ClickFix-Angriffe: BSI warnt vor TerminalFix-Kampagne

Ein Klick auf „Ich bin kein Roboter", ein kopierter Befehl, ein Druck auf die Eingabetaste – mehr braucht es derzeit nicht, um ein komplettes Unternehmensnetzwerk zu kompromittieren. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat Anfang September vor der sogenannten TerminalFix-Kampagne gewarnt, einer Weiterentwicklung der ClickFix-Masche, über die bereits mindestens eine deutsche staatliche Institution kompromittiert wurde. Das BSI stuft die Warnung mit Kritikalität 2 („Hoch") ein.

Für Geschäftsführer und IT-Verantwortliche in kleinen und mittleren Unternehmen ist diese Kampagne aus einem einfachen Grund relevant: Der Angriff umgeht klassische Schutzmechanismen wie E-Mail-Filter und Antivirus, weil der Nutzer den Schadcode eigenhändig ausführt. In diesem Beitrag erklären wir, wie ClickFix und TerminalFix funktionieren, warum die Technik so erfolgreich ist und mit welchen konkreten Maßnahmen Sie Ihr Unternehmen schützen.

Was ist ein ClickFix-Angriff?

ClickFix ist eine Social-Engineering-Technik, bei der Angreifer ihre Opfer dazu bringen, einen schädlichen Befehl selbst auszuführen. Der typische Ablauf: Der Nutzer landet auf einer kompromittierten oder gefälschten Website und sieht dort eine vermeintliche Sicherheitsabfrage – häufig ein täuschend echt nachgebautes Cloudflare-CAPTCHA („Ich bin kein Roboter").

Statt eines echten Bilderrätsels fordert die Seite den Nutzer auf, zur „Verifizierung" drei Schritte auszuführen: eine Tastenkombination drücken, einen bereits in die Zwischenablage kopierten Befehl einfügen und mit Enter bestätigen. Was wie eine harmlose Browser-Prüfung aussieht, startet in Wirklichkeit einen PowerShell-Befehl, der Schadsoftware nachlädt.

Der Trick ist perfide, weil er die Beweislast umkehrt: Nicht der Angreifer schleust die Malware ein – der Mitarbeiter führt sie selbst aus, in einem legitimen Systemwerkzeug, das auf jedem Windows-Rechner vorhanden ist.

TerminalFix: Die neue Eskalationsstufe

Was sich gegenüber ClickFix geändert hat

Die von Microsoft Ende August 2026 offengelegte und vom BSI am 4. September 2026 für Deutschland bestätigte TerminalFix-Variante verlagert die Befehlseingabe vom Windows-Ausführen-Dialog in das Windows Terminal beziehungsweise die PowerShell. Das hat für Angreifer zwei Vorteile: Viele Unternehmen haben nach den ClickFix-Wellen der vergangenen Jahre den Ausführen-Dialog per Gruppenrichtlinie eingeschränkt – das Terminal blieb dabei oft außen vor. Zudem wirkt die Eingabe in einem „Entwicklerwerkzeug" auf technisch versierte Nutzer weniger verdächtig.

Die Angriffskette im Detail

Nach Analysen des Sicherheitsdienstleisters DIESEC läuft der Angriff mehrstufig ab: Das gefälschte Cloudflare-CAPTCHA-Overlay leitet den Nutzer zur Befehlseingabe an. Der eingefügte Befehl startet ein verstecktes PowerShell-Skript, das ein ZIP-Archiv herunterlädt und den Loader AxolotLoader (auch LoremIpsumLoader genannt) ausführt. Dieser baut über Port 443 einen TLS/WebSocket-Reverse-Tunnel zu den Angreifern auf – getarnt als regulärer HTTPS-Verkehr, den kaum eine Firewall blockiert.

Laut BSI verfolgen die Täter dabei das bekannte Ziel: Ransomware-Installation und Double Extortion, also Datendiebstahl plus Verschlüsselung mit anschließender Veröffentlichungsdrohung.

Wer ist betroffen?

Das BSI wurde im August 2026 über die Kompromittierung des Netzwerks einer staatlichen Institution informiert. Medienberichte bringen die Technik auch mit dem Angriff auf das Berliner Landesnetz in Verbindung. Entscheidend für KMU: Die Kampagne zielt nicht auf einzelne Organisationen, sondern verbreitet sich opportunistisch über manipulierte Websites – jedes Unternehmen, dessen Mitarbeiter im Web unterwegs sind, ist potenzielles Ziel. Gerade Arztpraxen, Kanzleien und mittelständische Betriebe ohne eigenes Security-Team trifft so eine Masche unvorbereitet.

Warum klassische Schutzmaßnahmen hier versagen

E-Mail-Security-Gateways greifen nicht, weil der Angriff oft gar nicht per E-Mail kommt, sondern über Suchmaschinen-Ergebnisse, Malvertising oder kompromittierte Websites. Signaturbasierte Antivirus-Lösungen greifen zu spät, weil der initiale Befehl ein legitimes Systemwerkzeug nutzt („Living off the Land"). Und die Firewall sieht nur ausgehenden HTTPS-Verkehr auf Port 443 – Alltag in jedem Netzwerk.

Erkennen lässt sich die Angriffskette trotzdem – aber eben nicht am Perimeter, sondern auf dem Endpunkt und im Verhalten: Ein Browser-Prozess, der eine PowerShell mit Download-Befehl startet, ist ein hochverdächtiges Muster. Genau solche Verhaltensketten erkennt eine moderne EDR-Lösung – vorausgesetzt, jemand reagiert auch nachts um drei auf den Alarm. Hier setzt Managed Detection & Response (MDR) an: 24/7-Überwachung der Endpunkte durch ein Analystenteam, das verdächtige Prozessketten stoppt, bevor der Loader den Tunnel aufbaut.

Fünf konkrete Schutzmaßnahmen für KMU

1. Mitarbeiter gezielt sensibilisieren. Die wichtigste Botschaft ist einfach: Kein seriöser CAPTCHA- oder Verifizierungsdialog verlangt jemals, Befehle zu kopieren und in Terminal, PowerShell oder den Ausführen-Dialog einzufügen. Wer das einmal verinnerlicht hat, erkennt die Masche zuverlässig – unabhängig von der nächsten Variante.
2. Ausführungswege technisch einschränken. Deaktivieren Sie den Ausführen-Dialog und den Zugriff auf Terminal/PowerShell per Gruppenrichtlinie für alle Nutzer, die diese Werkzeuge nicht benötigen. Das BSI und Analysten empfehlen zudem, das Starten von PowerShell aus Browser-Kontexten heraus zu blockieren.
3. PowerShell-Protokollierung aktivieren. Script Block Logging und Transkription machen Angriffe sichtbar und liefern im Ernstfall die forensische Grundlage für die Incident Response.
4. Ausgehenden Datenverkehr überwachen. Lang laufende TLS/WebSocket-Verbindungen zu unbekannten Zielen sind ein Indikator für Reverse-Tunnel. Ein Security Operations Center erkennt solche Anomalien im Netzwerkverkehr.
5. Die eigene Erkennung testen. Ob Ihre Systeme eine ClickFix-Kette erkennen würden, lässt sich prüfen – etwa im Rahmen eines Penetrationstests mit Social-Engineering-Komponente.

Was TerminalFix für NIS2-regulierte Unternehmen bedeutet

Unternehmen, die unter die NIS2-Richtlinie beziehungsweise das deutsche Umsetzungsgesetz fallen, müssen Risikomanagementmaßnahmen nach Stand der Technik nachweisen – dazu gehören ausdrücklich Schulungen, Angriffserkennung und Vorfallsbewältigung. Eine dokumentierte Reaktion auf aktuelle BSI-Warnungen wie diese ist ein Baustein dieses Nachweises. Ein externer Informationssicherheitsbeauftragter (ISB) hilft, solche Warnlagen systematisch zu bewerten und die Maßnahmen revisionssicher zu dokumentieren.

Fazit

TerminalFix zeigt, wie schnell sich Social-Engineering-Techniken weiterentwickeln: Kaum hatten Unternehmen auf ClickFix reagiert, weichen die Angreifer auf das nächste Werkzeug aus. Wer sich nur auf Perimeter-Schutz verlässt, verliert dieses Wettrennen. Die Kombination aus geschulten Mitarbeitern, restriktiven Systemeinstellungen und kontinuierlicher Überwachung der Endpunkte macht die Masche dagegen beherrschbar.

Wenn Sie wissen möchten, ob Ihre Organisation eine ClickFix-Angriffskette heute erkennen und stoppen würde, sprechen Sie uns an – wir zeigen es Ihnen gern in einem unverbindlichen Gespräch. Kontakt aufnehmen

Häufige Fragen

Woran erkenne ich ein gefälschtes CAPTCHA?

Ein echtes CAPTCHA verlangt Klicks oder Bildauswahlen im Browser – niemals das Kopieren von Befehlen, Tastenkombinationen wie Windows+R oder die Eingabe in Terminal oder PowerShell. Sobald eine „Verifizierung" Sie auffordert, etwas außerhalb des Browsers einzufügen, handelt es sich um einen Angriff.

Was tue ich, wenn ein Mitarbeiter den Befehl bereits ausgeführt hat?

Trennen Sie das betroffene Gerät sofort vom Netzwerk (nicht herunterfahren, das vernichtet Spuren im Arbeitsspeicher), ändern Sie die Zugangsdaten des Nutzers und ziehen Sie Incident-Response-Spezialisten hinzu. Da die Kampagne auf Ransomware und Datendiebstahl abzielt, zählt jede Stunde.

Reicht mein Antivirus-Programm als Schutz aus?

Nein. Der Angriff nutzt legitime Windows-Werkzeuge und verschlüsselten Datenverkehr, den signaturbasierte Lösungen oft nicht erkennen. Wirksam ist die Kombination aus Sensibilisierung, technischen Restriktionen (Gruppenrichtlinien) und verhaltensbasierter Erkennung (EDR) mit 24/7-Reaktion.

Betrifft die Kampagne nur Behörden?

Nein. Kompromittiert wurden bislang unter anderem staatliche Institutionen, die Verbreitung erfolgt jedoch breit über manipulierte Websites. KMU sind für die Täter attraktive Ziele, weil dort seltener Endpoint-Überwachung und Notfallprozesse vorhanden sind.

Quellen

• BSI-Cybersicherheitswarnung „Deutsche Institutionen über TerminalFix-Kampagne kompromittiert" (04.09.2026): https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2026/2026-287419-1032_bits.html
• DIESEC: „TerminalFix ClickFix Attack Campaign Hits Germany" (08.09.2026): https://diesec.com/2026/09/terminalfix-clickfix-attack-campaign-germany/
• ePraxis Digital: „TerminalFix-Angriff: Niemals Befehle aus einem CAPTCHA ausführen" (05.09.2026): https://www.epraxis.digital/news/2026/09/05/terminalfix-fake-captcha/
• heise online: „BSI explains first attack vector on Berlin authorities": https://www.heise.de/en/news/BSI-explains-first-attack-vector-on-Berlin-authorities-11444212.html