ClickFix und TerminalFix: Was Unternehmen gegen die neue Angriffswelle tun müssen

Ein Mitarbeiter besucht eine Website, sieht eine vertraute Cloudflare-Sicherheitsabfrage, klickt auf die Checkbox – und fügt anschließend, wie angewiesen, einen "Bestätigungscode" in sein Windows Terminal ein. Er hat damit gerade selbst Schadcode auf seinem Rechner ausgeführt, ganz ohne Anhang, ganz ohne Download einer verdächtigen Datei. Genau das ist laut einer aktuellen BSI-Sicherheitsmitteilung (öffnet in neuem Tab) im August 2026 einer deutschen staatlichen Institution passiert – mit dem Ziel, anschließend Ransomware zu installieren und die Opfer per Double Extortion zu erpressen. Für IT-Verantwortliche im Mittelstand lohnt sich ein genauer Blick, weil die Technik dahinter – bekannt als ClickFix beziehungsweise in ihrer aktuellen Ausprägung als TerminalFix – branchenübergreifend eingesetzt wird und gezielt an klassischen Schutzmechanismen vorbeiführt.

Was das BSI konkret gemeldet hat

Laut der BSI-Mitteilung vom 4. September 2026 (öffnet in neuem Tab) wurde die Behörde im August 2026 über die Kompromittierung des Netzwerks einer staatlichen Institution informiert. Die anschließende Analyse habe gezeigt, dass der Tathergang mit Beobachtungen übereinstimmt, die Microsoft kurz zuvor als TerminalFix-Kampagne in einem eigenen Blogbeitrag beschrieben hatte. Beim BSI eingegangene Meldungen deuten laut der Mitteilung zusätzlich darauf hin, dass im Rahmen dieser Angriffe versucht wurde, Ransomware zu installieren und im Zuge von Double Extortion Daten auszuleiten – also nicht nur zu verschlüsseln, sondern zusätzlich mit deren Veröffentlichung zu drohen.

Das BSI verweist damit direkt auf eine technische Analyse von Microsoft (öffnet in neuem Tab), die die Kampagne bereits am 28. August 2026 beschrieben hatte: Microsoft Threat Intelligence beobachtete TerminalFix als Weiterentwicklung von ClickFix, die Organisationen über mehrere Branchen hinweg betrifft.

Wie der Angriff technisch abläuft

Der Ablauf beginnt laut Microsoft mit einer kompromittierten, ansonsten unauffälligen Website. Dort erscheint kurz nach dem Seitenaufruf ein gefälschtes Cloudflare-Turnstile-Overlay – inklusive Cloudflare-Logo, "Verify you are human"-Checkbox und Ladeanimation. Sobald das Opfer mit dieser Aufforderung interagiert, kopiert die Seite unbemerkt einen bösartigen PowerShell-Befehl in die Zwischenablage. Die Anleitung auf dem Bildschirm fordert anschließend dazu auf, das Windows Terminal oder PowerShell zu öffnen und den Befehl einzufügen.

Der eingefügte Befehl ist laut Microsofts Analyse so gestaltet, dass er beim Ausführen beruhigende, farbig formatierte Statusmeldungen im Cloudflare-Stil ausgibt – etwa "Starting Cloudflare verification…" und am Ende eine grün eingefärbte Bestätigung. Im Hintergrund lädt der Befehl währenddessen ein ZIP-Archiv von der Angreiferinfrastruktur herunter, entpackt es und startet eine Batch-Datei. Diese führt eine legitime, signierte Windows-Anwendung aus (LockScreenContentServer.exe), die beim Start automatisch eine mitgelieferte, bösartige DLL namens dui70.dll nachlädt – eine Technik, die als DLL-Sideloading bekannt ist. Weil die Ausführung dadurch innerhalb eines vertrauenswürdigen, signierten Prozesses beginnt, erben die Angreifer dessen Reputation gegenüber Sicherheitssoftware, die auf Prozessidentität statt auf Verhalten prüft.

Von dort aus wird es laut Microsoft technisch aufwendig: Die geladene DLL bezieht weitere Schadcode-Bestandteile über Steganografie – sie lädt scheinbar harmlose PNG-Bilder von Angreiferdomains, in deren Pixeldaten ausführbare Programmteile versteckt sind, und setzt diese im Arbeitsspeicher wieder zusammen, ohne sie auf die Festplatte zu schreiben. Für die dauerhafte Verankerung im System nutzt die Malware sowohl einen Registry-Run-Key als auch einen geplanten Task, der die Ausführung alle 60 Minuten wiederholt. Anschließend folgt eine ausgedehnte Erkundungsphase im Active Directory: Domänenvertrauensstellungen, Mitgliedschaften in Domain-Admin-Gruppen, Benutzerbeschreibungen und gezielte Ping-Sweeps auf Server im Netzwerk. Am Ende der Kette steht laut Microsoft ein selbst entwickeltes, Python-basiertes Tunnel-Implantat, das über eine verschlüsselte WebSocket-Verbindung zu einer Angreiferdomain einen dauerhaften, SOCKS-artigen Proxy-Zugang ins Netzwerk des Opfers öffnet.

Keine Eintagsfliege: ClickFix nutzt das Terminal schon seit Februar 2026

TerminalFix ist keine plötzlich neue Erfindung, sondern die konsequente Weiterentwicklung einer Technik, die Microsoft Threat Intelligence bereits im Februar 2026 beobachtet hatte. Wie heise online (öffnet in neuem Tab) unter Berufung auf Microsofts Threat-Intelligence-Team berichtete, forderten Angreifer Opfer damals auf, über die Tastenkombination Windows-Taste+X und anschließend "I" das Windows Terminal zu öffnen – bewusst nicht den klassischen "Ausführen"-Dialog (Windows-Taste+R), auf den viele Erkennungsregeln zugeschnitten sind. Über gefälschte CAPTCHA-Seiten oder vorgetäuschte Fehlerbehebungen brachten die Angreifer die Opfer dazu, einen hexadezimal codierten und XOR-komprimierten Befehl einzufügen, der weitere PowerShell-Fenster öffnete, eine umbenannte 7-Zip-Anwendung nachlud und am Ende den Infostealer Lumma installierte – eine Schadsoftware, die sich in Browser wie Chrome und Edge einhängt, um Zugangsdaten auszulesen und an die Angreifer zu senden. Eine zweite, parallel beobachtete Variante nutzte laut heise online sogar eine Blockchain als Kommando-Server, um die Kommunikation zu verschleiern ("EtherHiding").

Der Unterschied zur aktuellen TerminalFix-Kampagne liegt vor allem im Ausbaugrad: Wo die Februar-Welle noch auf einen vergleichsweise einfachen Infostealer zielte, kombiniert TerminalFix laut Microsoft mehrere Verschleierungstechniken gleichzeitig und endet nicht beim Datendiebstahl, sondern beim dauerhaften Netzwerkzugang – der Grundlage für die vom BSI beschriebenen Ransomware- und Double-Extortion-Versuche.

Der Berliner Fall zeigt, was auf dem Spiel steht

Welche Institution genau hinter der BSI-Mitteilung steckt, war beim Erscheinen dieses Beitrags noch offen. Inzwischen ist klar: Es handelt sich um die Verwaltung des Landes Berlin, konkret um die Senatsverwaltungen für Stadtentwicklung, Bauen und Wohnen sowie für Verkehr, die laut heise online (öffnet in neuem Tab) bereits ab dem 7. August 2026 Daten verloren, bevor der Angriff am 14. August entdeckt wurde. Laut heise online bestätigte das BSI in einem eigenen Mastodon-Beitrag, dass TerminalFix der Angriffsweg war, über den sich die Erpressergruppe Rhysida Zugang zum Berliner Landesnetz verschaffte.

Wie ernst die Folgen ausfallen können, zeigt die Forderung der Angreifer: Laut einem Bericht des rbb (öffnet in neuem Tab), der sich auf Recherchen des Spiegel beruft, verlangte Rhysida 30 Bitcoin – nach damaligem Kurs rund zwei Millionen Euro. Weil der Senat nicht zahlte, veröffentlichten die Angreifer nach Ablauf ihrer Frist ein Datenpaket mit nach eigenen Angaben mehr als 1,4 Millionen durchsuchten Dateien im Darknet, darunter laut rbb rund 6.000 Passwörter, 148 IBAN-Kontonummern und Unterlagen zu Disziplinarverfahren. Das BSI stufte die Bedrohungslage danach laut einem Bericht des Spiegel (öffnet in neuem Tab) als erhöht ein und warnte ausdrücklich vor gezielten Phishing-Angriffen, die die erbeuteten Daten nutzen, um glaubwürdiger zu wirken – ein Risiko, das sich unmittelbar auf Geschäftspartner und Mitarbeitende betroffener Unternehmen überträgt, nicht nur auf die angegriffene Institution selbst.

Für den Mittelstand ist der Fall vor allem deshalb lehrreich, weil er zeigt, dass die anfängliche Kompromittierung über eine einzelne eingefügte PowerShell-Zeile zu einem mehrwöchigen Krisenfall werden kann: tagelanger Datenabfluss vor der Entdeckung, eine einwöchige Netztrennung mit Ausfällen bei Bürgerdiensten und am Ende eine Lösegeldforderung in Millionenhöhe. Genau diese Kette – vom einzelnen Klick zum vollständigen Netzwerkzugang – beschreibt Microsofts technische Analyse weiter oben, nur eben ohne die konkreten Folgen, die der Berliner Fall sichtbar macht.

Warum klassischer Schutz hier ins Leere läuft

E-Mail-Filter, Makro-Blocker und signaturbasierte Virenscanner sind auf Dateien, Anhänge und bekannte Schadcode-Muster ausgelegt. Bei ClickFix und TerminalFix gibt es in der kritischen Phase keine Datei, die ein Nutzer öffnet – es gibt einen Text, den er selbst in ein Systemwerkzeug einfügt, dem er vertraut. In Protokollen erscheint dieser Schritt zunächst wie eine ganz gewöhnliche, vom Menschen ausgelöste administrative Tätigkeit. Wirksamer sind laut den ausgewerteten Quellen verhaltensbasierte EDR-Lösungen, die auf ungewöhnliche Prozessketten reagieren – etwa eine signierte Anwendung, die plötzlich eine unbekannte DLL aus dem eigenen Arbeitsverzeichnis lädt, oder PowerShell-Prozesse, die kurz nach dem Öffnen des Terminals Netzwerkverbindungen zu unbekannten Domains aufbauen.

Was jetzt konkret zu tun ist

1. Mitarbeitende gezielt auf diese eine Masche schulen. Nicht generisches Phishing-Training, sondern die konkrete Regel: Kein Befehl wird jemals in Terminal, PowerShell oder den "Ausführen"-Dialog eingefügt, weil eine Website es verlangt – unabhängig davon, wie professionell die Aufforderung aussieht.
2. PowerShell-Ausführung technisch einschränken. Constrained Language Mode, AppLocker- oder WDAC-Regeln reduzieren, was ein eingefügter Befehl überhaupt anrichten kann, selbst wenn ein Mitarbeiter ihn ausführt.
3. EDR-Regeln auf das konkrete Verhalten ausrichten. Alarmierung bei DLL-Sideloading durch bekannte signierte Binaries, bei neuen Scheduled Tasks mit auffälliger Wiederholungsfrequenz und bei ausgehenden WebSocket-Verbindungen zu unbekannten Zielen.
4. Netzwerksegmentierung ernst nehmen. Die von Microsoft beschriebene Active-Directory-Erkundung setzt voraus, dass ein kompromittierter Client weit ins Netzwerk sehen kann. Wer Clients, Server und Domänencontroller konsequent trennt, verkleinert das, was ein einzelner infizierter Rechner erreichen kann.
5. Kompromittierte Endgeräte als Netzwerk-Einstiegspunkt behandeln, nicht als isolierten Einzelfall. Microsoft weist ausdrücklich darauf hin, dass ein betroffenes Gerät als potenzieller Drehpunkt für seitliche Bewegung im Netzwerk zu untersuchen ist – nicht nur zu bereinigen.
6. Ungewöhnliche geplante Tasks stichprobenhaft prüfen. Ein Task, der ein und dieselbe, sonst unauffällige Anwendung stündlich neu startet, ist laut Microsofts Analyse eines der wenigen Anzeichen, die auch ohne spezialisierte EDR-Regeln im laufenden Betrieb auffallen können.

Wer selbst Software entwickelt oder vertreibt, sollte zudem die seit dem 11. September 2026 geltenden, verkürzten Meldefristen für Schwachstellen im Blick haben, die sich aus dem Cyber Resilience Act ergeben – dazu hat Vinspire bereits gesondert eingeordnet, wie sich freiwillige und gesetzliche Meldewege unterscheiden.

Fazit

TerminalFix ist kein neues Einfallstor, sondern die konsequente Weiterentwicklung eines Tricks, der seit Anfang 2026 bekannt ist und sich seither professionalisiert hat: vom einfachen Infostealer im Februar zum mehrstufigen Angriff mit dauerhaftem Netzwerkzugang im August. Der vom BSI bestätigte Fall einer kompromittierten deutschen Institution zeigt, dass die Technik nicht theoretisch bleibt. Weil der entscheidende Schritt keine Datei, sondern eine von Menschen ausgeführte Aktion ist, verschiebt sich die wirksamste Verteidigung von der reinen Erkennung schädlicher Anhänge zu einer klaren, wiederholten Regel für alle Mitarbeitenden: Befehle, die eine Website zum Einfügen ins Terminal vorschlägt, werden nicht ausgeführt – ganz gleich, wie überzeugend die Verkleidung ist.

Für Unternehmen ohne eigenes Security Operations Center ist das zugleich die realistischste Maßnahme überhaupt: Weder Microsoft noch das BSI benennen einen einzelnen Softwarekauf, der TerminalFix zuverlässig verhindert. Was bleibt, ist eine Kombination aus technischer Einschränkung dessen, was ein eingefügter Befehl anrichten kann, und einer Belegschaft, die genau eine Verhaltensregel verinnerlicht hat, statt sich zwanzig einzelne Warnzeichen merken zu müssen.