Fake-Captcha erkennen: ClickFix und Tastenkürzel

Ein Fake-Captcha sieht aus wie die bekannte Abfrage Ich bin kein Roboter. Danach sollst du aber Tasten drücken, ein Windows-Fenster öffnen und etwas einfügen. Genau das darf ein echtes Captcha nie verlangen. Folgst du den Schritten, führst du selbst Malware aus – oft ohne es zu merken.

Die Masche heißt ClickFix. Eine Variante davon heißt TerminalFix. Das Bundesamt für Sicherheit in der Informationstechnik, das BSI, warnt nach dem Angriff auf die Berliner Verwaltung ausdrücklich davor. Die Täter missbrauchen das Vertrauen in ganz normale Bot-Prüfungen.

So läuft die Falle

Du öffnest eine Webseite. Manchmal über eine Phishing-Mail, manchmal über Malvertising, manchmal über eine Seite, die du sonst kennst und die vorher geknackt wurde.

Dann passiert typischerweise dies:

1. Häkchen setzen. Es erscheint ein Overlay im Look von Cloudflare oder Google. Du klickst auf das Kästchen. Im Hintergrund kopiert die Seite einen schädlichen Befehl in deine Zwischenablage. Du merkst das meist nicht.
2. Tasten verlangen. Ein zweites Fenster erklärt, du müsstest die Prüfung „fertigmachen“. Genannt werden Kürzel wie Windows-Taste und R oder Windows-Taste und X, oft gefolgt von der Taste I. Damit öffnet sich das Ausführen-Fenster, das Windows-Terminal oder das Befehlsfenster PowerShell.
3. Einfügen und Enter. Du sollst den Inhalt der Zwischenablage einfügen und bestätigen. Damit startest du den Befehl selbst.
4. Schadsoftware lädt nach. Im Hintergrund kommt oft ein Infostealer. Der klaut gespeicherte Passwörter, Cookies und manchmal den Weg ins ganze Netz. Manche Ketten enden bei Ransomware.

Die Seite kann danach so tun, als wäre die Prüfung erfolgreich. Das soll dich beruhigen, während der Rechner schon infiziert ist.

Das ist Social Engineering: Die Seite wirkt vertraut. Du denkst, du löst nur ein Captcha. In Wahrheit autorisierst du den Angriff selbst. Deshalb schlagen viele Schutzprogramme erst spät oder gar nicht an.

ClickFix und TerminalFix

Beide Varianten nutzen dieselbe Idee. Der Unterschied steckt im Fenster, das du öffnen sollst.

• ClickFix schickt dich oft ins Ausführen-Fenster. Das erreichst du mit Windows-Taste und R.
• TerminalFix will Windows-Terminal oder PowerShell. Dort lassen sich längere Befehle einfügen.

Andere Köder ohne Captcha-Look gibt es auch: angebliches Browser-Update, DNS-Fehler, „Seite lässt sich nicht laden – hier reparieren“. Die Regel bleibt dieselbe. Keine Webseite darf dich in ein Befehlsfenster schicken.

Auf dem Mac kann dieselbe Idee mit dem Terminal laufen. Offizielle Updates für Browser und Windows kommen über Einstellungen oder Windows Update – nie über Tastenkürzel auf einer fremden Seite.

Daran erkennst du den Betrug

• Nach dem Häkchen kommt eine Anleitung mit Tasten, nicht einfach die gewünschte Seite.
• Die Seite nennt Ausführen, Terminal, PowerShell oder Eingabeaufforderung.
• Du sollst etwas aus der Zwischenablage einfügen und mit Enter starten.
• Das Fenster wirkt wie ein Systemdialog, steckt aber im Browser.
• Ein echtes Captcha bleibt im Browser: Häkchen, Bildauswahl oder ein kurzes Warten. Danach geht die Seite weiter. Keine Systemtasten.

Scareware schreit mit Virus-Alarm und Countdown. Ein Fake-Captcha wirkt oft ruhig und seriös. Genau deshalb fällt es weniger auf. Fake-Kundenservice will eine Hotline oder Fernwartung. Hier sollst du selbst Tasten drücken.

So schützt du dich

1. Sofort abbrechen. Fordert ein Captcha Tastenkürzel oder ein Befehlsfenster, schließe den Browser. Notfalls beendest du ihn über den Task-Manager.
2. Nichts einfügen. Keine Befehle, keine Skripte, kein „Fix“ aus einer Webseite in Ausführen, Terminal oder PowerShell.
3. Zwischenablage überschreiben. Hast du nur das Häkchen gesetzt, aber noch nichts eingefügt: Kopiere irgendeinen harmlosen Text, damit der schädliche Befehl weg ist.
4. Nicht nachbauen. Die genannten Tasten sind Warnzeichen, keine Anleitung zum Ausprobieren.
5. Software aktuell halten. Updates schließen Lücken. Sie ersetzen aber nicht die Regel: Captcha bleibt im Browser.

Aktuelle Mail-Wellen listet das Phishing-Radar der Verbraucherzentrale. Eine klare Erklärung der Masche gibt es beim BACS zu ClickFix und beim CERT der TU Dresden.

Wenn du die Tasten schon gedrückt hast

Dann solltest du von einer Infektion ausgehen.

• Netz weg. WLAN aus, Kabel raus. So stoppst du weiteren Abfluss.
• Passwörter ändern – von einem anderen, sauberen Gerät. Zuerst das E-Mail-Konto, dann Banking, Shops und alles Wichtige. Danach Sitzungen beenden, wo es geht.
• PC neu aufsetzen. Das BSI rät zur kompletten Neuinstallation des Betriebssystems. Daten nur aus einem Backup auf einem anderen Datenträger zurückholen. Ein einfacher Virenscan reicht oft nicht, weil die Software tief sitzen kann.
• Keine aktuelle Sicherung? Wichtige eigene Dateien vor dem Neuaufsetzen auf einen externen Stick kopieren – Programme und Downloads von der infizierten Platte nicht mitnehmen.
• Anzeige erstatten und Belege sichern – oft über Online-Strafanzeige.
• Ob ein Gerät infiziert wirkt: BSI, Ist eines meiner Systeme infiziert?.

Hast du nur das Häkchen gesetzt und den Browser geschlossen, ohne einzufügen? Dann ist meist noch nichts ausgeführt. Trotzdem Zwischenablage überschreiben und die Adresse prüfen.

Seite oder Link prüfen

Kopiere die Webadresse in den FAKE-Checker, bevor du weitermachst – oder danach, wenn das Overlay schon da war. Der Checker ersetzt kein Neuaufsetzen. Er hilft dir zu sehen, ob die Adresse schon als gefährlich bekannt ist.