Anfang August hat das Bundesamt für Cybersicherheit eine Zunahme kompromittierter Websites in der Schweiz gemeldet. Nicht, weil dort Daten abfliessen — sondern weil diese Seiten ihren eigenen Besuchern Schadsoftware unterschieben. Die Masche heisst «ClickFix», und sie funktioniert anders, als man es von einem Hackerangriff erwartet.
Wie der Angriff abläuft
Ein Besucher öffnet eine ganz normale Website — die eines Vereins, eines Handwerkers, eines KMU. Statt der erwarteten Seite erscheint ein Prüfdialog: ein CAPTCHA, wie man es kennt, oder eine Fehlermeldung, die vorgibt, die Seite lasse sich nicht korrekt darstellen. Darunter steht eine Anleitung in drei Schritten. Sie lautet sinngemäss: Kopieren Sie diesen Text, drücken Sie diese Tastenkombination, fügen Sie ihn ein, bestätigen Sie mit Enter.
Wer das befolgt, führt auf dem eigenen Rechner einen Befehl aus — unter Windows in der PowerShell, unter macOS im Terminal. Der Befehl lädt Schadsoftware herunter und startet sie. Es gibt keine Sicherheitslücke im Browser, keine infizierte Datei, keinen Download, den ein Virenschutz abfangen könnte. Der entscheidende Schritt wird vom Benutzer selbst getan, freiwillig, in dem Glauben, ein technisches Problem zu beheben.
Das ist der ganze Trick: Der Angriff umgeht die Technik, indem er sie gar nicht erst angreift.
Was danach passiert
Die Schadsoftware, die dabei landet, ist meist ein sogenannter Infostealer. Ihre Aufgabe ist es, in wenigen Minuten alles einzusammeln, was auf dem Rechner an Zugangsdaten liegt: im Browser gespeicherte Passwörter, aktive Sitzungen, Kreditkartendaten, Krypto-Wallets. Danach verschwindet sie oft wieder. Der Betroffene merkt zunächst nichts — die Folgen zeigen sich Wochen später, wenn mit den erbeuteten Zugängen gearbeitet wird.
Bemerkenswert ist, wie die Angreifer ihren Schadcode ausliefern. Er liegt nicht auf einem Server, den man abschalten könnte, sondern in einer Blockchain. Die Website ruft ihn bei Bedarf über öffentliche Schnittstellen ab. Das Verfahren ist unter dem Namen EtherHiding bekannt und macht die klassische Gegenwehr schwierig: Eine Adresse zu sperren nützt wenig, wenn die Angreifer den Inhalt jederzeit austauschen können, ohne die gekaperte Website noch einmal anfassen zu müssen.
Warum es meist WordPress trifft
Die Mehrheit der betroffenen Schweizer Seiten läuft unter WordPress. Das liegt nicht an WordPress selbst, sondern an der Rechnung dahinter: Wo ein System besonders verbreitet ist, lohnt sich ein automatisierter Angriff am meisten.
Als Einfallstor dienen zwei Schwachstellen im WordPress-Kern, die im Juli bekannt wurden und unter dem Namen wp2shell zusammengefasst werden. Die Sicherheitsupdates dafür gibt es seit dem 17. Juli 2026. Was das technisch bedeutet und woran Sie eine Übernahme in den Logs erkennen, haben wir bereits ausführlich beschrieben: Angriffswelle auf WordPress. Weltweit gehen die Schätzungen inzwischen von über hunderttausend betroffenen Websites aus, verteilt auf mehrere parallel laufende Kampagnen.
Der Punkt, der KMU wirklich betrifft
Hier liegt der Unterschied zu den meisten Angriffen, über die man liest: Der Schaden entsteht nicht bei Ihnen, sondern bei Ihren Besuchern.
Ihr Server läuft weiter. Die Website ist erreichbar. Die Bestellungen kommen an. Es gibt keine Lösegeldforderung, keine verschlüsselten Dateien, keinen Ausfall, der jemandem auffällt. Der eingeschleuste Code wird zudem oft nur einem Teil der Besucher ausgespielt — je nach Herkunftsland, Gerät oder danach, ob jemand über eine Suchmaschine kam. Wer die eigene Seite aufruft, um nachzusehen, bekommt in aller Regel nichts zu sehen. Genau darauf ist das ausgelegt.
Auffallen tut es meist auf drei Wegen, und keiner davon ist angenehm: Ein Kunde meldet sich und fragt, was das für eine Meldung sei. Der Browser blendet vor Ihrer Domain eine Warnung ein, weil Sicherheitsdienste die Seite als schädlich eingestuft haben. Oder die Besucherzahlen brechen ein, weil Suchmaschinen die Seite abgestuft haben. Aus dieser Einstufung wieder herauszukommen, dauert erfahrungsgemäss länger als die Bereinigung selbst.
Was jetzt zu tun ist
Prüfen Sie den Stand Ihrer Installation. Läuft WordPress auf 6.8.6, 6.9.5, 7.0.2 oder neuer, ist das Einfallstor geschlossen. Steht dort eine ältere Version, gehört das Update heute gemacht und nicht nächste Woche — die betroffenen Seiten werden automatisiert gefunden, nicht ausgesucht.
Verwechseln Sie das Update nicht mit der Bereinigung. Wurde eine Seite vor dem Update übernommen, bleibt der eingeschleuste Code danach bestehen. Er hängt nicht mehr an der Lücke, durch die er kam. Woran Sie eine Kompromittierung erkennen und was in welcher Reihenfolge zu tun ist, steht in unserer Ersten Hilfe für gehackte Websites.
Schauen Sie mit fremden Augen auf Ihre Seite. Rufen Sie sie über eine Suchmaschine auf, mit einem Mobilgerät, aus einem anderen Netz. Was Sie im eingeloggten Zustand von Ihrem Büro aus sehen, ist nicht zwingend das, was ein Besucher sieht.
Sagen Sie Ihren Mitarbeitenden das eine Erkennungsmerkmal. Kein echtes CAPTCHA und keine echte Fehlermeldung wird Sie je auffordern, einen Befehl zu kopieren und in ein Systemfenster einzufügen. Nie. Diese eine Regel reicht aus, um den gesamten Angriff ins Leere laufen zu lassen — auf Ihrer Website wie auf jeder anderen.
Wie wir dabei helfen
Besteht der Verdacht, dass eine Seite betroffen ist, analysieren wir Logs und Dateisystem, entfernen den eingeschleusten Code samt Hintertüren, schliessen das Einfallstor und tauschen die kompromittierten Zugangsdaten aus. Danach kümmern wir uns um den Teil, den viele unterschätzen: die Freigabe bei den Sicherheitsdiensten, damit die Warnung vor Ihrer Domain wieder verschwindet. Das gehört zu unserer Hack- und Malware-Bereinigung.
Damit es nicht wieder so weit kommt, ist der wirksamste Hebel unspektakulär: Updates, die zuverlässig eingespielt werden, und jemand, der hinschaut. Beides deckt unser Wartungsvertrag mit Monitoring ab. Bei dieser Angriffswelle lagen zwischen dem verfügbaren Update und den ersten Übernahmen wenige Tage — das ist der Zeitraum, um den es geht.