ClickFix: das gefälschte CAPTCHA, das Malware bringt

Eine Mitarbeiterin recherchiert für ein Kundenprojekt, klickt auf ein Suchergebnis und landet auf einer Seite, die sie erst einmal überprüfen will: ein Cloudflare-typisches CAPTCHA, „Bestätige, dass du ein Mensch bist". Darunter eine knappe Anleitung: Drücke Windows-Taste und R, füge den Code mit Strg+V ein, bestätige mit Enter. Sie kennt das Fenster nicht, aber es sieht offiziell aus, und sie hat es eilig. Drei Tastendrücke später lädt im Hintergrund ein Schadprogramm, das ihre gespeicherten Passwörter, Session-Cookies und Zugangsdaten abgreift – auch die zu den WordPress-Installationen eurer Kunden. Diese Masche hat einen Namen: ClickFix. Und sie funktioniert, weil sie nicht die Technik austrickst, sondern den Menschen.

Dieser Beitrag erklärt, wie ClickFix abläuft, warum ausgerechnet Webagenturen doppelt betroffen sind und mit welchen konkreten Schritten du dein Team und die Seiten deiner Kunden schützt.

ClickFix: Wie das gefälschte CAPTCHA Nutzer zur Selbstinfektion bringt

Der Trick kehrt die klassische Schadsoftware-Logik um. Früher musste ein Angreifer eine Lücke im System finden, um Code auszuführen. Bei ClickFix übernimmt das Opfer diesen Schritt freiwillig. Die manipulierte Seite zeigt ein gefälschtes CAPTCHA, eine Fehlermeldung oder eine „Verifizierung" und fordert auf, eine Tastenkombination oder einen Befehl auszuführen. Das Schweizer Bundesamt für Cybersicherheit (BACS) beschreibt den Ablauf in einer Mitteilung vom August 2026 im Detail: Die Seite imitiert das Cloudflare-CAPTCHA, passt sich sogar der Sprache des Besuchers an und erkennt das Betriebssystem. Windows-Nutzer werden zu einem PowerShell-Befehl geleitet, macOS- und Linux-Nutzer zu einem Terminal-Kommando.

Der perfide Kern steckt in der Zwischenablage. Der auszuführende Befehl wird beim Klick heimlich kopiert; das Opfer soll ihn nur noch einfügen und sieht oft gar nicht, was es da startet. Die Universität Münster, die ihre Mitglieder im Mai 2026 vor der Masche warnte, listet die typischen Varianten auf: die Windows-Taste mit R für das Ausführen-Fenster, Windows-Taste mit X und dann „i" für das Terminal, das Einfügen eines zuvor unbemerkt kopierten Befehls, das Kopieren eines angeblichen „Verifizierungscodes". Ausgeführt wird am Ende ein Infostealer – laut BACS etwa die Schadsoftware Vidar, die Zugangsdaten, Kreditkartendaten und Krypto-Wallets ausliest. Zur Tarnung verteilen die Angreifer ihren Code teils über die Blockchain, eine Technik namens EtherHiding, die klassische Sperrlisten ins Leere laufen lässt.

Warum die Masche gerade explodiert

ClickFix ist kein Randphänomen mehr. Der Sicherheitshersteller ESET verzeichnete in seinem Bedrohungsbericht für das erste Halbjahr 2025 einen Anstieg der ClickFix-Angriffe um mehr als 500 Prozent gegenüber dem vorherigen Halbjahr. Damit lag die Methode bei knapp acht Prozent aller von ESET blockierten Angriffe – der zweithäufigste Angriffsweg überhaupt, direkt hinter klassischem Phishing. Dass sich dahinter ein eingespieltes Geschäft entwickelt hat, zeigen Analysen von Huntress und Microsoft aus dem Februar 2026: Der über ClickFix verteilte Schadsoftware-Lader Matanbuchus 3.0 wird im kriminellen Untergrund für 10.000 bis 15.000 US-Dollar pro Monat vermietet. Wo solche Preise aufgerufen werden, ist der Angriff ausgereift und skaliert.

Woran du ein gefälschtes CAPTCHA erkennst

Die Köder erreichen dich auf vielen Wegen: über manipulierte Suchergebnisse, gekaperte Websites, Phishing-Mails oder Werbeanzeigen. Entscheidend ist deshalb nicht, woher die Seite kommt, sondern was sie von dir verlangt. Ein echtes CAPTCHA prüft dich im Browser – du klickst ein Kästchen an, ziehst einen Regler oder wählst Bilder aus. Es fordert dich niemals auf, dein Betriebssystem zu bedienen. In dem Moment, in dem eine „Verifizierung" dich bittet, die Windows-Taste zu drücken, ein Terminal zu öffnen oder etwas mit Strg+V einzufügen, ist die Prüfung keine Prüfung mehr, sondern die Falle. Dasselbe gilt für vermeintliche Reparaturanweisungen bei einer plötzlich auftauchenden Fehlermeldung – auch das ist ein beliebtes Tarnmuster. Wer dieses eine Erkennungsmerkmal verinnerlicht hat, erkennt ClickFix unabhängig davon, wie überzeugend die Seite im Übrigen aussieht.

Warum Agenturen doppelt im Visier stehen

Für kleine Webagenturen ist ClickFix aus zwei Richtungen gefährlich, und die zweite wird oft übersehen.

Die erste Richtung ist die offensichtliche: Dein Team ist das Ziel. Ihr recherchiert täglich, klickt auf unbekannte Seiten, arbeitet unter Zeitdruck – und ihr verwaltet die Kronjuwelen eurer Kunden. Ein einziger ausgeführter Befehl auf einem Agentur-Rechner kann die Zugänge zu Dutzenden Kundenseiten, zum Hosting, zu Mail-Konten und Zahlungsdiensten auf einen Schlag offenlegen. Der gestohlene Session-Cookie ist dabei besonders tückisch, weil er die Zwei-Faktor-Authentifizierung aushebelt – warum ein zweiter Faktor allein nicht mehr reicht, haben wir im Beitrag zu Session-Hijacking und Cookie-Diebstahl beschrieben.

Die zweite Richtung betrifft deine Rolle als Dienstleister. Die Seiten, über die ClickFix ausgeliefert wird, sind größtenteils gekaperte WordPress-Installationen. Das BACS spricht von weltweit mehr als 100.000 betroffenen Websites und sieben parallel laufenden Kampagnen. Als Einfallstor nennt die Behörde unter anderem zwei Schwachstellen, die WordPress am 17. Juli 2026 geschlossen hat (geführt als CVE-2026-63030 und CVE-2026-60137) – viele Seiten blieben jedoch ungepatcht. Übersetzt heißt das: Die Website eines deiner Kunden kann – ohne dass es jemand merkt – zur Schleuder für ClickFix werden und die eigenen Besucher infizieren. Das ist nicht nur ein Imageschaden für den Kunden, sondern fällt am Ende auf die Agentur zurück, die die Seite betreut.

Dein Team gegen ClickFix wappnen

Gegen eine Masche, die auf den Menschen zielt, hilft keine Firewall allein. Die wirksamste Maßnahme ist eine einzige, klare Regel, die jede und jeder im Team verinnerlichen sollte – die Universität Münster formuliert sie so: „Führen Sie niemals unbekannte Tastenkombinationen oder Befehle aus", die eine Website verlangt. Kein echtes CAPTCHA der Welt fordert dich auf, etwas in das Ausführen-Fenster, in PowerShell oder ins Terminal einzufügen. Taucht so eine Aufforderung auf, ist das kein Fehler, den du beheben sollst, sondern der Angriff selbst.

Drei weitere Punkte gehören in jedes Team-Briefing. Erstens: Erscheint eine solche Aufforderung, Seite schließen und keinesfalls etwas einfügen. Zweitens: Vor jedem Einfügen kurz prüfen, was eigentlich in der Zwischenablage liegt – ein langer, kryptischer Befehl statt des erwarteten Texts ist das Warnsignal. Drittens, und das ist der unbequeme Teil: Wer den Verdacht hat, einen solchen Befehl doch ausgeführt zu haben, trennt das Gerät sofort vom Netz, meldet es intern und ändert alle auf dem Gerät gespeicherten Zugangsdaten – von einem anderen, vertrauenswürdigen Gerät aus. Dass niemand dafür Ärger bekommt, sondern Tempo zählt, sollte Teil der Absprache sein. Ein zentral verwalteter Passwort-Manager macht das Zurücksetzen im Ernstfall überhaupt erst praktikabel; wie du Kundenzugänge sauber organisierst, zeigt der Beitrag zum Passwort-Manager für Agenturen.

Kundenseiten härten, bevor sie zur Waffe werden

Die zweite Front liegt in deiner direkten Verantwortung. Weil ClickFix überwiegend über verwundbare WordPress-Seiten ausgeliefert wird, ist konsequente Pflege hier kein Komfort, sondern Angriffsabwehr. Das BACS empfiehlt für Seitenbetreiber das Naheliegende, aber oft Vernachlässigte: CMS, Plugins und Erweiterungen aktuell halten und automatische Updates aktivieren, wo es geht, sowie Mehr-Faktor-Authentifizierung für alle Konten einschalten, die das unterstützen.

Praktisch heißt das: Updates nicht aufschieben, sondern über eine Staging-Umgebung zeitnah einspielen, verwaiste Plugins entfernen und die Logins der Kundenseiten absichern. Genau diese Routine ist zugleich ein verkaufbares Wartungspaket – reagiere nicht erst, wenn es brennt. Wie ein strukturierter Ablauf aussieht, wenn eine Seite doch kompromittiert wurde, zeigt unser Notfallplan für gehackte WordPress-Seiten; wie du die Logins selbst gegen automatisierte Angriffe abdichtest, liest du unter WordPress-Login absichern. Ergänzend sorgen saubere HTTP-Security-Header dafür, dass eine kompromittierte Seite es Angreifern schwerer macht, fremden Code nachzuladen.

Fazit

ClickFix ist gefährlich, weil es die teuerste Sicherheitslücke ausnutzt, die keine Software schließt: den Reflex, einer Anweisung auf dem Bildschirm zu folgen. Für Agenturen verdoppelt sich das Risiko, weil ihr sowohl attraktive Ziele seid – mit Zugriff auf unzählige Kundenzugänge – als auch die Betreuer genau der WordPress-Seiten, über die der Angriff läuft. Die gute Nachricht: Beide Fronten lassen sich mit Bordmitteln verteidigen. Ein klares Team-Briefing mit einer einzigen eisernen Regel, ein verlässlicher Passwort-Manager und konsequente Update-Pflege auf den Kundenseiten nehmen ClickFix den Großteil seiner Wirkung. Merke dir und deinem Team den einen Satz, der fast jeden Fall verhindert: Keine echte Website lässt dich jemals einen Befehl ins System kopieren.