freundschaften und Reisen.
Social Engineering und Cybersecurity
Was für Geheimdienste funktioniert, funktioniert für Social Engineering ebenso. Sicherheitsforscher haben echte Phishing Mails untersucht und genau dort die psychologischen Tricks gefunden, die wir oben kennengelernt haben. Wenn man hinschaut, erkennt man immer den gleichen Hebel, unsere Hilfsbereitschaft und Freundlichkeit. Das ist aber keine Schwäche, kann aber ein Einfallstor sein (Ferreira et al., 2015).
Quid pro quo, Passwort gegen Schokolade
Die direkte Form heißt im Social Engineering „Quid pro quo“, etwas gegen etwas. Wie wenig es dafür braucht, zeigte eine Umfrage der Veranstalter der Messe Infosecurity Europe 2004. Am Londoner Bahnhof wurden 172 Büroangestellte befragt, ob sie ihr Passwort für eine Tafel Schokolade verraten würden. 71% sagten Ja. Ungefähr ein Drittel gab das Passwort sogar sofort und ohne Gegenleistung heraus. Es war zwar keine wissenschaftliche Studie und ob die genannten Passwörter echt waren, wurde nicht überprüft. Dennoch beängstigend.
Auch das klassische Werbegeschenk hat eine dunkle Seite. Ein USB-Stick mit Firmenlogo vom Messestand, ein Gratis-Ladegerät, eine Gratis-Powerbank, eine „kostenlose Sicherheitsanalyse“ eines unbekannten Dienstleisters. Wer etwas geschenkt bekommt, ist weniger misstrauisch und will nicht unhöflich wirken.
XZ Utils: Zwei Jahre Hilfsbereitschaft als Angriff (2024)
Das eindrucksvollste aktuelle Beispiel kommt aus der Open Source Welt. Ab 2021 lieferte eine Person unter dem Namen „Jia Tan“ nützliche Beiträge für XZ Utils, eine Komprimierungsbibliothek, die in fast jeder Linux Distribution steckt. Der ursprüngliche Maintainer war überlastet und arbeitete alleine. Jia Tan half über lange Zeit zuverlässig mit, während andere Accounts öffentlich Druck auf den Maintainer machten, endlich Unterstützung anzunehmen. Schließlich bekam Jia Tan selbst Maintainer Rechte. Im Frühjahr 2024 baute er eine Hintertür ein, die über SSH Zugriff auf unzählige Server ermöglicht hätte. Entdeckt wurde sie nur zufällig, weil dem Microsoft Entwickler Andres Freund eine Verzögerung von einer halben Sekunde beim SSH-Login aufgefallen war. Hier greifen Reziprozität, Gefallen und sozialer Druck ineinander. Wenn man jahrelang unterstützt hat, bekommt man auch Vertrauen und Zugriff zurück.
Wie kann man sich schützen?
Reziprozität abzuschalten ist weder möglich noch wünschenswert. Wir wollen nicht zu Menschen werden, die jede Freundlichkeit verdächtig finden. Es geht darum sie zu erkennen und bewusst zu machen und dementsprechend zu handeln.
Was du selbst tun kannst
- Cialdini empfiehlt grundsätzlich ein Geschenk anzunehmen, es aber gedanklich richtig einzuordnen. Ist es ein echter Gefallen oder eine Verkaufs oder Manipulationstaktik? Wenn es letzteres ist, schuldest du nichts. Der Druck verschwindet sobald man ihn benennt.
- Gefallen und Bitte trennen. Wenn kurz nach einer Freundlichkeit eine Bitte bekommt sollte man kurz innehalten und sich fragen ob man das auch machen würde, wenn man nicht bekommen hätte.
- Achte auf das Ungleichgewicht. Kaffee gegen Zugangsdaten, Lob gegen interne Informationen. Wenn die Gegenleistung in keinem Verhältnis steht, ist das ein Warnsignal.
- Vorsicht bei Gesprächen, die zu gut laufen. Wenn dein Gegenüber sehr offen ist und du merkst, dass du mehr erzählst als du wolltest, hör auf dein Bauchgefühl.
- Unbekannte Kontakte prüfen. Bei Angeboten über LinkedIn, insbesondere bei bezahlten Beratungen, Vorträgen oder Reisen, achte darauf wer dahinter steckt und ob es die Firma wirklich gibt. Warum wirst genau du kontaktiert?
Was Unternehmen tun sollten
- Es sollte eine Geschenkerichtlinie geben. Was darf angenommen werden, was muss gemeldet werden
- Angestellte sollten jegliche ungewöhnlichen Annäherungen, ob auf Messen oder Konferenzen, ohne Angst von Konsequenzen melden dürfen.
- Prozesse für Zugriffsrechte, Überweisungen, Passwortresets und Ausnahmen definieren.
- Awareness Trainings sollten psychologische Aspekte beinhalten.
Warnzeichen (Red Flags)
- Jemand gibt dir etwas, um das du nicht gebeten hast und danach kommt eine Bitte.
- Die Gegenleistung ist deutlich größer als das, was du bekommen hast
- Dein Gegenüber löst ein Problem, das du nur nebenbei erwähnt hast
- Du erzählst mehr, als du eigentlich wolltest, weil der andere so offen ist
- Nach einer großen Bitte, die du abgelehnt hast, kommt sofort eine kleinere
- Die Bitten werden mit der Zeit schrittweise größer
- Ein unbekannter Kontakt bietet bezahlte Aufträge, Vorträge oder Reisen an
- Du hast das Gefühl „es schuldig zu sein“
- Es wird an die „Freundschaft“ appelliert, um eine Ausnahme zu bekommen
- Jemand der bisher nur geholfen hat, will plötzlich Zugriff oder Rechte
Ich hoffe ich konnte dein Bewusstsein für diese Art der Manipulation etwas schärfen und wünsche dir einen schönen Tag!
Gerne kannst du mir dein Feedback an die Mail blog@mariorumpf.com senden.