ClickFix: Wie Fake-CAPTCHAs Nutzer zur Selbst-Infektion verleiten

Eine der wirksamsten Angriffstechniken der letzten zwei Jahre kommt ohne Exploit, ohne Zero-Day und ohne einen einzigen Klick auf einen Malware-Download aus. Bei ClickFix infiziert sich das Opfer selbst — es öffnet den Windows-Ausführen-Dialog, fügt einen Befehl ein und drückt Enter. Der Reiz für Angreifer liegt genau darin: Es gibt keine Datei, die ein Virenscanner abfangen könnte, und keinen bösartigen Anhang, der durch einen Mail-Filter fällt. Der Mensch ist das Ausführungswerkzeug.

Laut dem Microsoft Digital Defense Report 2025 war ClickFix im Berichtszeitraum die häufigste beobachtete Initial-Access-Technik und lag mit rund 47 Prozent der Fälle noch vor klassischem Phishing (35 Prozent). Das ist bemerkenswert für eine Masche, die erst im März 2024 erstmals dokumentiert wurde. Für CISOs und Security-Verantwortliche bedeutet das: Eine rein technische Abwehr greift hier zu kurz, weil der Angriff bewusst an den Kontrollen vorbei direkt beim Nutzer ansetzt.

Wie ein ClickFix-Angriff abläuft

Das Grundmuster ist immer gleich und lässt sich in wenigen Schritten beschreiben:

1. Das Opfer landet auf einer präparierten Seite — häufig ein gefälschtes CAPTCHA, das reCAPTCHA, Cloudflare Turnstile oder eine Discord-Verifizierung imitiert. Auch gefälschte Windows-Update-Bildschirme oder „Dokument-kann-nicht-geladen-werden"-Fehlermeldungen kommen zum Einsatz.
2. Beim vermeintlichen Klick auf „Ich bin kein Roboter" schreibt JavaScript im Hintergrund unbemerkt einen Befehl in die Zwischenablage des Nutzers.
3. Die Seite zeigt eine „Verifizierungsanleitung": Drücke Windows + R, dann Strg + V, dann Enter. Formuliert wird das als harmloser technischer Schritt, um die Prüfung abzuschließen.
4. Das Opfer führt die Anweisung aus. Der eingefügte Befehl startet in der Regel powershell.exe, mshta.exe oder cmd.exe und lädt die eigentliche Schadsoftware direkt in den Speicher nach.

Der psychologische Trick sitzt im dritten Schritt. Der Nutzer glaubt, ein Problem zu lösen — daher der Name ClickFix. Die Tastenkombination wirkt wie eine technische Formalität, nicht wie eine Befehlsausführung. Genau diese Umdeutung einer gefährlichen Handlung in eine banale „Reparatur" macht die Technik so erfolgreich.

Warum die Technik technische Schutzmaßnahmen umgeht

ClickFix ist deshalb so schwer zu stoppen, weil es die üblichen Kontrollpunkte umgeht, an denen Sicherheitslösungen ansetzen. Es gibt keine ausführbare Datei, die auf die Festplatte geschrieben und gescannt werden könnte — der Schadcode wird direkt in den Arbeitsspeicher geladen (fileless). Der Nutzer benutzt zudem legitime, digital signierte Windows-Werkzeuge wie PowerShell oder mshta, die eine Sicherheitslösung nicht pauschal blockieren kann, ohne den normalen Betrieb zu stören. Dieses Vorgehen wird als Living off the Land bezeichnet.

Hinzu kommt, dass der entscheidende Klick außerhalb des Browsers stattfindet. Browser-Sandboxing und E-Mail-Filter sehen nur die harmlos wirkende Webseite; die eigentliche Ausführung passiert im Betriebssystem, ausgelöst durch den Nutzer selbst. MITRE hat die Technik inzwischen als eigene Kategorie erfasst: T1204.004 – User Execution: Malicious Copy and Paste.

Über ClickFix wird eine breite Palette an Schadsoftware verteilt — von Infostealern wie Lumma Stealer und AMOS (Atomic macOS Stealer) über Remote-Access-Trojaner wie AsyncRAT und XWorm bis zu Loadern, die den Weg für Ransomware ebnen. Die Masche war ursprünglich auf Windows ausgerichtet, wurde 2025 aber auch auf macOS-Nutzer ausgeweitet.

Verbreitungswege: von Malvertising bis Fake-Support

ClickFix-Seiten erreichen ihre Opfer über mehrere Kanäle. Am verbreitetsten sind Malvertising und SEO-Poisoning, bei denen manipulierte Suchergebnisse oder Werbeanzeigen Nutzer auf die gefälschten CAPTCHA-Seiten leiten. Ein zweiter Weg ist die Kompromittierung legitimer Websites, etwa über verwundbare WordPress-Plugins, sodass die Fake-Prüfung auf einer eigentlich vertrauenswürdigen Domain erscheint. Der dritte Kanal ist gezieltes Phishing per E-Mail oder über gefälschte Einladungen zu Videokonferenzen.

Eine gefährliche Variante kombiniert ClickFix mit direktem Fake-Support: Angreifer fluten das Postfach eines Opfers mit Newsletter-Anmeldungen, melden sich dann per Anruf oder Microsoft Teams als IT-Support und lotsen die Person Schritt für Schritt durch die vermeintliche „Fehlerbehebung". In diesem Kontext ähnelt ClickFix stark klassischen Social-Engineering-Angriffen, bei denen Autorität und Zeitdruck die kritische Prüfung des Opfers aushebeln.

So schützen sich Unternehmen

Weil ClickFix am Menschen ansetzt, muss die Verteidigung auf mehreren Ebenen gleichzeitig greifen. Rein technische Maßnahmen reichen nicht, ein reines Awareness-Training aber auch nicht. Die folgenden Bausteine haben sich bewährt:

• Ausführen-Dialog einschränken: Per Gruppenrichtlinie lässt sich der Windows-Ausführen-Dialog (Win+R) für Standardnutzer deaktivieren. Das entfernt den zentralen Einfallspunkt vieler ClickFix-Kampagnen, ohne den Arbeitsalltag spürbar zu beeinträchtigen.
• PowerShell absichern: Constrained Language Mode, Script Block Logging und eine restriktive Execution Policy (AllSigned/RemoteSigned) erschweren die Ausführung nachgeladener Skripte und schaffen zugleich Sichtbarkeit für das SOC.
• Attack Surface Reduction: ASR-Regeln in Microsoft Defender blockieren die Ausführung verschleierter Skripte und den Start von Prozessen aus mshta oder PowerShell heraus, wie er für ClickFix typisch ist.
• Awareness konkret schulen: Mitarbeitende müssen die eine goldene Regel verinnerlichen — eine echte CAPTCHA-Prüfung verlangt niemals, Tastenkombinationen zu drücken oder Befehle einzufügen. Wer zu Win+R und Strg+V aufgefordert wird, ist im Angriff. Diese Botschaft ist einprägsamer als jede abstrakte Warnung vor „verdächtigen Webseiten".
• Angriffe realitätsnah testen: In einer Angriffssimulation lässt sich prüfen, wie Belegschaft und Endpoint-Schutz auf eine echte ClickFix-Kette reagieren — von der Fake-CAPTCHA-Seite bis zur Ausführung. Das deckt Lücken auf, bevor es ein echter Angreifer tut.

Fazit

ClickFix zeigt exemplarisch, warum die Grenze zwischen technischer und menschlicher Sicherheit verschwimmt. Der Angriff ist deshalb so erfolgreich, weil er eine gefährliche Handlung als harmlose Reparatur tarnt und dabei jede signaturbasierte Erkennung umgeht. Die wirksamste Verteidigung ist eine Kombination aus konsequentem System-Hardening — allen voran das Einschränken des Ausführen-Dialogs und das Absichern von PowerShell — und einer Awareness-Kultur, die eine klare, merkbare Regel vermittelt. Kein legitimer Verifizierungsprozess wird jemals verlangen, dass Sie einen Befehl in Ihr System einfügen. Wer diese Regel im Kopf hat, entzieht ClickFix die Grundlage.