Sie suchen nach einem Druckertreiber, einer Bedienungsanleitung oder einer Software, die Sie schon einmal hatten. Ein Treffer sieht passend aus. Die Seite lädt, und statt des Downloads erscheint ein Bestätigungstest: «Ich bin kein Roboter.» Sie klicken. Dann kommt eine kurze Anleitung, weil die Prüfung angeblich fehlgeschlagen ist: Windows-Taste und R drücken, dann Strg und V, dann Enter.
Wer das tut, hat sich in diesem Moment selbst Schadsoftware installiert.
Was dabei passiert
Der Klick auf den Bestätigungstest hat nichts geprüft. Er hat im Hintergrund einen Befehl in Ihre Zwischenablage geschrieben. Windows-Taste und R öffnen das Ausführen-Fenster, Strg und V fügt den Befehl ein, Enter startet ihn. Der Befehl lädt die eigentliche Schadsoftware nach und startet sie direkt im Arbeitsspeicher.
Das ist der ganze Trick, und er ist deshalb so wirksam, weil kein Schutzprogramm ihn verhindern kann. Es wurde nichts heruntergeladen, was ein Virenscanner prüfen könnte. Es wurde kein Anhang geöffnet. Der Rechner hat genau das getan, was sein Benutzer ihm aufgetragen hat — und Benutzer dürfen Befehle ausführen.
Die Masche heisst ClickFix, weil das Opfer etwas «reparieren» soll. Sie ist keine bestimmte Schadsoftware, sondern eine Verpackung: Dahinter steckt mal ein Erpressungstrojaner, mal ein Passwortdieb, mal ein Zugang, der später weiterverkauft wird.
Wie verbreitet das ist
In Microsofts letztem Digital Defense Report steht die Zahl, die das Ausmass zeigt: ClickFix ist mit 47 Prozent der häufigste beobachtete Erstzugang in Unternehmensnetze — vor klassischem Phishing mit 35 Prozent. Und 93 Prozent dieser Fälle entfielen auf das letzte Halbjahr des Berichtszeitraums. Die Masche ist also nicht neu, aber sie ist gerade erst gross geworden.
Der Punkt, der fast überall fehlt
Die meisten Warnungen zu Social Engineering handeln von E-Mails. Hier liegt es anders, und das ist die wichtigste Erkenntnis aus dem Bericht: Vier von fünf dieser Seiten werden über die Google-Suche erreicht — über manipulierte Treffer und über gekaufte Werbeanzeigen, die über den echten Ergebnissen stehen.
Das verschiebt die Gefahr an eine Stelle, an der niemand mit ihr rechnet. Ihr Mitarbeiter hat keine verdächtige Mail geöffnet. Er hat gesucht, was er für seine Arbeit braucht, und auf den ersten Treffer geklickt. Ein Spamfilter sieht davon nichts, denn es war nie eine Mail im Spiel.
Woran Sie es erkennen
Die Varianten wechseln ständig. Mal ist es ein nachgebauter reCAPTCHA-Test, mal eine Cloudflare-Prüfung, mal ein angebliches Windows-Update, mal die Meldung «Dieses Dokument kann nicht geladen werden — führen Sie folgenden Schritt aus». Seit diesem Jahr trifft es auch Macs, die lange verschont blieben.
Man muss diese Varianten nicht kennen. Es genügt eine einzige Regel, und die lässt sich in einem Satz weitergeben:
Kein echter Bestätigungstest verlangt jemals, dass Sie eine Tastenkombination drücken.
Ein echtes CAPTCHA zeigt Bilder oder ein Kästchen zum Anklicken. Es bittet Sie nie, ein Fenster zu öffnen, etwas einzufügen und Enter zu drücken. Kein Windows-Update tut das, keine Fehlermeldung eines Dokuments, keine Website der Welt. Wer diese Aufforderung sieht, schliesst den Reiter — sonst nichts.
Die Variante, die auch ohne Passwort auskommt
Eine neuere Spielart zielt auf Microsoft 365 und funktioniert etwas anders. Dort sollen Sie einen angezeigten Code auf einer echten Microsoft-Anmeldeseite eingeben. Die Seite ist nicht gefälscht, die Adresse stimmt, das Zertifikat stimmt — deshalb greift auch kein Warnsignal. Wer den Code bestätigt, genehmigt damit den Zugriff eines fremden Geräts auf sein Konto. Der Angreifer braucht danach kein Passwort mehr und wird auch von der Zwei-Faktor-Anmeldung nicht aufgehalten, weil er ja legitim autorisiert wurde.
Dieselbe Regel hilft auch hier: Wenn eine Website Sie auffordert, anderswo einen Code einzugeben, stimmt etwas nicht.
Was Sie im Betrieb tun können
Das Wirksamste kostet nichts: Sagen Sie es Ihren Leuten. Ein Satz in der Teamsitzung, sinngemäss «Wenn eine Seite dich bittet, Windows+R zu drücken, ist es ein Angriff — Reiter zu, fertig». Das schützt besser als jedes Programm, weil an dieser Stelle kein Programm eingreifen kann.
Zusätzlich hilft, was ohnehin gilt: eingeschränkte Benutzerrechte statt Administratorrechten im Alltag, eine geprüfte Sicherung, auf die im Ernstfall Verlass ist, und die Bereitschaft, Auffälligkeiten sofort zu melden statt sie stillschweigend zu beheben. Wer sich unsicher ist, ob etwas ausgeführt wurde: Der Rechner gehört vom Netz getrennt und angesehen, bevor er weiterläuft.
Dieselbe Grundfigur kennen Sie vielleicht aus dem gefälschten Support-Anruf — auch dort führt das Opfer die entscheidende Handlung selbst aus, weil es glaubt, ein Problem zu lösen. Der Unterschied ist nur, dass hier niemand mehr anrufen muss.
Unsicher, ob bei Ihnen etwas ausgeführt wurde? Melden Sie sich.