ClickFix: die Masche, bei der du dich selbst hackst – warum das gefälschte „Zur Bestätigung einfügen" zur Nummer 1 der Schadsoftware-Verbreitung wurde
Sicherheitsforscher schlagen Alarm: Eine Technik namens ClickFix ist inzwischen die häufigste Methode, um Schadsoftware zu verbreiten. Das Perfide daran ist, dass nicht der Angreifer die Malware installiert – sondern du selbst. Ein gefälschtes „Ich bin kein Roboter" oder eine vermeintliche Fehlermeldung bringt dich dazu, einen Befehl zu kopieren und in ein Systemfenster einzufügen. Genau deshalb umgeht ClickFix viele technische Schutzmechanismen. Dieser Beitrag zeigt, wie die Masche funktioniert – und die eine simple Regel, die sie stoppt.
Kurz gesagt: Bei ClickFix führst du den Schadcode selbst aus – über ein gefälschtes CAPTCHA oder eine „Zur Bestätigung einfügen"-Aufforderung, die dich Windows+R, PowerShell oder das Terminal öffnen und einen Befehl einfügen lässt. Weil du es selbst tust, greifen klassische Schutzmechanismen oft nicht. Die Masche trifft inzwischen auch Macs, kommt meist über E-Mail-Links, und KI macht sie schneller und überzeugender. Die wichtigste Abwehr ist eine einzige Regel: Füge niemals einen Befehl in Ausführen, PowerShell oder Terminal ein, den du nicht selbst geschrieben hast.
Was ClickFix ist – und warum es so gut funktioniert
Laut einem aktuellen Bericht von ReliaQuest, aufgegriffen von der Security-Awareness-Firma KnowBe4, ist ClickFix in diesem Zeitraum zur führenden Auslieferungsmethode für Schadsoftware geworden. Das Grundmuster ist immer gleich: Eine Seite oder Nachricht behauptet, du müsstest etwas „bestätigen" oder „reparieren", und liefert dir dazu einen fertigen Befehl mit der Anweisung, ihn in ein bestimmtes Systemfenster einzufügen und auszuführen. Sobald du das tust, lädt und startet der Befehl die eigentliche Schadsoftware.
Der Trick ist psychologisch clever: Er verlagert den entscheidenden Schritt vom Angreifer auf dich. Kein verdächtiger Anhang, keine offensichtlich schädliche Datei – nur ein Copy-and-paste, das du in gutem Glauben selbst ausführst. Damit sind wir beim Kern jeder Social-Engineering-Masche, den der Beitrag warum die größte Gefahr oft zwischen Bildschirm und Stuhl sitzt auf den Punkt bringt.
Die typischen Köder
ClickFix tarnt sich als etwas völlig Harmloses. Diese Varianten sind besonders verbreitet:
- Das gefälschte CAPTCHA: Eine „Ich bin kein Roboter"-Box fordert dich auf, Windows+R zu drücken, Strg+V zu tippen und Enter zu drücken – angeblich zur Verifizierung. Tatsächlich fügst du damit einen versteckten Befehl ein und führst ihn aus.
- Die vermeintliche Reparatur: Eine Fehlermeldung behauptet, dein Browser oder ein Dokument müsse „gefixt" werden – kopiere und führe dazu diesen Befehl aus.
- Die gefälschte Meeting- oder Sicherheitsseite: Eine nachgebaute Verifizierungs- oder Cloudflare-Seite schleust dich vom Browser direkt in die Kommandozeile.
- Auf dem Mac: dieselbe Masche, nur mit dem Terminal oder Script Editor – Mac-Nutzer sind ausdrücklich nicht mehr sicher.
Der Zwischenschritt läuft oft über die Zwischenablage – ein Mechanismus, dessen Missbrauch du schon vom Clipboard-Hijacking kennst, bei dem Schadsoftware kopierte Inhalte heimlich austauscht.
Das Warnsignal, das alles verrät: Keine echte Website, kein echtes CAPTCHA und kein echtes Update verlangt jemals, dass du Windows+R, PowerShell oder das Terminal öffnest und dort etwas einfügst. Genau diese Aufforderung IST der Angriff. Wenn eine „Verifizierung" dich in ein Systemfenster schicken will: abbrechen, Tab schließen, nichts einfügen.
Warum die Masche gerade jetzt eskaliert
Zwei Entwicklungen treiben ClickFix an. Erstens hat sich die Auslieferung von kompromittierten Webseiten hin zu Links in E-Mails verlagert – die Angreifer kommen dir also direkt ins Postfach. Zweitens beschleunigt künstliche Intelligenz das Ganze: Sie macht Social Engineering schneller, billiger und überzeugender, ohne dass die Angreifer neue Techniken erfinden müssten – sie skalieren einfach die alten. Diese Entwicklung ordnet der Beitrag KI-Betrug als nächste Evolutionsstufe des Cybercrime ein.
Was ClickFix ausliefert
Am Ende der Kette steht meist ein Infostealer – eine Schadsoftware, die gespeicherte Passwörter, Sitzungs-Cookies, Krypto-Wallets und Browserdaten absaugt. Was das für deine Zugangsdaten bedeutet und wie weitreichend so ein Diebstahl ist, zeigt der Beitrag über Infostealer und was sie über deine Passwörter verraten. Kurz: Ein einziges unbedachtes Einfügen kann deine halbe digitale Identität offenlegen.
So schützt du dich – die eine Regel und die Backstops
Die gute Nachricht: Weil ClickFix auf deine Mithilfe angewiesen ist, kannst du es mit Wissen fast vollständig aushebeln.
- Die goldene Regel: Füge niemals einen Befehl in Ausführen (Windows+R), PowerShell, die Eingabeaufforderung, das Terminal oder den Script Editor ein, den du nicht selbst bewusst geschrieben hast.
- Verifizierungen, die dich in ein Systemfenster schicken, sind Fälschungen – ohne Ausnahme. Schließ die Seite.
- E-Mail-Links skeptisch behandeln: Absender und Ziel-URL prüfen, im Zweifel nicht klicken. Wie du gefälschte Nachrichten erkennst, hilft direkt.
- Software und Updates nur aus echten Quellen – nie über einen „Fix"-Befehl aus einem Pop-up.
- Verhaltensbasierter Schutz als Netz: Sollte doch etwas ausgeführt werden, kann eine moderne Sicherheitslösung den nachgeladenen Schädling anhand seines Verhaltens erkennen und stoppen.
Wichtig zur Ehrlichkeit: Der Virenschutz ist hier der zweite Verteidigungsring, nicht der erste. Weil du den Befehl selbst startest, ist die Regel oben die eigentliche Abwehr – die Software ist das Sicherheitsnetz darunter.
Verhaltensbasierten Schutz als Netz sichern Erkennt nachgeladene Schadsoftware am Verhalten · AnzeigeUnd im Betrieb: Training statt Technikglaube
Für Unternehmen empfehlen die Forscher, Mitarbeitende gezielt auf ClickFix zu schulen und die Maschen realistisch zu simulieren – die gefälschten CAPTCHAs, die „Zum Fortfahren einfügen"-Schritte, den Sprung vom Browser in die Kommandozeile – und zwar durchgehend auf Windows und macOS. Denn die entscheidende Schwachstelle ist nicht die Technik, sondern der Moment der Unachtsamkeit. Ein wachsames Team ist gegen ClickFix wirksamer als jedes einzelne Werkzeug.
Sicherheitspaket mit Verhaltensanalyse ansehen Schutz für mehrere Geräte im Haushalt · AnzeigeUnser Fazit: ClickFix ist so erfolgreich, weil es das Opfer zum Täter macht – du führst die Schadsoftware selbst aus. Gerade das macht die Abwehr aber einfach: Wer die eine Regel verinnerlicht – keine fremden Befehle in Systemfenster einfügen –, entzieht der derzeit erfolgreichsten Angriffsmethode die Grundlage.
Häufige Fragen
Was genau ist ClickFix?
Eine Social-Engineering-Masche, bei der du über ein gefälschtes CAPTCHA oder eine vermeintliche Fehlermeldung dazu gebracht wirst, einen Befehl zu kopieren und in ein Systemfenster wie Ausführen, PowerShell oder das Terminal einzufügen. Damit startest du selbst die Schadsoftware – meist einen Infostealer.
Betrifft ClickFix auch Mac-Nutzer?
Ja. Die Masche hat sich auf macOS ausgeweitet und liefert dort ebenfalls Infostealer aus – über das Terminal oder den Script Editor. Mac-Nutzer sollten dieselbe Vorsicht walten lassen wie Windows-Nutzer.
Erkennt mein Virenschutz ClickFix?
Nur bedingt. Weil du den Befehl selbst ausführst, wird ein Teil der klassischen Schutzmechanismen umgangen. Eine verhaltensbasierte Sicherheitslösung kann den nachgeladenen Schädling zwar oft noch stoppen, ist aber die zweite Verteidigungslinie. Die erste bist du: nichts Fremdes einfügen.
Ich habe schon einen Befehl eingefügt und ausgeführt – was jetzt?
Handle zügig: Trenne das Gerät vom Internet, ändere von einem anderen, sauberen Gerät aus die wichtigsten Passwörter (E-Mail, Bank, Krypto), aktiviere überall die Zwei-Faktor-Anmeldung neu, führe einen gründlichen Sicherheitsscan durch und behalte deine Konten im Blick. Im Zweifel das System neu aufsetzen.
Was ist die wichtigste Regel gegen ClickFix?
Füge niemals einen Befehl in Ausführen, PowerShell, die Eingabeaufforderung, das Terminal oder den Script Editor ein, den du nicht selbst geschrieben hast. Keine seriöse Verifizierung verlangt so etwas jemals.
Weiterlesen
ClickFix ist nur eine von mehreren Techniken, die dich dazu bringen, dem Angreifer selbst die Tür zu öffnen. Wie das per gekapertem Anmeldevorgang funktioniert, zeigt Device-Code-Phishing – ein Angriff, der sogar die Zwei-Faktor-Anmeldung umgeht.
Dass Social Engineering längst nicht nur digital stattfindet, verdeutlicht der Beitrag über falsche IT-Techniker im Büro. Er zeigt, warum der Mensch – und nicht die Firewall – die eigentliche Schwachstelle ist.
Und weil viele Maschen über gefälschte Seiten und Anmeldemasken laufen, lohnt der Blick auf Online-Banking sicher nutzen sowie auf Krypto-Scams mit Fake-Support. Alle weiteren Analysen findest du in der Rubrik Digitale Sicherheit.
Grundlage dieser Einordnung ist ein Bericht von ReliaQuest, aufgegriffen von KnowBe4. Dieser Beitrag ist eine eigenständige, journalistische Aufbereitung und keine individuelle Sicherheitsberatung.
Geschrieben von Michael Radtke · Stand: Juli 2026. Michael Radtke schreibt auf alarm.de verständlich über Finanzen & Kredit, digitale Sicherheit und Krypto.