ClickFix: So legen Angreifer die Falle – und wie Sie sich schützen

ClickFix ist keine Sicherheitslücke in Windows oder ein Fehler in einer bestimmten Anwendung. Es ist eine Social-Engineering-Technik, die ausschließlich auf das Verhalten des Nutzers setzt – und sie ist zur häufigsten Methode für Erstzugriffe auf Systeme geworden ^FEM. Für die Jahre 2025–2026 haben Cyberkriminelle und sogar staatlich gelenkte Gruppen diese Methode in großem Stil übernommen. Sie nutzen gefälschte Google-reCAPTCHA- und Cloudflare-Verifizierungsseiten, um Opfer dazu zu bringen, gefährliche Befehle auf dem eigenen Rechner auszuführen ^FSP.

Wie ClickFix funktioniert: Die Täuschung in vier Schritten

Der Angriff folgt in fast allen dokumentierten Kampagnen einem einheitlichen Muster ^EFS:

1. Der Köder: Ein Nutzer besucht eine kompromittierte oder bösartige Website und sieht eine gefälschte Verifizierungsaufforderung – eine nachgebaute Google-reCAPTCHA, eine verfälschte Cloudflare-„Verify you are human“-Seite, eine gefälschte Browser-Update-Meldung oder einen betrügerischen Fehlerbildschirm, der angeblich von QuickBooks oder Booking.com stammt ^EFE.
2. Anleitung zum Kopieren und Einfügen: Die Seite zeigt Anweisungen wie: „Drücken Sie Win + R, dann Strg + V, dann Enter“ – angeblich um die Verifizierung abzuschließen ^ER.
3. Die versteckte Nutzlast: Was in die Zwischenablage kopiert wurde, ist in Wirklichkeit ein schädlicher PowerShell-, mshta- oder curl-Befehl, der einen Schadsoftware-Lader von einem entfernten Server herunterlädt und startet ^HES.
4. Ausführung: Der Befehl läuft mit den Berechtigungen des Nutzers. Da der Nutzer ihn selbst eingefügt und gestartet hat, erkennen Endpunktschutzprogramme ihn oft nicht als Eindringling ^P.

Diese Technik wird auch als Pastejacking bezeichnet, weil sie die Zwischenablage als Einfallstor nutzt ^RN.

Verteilte Schadsoftware in ClickFix-Kampagnen

Angreifer haben ClickFix-Köder genutzt, um eine breite Palette von Schadsoftware einzuschleusen, oft in mehrstufigen Infektionsketten:

• HijackLoader: Ein Lader der ersten Stufe, der seit mindestens Juni 2025 in ClickFix-Ketten beobachtet wird, häufig gefolgt vom Datendieb DeerStealer ^SM.
• CastleLoader (auch CastleBot): Ein Malware-as-a-Service-Framework, das seit Anfang 2025 aktiv ist. Eine Kampagne nutzte eine gefälschte Website zur Hintergrundentfernung, um CastleLoader einzuschleusen, der dann NetSupport RAT und einen eigenen .NET-Datendieb installierte, der Browser-Zugangsdaten, Kryptowährungs-Wallets und Telegram-Sitzungen ausspähte ^FMH.
• NetSupport RAT: Ein legitimes Fernwartungstool, das von Angreifern für den dauerhaften Hintertür-Zugriff zweckentfremdet wird ^FES.
• StealC: Ein Datendieb, der auf Browser-Zugangsdaten und Kryptowährungs-Wallets abzielt ^CC.
• Amatera: Ein Datendieb, der über eine ClickFix-Kampagne verbreitet wurde, die gefälschte CAPTCHAs mit signierten Microsoft App-V-Skripten kombinierte ^T.
• Rust-basierter Datendieb: In polymorphen ClickFix-Kampagnen dokumentiert, die Ende 2025 begannen ^F.
• DeerStealer: Wurde als letzte ausführbare Datei nach HijackLoader beobachtet ^S.
• ResiLoader: Ein neu dokumentierter Lader, der speziell entwickelt wurde, um über 140 Antiviren- und Sicherheitsprozesse auf dem Rechner des Opfers zu beenden und so die Abwehr auszuschalten, bevor die eigentliche Nutzlast startet ^HP.

Verbreitungsmethoden

Die Angreifer nutzen eine breite Mischung aus Infrastruktur, um ClickFix-Angriffe zu hosten und zu verbreiten:

• Cloudflare R2-Speicher: Wird genutzt, um schädliche Binärdateien zu hosten ^H.
• Cloudflare Pages-Subdomains: Werden missbraucht, um gefälschte CAPTCHA-Seiten mit Cloudflares eigenem vertrauenswürdigem Zertifikat auszuliefern ^H.
• Dedik Services Limited Hosting: Wurde als Hosting-Anbieter für ClickFix-Kommandostrukturen beobachtet ^H.
• Abgelaufene Domains: Registrierte oder neu registrierte abgelaufene Domains werden für das Sammeln von Zugangsdaten und die Auslieferung von Schadsoftware verwendet ^H.
• Kompromittierte Websites: Der häufigste Einstiegsvektor. Angreifer injizieren schädliches JavaScript oder iFrames in legitime Seiten (oft über Plugin-Sicherheitslücken oder CMS-Exploits), die Besucher auf ClickFix-Landingpages umleiten ^FEM.
• SEO-Vergiftung und Malvertising: Gefälschte Installer-Seiten und Portale für Raubkopien, die über Suchergebnisse beworben werden ^MS.
• Ausnutzung von Ghost-CMS-Sicherheitslücken: Im Mai 2026 nutzten Angreifer eine kritische SQL-Injection-Sicherheitslücke in Ghost CMS (CVE‑2026‑26980) aus, um über 700 legitime Bildungs- und Technologie-Websites zu kapern und ClickFix-Aufforderungen einzuschleusen ^M.

Warum ClickFix so dominant ist

• Der Microsoft Digital Defense Report 2025 identifizierte ClickFix als die #1 Methode für Erstzugriffe. Sie war für 47 % aller Angriffe verantwortlich, die Microsoft Defender Experts im Laufe des Jahres beobachteten – und übertraf damit sogar traditionelles Phishing (35 %) ^FCMB.
• ESET-Telemetrie verzeichnete einen Anstieg von 517 % bei ClickFix-Angriffen allein in der ersten Hälfte des Jahres 2025 ^FCO.
• In einer von Menlo Labs dokumentierten Kampagne lieferte ClickFix plattformübergreifende Nutzlasten aus: Windows PowerShell-Befehle, macOS .command-Skripte und Linux Bash-Skripte – alles von einem einzigen polymorphen JavaScript-Köder ^F.
• Das US-Gesundheitsministerium (HHS) gab im Juli 2026 eine branchenspezifische Warnung zu ClickFix heraus und bestätigte damit, dass die Technik auch in der kritischen Infrastruktur angekommen ist ^H.
• Recorded Futures Insikt Group bewertete im März 2026, dass ClickFix wahrscheinlich auch 2026 der dominierende Einstiegsvektor bleiben wird ^B.

Was Sie tun können: Empfehlungen der Sicherheitsforscher

Da ClickFix menschliches Verhalten und keine Software-Sicherheitslücke ausnutzt, stützt sich die Verteidigung stark auf technische Kontrollen und die Sensibilisierung der Nutzer ^HEM:

• PowerShell-Ausführung einschränken: Blockieren Sie nicht-administrativen Nutzern die Ausführung von PowerShell-Skripten. Setzen Sie die Ausführungsrichtlinie per Gruppenrichtlinie auf Restricted und protokollieren Sie alle PowerShell-Ereignisse ^HE.
• Windows-Ausführen-Dialog deaktivieren: Ein Registry-Eingriff (Richtlinie NoRun) kann verhindern, dass Win+R zum Einfügen und Ausführen von Befehlen genutzt wird ^EH.
• Unaufgeforderte Befehlsaufforderungen als Alarmzeichen betrachten: Keine legitime Website oder kein Dienst fordert einen Nutzer auf, Win+R zu drücken, einen Befehl einzufügen und Enter zu drücken. Dies sollte der oberste Punkt in der Sensibilisierungsschulung sein ^HFM.
• Ausführung von mshta, cscript und curl im Nutzerkontext blockieren: Verwenden Sie AppLocker oder Windows Defender Application Control, um Skript-Interpreter einzuschränken ^HE.
• Erkennungsregeln für Endgeräte bereitstellen: Überwachen Sie auf ungewöhnliche powershell.exe -ep bypass Elternprozesse, die Prozessabstammung von explorer.exe zu Skript-Interpretern und RunMRU-Registry-Artefakte ^FU.
• Sicherheitsfunktionen für die Zwischenablage nutzen: Browserbasierte Schutzmechanismen für die Zwischenablage können den Kopieren-Einfügen-Mechanismus unterbinden, der für ClickFix zentral ist.

Operas Paste-Protect-Funktion

Opera hat eine native Paste Protect-Funktion eingeführt (verfügbar in Opera 100+ für Windows, macOS und Linux), die clipboard-basierte Pastejacking-Angriffe abfängt und blockiert. Wenn eine Website versucht, programmatisch eine verdächtige Nutzlast in die Zwischenablage zu schreiben und den Nutzer dann zum Einfügen auffordert, warnt Paste Protect den Nutzer und verhindert die Ausführung der Operation. Dies mildert die zentrale ClickFix-Technik direkt ab, ohne dass eine Erweiterung installiert werden muss.