Newsletter IT-Sicherheit
Mit <kes>+ lesen

Entscheidungsprozesse : Über Irrlichter und Nebelkerzen : Wenn Entscheidungsprozesse zur Angriffsfläche werden und warum der OODA-Loop nicht neutral ist

Observe, Orient, Decide, Act – der OODA-Loop gehört zu den bekanntesten Modellen für Entscheidungen unter Unsicherheit. Seine eingängige Logik ist von Security-Operations-Centers (SOCs) bis zu zivilen Krisenstäben verbreitet. Doch Beobachtung und Orientierung können im Cyberraum nicht als neutrale Vorstufen von Entscheidungen gelten: Auch ein folgerichtig arbeitender Entscheidungsprozess kann hier von falschen Annahmen ausgehen. Denn der digitale Informationsraum berichtet nicht nur über die Lage – er ist selbst Teil der Lage und damit eine mögliche Angriffsfläche.

Lesezeit 19 Min.

In der Nacht zum 4. Dezember 2025 erschüttert ein leichtes Erdbeben der Stärke 3,3 den Nordwesten Englands. Wenig später kursiert in sozialen Netzwerken ein Bild, das die Carlisle Bridge in Lancaster schwer beschädigt zeigt. Network Rail wird gegen 00:30 Uhr auf das Bild aufmerksam und stoppt den Verkehr über die Brücke, während Fachleute das Bauwerk vor Ort kontrollieren. Die Inspektion ergibt, dass die Brücke unversehrt ist. Gegen 02:00 Uhr wird die Strecke wieder freigegeben – bis dahin wurden 32 Personen- und Güterzüge verzögert. Die dargestellte Beschädigung war nicht real – das Bild, auf dessen Grundlage die Entscheidung getroffen wurde, war KI-generiert [1].

Der Fall ist dabei begrifflich mit Vorsicht zu behandeln: Dass dieses Bild KI-generiert war, ist unstrittig. Ob das Bild aber mit Manipulationsabsicht erstellt oder verbreitet wurde, um den Zugverkehr zu stoppen, ist nicht belegt. Carlisle ist deshalb kein nachgewiesener Social-Engineering- oder Desinformationsfall. Solange die Absicht unbekannt bleibt, ist Fehlinformation (Misinformation) die angebrachte zurückhaltendere Bezeichnung.

Gerade als analytischer Grenzfall ist das Ereignis jedoch aufschlussreich: Es macht sichtbar, wie sich unter Unsicherheit eine handlungsleitende Interpretation stabilisieren kann, ohne dass dafür bereits eine Manipulationsabsicht vorliegen muss.

Im Rückblick könnte man die Sperrung für eine Fehlentscheidung halten – schließlich war die Brücke unbeschädigt. Doch wer für den sicheren Betrieb einer Eisenbahnstrecke verantwortlich ist und einen glaubhaften Hinweis auf einen möglichen Brückenschaden erhält, kann nicht einfach abwarten. Eine unnötige Sperrung kostet Zeit und Geld, doch eine beschädigte Brücke nicht zu sperren, gefährdet Menschenleben. Aufgrund dieser asymmetrischen Folgen war die vorsorgliche Sperrung mindestens nachvollziehbar und vermutlich sogar die angemessene Entscheidung.

Entscheidungstheoretisch ist das einfach zu erklären: Bei geringer Gewissheit und sehr ungleich verteilten Schadensfolgen kann es rational sein, zunächst die sicherere Option zu wählen. Offen bleibt, wie gerade das bewusste Bild zu einem hinreichend plausiblen Signal wurde, das den Sicherheitsprozess auslöste. Hätte ein Textbeitrag auf X oder Facebook einen ähnlichen Effekt gehabt?

OODA: Gar nicht so einfach!

Observe, Orient, Decide, Act – Beobachten, Orientieren, Entscheiden und Handeln: John Boyd entwickelte diese Denkfigur aus seinen Erfahrungen als US-Kampfpilot und später als Militärstratege (siehe etwa https://ooda.de). Sie sollte erklären, wie Akteure unter dynamischen Bedingungen handlungsfähig bleiben und einen Vorteil gegenüber Gegnern erlangen, obwohl ihre Informationen unvollständig sind und sich die Lage fortlaufend verändert.

Das Grundmuster findet heute weit über militärische Situationen hinaus Beachtung. Krisenstäbe und Incident-Response-(IR)-Teams arbeiten beispielsweise ähnlich: Sie erkennen ein Signal, ordnen es ein, reagieren und beobachten die Folgen.

Die oberflächliche Einfachheit des OODA-Loops ist eine seiner Stärken – sie hat allerdings auch dazu beigetragen, dass aus Boyds wesentlich komplexerem Denken häufig eine Abfolge aus vier Kästchen geworden ist. In dieser verbreiteten Praxis-Lesart erscheinen Beobachtung und Orientierung leicht als neutrale Vorstufen der eigentlichen Entscheidung: Zuerst kommen Informationen herein, dann werden sie sachlich bewertet, anschließend entscheidet man.

Boyds eigene Darstellung ist anspruchsvoller: In seinem finalen OODA-Diagramm steht die Orientierung nicht einfach zwischen Beobachtung und Entscheidung (Abb. 1). Sie umfasst vielmehr auch kulturelle Traditionen, genetisches Erbe, frühere Erfahrungen, neue Informationen sowie Analyse und Synthese. Rückkopplungen und Pfade impliziter Steuerung verbinden diese Elemente miteinander [2]. Orientierung ist damit keine neutrale Zwischenstation, sondern prägt sowohl, was überhaupt beobachtet wird, als auch, was entschieden und getan wird. Das Problem liegt daher in der verkürzten Operationalisierung seines Modells.

 

Diagramm des OODA-Loops: Observe, Orient mit Cultural Traditions, Genetic Heritage, Analyses & Synthesis, Previous Experience und New Information; danach Decide und Act mit Feedback- und Feed-forward-Pfeilen.
Abbildung 1: OODA besteht aus mehr als vier einfachen Schritten (Grafik nach [2])

Boyds abstrakte Einsicht lässt sich psychologisch weiter ausarbeiten: Er beschäftigte sich mit der Schwierigkeit, aus einer komplexen und dynamisch veränderlichen Welt konsistente Vorstellungen auszubilden. Menschen ordnen Beobachtungen zu Konzepten, Modellen und Erwartungen. Diese Modelle machen die Welt handhabbar – zugleich beeinflussen sie, wie neue Beobachtungen ausgewählt und eingeordnet werden [3]. Wir Menschen sehen eine Situation also nicht voraussetzungslos/unbefangen: Orientierung entsteht aus einem fortlaufenden Wechselspiel zwischen Erfahrung, kultureller Prägung, neuen Signalen und deren Analyse. Boyd lässt allerdings offen, wie diese Einflüsse im konkreten Fall zusammenwirken und eine Interpretation so weit stabilisieren, dass sie handlungsleitend wird.

EBP-Wirkmodell

Das Emotion–Bias–Principle-(EBP)-Wirkmodell bietet dafür eine analytische Struktur. Ursprünglich hat der Autor dieses Modell zur Analyse von Social-Engineering entwickelt ([4], vgl. Kasten auf S. 69): Es untersucht, wie Einflussnahme an normalen menschlichen und organisatorischen Prozessen ansetzen kann. Diese Perspektive lässt sich vorsichtig über diesen ursprünglichen Anwendungsbereich hinaus nutzen: Auch bei Mis- und Desinformation stellt sich die Frage, wie ein Signal für eine Person oder Organisation handlungswirksam wird. EBP eröffnet eine gemeinsame Perspektive auf psychologische und organisatorische Bedingungen, die viele Analysen getrennt behandeln. Dadurch wird sichtbar, wie eine Deutung unter Unsicherheit genügend Relevanz, Plausibilität und Legitimität gewinnen kann, um handlungsleitend zu werden.

Im Kern unterscheidet EBP drei funktionale Bedingungen:

E – Emotion, Salienz und Relevanz: Im Mittelpunkt steht E für Emotionen, die beeinflussen, welche Signale Aufmerksamkeit erhalten, wie dringlich eine Situation erscheint und welches Gewicht möglichen Folgen zugeschrieben wird. Gemeint sind dabei nicht nur starke Reaktionen wie Angst oder Panik – auch Sorge, Unbehagen oder die Erwartung eines schweren Schadens können eine Information emotional hervorheben. Die sogenannte Salienz (psych. Auffälligkeit) entsteht im Zusammenspiel von Signal und Situation: Dass das Bild im Eingangsbeispiel eine beschädigte Eisenbahnbrücke zeigte, war schon für sich genommen auffällig – zusammen mit dem tatsächlichen Erdbeben und der Verantwortung für die Sicherheit des Bahnverkehrs wurde es unmittelbar relevant. Emotionale Aktivierung entscheidet jedoch weder über die Wahrheit einer Information noch führt sie automatisch zum Handeln. Ihre Funktion im EBP-Modell liegt zunächst in der Priorisierung: Sie beeinflusst, welches Signal beachtet und einer weiteren Prüfung zugeführt wird (vgl. [5]).

B – Bias und kognitive Plausibilisierung: Gemeint sind systematische Gewichtungen und Verzerrungen, durch die eine Deutung unter Unsicherheit plausibel werden kann. Heuristiken, Vorwissen und bestehende Erwartungen tragen dazu bei, fragmentierte Signale zu einer stimmigen Interpretation zu verbinden. Tversky und Kahneman [6] zeigen, wie heuristische Urteile vorhersagbare Befangenheit/Voreingenommenheit (Bias) hervorbringen können. Heuristiken sind jedoch nicht grundsätzlich fehlerhaft – unter passenden Bedingungen ermöglichen sie effiziente und angemessene Urteile (siehe etwa [7]). B bezeichnet im EBP-Modell daher keinen einzelnen Denkfehler, sondern die kognitive Plausibilisierung, an der Biases und Heuristiken beteiligt sein können. Auf organisatorischer Ebene zeigt sich ein verwandter, aber nicht gleichzusetzender Prozess im Sensemaking: Mehrdeutige Signale werden zu einer vorläufig kohärenten Lage verbunden [8].

P – Prinzip und normative Legitimität: Eine plausible Deutung führt noch nicht zur Handlung. Die mögliche Reaktion muss auch zu handlungsleitenden Prinzipien, zur eigenen Rolle und zu den Erwartungen des sozialen oder organisatorischen Umfelds passen. P bezeichnet diese normative Orientierung: Was darf, soll oder muss jemand in dieser Situation tun? In Organisationen wird das etwa durch Sicherheitsregeln, professionelle Pflichten und etablierte Zuständigkeiten geprägt. Auch solche Prinzipien verursachen eine Handlung nicht automatisch, sie machen eine Handlungsoption jedoch begründbar und institutionell vertretbar – im Carlisle-Fall etwa die Maxime, den Schutz von Menschen höher zu gewichten als einen ungestörten Bahnbetrieb (vgl. [9,10]).

Diese Bedingungen wirken konjunktiv und rekursiv, nicht als drei aufeinanderfolgende Phasen. Sie können einander verstärken oder wieder abschwächen. Keine einzelne Komponente genügt: Ein auffälliges Signal muss nicht geglaubt werden und auch eine plausible Deutung muss noch keine Handlung auslösen.

Das Zusammenspiel ist in einen organisatorischen Kontext (O) eingebettet: Gemeint sind die dauerhafteren Rahmenbedingungen einer Organisation – darunter Zuständigkeiten, Sicherheitsnormen und verfügbare Prüfwege. Sie strukturieren, welche Deutungen und Handlungen möglich oder erwartbar sind. Situative Verstärker verändern hingegen die konkrete Lage: Zeitdruck oder häufige Wiederholung können die EBP-Dynamik intensivieren. Eine dauerhaft fehlende Rückfragemöglichkeit gehört zum organisatorischen Kontext – akuter Zeitdruck zur Situation.

EBP beschreibt damit keine zwangsläufige Abfolge. Das Modell untersucht vielmehr, wie sich eine Deutung unter Unsicherheit so weit stabilisiert, dass sie im jeweiligen organisatorischen Kontext handlungsfähig wird.

OODA ist nicht neutral

Entscheidend ist nicht, E, B und P einzelnen OODA-Phasen zuzuordnen – schon bei Boyd beginnt der Loop nicht mit einer voraussetzungslosen Aufnahme von Informationen. Orientation wirkt auf Observation zurück: Was beobachtet wird und Bedeutung erhält, hängt auch von Erfahrungen, Erwartungen und kulturellen Prägungen ab. Neue Informationen treffen daher immer auf eine bereits vorhandene Orientierung, die sich durch sie verändern kann und zugleich ihre Wahrnehmung beeinflusst [2].

EBP präzisiert diesen Zusammenhang auf psychologischer und organisatorischer Ebene: Das Modell fragt, warum ein Signal in einer unübersichtlichen Lage entscheidungsrelevant wird, während andere zurücktreten.

  • Emotionale Salienz lenkt Aufmerksamkeit.
  • Biases, Heuristiken und Vorwissen wirken daran mit, ob eine Deutung plausibel erscheint.
  • Prinzipien und Rollen verbinden diese Deutung mit einer Handlung, die in der jeweiligen Situation als vertretbar gilt.
  • Der organisatorische Kontext bestimmt mit, welche Prüfwege und Handlungsoptionen zur Verfügung stehen.

Deshalb ist der OODA-Loop nicht neutral. Jede handlungsfähige Organisation muss auswählen, gewichten und deuten; sie kann nicht alle verfügbaren Informationen gleichbehandeln.

Diese notwendige Leistung schafft zugleich eine Angriffsfläche: Wird der Informationsraum so beeinflusst, dass ein falsches oder sogar gefälschtes Signal besondere Aufmerksamkeit erhält, zu den vorhandenen Erwartungen passt und eine legitime Reaktion nahelegt, kann der Loop folgerichtig arbeiten und dennoch von einer falschen Lageannahme ausgehen.

EBP ersetzt OODA nicht und fügt dem Loop keine weitere Phase hinzu. Es macht aber die Bedingungen sichtbar, unter denen Beobachtung und Orientierung handlungsleitend werden. Der Fall Carlisle zeigt im nächsten Schritt, wie relevant das für die Sicherheitspraxis ist.

Carlisle als analytischer Grenzfall

Was wäre geschehen, wenn auf X oder Facebook lediglich eine Textnachricht – „Die Carlisle Bridge ist nach dem Erdbeben schwer beschädigt“ – gestanden hätte? Auch eine solche Meldung hätte Aufmerksamkeit erzeugen und eine Prüfung auslösen können. Sie wäre jedoch als Behauptung erkennbar geblieben und hätte Rückfragen ausgelöst: Wer hat den Schaden gesehen? Worauf stützt sich die Aussage? Gibt es eine unabhängige Bestätigung?

Das verbreitete Bild schien diese Fragen hingegen bereits zu beantworten: Es behauptete den Schaden nicht nur, sondern führte ihn (anscheinend) vor Augen. Damit verkürzte es den wahrgenommenen Abstand zwischen Meldung und Evidenz: Man las nicht nur von einer möglichen Beschädigung, sondern konnte meinen, sie mit eigenen Augen zu sehen.

Gerade darin liegt die besondere Wirkung visueller Falschinformation: Sie kann wie ein Beleg auftreten, bevor Herkunft und Authentizität des Bildes geprüft sind. Bilder ziehen häufig Aufmerksamkeit auf sich und können die subjektive Glaubwürdigkeit einer begleitenden Aussage erhöhen. Selbst Fotos ohne Beweiswert haben in Experimenten entsprechende „Truthiness“-Effekte erzeugt. Die Wirkung variiert jedoch mit Bild und Situation – visuelle Information ist nicht grundsätzlich überzeugender als Text (vgl. [11,12]). Ob Network Rail auf eine reine Textmeldung anders reagiert hätte, bleibt daher offen.

Relevanz und Plausibilität

Im EBP-Modell berührte das Bild beide Bedingungen: Seine Dramatik konnte Aufmerksamkeit und Dringlichkeit erhöhen. Zugleich trat es als scheinbarer Beleg auf. Zusammen mit dem realen Erdbeben ergab sich eine kohärente Geschichte und damit eine ernste, zu prüfende Arbeitshypothese.

Für Carlisle ist nicht belegt, dass häufige Wiederholung die Reaktion beeinflusste. Denkbar ist jedoch ein verschärftes Szenario: Wäre dasselbe Bild wiederholt verbreitet worden, hätte die Wiederholung seine wahrgenommene Plausibilität erhöhen können. Bei mehreren scheinbar unabhängigen Accounts hätte zusätzlich der Eindruck voneinander unabhängiger Bestätigungen entstehen können.

Der Illusory-Truth-Effekt beschreibt den robusten Befund, dass wiederholte Aussagen häufig als wahrer eingeschätzt werden als neue – das gilt auch für Falschinformationen, Fake-News-Schlagzeilen und Verschwörungsbehauptungen [13]. Im EBP-Rahmen wäre die Wiederholung damit ein situativer Verstärker der Plausibilisierung. Ob daraus eine operative Handlung entstünde, hinge weiterhin von Relevanz, Legitimität und organisatorischem Kontext ab.

Legitimität

Für Network Rail war eine vorübergehende Sperrung institutionell gut begründbar: Bei einem möglichen Brückenschaden wiegt die Pflicht zum Schutz von Fahrgästen und Beschäftigten schwerer als das Interesse an einem ungestörten Betriebsablauf. Die Handlung war deshalb nicht Ausdruck eines irrationalen Urteils, sondern einer legitimen Sicherheitsnorm.

Organisatorischer Kontext

Die Zuständigkeit für die Infrastruktur und verfügbare Inspektionswege ermöglichten eine konkrete Reaktion. Gerade weil der Prozess verantwortungsvoll funktionierte, ließ er sich durch eine falsche Ausgangsinformation auslösen.

Die sichtbare Sperrung konnte die ursprüngliche Deutung für Außenstehende zudem rückwirkend sozial verstärken: Wenn die Bahn den Verkehr stoppt, scheint an der Meldung möglicherweise „etwas dran“ zu sein. Das ist kein notwendiger Selbstbestätigungsmechanismus, sondern ein möglicher Feedbackeffekt zwischen Handlung, Beobachtung und erneuter Orientierung.

Der Fall zeigt zugleich, warum ein festes Mapping zu kurz greifen würde: Das bewusste Bild konnte sowohl die Beobachtung als auch ihre Einordnung beeinflussen. Die Sicherheitsnorm prägte, welche Signale Beachtung verdienten, und legitimierte später die Sperrung. Mit der sichtbaren Handlung begann bereits die nächste Beobachtungs- und Orientierungsbewegung. Die Sperrung selbst lässt sich entscheidungstheoretisch gut erklären: Angesichts der ungleich verteilten möglichen Schäden war die vorsorgliche Reaktion rational.

EBP beantwortet eine andere, vorgelagerte Frage: Wie konnte das Bild zu einer relevanten und plausiblen Lageannahme führen, auf deren Grundlage diese legitime Entscheidung getroffen wurde?

Informationsraum als Teil der Lage

Soziale Medien sind in Krisenlagen mehr als eine Begleiterscheinung: Dort wird nicht nur über die Lage gesprochen – Menschen melden Schäden, teilen Warnungen, organisieren sich als Spontanhelfer*, suchen Hilfe und reagieren auf behördliche Maßnahmen.

Seit Jahren untersucht die Forschung, wie soziale Medien in Krisen und Notfällen genutzt werden. Dabei zeigen sich neben ihrem praktischen Nutzen auch Schwierigkeiten bei der Verifikation, der Bewältigung großer Informationsmengen und der Einbindung in organisatorische Abläufe (siehe etwa [14]). Beispielsweise bei Hochwasser oder Waldbränden wird der digitale Informationsraum so zu einem wichtigen Beobachtungs- und Handlungsfeld.

Für Zivil- und Katastrophenhilfe aber auch für polizeiliche und militärische Lagen stellt sich dieselbe Frage: Welche Vorgänge im Informationsraum gehören zum Lagebild und können das Geschehen beeinflussen? Stäbe können und sollten sich diesem Informationsraum nicht entziehen! Wer soziale Medien ignoriert, verzichtet auf Hinweise, die für das Lageverständnis wichtig sein können. Zugleich beeinflusst das Geschehen dort das Verhalten der Betroffenen: Warnungen können befolgt, angezweifelt oder weitergetragen werden. Sichtbare Reaktionen von Behörden erzeugen ihrerseits neue Meldungen. Der Informationsraum bildet die Lage daher nicht einfach ab: Er entwickelt sich mit ihr und wirkt auf sie zurück.

Wie sich diese Aufgabe institutionalisieren lässt, zeigt das Technische Hilfswerk (THW), das 2017 mit der Erprobung eines „Virtual Operations Support Teams“ (VOST) begonnen hat (siehe www.thw.de/SharedDocs/Einheiten/DE/006_vost.html). Heute sammelt, prüft und analysiert die Einheit einsatzrelevante Informationen aus dem Internet, erstellt digitale Lagekarten und gibt ihre Ergebnisse an Führungseinheiten weiter. Dazu gehört auch, Gerüchte und Falschmeldungen in sozialen Medien zu erkennen.

Das VOST unterstützt damit Stäbe bei einer Aufgabe, die sich in dynamischen Krisen- und Katastrophenlagen kaum noch nebenbei bewältigen lässt: Die Beobachtung dieses Raums ist sowohl notwendig als auch anspruchsvoll. Seine Dynamik folgt leider nicht den Bedürfnissen eines Stabes. Welche Beiträge sichtbar werden, hängt unter anderem von Plattformlogiken, Reichweite und Wiederholung ab. Auffällige Bilder können mehr Aufmerksamkeit erhalten als unspektakuläre Gegenindikatoren. Während sich der Informationsraum in einer Krise schnell verändert, braucht eine belastbare Prüfung Zeit.

Arglosigkeit oder Angriff

Boyds Informationsumwelt war ebenfalls von Täuschung, widersprüchlichen Meldungen und Überforderung geprägt. Neu ist vor allem die Skalierbarkeit: Synthetische Inhalte und automatisierte Distribution können innerhalb kurzer Zeit viele scheinbar unabhängige Signale erzeugen – organisatorische Verifikation lässt sich nicht im gleichen Maß beschleunigen. Wird der Informationsraum mit falschen oder irreführenden Inhalten angereichert, bleibt die Wirkung nicht auf die öffentliche Kommunikation beschränkt: Solche Inhalte können über „Observe“ und „Orient“ in organisatorische Lagebilder gelangen. Sie beeinflussen dann möglicherweise, welche Beobachtung Aufmerksamkeit erhält, welche Erklärung plausibel erscheint und welcher Handlungsdruck entsteht. Dadurch wird zwar keine Entscheidung vorgeschrieben – es verändert jedoch die Bedingungen, unter denen sie zustande kommt.

Dabei ist zwischen Misinformation, also falscher Information ohne nachgewiesene Täuschungsabsicht, und vorsätzlich hergestellter oder verbreiteter Desinformation zu unterscheiden [15]. Von der Wirkung allein lässt sich die Absicht nicht ableiten.

Carlisle bleibt deshalb ein Grenzfall. Der Vorfall zeigt jedoch, wie ein Signal aus sozialen Medien in einen realen Sicherheitsprozess hineinwirken kann. Bei gezielter Desinformation wird genau diese Verbindung zum Angriffspunkt: Das als „Firehose of Falsehood“ beschriebene russische Propagandamuster setzt auf hohes Volumen und rasche Wiederholung, ohne konsistent sein zu müssen [16]. Neuere Forschung untersucht deshalb neben einzelnen falschen Aussagen auch die weiter reichenden Folgen für den gemeinsamen Umgang mit Wissen: Strategische Misinformation kann gemeinsame Wahrheitsstandards schwächen und geteilte Orientierung erschweren [17].

Folgerungen für resiliente Entscheidungsprozesse

Für den OODA-Loop folgt daraus eine doppelte Anforderung: Stäbe müssen den Informationsraum beobachten, weil er Teil der Lage ist. Zugleich müssen sie Herkunft und Belastbarkeit der daraus gewonnenen Signale prüfen, weil falsche oder irreführende Inhalte über Beobachtung und Orientierung in ihre Entscheidungen hineinwirken können.

Der größte praktische Hebel liegt im organisatorischen Kontext O. Verfahren und Zuständigkeiten sollten so gestaltet sein, dass eine schnelle Schutzreaktion möglich ist und die zugrunde liegende Lageannahme überprüfbar bleibt. Daraus ergeben sich vier Überlegungen:

Relevanz von Evidenz trennen: Ein dringliches oder visuell überzeugendes Signal verdient Aufmerksamkeit – seine Salienz E belegt jedoch nicht seine Verlässlichkeit. Im Lagebild sollte deshalb sichtbar bleiben, ob eine Annahme auf einer Primärquelle, einer unabhängigen Bestätigung oder einer bloßen Weiterleitung beruht.

Plausibilität offenhalten: Plausible Deutungen sollten als Arbeitshypothesen geführt werden. Im Carlisle-Fall hätte man sowohl eine beschädigte Brücke als auch ein manipuliertes Bild in Betracht ziehen können. Eine solche Offenheit hält B korrigierbar und ermöglicht es, neue Beobachtungen in den nächsten OODA-Durchlauf aufzunehmen.

Wiederholung richtig einordnen: Auch verschiedene Beiträge können auf dieselbe Quelle zurückgehen. Wiederholung erhöht dann möglicherweise die wahrgenommene Plausibilität, liefert aber keine zusätzliche Evidenz. Prüfverfahren sollten deshalb die Herkunft einer Meldung und die Unabhängigkeit ihrer Bestätigungen berücksichtigen.

Schutz und Prüfung verbinden: Reversible Erstmaßnahmen sind unter Unsicherheit besonders wertvoll. Die Sperrung in Carlisle hat den möglichen Schaden begrenzt und die anschließende Inspektion hielt die Entscheidung korrigierbar. Auf der Ebene von P muss ein solches vorsorgliches Handeln als legitim gelten. Der organisatorische Kontext muss zugleich dafür sorgen, dass die Prüfung weiterläuft.

Als Zielbild bietet sich damit ein Entscheidungsprozess an, bei dem der organisatorisch einfachste Weg Schutz und fortlaufende Verifikation miteinander verbindet.

Interdisziplinäres Wirkmodell menschlicher Manipulation erklärt Social-Engineering-Mechanismen

Carsten Reffgens Buch „Social Engineering verstehen – erkennen – widerstehen“ [4] ist im Oktober 2026 in der Edition <kes> bei Springer/Vieweg erschienen. Im Zentrum steht das vom Autor entwickelte und auch hier im Haupttext skizzierte Emotion-Bias-Principle-(EBP)-Modell, das vier Wirkkomponenten integriert: emotionale Aktivierung, kognitive Verkürzung (Bias), soziale Legitimation (Prinzip) und organisatorische Erwartungsräume. Das Wirkmodell wird ausführlich hergeleitet und an verschiedenen Fallbeispielen vom Enkeltrick bis zum CEO-Fraud behandelt. Damit wird erklärbar, warum auch kompetente, geschulte Personen in regelkonformen Routinen zu sicherheitsrelevanten (Fehl-)Entscheidungen gelangen – und warum klassische Gegenmaßnahmen strukturell häufig zu spät ansetzen.

Carsten Reffgen zeigt damit auch, warum Social-Engineering eben nicht als IT-Randthema oder als Folge individueller Unachtsamkeit zu behandeln ist: Denn ihre Manipulationen wirken nicht gegen die gelernte Entscheidungslogik, sondern an und mit ihr. Das Buch versteht Social-Engineering als Entscheidungsphänomen unter Unsicherheit – von der einzelnen Interaktion bis zu skalierender hybrider Einflussnahme – und macht die Bedingungen sichtbar, unter denen Handlungen im Moment plausibel, richtig und sozial legitim erscheinen, obwohl sie fremden Interessen dienen. So liefert das Werk eine analytische Lesefolie für Prävention und Resilienz.

Resilienz bedeutet nicht, jede Täuschung rechtzeitig zu erkennen. Sie zeigt sich auch darin, dass eine Organisation handeln kann, ohne eine vorläufige Deutung vorschnell zur Gewissheit zu machen. Denn der Informationsraum wirkt über Beobachtung und Orientierung in reale Entscheidungen hinein.

Die Sicherheitsfrage lautet deshalb nicht nur, ob eine Information echt ist. Sie lautet auch: Kann jemand vorhersagen, was unsere Organisation tun wird, wenn wir sie für echt halten?

Carsten Reffgen ist Geschäftsführer der Enterprise Open Systems GmbH in Bonn sowie Lehrbeauftragter für Social-Engineering und ISMS an der DHBW Mannheim.

Literatur

[1] Zoe Toase, Laura O‘Neill, Trains cancelled over fake bridge collapse image, BBC News, Dezember 2025, www.bbc.com/news/articles/cwygqqll9k2o

[2] John R. Boyd, The Essence of Winning and Losing, Keynote Slides, Juni 1995 (Edited September 2012 by Chuck Spinney, Chet Richards, Ginger Richards), https://ooda.de/media/john_boyd_-_the_essence_of_winning_and_losing.pdf

[3] John R. Boyd, Destruction and Creation, September 1976, https://ooda.de/media/john_boyd_-_destruction_and_creation.pdf

[4] Carsten Reffgen, Social Engineering verstehen – erkennen – widerstehen, Ein interdisziplinäres Wirkmodell menschlicher Manipulation, Springer Vieweg – Edition <kes>, Oktober 2026, ISBN 978-3-658-52558-3, https://link.springer.com/book/9783658525583

[5] Jennifer S. Lerner, Ye Li, Piercarlo Valdesolo, Karim S. Kassam, Emotion and Decision Making, Annual Review of Psychology Vol. 66 Issue 1, S. 799, Januar 2015. https://doi.org/10.1146/annurev-psych-010213-115043

[6] Amos Tversky, Daniel Kahneman, Judgment under Uncertainty: Heuristics and Biases, Science Vol. 185 Issue 4157, S. 1124, September 1974, https://doi.org/10.1126/science.185.4157.1124 (kostenpflichtig)

[7] Gerd Gigerenzer and Wolfgang Gaissmaier, Heuristic decision making, Annual Review of Psychology, Vol. 62, S. 451, Januar 2011, www.researchgate.net/publication/49653132_Heuristic_Decision_Making

[8] Karl E. Weick, Kathleen M. Sutcliffe, David Obstfeld, Organizing and the Process of Sensemaking, Organization Science Vol. 16 Issue 4, S. 409, August 2005, www.researchgate.net/publication/211395920_Organizing_and_the_Process_of_Sensemaking

[9] James G. March, Johan P. Olsen, Rediscovering Institutions: The Organizational Basis of Politics, Free Press, Oktober 1989, ISBN 978-0-02-920115-2

[10] Mark C. Suchman, Managing Legitimacy: Strategic and Institutional Approaches, The Academy of Management Review Vol. 20 Issue 3, S. 571, Juli 1995, https://doi.org/10.2307/258788 (Anmeldung erforderlich)

[11] Eryn J. Newman, Maryanne Garry, Daniel M. Bernstein, Justin Kantner, D. Stephen Lindsay Nonprobative photographs (or words) inflate truthiness, Psychonomic Bulletin & Review Vol. 19 Issue 5, S. 969, August 2012, https://doi.org/10.3758/s13423-012-0292-0

[12] Eryn J. Newman, Norbert Schwarz, Misinformed by images: How images influence perceptions of truth and what can be done about it, Current Opinion in Psychology Vol. 56, Art. 101778, April 2024, https://doi.org/10.1016/j.copsyc.2023.101778

[13] Jessica Udry, Sarah J. Barber, The illusory truth effect: A review of how repetition increases belief in misinformation, Current Opinion in Psychology Vol. 56, Art. 101736, April 2024, https://doi.org/10.1016/j.copsyc.2023.101736 (kostenpflichtig)

[14] Christian Reuter, Marc-André Kaufhold, Fifteen years of social media in emergencies: A retrospective review and future directions for crisis Informatics, Journal of Contingencies and Crisis Management Vol. 26 Issue 1, S. 41, September 2017, https://doi.org/10.1111/1468-5973.12196

[15] Claire Wardle, Hossein Derakhshan, Information Disorder: Toward an Interdisciplinary Framework for Research and Policymaking, Council of Europe report DGI(2017)09, Oktober 2017, https://edoc.coe.int/en/media/7495-information-disorder-toward-an-interdisciplinary-framework-for-research-and-policy-making.html

[16] Christopher Paul, Miriam Matthews, The Russian „Firehose of Falsehood“ Propaganda Model, Why It Might Work and Options to Counter RAND Perspective, Juli 2016, https://doi.org/10.7249/PE198

[17] Ullrich K.H. Ecker, Emily R. Spearing, Renee DiResta, Stephan Lewandowsky, Misinformation as strategy: Epistemic consequences and the undermining of shared truth, Trends in Cognitive Sciences, Juli 2026, https://doi.org/10.1016/j.tics.2026.06.009

Diesen Beitrag teilen: