Ein Kollege ruft beim Helpdesk an: Eine Website verlangte einen Nachweis, dass er ein Mensch sei, und wies ihn dann an, ein Systemfenster zu öffnen und Text einzufügen. Er folgte den Anweisungen. Jetzt funktioniert die Seite, der Computer wirkt normal, und er möchte wissen, ob etwas zu tun ist.
Wenn Sie einen Befehl von einer verdächtigen Verifizierungsseite ausgeführt haben, verwenden Sie das Gerät nicht weiter, trennen Sie seine Netzwerkverbindungen und kontaktieren Sie IT oder Sicherheit über ein anderes Gerät. Nutzen Sie für die Kontowiederherstellung ein vertrauenswürdiges Gerät. Beschreiben Sie, ob Sie Enter gedrückt, etwas installiert oder ein Passwort eingegeben haben. Ein unauffälliger Desktop beantwortet die Sicherheitsfrage nicht.
Dieser Leitfaden erklärt ClickFix-Angriffe mit gefälschten CAPTCHAs und eine praktische Reaktion für Luxemburger KMU. Der Ablauf ist unsere empfohlene Vorgehensweise. Er behauptet nicht, dass jede Begegnung dieselbe Infektion verursacht.
Was ist ClickFix, und warum ist das Thema aktuell?
ClickFix bringt Menschen dazu, unter dem Vorwand einer Fehlerbehebung oder Verifizierung einen Befehl auszuführen. Entscheidend ist der Wechsel von einer Website in ein Systemwerkzeug. Ein bekanntes Logo, beruhigende Texte oder eine früher besuchte Seite reichen nicht aus, um diesen Schritt zu autorisieren.
In der TerminalFix-Untersuchung vom August 2026 dokumentierte Microsoft kompromittierte Websites, die Besucher zu PowerShell und letztlich zu einem Reverse-Tunnel führten. Das belegt eine untersuchte Kampagne, aber nicht, dass jedes gefälschte CAPTCHA diese Nutzlast installiert.
Microsoft dokumentierte auch eine ClickFix-Kampagne für macOS. Die bedingte Auslieferung erklärt, warum ein verdächtiger Link bei einer anderen prüfenden Person harmlos aussehen kann. Der Supportprozess muss deshalb Windows- und Mac-Nutzer abdecken.
Zuerst klären, wie weit die Interaktion ging
Beginnen Sie mit einem ruhigen Gespräch. Lassen Sie die Person den Ablauf in eigenen Worten schildern, bevor Sie eine Checkliste zeigen. Erfassen Sie die ungefähre Uhrzeit und das Gerät. Machen Sie aus Unsicherheit keine Gewissheit: „Ich glaube, ich habe nur kopiert“ muss untersucht werden und gehört nicht automatisch in die Kategorie sicher.
| Was ist passiert? | Empfohlener nächster Schritt |
|---|
| Die Seite erschien, aber keine Anweisung wurde befolgt. | Seite schließen, Adresse notieren und melden. Ein Seitenaufruf allein beweist keine Befehlsausführung. |
| Text wurde kopiert oder eingefügt, aber kein Befehl ausgeführt. | Nicht ausführen. Systemfenster schließen, Zwischenablage mit harmlosem Text ersetzen und IT informieren. |
| Ein Befehl wurde ausgeführt, Software installiert, Zugangsdaten eingegeben oder der Ablauf ist unklar. | Zügig eskalieren. Ein möglicherweise infiziertes Gerät isolieren und die Gefährdung der Konten getrennt untersuchen. |
Diese Unterscheidung hilft bei der Einordnung, ist aber keine Ferndiagnose. Ein Download, eine Browserberechtigung oder eine Passworteingabe kann auch ohne ausgeführten Befehl ein eigenes Problem verursachen. Die CAPTCHA-Hinweise von ESET vom Oktober 2026 unterscheiden ebenfalls zwischen Kopieren und Ausführen. Lassen Sie den Ablauf nicht zur Klärung wiederholen.
Das Gerät eindämmen und den Ablauf bewahren
Bei einem Arbeitslaptop mit möglicher Befehlsausführung trennen Sie WLAN und kabelgebundene Verbindungen oder lassen das Sicherheitsteam die verwaltete Isolation einsetzen. Benachrichtigen Sie die zuständige Person telefonisch oder über ein anderes Gerät. Nutzen Sie den Laptop währenddessen nicht für E-Mail, Bankgeschäfte oder Administration.
Bei verwalteten Geräten muss die zuständige Person prüfen, ob die Isolation tatsächlich erfolgreich war. Die Microsoft-Dokumentation zu Geräteaktionen beschreibt unterstützte Isolationsfunktionen und deren Grenzen. Eine ausstehende Aktion auf einem Gerät ohne Verbindung belegt keine Eindämmung.
Bewahren Sie die Zeitleiste auf: Benutzer, Gerätekennung, Zeitzone, Seitenadresse, durchgeführte Schritte und vorhandene Warnungen. Ein bereits vorhandener Screenshot kann helfen; besuchen Sie die Seite dafür nicht erneut. Übermitteln Sie Belege über den vorgesehenen Kanal, statt verdächtige Befehle in allgemeinen Mitarbeiterchats zu verbreiten.
Überlassen Sie nach der Isolation Entscheidungen über Abschalten, Neustart, Beweissicherung und Neuinstallation der zuständigen Fachperson. Ein voreiliges Zurücksetzen kann Informationen über gefährdete Konten vernichten. Umgekehrt rechtfertigt Beweissicherung nicht, eine vermutete Infektion mit dem Unternehmensnetz verbunden zu lassen.
Konten über ein vertrauenswürdiges Gerät wieder absichern
Erstellen Sie gemeinsam eine Liste möglicher Zugänge: geschäftliche E-Mail, Browsersitzungen, Administratorkonten, VPN, Passwortmanager, Entwicklerzugänge und auf dem Gerät genutzte Kundensysteme. Das grenzt die Untersuchung ein und bedeutet nicht, dass alles gestohlen wurde. Priorisieren Sie Konten, über die sich weitere Konten kontrollieren oder Zahlungen auslösen lassen.
Koordinieren Sie für betroffene Konten Passwortänderungen, Sitzungswiderruf und die Erneuerung von Zugangsschlüsseln. Prüfen Sie Authentifizierungsmethoden und verbundene Anwendungen auf unerklärte Ergänzungen. Kontrollieren Sie relevante E-Mail-Weiterleitungen und jüngste Kontoaktivitäten. Verwenden Sie ein separates vertrauenswürdiges Gerät und die offiziellen Verwaltungsoberflächen, keine Links der verdächtigen Seite.
Microsofts Anleitung zum Zugriffswiderruf erklärt, warum dieser Zeit benötigen und von der Anwendung abhängen kann. Eine Passwortänderung beendet nicht zwangsläufig sofort jede bestehende Sitzung. Halten Sie fest, welche Dienste geprüft wurden und wie der Zugriff ungültig gemacht wurde.
Mehrfaktorauthentifizierung bleibt wertvoll, aber Kontoschutz und Gerätewiederherstellung sind unterschiedliche Aufgaben. Unser Leitfaden zu phishingresistenter MFA behandelt die Authentifizierung. Hier geht es darum, ob dem Computer und den darüber zugänglichen Anmeldedaten noch vertraut werden kann.
Ein Untersuchungsergebnis verlangen, nicht nur einen sauberen Scan
Die Untersuchung sollte rekonstruieren, was ausgeführt wurde, welche Verbindungen entstanden, welche Dateien angelegt wurden und ob Persistenz eingerichtet wurde. Soweit verfügbar, gleichen Sie Endgeräteereignisse, DNS- oder Proxyprotokolle und Identitätsprotokolle um den gemeldeten Zeitpunkt ab. Erweitern Sie die Untersuchung bei Hinweisen auf weitere erreichte Systeme.
Ein Scan ist dabei ein nützlicher Beleg. Allein erklärt er nicht, welche Konten zugänglich waren, ob eine Sitzung andernorts genutzt wurde oder ob der ursprüngliche Download abgeschlossen war. Ebenso beweist eine fehlende Warnung keine Kompromittierung. Benennen Sie, was die Daten stützen und was unbekannt bleibt.
Dokumentieren Sie vor der Rückgabe die Bereinigungsentscheidung und Abnahmekriterien. Dazu können Neuinstallation, wiederhergestellte Geschäftsdaten, geprüfter Endgeräteschutz, funktionierende Updates und erneuerte Zugangsdaten gehören. Ermöglichen Sie sicheres Weiterarbeiten während der Untersuchung; sonst fördert betrieblicher Druck eine zu frühe Wiederverbindung.
Ausführungsmöglichkeiten reduzieren, ohne den Betrieb zu blockieren
Erfassen Sie zunächst, wer Skriptwerkzeuge benötigt und warum. Ein Finanzarbeitsplatz und der Administrationslaptop eines Technikers haben andere Anforderungen. Definieren Sie zulässige Software und Ausführungswege je Rolle und erproben Sie Einschränkungen mit repräsentativen Nutzern vor der breiten Einführung.
Stellen Sie eine PowerShell-Ausführungsrichtlinie nicht als vollständige Barriere dar. Microsoft beschreibt ihre Grenzen ausdrücklich. Prüfen Sie Anwendungskontrolle, Rechteverwaltung, Browserschutz und Endgeräteerkennung gemeinsam mit einem Administrator, der die Auswirkungen testen kann.
Für ein kleines IT-Team hilft zunächst ein kurzer Kontrollnachweis: Was ist erlaubt, was gesperrt, wie werden Ausnahmen genehmigt und wer bearbeitet Warnungen? Beziehen Sie Macs und Auftragnehmer ein. Eine Richtlinie nur für zentral beschaffte Windows-Laptops lässt eine erkennbare Supportlücke.
Unsere Sicherheitsleistungen können diese Prüfung eingrenzen. Das Ziel sollte konkret sein: Das Gerät eines repräsentativen Nutzers widersteht einem unzulässigen Ausführungsweg, legitime Arbeit funktioniert weiterhin und der Support erhält ein verwertbares Ereignis.
Eine unter Druck nutzbare Regel vermitteln
Eine Website, die einen Menschlichkeitsnachweis verlangt, erlaubt Ihnen keinen Systembefehl. Halten Sie an und nutzen Sie den bekannten Helpdesk-Kontakt.
Vermitteln Sie diese Grenze statt einer einzelnen Tastenkombination. Die Aufforderung kann Ausführen, PowerShell, Terminal oder eine andere Anwendung nennen. Sie kann über ein Suchergebnis, einen geteilten Link oder eine kompromittierte legitime Website kommen. Beschäftigte müssen keine Schadsoftwarefamilie erkennen, bevor sie Hilfe holen.
Nutzen Sie in der Sicherheitsschulung einen ungefährlichen Screenshot oder eine Demonstration ohne Ausführung. Üben Sie neben dem Erkennen auch die Meldung: Welche Nummer ist zu wählen, welche Angaben helfen und wie kann die Arbeit weitergehen? Verwenden Sie keinen aktiven Schadcode in einer Mitarbeiterübung.
Stellen Sie Meldeanweisungen in einem mehrsprachigen Luxemburger Unternehmen in den Arbeitssprachen bereit. Ziel ist eine schnelle, praktikable Reaktion bei Unsicherheit. Schuldzuweisungen wegen einer späten Meldung erschweren die Untersuchung des nächsten Vorfalls.
Prüfen Sie bei der Übergabe auch den Kontakt außerhalb der Arbeitszeit. Wer spät arbeitet, sollte wissen, ob er den Laptop trennen, einen Dienstleister anrufen oder bis zum nächsten Arbeitstag warten soll. Legen Sie fest, wer die Eindämmung genehmigt und ein Ersatzgerät bereitstellt. Testen Sie die Kontaktdaten mit einer harmlosen Meldeübung, bevor Sie sich im Ernstfall darauf verlassen.
Was die Geschäftsleitung anfordern sollte
Verlangen Sie einen kurzen Abschlussbericht mit bekanntem Einstiegspunkt, betroffenen Geräten, Kontowiederherstellung, Untersuchungsgrenzen und Verantwortlichen für Folgemaßnahmen. Trennen Sie bestätigte Befunde von Vorsichtsmaßnahmen. „Wir haben alles zurückgesetzt“ beschreibt weder den Umfang noch eine nachweislich vollständige Wiederherstellung.
Prüfen Sie die Übergabe zwischen Helpdesk, Sicherheitsdienstleister und Identitätsadministration. Der Endgeräteanbieter kontrolliert möglicherweise keine Cloudsitzungen; die Cloudadministration hat eventuell keine Gerätetelemetrie. Benennen Sie die koordinierende Person, bevor diese Lücke eine Verzögerung verursacht.
Wenn Sie eine ClickFix-Meldung bewerten oder Endgerätekontrollen verbessern möchten, kontaktieren Sie ObsidianCorps mit Gerätetyp, ungefährer Uhrzeit und durchgeführten Aktionen. Gemeinsam lassen sich Untersuchungsumfang und praktische nächste Schritte festlegen, ohne Unsicherheit als Verkaufsargument zu verwenden.
