Die klassischen Betrugsmaschen sind allseits bekannt: Die E-Mail des nigerianischen Prinzen, der dringend eine Überweisung benötigt oder die gefälschte Nachricht eines Bekannten, der bittet, schnell eine Datei im Anhang zu öffnen. Diese Methoden gibt es zwar noch, doch Angreifer entwickeln sich weiter. Eine neue Angriffstechnik namens ClickFix geht einen anderen Weg. Die Zielperson führt den Befehl zum Herunterladen der Schadsoftware selbstständig aus, ohne es zu merken. In Deutschland wurden bereits Behördennetzwerke kompromittiert, Stadtwebsites als Verteiler missbraucht und sensible Daten im Darknet veröffentlicht.
Was ist ClickFix?
Bei ClickFix handelt es sich um eine Social-Engineering-Angriffstechnik, bei der Nutzende dazu verleitet werden, bösartige Befehle selbst auszuführen. In den meisten Fällen geschieht dies über ein gefälschtes CAPTCHA, einen vorgetäuschten Browserfehler oder eine vermeintliche Verifizierungsaufforderung. Der wesentliche Unterschied zu herkömmlichen Angriffen ist, dass keine schädliche Datei bereitgestellt wird, welche von Schutzprogrammen erkannt werden könnte. Da der Befehl eigenständig eingegeben wird, greifen E-Mail-Filter, statische Antivirenprogramme und die meisten EDR-Lösungen nicht.
Die Zahlen verdeutlichen, wie ernst die Lage ist. Bereits Anfang 2025 beobachtete Microsoft Defender Experts, dass Tausende von Geräten pro Monat betroffen sind. Laut ESET-Daten stiegen die Angriffe in der ersten Hälfte 2025 um 517 Prozent, Huntress bestätigte kurz darauf sogar einen Anstieg von 631 Prozent innerhalb von sechs Monaten. Mittlerweile ist ClickFix laut Microsoft Digital Defense Report 2026 für rund 47 Prozent aller initialen Angriffszugänge (vgl. hier). Ein wesentlicher Treiber dieses Wachstums ist der Verkauf fertiger Builder, mit denen Angreifer ohne großen Aufwand eigene Kampagnen aufsetzen können.
Die bekannteste Masche – Das gefälschte CAPTCHA
Eine Webseite wird geöffnet und ein CAPTCHA fordert die Bestätigung, dass es sich nicht um einen Bot handelt. Die Methoden zur Verifizierung haben sich über die Jahre stetig gewandelt: mal ein Klick auf Ampeln, mal das Lösen eines Puzzles, mal das Tippen eines Codes. Durch diese Variationen ist eine Gewöhnung eingetreten, Aufforderungen dieser Art werden meist ohne Zögern befolgt. Genau das nutzen Angreifer aus.
Die verbreitetste ClickFix-Variante ahmt genau diese Situation nach. Ein schädlicher Befehl wird entweder automatisch in die Zwischenablage kopiert oder es erscheint eine Aufforderung, ihn manuell zu kopieren. Anschließend wird die Zielperson gebeten, diesen über eine Tastenkombination in ein Systemwerkzeug einzufügen und auszuführen. Wird der Befehl ausgeführt, startet ein Systemwerkzeug wie PowerShell im Hintergrund und lädt weiteren Code nach. Was danach passiert, liegt in der Hand der Angreifer: Zugangsdaten stehlen, Fernzugriff einrichten, dauerhaft im System verharren oder weitere Schadsoftware nachladen.
ClickFix und seine Abwandlungen
ClickFix beschränkt sich nicht auf den Ausführen-Dialog, sondern wird kontinuierlich auf neue Ausführungsumgebungen ausgeweitet. TerminalFix ist dabei die gefährlichste Weiterentwicklung. Statt des einfachen Ausführen-Dialogs wird das Terminal direkt geöffnet, wodurch Befehle mit höheren Rechten ausgeführt werden können. Der Ablauf ist mehrstufig: Über Phising oder reguläre Webseitenbesuche landet die Zielperson auf einer kompromittierten Seite, führt den eingeschleusten Befehl aus und öffnet damit die Tür für einen tiefergehenden Einbruch, von der Netzwerkerkundung über Datenexfiltration (die Datenübertragung an einen vom Angreifer kontrollierten Speicherort) bis hin zu Ransomware-Installation. Das BSI hat TerminalFix im September 2026 als aktive Bedrohung eingestuft.
Seit Mitte 2025 ist zudem die Adressleiste des Windows-Datei-Explorers als Ausführungsumgebung im Einsatz, bekannt als FileFix. Was wie eine harmlose Ordneradresse wirkt, kann direkt als Systembefehl interpretiert werden. ClickFix ist dabei keine reine Windows-Problematik, Varianten für macOS und Linux sind bereits im Umlauf. Der universelle Grundsatz lautet: Überall dort, wo ein Befehl eingefügt und ausgeführt werden kann, ist ClickFix anwendbar.
Aktuelle Fälle in Deutschland
Das ClickFix keine abstrakte Bedrohung ist, zeigen aktuelle Vorfälle.
Im August 2026 wurden zwei Berliner Senatsverwaltungen über TerminalFix kompromittiert. Der Einstieg erfolgte über ein gefälschtes CAPTCHA auf einer präparierten Webseite. Die Hackergruppe Rhysida exfiltrierte rund 1,44 Millionen Dateien mit ca. 5,8 TB und veröffentlichte diese im Darknet, darunter Zugangsdaten und behördeninterne Dokumente. Indirekt betroffen war auch der Bundesnachrichtendienst, dessen technische Exposition durch die veröffentlichten Daten gestiegen ist (vgl. hier).
Auf kommunaler Ebene zeigen die Fälle Kassel und Dülmen, wie breit die Angriffsfläche ist. Beim städtischen Versorgungsunternehmen KVV in Kassel wurde Schadcode in öffentliche Websites eingebettet, sodass Besucher möglicherweise unbemerkt Schadsoftware auf ihre Geräte luden. In Dülmen platzierten Cyberkriminelle vom 6. bis 7. Oktober 2026 für knapp 24 Stunden schädlichen Code auf Stadtwebseiten und forderten über ein gefälschtes CAPTCHA zur Eingabe von Tastenkombinationen auf. Das Schadenspotenzial ist bei mehr als 1.000 Tagesbesuchern erheblich.
Die Bedrohung macht vor Landesgrenzen nicht halt. Im Juli 2026 warnte Microsoft vor der Kampagne CaptiveCrunch, bei der russische Angreifer seit Mai 2026 die WLAN-Anmeldeseite von Hotels und Konferenzzentren weltweit kompromittierten. Statt der erwarteten Anmeldeseite erscheint eine gefälschte Update-Aufforderung oder eine täuschend echte Microsoft-365-Anmeldeseite. Wer darauf reagiert, installiert Schadsoftware oder übergibt Zugangsdaten inklusive MFA-Tokens.
Woran erkenne ich einen Angriff
ClickFix-Angriffe folgen erkennbaren Mustern. Das wichtigste Warnsignal vorweg: Keine legitime Verifizierungsmethode fordert einen Nutzenden dazu auf, das aktuelle Fenster zu verlassen, eine Tastenkombination zu drücken oder einen Befehl in Systemwerkzeuge einzufügen. Wer eine solche Aufforderung sieht, sollte skeptisch werden und von einem vermeintlichen Angriff ausgehen vgl. hier und hier).
Weitere Warnsignale:
- Die URL der aufgerufenen Seite wirkt ungewöhnlich, ist leicht abgewandelt oder passt nicht zum angeblichen Absender. Insbesondere bei Links aus E-Mails ist die Adresse stets zu prüfen, bevor einer Aufforderung gefolgt wird.
- Eine Aufforderung erscheint, etwas mit Strg + V einzufügen, ohne zuvor etwas kopiert zu haben.
- Ein Fenster soll mit Enter bestätigt werden, dessen Inhalt nicht lesbar oder verständlich ist.
- Der Kontext ist unerwartet. Es wurde keine Verifizierung angefordert, keine Datei heruntergeladen und kein Support kontaktiert.
Fazit: Die Angreifer werden nicht aufhören
ClickFix ist kein vorübergehender Trend. Die Angriffstechnik entwickelt sich weiter und mit ihr die Schadenspotenziale. Was heute als gefälschtes CAPTCHA erscheint, kann morgen der Einstieg in ein Unternehmensnetzwerk oder der Auslöser eines Ransomware-Angriffs sein. Technische Schutzmaßnahmen sind notwendig, schließen aber nicht die Lücke zwischen Technik und Mensch.
Keine Kommentare