Wenn das CAPTCHA lügt: die ClickFix-Masche einfach erklärt

Ein Klick, den niemand hinterfragt

Ein Mitarbeiter sucht am Vormittag nach einer Vorlage, klickt auf ein Suchergebnis und landet auf einer Seite, die zuerst prüfen will, ob er ein Mensch ist. «Ich bin kein Roboter», das kennt jeder. Nur folgt diesmal keine Bilderaufgabe mit Ampeln und Fussgängerstreifen. Stattdessen erscheint eine Anleitung: Drücken Sie die Windows-Taste und R, dann Strg und V, dann Enter. Wer das tut, hat sich gerade selbst Schadsoftware installiert.

Diese Masche heisst ClickFix, und das Bundesamt für Cybersicherheit (BACS) beobachtet sie seit dem Sommer verstärkt in der Schweiz. In einem Wochenrückblick im August zählte das BACS sieben laufende Kampagnen und eine Zunahme gekaperter Webseiten, über die der Trick ausgespielt wird. Das Heikle daran: Der Angriff läuft nicht über eine Sicherheitslücke im Computer. Er läuft über den Menschen davor.

Warum der alte Ratschlag hier versagt

Jahrelang haben wir Ihren Mitarbeitenden dasselbe beigebracht: Schauen Sie auf die Adresszeile. Stimmt die Webadresse? Ist da ein Schloss? Bei ClickFix hilft das nichts. Die gefälschte CAPTCHA-Abfrage taucht auch auf eigentlich seriösen, aber gekaperten Webseiten auf, deren Adresse völlig in Ordnung aussieht.

Der wirkliche Bruch mit allem Gelernten ist ein anderer. Bisher galt: Klicken Sie nicht auf verdächtige Anhänge, laden Sie nichts Unbekanntes herunter. Bei ClickFix lädt die Webseite gar nichts herunter. Sie bringt den Besucher dazu, selbst tätig zu werden. Der Computer führt am Ende einen Befehl aus, den die Person eigenhändig eingegeben hat. Genau deshalb greift kein Downloadfilter und keine Warnung des Browsers.

Was da wirklich passiert

Der Ablauf ist immer ähnlich. Im Hintergrund kopiert die Webseite unbemerkt einen Befehl in die Zwischenablage. Dann zeigt sie eine Anleitung, die harmlos wirkt und wie eine normale technische Prüfung aussieht.

Auf Windows soll man das Ausführen-Fenster öffnen (Windows-Taste und R), den Inhalt einfügen (Strg und V) und mit Enter bestätigen. Manchmal wird stattdessen PowerShell genannt. Auf dem Mac läuft dasselbe über das Terminal. Die Formulierungen klingen nach «Verifizierung» oder «Fehlerbehebung», damit niemand stutzig wird.

Was die Person tatsächlich einfügt, ist ein Befehl, der im Hintergrund Schadsoftware aus dem Internet nachlädt und startet. Von diesem Moment an kann der Angreifer Passwörter abgreifen oder verschlüsseln, was er findet. Der Mitarbeitende wollte nur beweisen, dass er kein Roboter ist.

Und weil alles im Namen des angemeldeten Benutzers geschieht, sieht es für das System wie eine ganz normale Handlung aus. Es gibt keinen verdächtigen Anhang, den ein Virenscanner in Quarantäne schiebt, und keine blockierte Datei. Der Befehl kommt von innen. Bis jemand merkt, dass etwas nicht stimmt, hat die Schadsoftware oft schon Zugangsdaten gesammelt oder sich im Netzwerk umgesehen. Genau diese Verzögerung macht den Fall am Ende teuer.

Die eine Regel, die reicht

Die gute Nachricht: Man muss dafür keine Technik verstehen. Es genügt ein einziger Satz, den jeder im Betrieb kennen sollte.

Keine echte Webseite verlangt je, dass Sie einen Befehl ins Ausführen-Fenster, in PowerShell oder ins Terminal tippen oder einfügen, um zu beweisen, dass Sie ein Mensch sind. Ein echtes CAPTCHA zeigt Bilder oder ein Häkchen. Es diktiert Ihnen keine Tastenkombinationen.

Sobald eine Seite so etwas verlangt, ist die Sache klar: Fenster schliessen, nichts eingeben, nichts einfügen. Wer den Befehl schon abgeschickt hat, sollte das Gerät vom Netzwerk trennen und sich sofort bei der IT melden. Nicht abwarten, nicht selbst herumprobieren. Je früher jemand draufschaut, desto kleiner der Schaden.

Warum das gerade kleinere Betriebe trifft

In grossen Firmen sind PowerShell und das Ausführen-Fenster oft für normale Mitarbeitende gesperrt. In vielen kleineren Betrieben ist das nicht so, und zwar aus einem verständlichen Grund: Zu viele Sperren stören den Alltag. Damit steht bei einem Klick genau der Weg offen, den die Angreifer brauchen.

Dazu kommt, dass die Masche nicht über eine plumpe Phishing-Mail kommt, an der man sie erkennen könnte. Sie erwischt Leute mitten in einer ganz normalen Suche. Wer nach einer Software, einer Anleitung oder einem Dokument sucht, ist im Arbeitsmodus und wenig misstrauisch.

Technisch lässt sich einiges abfedern. Man kann PowerShell und das Ausführen-Fenster für die meisten Konten einschränken, ohne dass die Arbeit darunter leidet. Solche Einstellungen richten wir bei Bedarf ein. Der wichtigste Schutz kostet aber nichts: Ihre Leute müssen die Masche einmal gesehen und den einen Satz gehört haben. Erklären Sie es im nächsten Teammeeting in fünf Minuten. Das wirkt mehr als jede Software.

Kurz sensibilisieren, dann handeln

Nehmen Sie sich diese fünf Minuten. Zeigen Sie Ihren Mitarbeitenden, wie die Aufforderung aussieht, und sagen Sie klar, dass niemand einer solchen Anweisung folgen soll. Wenn dann doch einmal jemand unsicher ist, fragt er besser einmal zu viel bei Ihnen oder bei uns nach als einmal zu wenig.

Checkliste für den Betrieb

• Merksatz verankern: Keine echte Seite lässt Sie einen Befehl ins Ausführen-Fenster, in PowerShell oder ins Terminal tippen. Punkt.
• Eine Seite, die genau das verlangt, sofort schliessen und nichts eingeben.
• Wer den Befehl schon ausgeführt hat: Gerät vom Netz trennen, IT informieren, nichts selbst löschen.
• Klaren Meldeweg festlegen, damit im Verdachtsfall jeder weiss, wen er anruft.
• Wenn möglich PowerShell und das Ausführen-Fenster für normale Konten einschränken.
• Die Masche einmal im Team zeigen, statt nur davon zu erzählen.