Natürlich ist das nicht ganz falsch. Wer E-Mails empfängt und sendet, sollte sich darüber im klaren sein, dass da schlimme Dinge anhängseln können und sich entsprechend vorsichtig verhalten. Aber das ist nicht die ganze Geschichte. Nicht ganz unschuldig war auch die Systemmeldung, mit der Microsoft Outlook auf die Gefahren eines Virenbefalls beim Öffnen von Dateianhängen aufmerksam macht. Die ist nämlich nicht gerade geeignet, Fehler zu verhindern - um es milde auszudrücken. In diesem Beitrag möchte ich mich also mit zwei Fragen beschäftigen, nämlich erstens: Wie konnte es überhaupt zu der Katastrophe kommen? Und zweitens: Hätte der Schaden durch ein anderes Design des Dialogs zwischen Outlook und den Benutzer/innen begrenzt werden können?   

Wenn man nach den Ursachen für die "I love you"-Misere fragt, besteht ein erstes Problem darin, dass unsere Denk-, Wahrnehmungs-, Handlungssteuerung dazu neigt, einfache und häufig wiederholte Handlungen zu automatisieren. Wenn ein Vorgang einmal automatisiert ist, werden Kontrollmechanismen, Unterbrechungsroutinen, Reflexion und kritischer Verstand weggeschaltet und die freiwerdende Kapazität auf andere Dinge gerichtet. Das ist das Wesen und der Nutzen der Automatisierung - und eben auch ihr Risiko. Unser Handeln folgt also einer einfachen Maxime: Der Aufwand, die eine (gefährliche) Ausnahme unter den 100.000 regelrechten (harmlosen) Fällen zu erkennen, rechtfertigt statistisch gesehen nicht den Nutzen (Zeitersparnis, Einsparung von Ressourcen etc.), der durch Automatisierung entsteht. So sind wir konstruiert, und Fehler entstehen dadurch, dass wir beim 100.001ten Mal, wenn alles anscheinend wie immer zu sein scheint, auch nur nach Schema-F reagieren können. Wer sich also auf seiner täglichen Fahrtstrecke zum Arbeitsplatz daran gewöhnt hat, dass eine Ampel auf grün geschaltet ist, bemerkt den Polizisten (der heute ausnahmsweise den Verkehr regelt) erst dann, wenn er auf der Fronthaube aufschlägt - Huch?

Dieser Faktor hat bei "I love you" mit Sicherheit eine Rolle gespielt. Als einigermaßen aktive/r E-Mail Benutzer/in öffnet man täglich Dateianlagen, und in 10.000 Fällen geht es gut. Da bleibt es nicht aus, dass das hinderliche Zögern und die Angst vor Viren zugunsten des schnellen ökonomischen Arbeitens ausgeschaltet wird.   

Was für die Handlung gilt, gilt auch für die Wahrnehmung. Ein/e Windows-Benutzer/in sieht Dialog-Fenster, die mit gelben Warndreiecken garniert sind, tagtäglich in verschiedenen Varianten, meist brabbeln sie unverständliches Zeug und müssen möglichst schnell weggeklickt werden, wenn man seine Arbeit weiter verfolgen möchte. Nun gilt aber: Eine Meldung, die vertraut ist, kann aber kein besonderes Ereignis oder Risiko kommunizieren, denn

Vertrautheit und Wiederholung signalisieren uns Sicherheit

Auch das ist biologisch programmierte Lebenserfahrung, die man mit einer System-Meldung nicht so leicht aushebeln kann (zumindest nicht mir derjenigen, die in Outlook erscheint). 

Aus der Forschung zur Risikowahrnehmung ist noch ein Weiteres bekannt: Menschen unterschätzen Risiken konstant, chronisch und gewohnheitsmäßig. Selbst wenn sie um ein Risiko sehr genau wissen, eventuell eine hohe Eintretenswahrscheinlichkeit kennen, unterschätzen sie es fast immer dramatisch in bezug auf die eigene Person. Anders wäre wohl kaum zu erklären, dass es helmlose Motorradfahrer/innen (tödliche Unfälle), Crack-Raucher/innen (irreversible Hirnschäden) Diskotheken mit 145 DB Schallpegel und Gästen (Hörverlust) oder auch Roulettespieler (Pleite) gibt. Worauf dieser Mechanismus zurückgeht ist unklar, eventuell hat er eine Abwehrfunktion, d.h. er dient zur Vermeidung von Angst oder Unsicherheit. Immerhin: er ist in den verschiedensten Studien mit ganz unterschiedlichen Risikofaktoren immer und immer wieder gefunden worden. Erst dann, wenn man einmal die Folgen riskanten Verhaltens erlebt hat, dämmert's - wobei es dann aber meistens zu spät ist.

Für unser Beispiel bedeutet dies also, dass man annehmen kann, dass ein/e durchschnittliche/r Benutzer/in von der stillschweigenden Voraussetzung ausgeht, es werde schon nichts geschehen.  

Nun kommen wir zu einem sehr wesentlichen Punkt: Wer (außer den Profis) weiß denn eigentlich mit Sicherheit zu sagen, welche Dateien gefährlich sind und welche nicht? Wer die Extension "vbs" nicht kannte, konnte z.B. das Risiko bei "I love you" gar nicht sicher erkennen. Dass gängige Office-Formate wie "doc" ebenfalls ausführbaren Code in Form von Makros enthalten können, wissen 90% der Endverbraucher ebenfalls nicht. Wer also nicht nach der Maxime handelt: Grundsätzlich alles gleich wegschmeißen, was nicht wirklich zu 100% bekannt und sicher ist, tappt früher oder später einfach aufgrund von mangelndem Wissen in die Falle. 

Hinzu kommt, dass die Datei eine tückische Doppel-Extension hatte: "i-love-you.txt.vbs". Dateien mit der Extension "txt" werden im Text-Editor geöffnet und enthalten keinen Programmcode. Sie können also - soweit ich informiert bin - eigentlich keine Viren verbreiten, die sich dann über E-Mail fortpflanzen. Erst die zweite Extension steht für eine ausführbare Datei "Visual Basic Script", und die Tücke liegt darin, dass man beim schnellen Lesen dazu verführt werden kann, diese zu übersehen - mit den bekannten Folgen...

Zusammenfassend haben wir von typischen Benutzer/innen jetzt folgendes Bild gezeichnet. Sie... 

haben eine reduzierte Aufmerksamkeit für die Systemmeldung,

neigen dazu, automatisch zu reagieren,

fühlen sich relativ sicher und

haben nur vage Vorstellungen von den Zusammenhängen.

Wenn man die in Outlook angebotene Lösung mit den bis jetzt zusammengetragenen Fakten und Argumenten im Hinterkopf betrachtet, muss man zu dem Schluss kommen: Sie ist alles andere als gelungen. Sie mag meinetwegen mit dem Windows-Styleguide konform sein, für die Risikokommunikation und Aufklärung der Benutzer/innen ist sie jedoch ein völliger Rohrkrepierer. 

Und der Text?

Wer das lesen will, muss schon ziemlich interessiert sein, denn es ist schlicht und einfach schwer zu entziffern. Eine solche Mikro-Schrift signalisiert: 

Es ist nicht auszuschließen...", meint Outlook zu Beginn seiner hilfreichen Meldung. "Nicht auszuschließen"? Das ist aber eine sehr milde und verklausulierte Form, ein handfestes Risiko zu bezeichnen. Microsoft hat hier wahrscheinlich eine lästige Pflicht erfüllt, um späteren Regressforderungen vorzubeugen ("Was möchten Sie denn, da steht es doch.....") anstatt den Versuch zu machen, die Benutzer/innen ernstlich zu informieren und zu warnen. Vielleicht passt das nicht in die Unternehmenspolitik, die sich wahrscheinlich reflexartig auf das Ableugnen von Sicherheitsrisiken eingestellt hat.

Hand aufs Herz: Kennen Sie - liebe Leserinnen und Leser - eigentlich etwas das wirklich gänzlich und definitiv auszuschließen ist? Ich meine, da gibt es nicht viel. Es ist auszuschliessen, dass ich nächtens von Außerirdischen entführt und mit langen Nadeln gepiekst werde (es soll ja Leute geben, die da ganz anderer Meinung sind, aber das ist eine andere Geschichte). Die Wahrscheinlichkeit von einem Meteor erschlagen zu werden ist zwar nahe Null, aber nicht perfekt Null, also? "Nicht auszuschließen". Trotzdem habe ich - und wohl die meisten meiner Mitmenschen - eine eher entspannte Haltung zu diesem Risiko. 

Aber: Dass sich ein Virus aus einer ausführbaren Dateianlage über  Adressbücher weiterverbreitet um sich dann über Festplatten herzumachen ist nicht nur nicht auszuschließen, ich würde sogar sagen, es "kann leicht vorkommen" - wie sich ja nun schon zum wiederholten Mal gezeigt hat. Und wenn ich eine Dateianlage öffne, deren Absender ich nicht kenne, oder die sonst irgendwie dubios aussieht, ist das - so würde ich sagen - "höllisch gefährlich!"

Wenn dies so ist, muss es aber auch gesagt werden, sonst betreibt man betäubende Desinformation und sorgt dafür, dass sich Viren lustig verbreiten können. Und wir haben ja schon erfahren, dass Menschen Risiken liebend gern unterschätzen. Dies ist natürlich umso mehr der Fall, je mehr Spielraum man ihnen bei der Schätzung von Wahrscheinlichkeiten lässt. "Viren können Ihren Computer beschädigen", das ist kommunikativ völlig wirkungslos, während das Wissen, dass z.B. "Melissa" und "I Love You" kürzlich von unbedarften oder auch bedarften Benutzer/innen auf hunderten Rechnern gestartet wurden und tausende weiterer Rechner verseuchten, eine Aufklärung ist.  

Wie, lieber Outlook-Bote,  stellt man eigentlich fest, ob die "Quelle der Datei" - übrigens eine sprachlich nicht eben prägnante Formulierung für "Absender" - vertrauenswürdig ist? Und: woran erkennt man eine ausführbare Datei? Wenn wir eine Umfrage unter unbedarften Benutzer/innen machen würden, würden wir hierzu 80% "weiß nicht" und 9% falsche Antworten und 11% "lass mich in Ruhe mit dem technischen Kram" erhalten. 

Und jetzt üben wir uns einmal in Perspektivübernahme. Was ein/e Endanwender/in angesichts der Situation, in die ihn/sie Outlook bringt, wohl so denken mag? 
 
 

Noch ein weiterer Punkt ist problematisch. Microsoft hat hier ein Standard-Design und ein Design für systeminterne Ereignisse gewählt. Das gelbe Dreieck in grauer Box warnt uns täglich mehr oder weniger geglückt über alle möglichen mehr oder weniger geglückten Systemereignisse, die sich auf Windows beziehen.  Hier z.B. die Box, die erscheint, wenn das Abrufen von E-Mail - aus welchen Gründen auch immer - misslungen ist:

Das Empfangen eines Dateianhangs ist aber eben wegen des Viren-Risikos keine Standard-Situation, und es geht um Faktoren, die von extern in das System hineingetragen werden. Wenn man mit der Meldung das Risiko für Fehlreaktionen vermindern möchte ist deshalb hier - Styleguide hin, Styleguide her - eine Standard-Box unangebracht.  

Die fällt kurz aus: Wenn ich ein Virus wäre und mir eine Warnmeldung als Komplize bestellen könnte, würde sie etwa so aussehen wie die, die uns Outlook präsentiert.