TL;DR: Das Wichtigste
- Microsoft hat festgestellt, dass diese Methode etwas mehr als 47 % der in seinen Daten erfassten Erstzugriffe ausmachte.
- Zwischen Dezember 2025 und Mai 2026 hat sich das Gesamtvolumen dieser Angriffe laut den Zahlen von Microsoft um etwa das 23-Fache erhöht.
- Suchmaschinen leiten vier von fünf Fallen weiter, wodurch die Sicherheitsfilter von Unternehmens-E-Mail-Systemen vollständig umgangen werden.
- Tools mit künstlicher Intelligenz dienen nun dank der Gewohnheiten der Mitarbeiter, Programme über die Befehlszeile zu installieren, als bevorzugte Köder.
Die Social-Engineering-Technik „ClickFix“ veranlasst den Nutzer dazu, selbst einen bösartigen Befehl auf seinem Endgerät auszuführen, ohne eine Datei herunterzuladen, und umgeht so die Schutzmechanismen von Browsern und E-Mail-Gateways. Dieses Verfahren zielt nicht darauf ab, eine klassische Software-Sicherheitslücke auszunutzen. Die Angreifer inszenieren ein glaubwürdiges Szenario, um das Ziel davon zu überzeugen, einen Systembefehl zu kopieren und anschliessend in die eigene Befehlszeile einzufügen.
Der ClickFix-Mechanismus kehrt die Reflexe des Internetnutzers um
Der Angriff beginnt in der Regel beim Aufrufen einer kompromittierten Website oder über einen Werbelink, beispielsweise bei Google oder Bing. Auf dem Bildschirm erscheint ein Fenster, das eine offizielle Warnmeldung vortäuscht, wie etwa eine CAPTCHA-Überprüfung, ein Zertifikatsproblem oder eine Gerätesperre während eines Videoanrufs. Diese gefälschte Warnmeldung gibt vor, eine sofortige Lösung zu bieten, und fordert das Opfer auf, auf eine Schaltfläche zu klicken (ein Klick zur Behebung, daher der Name), um einen angeblichen Patch herunterzuladen.
Das Wichtigste zu Cybersicherheit, KI & Tech
Werden Sie Teil der Community. 3-mal pro Woche erhalten Sie die Trendanalyse von Marc Barbezat (auf Französisch). Kein Spam, nur Informationen.
Durch den Klick wird tatsächlich ein Schadskript in die Zwischenablage kopiert, das häufig für PowerShell oder das Terminal von macOS bestimmt ist. Die Seite führt den Nutzer anschliessend Schritt für Schritt durch den Vorgang: Verwenden Sie die Windows-Taste in Kombination mit der R-Taste, fügen Sie den Text mit Strg und V ein und bestätigen Sie anschliessend mit der Eingabetaste. Der Computer führt den Befehl selbstständig aus, lädt Spyware direkt in den Arbeitsspeicher herunter und legt berufliche Anmeldedaten, Sitzungs-Cookies sowie digitale Geldbörsen offen.
Nach Beobachtungen von Push Security entfielen im August 2026 67 % der im Browser festgestellten Bedrohungen auf ClickFix. Cyberkriminelle passen vorgefertigte Toolkits wie ERRTRAFFIC kontinuierlich an, das allein in diesem Monat 34 % der Warnmeldungen auslöste. Die Varianten nutzen mehr als 20 legitime Systemdienstprogramme, um die Überwachungsregeln für Unternehmensendgeräte zu verschleiern.
Künstliche Intelligenz liefert äusserst wirkungsvolle Täuschungsmanöver
Die Begeisterung in der Branche für generative Assistenten bietet einen idealen Vorwand, um technische und fachliche Teams in eine Falle zu locken. BleepingComputer berichtet, dass die Plattform ANY.RUN zwischen dem 15. April 2026 und dem 5. Oktober 2026 insgesamt 1.258 Analysen von Kampagnen gezählt hat, die KI-Software vortäuschten, wobei 81 % davon sich als Claude, ChatGPT oder Codex ausgaben. Da diese Tools üblicherweise über eine Befehlszeile eingesetzt werden, erscheint der Befehl „Kopieren und Einfügen“ einem eiligen Nutzer völlig alltäglich.
Die Variante „InstallFix“ bildet die offiziellen Download-Seiten originalgetreu nach. Die Schaltfläche „Kopieren“ zeigt auf dem Bildschirm den legitimen Befehl des Herausgebers an, fügt jedoch einen bösartigen Download-Link in die Zwischenablage des Computers ein. Die Falle zeigt zunächst die authentische Domain im Terminal an, um die Wachsamkeit zu täuschen, bevor sie das bösartige Skript direkt in den Arbeitsspeicher des Computers einschleust, ohne eine Datei auf die Festplatte zu schreiben.
Eine weitere Entwicklung namens LLMshare nutzt die Weitergabe von Unterhaltungen oder personalisierte Assistenten auf den offiziellen Plattformen. Angreifer entwickeln beispielsweise einen Bot auf ChatGPT, der zunächst normal antwortet, bevor er eine gefälschte Meldung über eine Dienstunterbrechung anzeigt, die auf eine ClickFix-Payload verweist. Da die Webadresse zur legitimen Domain des Anbieters gehört, erkennen Tools zur Bewertung der Link-Reputation keine sichtbaren Anomalien.
Wichtiger Hinweis
Man darf seine Wachsamkeit gegenüber den sogenannten „ClickFix“-Angriffen nicht vernachlässigen, die weiterhin Internetnutzer in die Falle locken, während künstliche Intelligenz die Erfolgsquote der Cyberkriminellen leider noch weiter verstärkt. Der ClickFix-Angriff stellt eine besonders gefährliche Social-Engineering-Technik dar, da er den Nutzer dazu verleitet, einen Virus selbst zu installieren, ohne dass eine Datei heruntergeladen werden muss.
Massnahmen zur Unterbindung solcher Manipulationen
Die Abwehr basiert in erster Linie auf der Erkennung ungewöhnlicher Verhaltensmerkmale. Kein Validierungstest vom Typ reCAPTCHA oder Cloudflare erfordert eine Aktion ausserhalb des Webbrowsers. Die Aufforderung, das Dienstprogramm „Ausführen“ unter Windows oder das Terminal unter macOS zu öffnen, deutet auf einen unmittelbaren Einbruchsversuch hin.
In Unternehmen müssen die Sicherheitsteams daran erinnern, dass es strengstens untersagt ist, unbekannten Text ohne vorherige Überprüfung in eine Befehlszeile einzufügen. Im Zweifelsfall sollten Sie den Inhalt in einen Texteditor wie den Notizblock einfügen, um die Anweisungen zu überprüfen und verdächtige Remote-Aufrufe zu erkennen. Unternehmen müssen zudem die Nutzung von Systemdienstprogrammen auf nicht verwalteten Rechnern oder den Arbeitscomputern der Entwickler überwachen.
Die zunehmende Verbreitung von ClickFix zeigt, dass Cyberkriminelle eher auf die Manipulation von Nutzern setzen als auf die Ausnutzung komplexer Software-Sicherheitslücken. Die zunehmende Verbreitung digitaler Assistenten führt dazu, dass die Vorsicht im Umgang mit Befehlszeilen nachlässt.
Häufig gestellte Fragen zu ClickFix-Angriffen
Was ist ein ClickFix-Angriff?
ClickFix ist eine Social-Engineering-Angriffsmethode, bei der der Internetnutzer dazu verleitet wird, bösartigen Code selbst zu kopieren und auf seinem Computer auszuführen. Der Angriff zeigt auf einer Webseite eine gefälschte Fehlermeldung oder eine vorgetäuschte Sicherheitsüberprüfung an. Zu Beginn wird keine ausführbare Datei heruntergeladen, wodurch herkömmliche Schutzmassnahmen umgangen werden.
Warum verstärken KI-Tools diese Angriffe?
Zahlreiche Programme im Bereich der künstlichen Intelligenz lassen sich üblicherweise mit einer einzigen Befehlszeile in einem Terminal installieren. Cyberkriminelle ahmen diese offiziellen Verfahren nach, um betrügerischen Code ausführen zu lassen, ohne Verdacht zu erregen. Die rasche Verbreitung dieser Technologien veranlasst Mitarbeiter dazu, Skripte einzufügen, ohne deren genaue Herkunft zu überprüfen.
Wie umgehen Hacker die üblichen Sicherheitsfilter?
Auf betrügerische Seiten gelangt man überwiegend über Suchmaschinen oder gehackte legitime Websites, wodurch E-Mail-Gateways vollständig umgangen werden. Der Code wird anschliessend vom Benutzer manuell innerhalb eines authentischen Systemdienstprogramms wie PowerShell ausgeführt. Die Schadsoftware läuft häufig im Arbeitsspeicher, ohne verdächtige Dateien auf dem lokalen Speicher zu erstellen.
Mit welchen Vorsichtsmassnahmen lässt sich eine ClickFix-Infektion vermeiden?
Ein Test zur Überprüfung eines Browsers oder einer Webseite fordert Sie niemals dazu auf, das Fenster „Ausführen“ oder das Terminal Ihres Computers zu öffnen. Jede Anweisung, bei der Sie die Tastenkombination Windows-Taste + R drücken und anschliessend Inhalte einfügen sollen, sollte dazu führen, dass Sie den Tab unverzüglich schliessen. Wenn Sie den Text zuvor in einen einfachen Notiz-Editor einfügen, können Sie den tatsächlichen Befehl überprüfen und verdächtige Skripte erkennen.
Weitere Informationen zu diesem Thema
ClickFix: Die Falle, die das Opfer dazu bringt, den Angriff selbst auszuführen
Eine Social-Engineering-Technik verbreitet sich zunehmend: ClickFix verwandelt einen einfachen Kopier- und Einfügevorgang in die unbeabsichtigte Ausführung von Schadsoftware durch das Opfer. Weiterlesen
Keine Paywall. Keine Werbung.
DCOD bleibt dank Ihrer Beiträge frei zugänglich.
