- Die Masche: Eine gefälschte „Ich bin kein Roboter“-, Cloudflare- oder Google-Verifizierung fordert dich auf, eine Tastenfolge zu drücken und einen Befehl auszuführen.
- Der Trick: Die Seite kopiert dir unbemerkt einen Schadbefehl in die Zwischenablage – du fügst ihn selbst ins Terminal ein und startest so die Infektion.
- Die Folge: Ein Infostealer greift Passwörter, Browser-Logins und Keychain ab – und genau daraus werden später gehackte Websites.
Du willst ein YouTube-Tutorial im Vollbild sehen, eine PDF herunterladen oder ein gesperrtes Word-Dokument öffnen. Statt des Inhalts erscheint eine Verifizierungsseite: das vertraute graue Cloudflare-Logo, dazu „Verify you are human“ und ein Kontrollkästchen. Du klickst. Nichts passiert – außer dass eine kurze Anleitung auftaucht: Drücke Windows + R, dann Strg + V, dann Enter. Genau an dieser Stelle entscheidet sich, ob dein Rechner in den nächsten 20 Sekunden kompromittiert wird.
Diese Masche heißt ClickFix, und sie ist seit 2024 zu einem der erfolgreichsten Wege geworden, Schadsoftware zu verbreiten. Sie umgeht praktisch jeden Virenschutz – weil nicht die Webseite den Schadcode ausführt, sondern du. Das Perfide daran: Es sieht aus wie ein normaler, lästiger Sicherheitscheck, den wir alle hundertfach weggeklickt haben.
Was steckt hinter Fake-Captcha und ClickFix?
Ein echtes Captcha prüft, ob ein Mensch oder ein Bot eine Seite besucht – per Bilderrätsel oder unsichtbar im Hintergrund. Es verlangt niemals, dass du etwas außerhalb des Browsers tust. Genau hier setzt die Fälschung an: Die Betrüger bauen eine Verifizierung nach, die täuschend echt aussieht, dich dann aber aus dem Browser herausführt – ins Ausführen-Fenster von Windows oder ins Terminal am Mac.
Die angebliche „Lösung“ des Captchas ist in Wahrheit die Installationsroutine der Schadsoftware. Deshalb der Name ClickFix: Dir wird ein Problem vorgegaukelt („Verifizierung fehlgeschlagen“) und gleich der vermeintliche Fix mitgeliefert. Weil du die Schritte freiwillig ausführst, wertet dein Betriebssystem den Befehl als deine eigene, gewollte Aktion.
Begegnen wird dir das an ganz unterschiedlichen Stellen. Mal sitzt die gefälschte Verifizierung auf einer legalen, aber gehackten Website, mal in einer Werbeanzeige, mal auf Seiten mit Streams, Cracks oder kostenlosen Downloads. Besonders trickreich sind E-Mails mit einem angehängten „Dokument“, das sich erst nach einer Verifizierung öffnen lässt – der Klick landet dann direkt auf einer ClickFix-Seite. Die Verpackung wechselt ständig, das Grundprinzip bleibt gleich.
So läuft der Angriff Schritt für Schritt ab
Der Ablauf ist immer gleich aufgebaut, egal ob der Köder ein Video, ein Download oder eine angebliche Fehlermeldung ist. Wer die fünf Stufen einmal kennt, erkennt sie beim nächsten Mal sofort wieder.
Du landest über eine manipulierte Website, eine Werbeanzeige oder einen Link auf einer Seite, die eine Verifizierung verlangt, bevor der eigentliche Inhalt erscheint.
Ein nachgebautes Cloudflare-, Google- oder „Ich bin kein Roboter“-Fenster erscheint. Optik, Logo und Text wirken vertraut, damit du keinen Verdacht schöpfst.
In dem Moment, in dem du auf das Kästchen klickst, kopiert ein Skript im Hintergrund einen Schadbefehl in deine Zwischenablage. Davon merkst du nichts – nach außen passiert scheinbar gar nichts.
Jetzt kommt die eigentliche Aufforderung: eine kleine Schritt-für-Schritt-Anweisung, ein Systemfenster zu öffnen und den (angeblich harmlosen) Verifizierungscode dort einzufügen.
Mit Enter führst du den Befehl aus. Er lädt im Hintergrund die eigentliche Schadsoftware nach und startet sie. Die Verifizierung war nur die Verpackung.
Windows oder Mac – die Masche kennt beide
Lange galt so etwas als reines Windows-Problem. Das stimmt nicht mehr: Die gleiche Verpackung wird heute für beide Systeme ausgeliefert, die Seite erkennt am Browser, welche Anleitung sie zeigt.
Du sollst Windows + R drücken (öffnet den Ausführen-Dialog) oder Windows + X für die PowerShell. Dann Strg + V zum Einfügen und Enter.
Eingefügt wird meist ein getarnter PowerShell- oder mshta-Aufruf, der die eigentliche Datei nachlädt.
Hier wirst du gebeten, die App Terminal zu öffnen (oft über Spotlight mit cmd + Leertaste), den kopierten Befehl einzufügen und mit Enter zu bestätigen.
Ausgeführt wird ein Shell-Skript, das den Infostealer AMOS (Atomic macOS Stealer) auf den Mac holt.
Was auf deinem Rechner passiert
Was hinter der harmlosen Verifizierung startet, ist fast immer ein sogenannter Infostealer. Diese Programme haben ein einziges Ziel: alles einsammeln, womit man dich oder deine Firma ausrauben kann. Am Mac ist das derzeit meist AMOS/Atomic, unter Windows Familien wie Lumma oder Vidar. AMOS wird in einschlägigen Kanälen für rund 1.000 US-Dollar im Monat vermietet – ein regelrechtes Geschäftsmodell mit Support und Updates.
Das greift ein Infostealer in Sekunden ab
Der Diebstahl läuft automatisiert. In der Zeit, die du brauchst, um zu merken, dass die Seite dich reingelegt hat, ist der Datenabzug oft schon abgeschlossen.
- Gespeicherte Passwörter: alle im Browser hinterlegten Zugänge zu E-Mail, Onlineshops, Banking und Firmen-Tools.
- Session-Cookies: aktive Anmeldungen, mit denen sich Angreifer einloggen, ohne dein Passwort überhaupt zu kennen – die Zwei-Faktor-Abfrage wird dabei umgangen.
- Keychain & Passwort-Manager: am Mac die Schlüsselbund-Daten, dazu Zugangsdaten aus lokal gespeicherten Tresoren.
- Krypto-Wallets und Dateien: Wallet-Erweiterungen sowie Dokumente aus Ordnern wie Downloads oder Desktop.
- Und dann verschwindet es: Viele Varianten löschen sich nach dem Abzug selbst, damit ein Scan später nichts mehr findet.
In unseren WordPress-Wartungsverträgen sehen wir genau diese Kette regelmäßig: Ein Mitarbeiter führt privat oder am Arbeitsrechner so einen Befehl aus, und wenige Tage später taucht im Backend der Firmenseite ein fremder Administrator-Benutzer auf. Die gestohlenen Login-Daten wurden schlicht weiterverkauft.
Ein Fall aus dem Sommer 2026 blieb besonders hängen: Ein Kunde meldete sich, weil sein Browser plötzlich bei jedem Login komische Weiterleitungen zeigte. Auslöser war eine „Cloudflare-Verifizierung“, die er zwei Tage zuvor auf einer Streaming-Seite durchgeklickt hatte. Bis wir alle Passwörter rotiert und die Sitzungen beendet hatten, waren bereits sein Google-Konto und der WordPress-Zugang in fremder Hand. Der eigentliche Schaden entstand nicht auf dem Server, sondern auf seinem Laptop.
Die Warnsignale einer gefälschten Verifizierung
Es gibt ein Muster, das alle diese Seiten teilen. Sobald eine „Verifizierung“ eines dieser Merkmale zeigt, kannst du sie getrost schließen.
Ein echtes Captcha verlangt nie, dass du Windows + R drückst oder das Terminal öffnest. Jede solche Anweisung ist ein Alarmsignal.
Wenn dir jemand sagt, du sollst etwas kopieren und in ein Systemfenster einfügen, geht es nie um eine Verifizierung, sondern um einen Befehl.
Countdown, „letzter Schritt“ oder Drohung, der Zugriff werde sonst gesperrt: Zeitdruck soll dein Nachdenken ausschalten.
Ein Video, ein Rezept oder ein PDF braucht keine „Mensch-Prüfung“ mit Kommandozeile. Der übertriebene Aufwand ist selbst schon der Hinweis.
Du hast den Befehl schon ausgeführt? Das ist jetzt zu tun
Falls du erst im Nachhinein merkst, worum es ging: nicht in Panik geraten, aber zügig handeln. Jede Minute zählt, weil gestohlene Zugänge oft innerhalb weniger Stunden genutzt oder verkauft werden. Trenne den Rechner am besten sofort vom Internet und arbeite die folgenden Punkte der Reihe nach ab:
- Passwörter von einem sauberen Gerät ändern: zuerst E-Mail und Passwort-Manager, dann Banking, Cloud und alle Firmen-Zugänge – nicht vom betroffenen Rechner aus.
- Aktive Sitzungen beenden: in Google, Microsoft und Co. alle angemeldeten Geräte abmelden, damit gestohlene Cookies wertlos werden.
- Zwei-Faktor neu aufsetzen: bestehende 2FA prüfen und dort erneuern, wo der Zugang kritisch ist.
- Vollständigen Malware-Scan fahren: im Zweifel das System neu aufsetzen – ein Stealer, der sich selbst gelöscht hat, hinterlässt kaum Spuren.
Verwaltest du über den betroffenen Rechner eine Website, geh davon aus, dass auch deren Zugänge kompromittiert sein können. Ein strukturierter Sicherheits-Check deiner WordPress-Seite zeigt, ob sich bereits jemand eingenistet hat – und was im Ernstfall nach einem Hack zu tun ist.
So schützt du dich und dein Team
Der wirksamste Schutz kostet nichts und ist eine einzige, feste Regel: Kein legitimer Dienst wird dich je bitten, eine Tastenkombination zu drücken und einen Befehl einzufügen, um dich als Mensch zu bestätigen. Wer das verinnerlicht, ist gegen die gesamte Masche immun. Die folgenden Punkte senken das Risiko zusätzlich:
Warum das auch deine Website betrifft
Auf den ersten Blick ist ClickFix ein Problem einzelner Rechner. In der Praxis ist es der Anfang vieler gehackter Firmenseiten. Der Weg ist kurz: gestohlene Browser-Logins landen im Verkauf, jemand probiert die Zugangsdaten am WordPress-Login, und schon steht ein fremder Admin im Backend, der Spam-Seiten anlegt oder Schadcode einbaut. Die eigentliche Schwachstelle war nie die Website – sondern ein einziger unbedachter Klick auf einem Gerät mit Zugriff.
Deshalb gehören Gerätesicherheit und Website-Sicherheit zusammen. Wer die Anzeichen eines gehackten Auftritts früh erkennt und die eigene Seite konsequent nach einer soliden Absicherungs-Checkliste härtet, verliert selbst dann nicht die Kontrolle, wenn einmal ein Zugang abhandenkommt.
Betroffen? Wir prüfen & sichern ab
Du hast einen solchen Befehl ausgeführt oder bist unsicher, ob deine Website noch sauber ist? Wir schauen uns dein WordPress an, entfernen Schadcode, rotieren Zugänge und härten die Seite ab – damit aus einem geklauten Passwort kein gehackter Auftritt wird.
Website jetzt prüfen lassen