🔍 Was beobachte ich?

Russland greift Abgeordnete im Deutschen Bundestag via Signal an – nicht die App, sondern die Nutzenden. GefĂ€lschte Support-Nachrichten fordern PIN oder QR-Code-Scan. MFA-Prompt-Bombing funktioniert genauso: dreißig Anfragen, eine falsch bestĂ€tigt. Kein technischer Exploit. Ein VerstĂ€ndnisexploit.

🎯 Was soll eigentlich erreicht werden?

Vertrauliche Kommunikation soll vertraulich bleiben, ZugĂ€nge vor Übernahme geschĂŒtzt sein. Ende-zu-Ende-VerschlĂŒsselung, MFA und sichere Messenger erfĂŒllen genau diesen Zweck – technisch einwandfrei.

⚠ Warum funktioniert das nicht?

Im Cyberraum fehlt die direkte Anschauung: IdentitĂ€t lĂ€uft ĂŒber Codes, Autorisierung ĂŒber Klicks. Protokolle werden stĂ€ndig sicherer – und damit komplexer. Angreifer brechen nicht die Technologie, sie brechen das mentale Modell: „VerschlĂŒsselt gleich sicher" – Signal schĂŒtzt den Kanal, nicht die Entscheidung darĂŒber. Die Nutzenden lesen: „BestĂ€tige deine Anmeldung." TatsĂ€chlich gefragt wird: „Jemand versucht gerade, sich als du anzumelden – warst du das?". Wer diesen Unterschied nicht erkennt, authentifiziert den Angreifer.

💡 Was funktioniert besser?

Sicherheitskompetenz fĂ€llt niemandem in den Schoß – ins Wissen und die Haltung der Menschen zu investieren ist Pflicht. Protokolle werden zwar sicherer, aber dadurch komplexer; im Cyberraum lĂ€sst sich IdentitĂ€t nicht am Gesicht erkennen, und wir sehen selten, was wir autorisieren. Bei manchen Angriffen – ein weitergereichter QR-Code etwa – bleibt der Mensch deshalb die letzte Verteidigungslinie. Grundregel: Autorisiere nichts, was du nicht selbst angestoßen hast – im Zweifel verweigern.

📚🔍