{"id":245,"date":"2026-06-20T07:00:00","date_gmt":"2026-06-20T07:00:00","guid":{"rendered":"https:\/\/shattered.io\/de\/?p=245"},"modified":"2026-06-20T08:14:55","modified_gmt":"2026-06-20T08:14:55","slug":"clickfix-angriff-social-engineering-2026","status":"publish","type":"post","link":"https:\/\/shattered.io\/de\/clickfix-angriff-social-engineering-2026\/","title":{"rendered":"ClickFix: 47% aller Cyberangriffe, 631% Anstieg in 6 Monaten [2026]"},"content":{"rendered":"\n

Eine gef\u00e4lschte Cloudflare-Verifikationsseite erscheint. Der Nutzer klickt auf “Ich bin kein Roboter”. Ein Befehl landet in der Zwischenablage. Drei\u00dfig Sekunden sp\u00e4ter ist der Rechner kompromittiert, ohne dass eine einzige Schadsoftware per E-Mail-Anhang zugestellt wurde. Das ist ClickFix, und laut Microsoft 2025 Digital Defense Report<\/strong> ist diese Methode inzwischen f\u00fcr 47 Prozent aller gemessenen Erstzug\u00e4nge<\/strong> in Unternehmensnetzwerken verantwortlich, mehr als klassisches Phishing mit 35 Prozent.<\/p>\n\n\n\n

ESET registrierte zwischen Ende 2024 und Mitte 2025 einen Anstieg von 517 Prozent<\/strong> bei ClickFix-Erkennungen. Huntress meldete in nur sechs Monaten eine Steigerung von 631 Prozent<\/strong> bei ClickFix-bezogenen Vorf\u00e4llen in betreuten Unternehmensumgebungen. Recorded Future bewertet in seiner Einsch\u00e4tzung vom M\u00e4rz 2026, dass ClickFix mit sehr hoher Wahrscheinlichkeit der dominante Erstangriffsvektoren des gesamten Jahres 2026<\/strong> bleiben wird. Dieses Analyse beleuchtet, wie die Methode funktioniert, warum sie so effektiv ist, und was DACH-Unternehmen konkret dagegen tun k\u00f6nnen.<\/p>\n\n\n\n

Was ist ClickFix? Die neue Nummer-eins-Bedrohung<\/h2>\n\n\n\n

ClickFix ist keine Malware im klassischen Sinne und kein Exploit gegen eine Softwarel\u00fccke. Es ist eine Social-Engineering-Technik<\/strong>, die Opfer dazu bringt, Schadcode selbst auszuf\u00fchren, indem sie legitime Systemprogramme des eigenen Betriebssystems nutzen. Der Name leitet sich von der Kernmechanik ab: Eine gef\u00e4lschte Webseite pr\u00e4sentiert ein Problem und bietet einen vermeintlichen “Fix” an.<\/p>\n\n\n\n

Das MITRE ATT&CK-Framework klassifiziert ClickFix unter Technik T1204.004 “Malicious Copy and Paste”<\/strong> innerhalb der User-Execution-Kategorie. Diese Einordnung verdeutlicht das Kernprinzip: Der Nutzer f\u00fchrt den Angriff selbst durch. Anstatt Malware zuzustellen, liefern Angreifer Instruktionen. Das Ergebnis ist identisch, die Erkennungsrate durch klassische Sicherheitssoftware jedoch dramatisch geringer.<\/p>\n\n\n\n

Seit der ersten dokumentierten Beobachtung im M\u00e4rz 2024 hat sich ClickFix von einer Randerscheinung zum meistgenutzten Erstangriffsmechanismus entwickelt. Blackpoint Cyber<\/strong> ermittelte, dass Fake-CAPTCHA- und ClickFix-Kampagnen zusammen 58 Prozent aller identifizierbaren Vorf\u00e4lle<\/strong> im Jahr 2025 ausmachten, weil die Methode ein Kernproblem f\u00fcr Angreifer elegant l\u00f6st: Sicherheitsl\u00f6sungen erkennen b\u00f6swilliges Verhalten, nicht aber b\u00f6swillige Absichten eines Nutzers.<\/p>\n\n\n\n

Die 5-stufige Angriffskette: Wie ClickFix funktioniert<\/h2>\n\n\n\n

Der Angriff l\u00e4uft in einem konsistenten Muster ab, das Palo Alto Networks Unit 42 in f\u00fcnf Stufen dokumentiert hat. Das Verst\u00e4ndnis dieser Kette ist die Grundlage f\u00fcr jede wirksame Gegenma\u00dfnahme.<\/p>\n\n\n\n

Stufe 1: Kompromittierter oder b\u00f6sartiger Kontaktpunkt.<\/strong> Das Opfer landet auf einer manipulierten legitimen Website, einer Malvertising-Seite, einer gef\u00e4lschten Tech-Support-Seite oder folgt einem Link aus einer Phishing-E-Mail. Die Seiten sind h\u00e4ufig t\u00e4uschend echt gestaltet und imitieren bekannte Dienste wie Cloudflare Turnstile, Google reCAPTCHA, Microsoft-Anmeldeseiten oder Okta-Login-Flows.<\/p>\n\n\n\n

Stufe 2: Fake-Verifikationsaufforderung.<\/strong> JavaScript auf der Seite blendet eine Fehlermeldung oder Verifikationsanforderung ein. Typische Szenarien: “Ihr Browser kann dieses Dokument nicht anzeigen” mit Schaltfl\u00e4che “Fix It”, eine gef\u00e4lschte CAPTCHA-Seite die nach Abschluss eine Aktion fordert, oder eine angebliche Sicherheits\u00fcberpr\u00fcfung. Der Klick auf die Schaltfl\u00e4che kopiert automatisch einen Befehl in die Zwischenablage des Opfers.<\/p>\n\n\n\n

Stufe 3: Clipboard-Hijacking und Ausf\u00fchrung.<\/strong> Der Nutzer wird angewiesen, die Tastenkombination Windows+R zu dr\u00fccken (Ausf\u00fchren-Dialog), Strg+V einzuf\u00fcgen und Enter zu dr\u00fccken, oder PowerShell zu \u00f6ffnen und den “Fix”-Befehl einzuf\u00fcgen. Huntress dokumentierte den typischen Windows-Prozesspfad: explorer.exe<\/code> erzeugt conhost.exe<\/code> mit dem Parameter --headless<\/code>, das wiederum cmd.exe<\/code> ausf\u00fchrt, ein Artefakt der Ausf\u00fchrung \u00fcber den Run-Dialog.<\/p>\n\n\n\n

Stufe 4: Payload-Download.<\/strong> Der ausgef\u00fchrte Befehl ruft in der Regel mshta.exe<\/code> auf, ein legitimes, von Microsoft signiertes Windows-Executable zur Ausf\u00fchrung von HTML-Anwendungen. Dieses l\u00e4dt einen Dropper von einer angreiferkontrollierten Domain, der wiederum die eigentliche Malware herunterl\u00e4dt. In manchen Varianten nutzen Angreifer die “EtherHiding”-Methode, bei der Blockchain-Smart-Contracts genutzt werden, um Payloads zu liefern und klassische URL-Blockierung zu umgehen.<\/p>\n\n\n\n

Stufe 5: Persistenz und Ausbreitung.<\/strong> Nach der Malware-Installation richtet das Programm \u00fcblicherweise eine geplante Aufgabe oder Registry-Eintr\u00e4ge f\u00fcr Persistenz ein. Je nach Payload folgen dann Credential-Diebstahl, Lateral Movement, Datenexfiltration oder die Installation weiterer Backdoors. Die mediane Zeit vom Erstzugang bis zur Kompromittierung von Active Directory lag 2026 laut Sophos Active Adversary Report bei nur 3,40 Stunden<\/strong>, 70 Prozent schneller als im Vorjahr.<\/p>\n\n\n\n

Explosives Wachstum: 631% mehr F\u00e4lle in nur 6 Monaten<\/h2>\n\n\n\n

Die Wachstumszahlen f\u00fcr ClickFix sind ohne Parallele in der j\u00fcngeren Geschichte der Cybersicherheit. W\u00e4hrend neue Angriffstechniken \u00fcblicherweise Jahre ben\u00f6tigen, um sich zu etablieren, hat ClickFix in weniger als 24 Monaten den Status des dominanten Erstangriffsvektors erreicht.<\/p>\n\n\n\n

Das IT-Sicherheitsunternehmen Huntress<\/strong> berichtete in seinem September 2025 erschienenen Bericht: “In den vergangenen sechs Monaten beobachteten wir einen Anstieg von 631 Prozent bei ClickFix-bezogenen Vorf\u00e4llen. Diese Technik hat sich von einer Windows-spezifischen Bedrohung zu einem plattform\u00fcbergreifenden Angriffsmechanismus entwickelt, der jetzt auch native macOS- und Linux-Funktionen ausnutzt.”<\/p>\n\n\n\n

ESET-Forscher ermittelten gleichzeitig eine Wachstumsrate von 517 Prozent zwischen Ende 2024 und Mitte 2025<\/strong>. Stormshield fasst es in seiner M\u00e4rz 2026 Analyse so zusammen: “ClickFix hat sich seit seiner ersten Beobachtung im M\u00e4rz 2024 mit einer Geschwindigkeit verbreitet, die selbst f\u00fcr die Cybersicherheitsbranche au\u00dfergew\u00f6hnlich ist. Die Technik trifft einen toten Winkel: Sie nutzt legitime Systemprozesse auf eine Weise, die f\u00fcr den Nutzer plausibel erscheint.”<\/p>\n\n\n\n

Recorded Future’s Insikt Group h\u00e4lt in ihrer M\u00e4rz-2026-Bewertung<\/strong> fest: “Mit sehr hoher Wahrscheinlichkeit wird ClickFix der dominante initiale Angriffsvektor f\u00fcr den Rest des Jahres 2026 bleiben. Die Technik bietet Angreifern ein optimales Kosten-Nutzen-Verh\u00e4ltnis: geringe Entwicklungskosten, hohe Erfolgsrate, minimales Erkennungsrisiko.”<\/p>\n\n\n\n

ClickFix 2026: Die wichtigsten Statistiken im \u00dcberblick<\/h2>\n\n\n\n
Metrik<\/th>Wert<\/th>Quelle<\/th><\/tr><\/thead>
Anteil an allen Erstzug\u00e4ngen<\/td>47%<\/td>Microsoft Digital Defense Report 2025<\/td><\/tr>
Wachstum H1 2025 vs. H2 2024<\/td>+517%<\/td>ESET, 2025<\/td><\/tr>
Wachstum in 6 Monaten (Unternehmensumgebungen)<\/td>+631%<\/td>Huntress, Sep. 2025<\/td><\/tr>
Anteil an identifizierbaren Vorf\u00e4llen 2025<\/td>58%<\/td>Blackpoint Cyber, Apr. 2026<\/td><\/tr>
H\u00e4ufigste Nutzlast (Anteil)<\/td>Lumma Stealer (51%)<\/td>Microsoft, 2025<\/td><\/tr>
Klassisches Phishing als Erstvektor<\/td>35%<\/td>Microsoft Digital Defense Report 2025<\/td><\/tr>
Prognose f\u00fcr 2026<\/td>Dominanter Vektor bleibt<\/td>Recorded Future Insikt Group, Mrz. 2026<\/td><\/tr>
Betroffene Plattformen<\/td>Windows, macOS, Linux<\/td>Microsoft, Huntress 2026<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

Welche Malware ClickFix verbreitet<\/h2>\n\n\n\n

ClickFix ist kein eigenst\u00e4ndiges Schadprogramm, sondern ein Zustellmechanismus. Was nach der Ausf\u00fchrung des eingeschleusten Befehls landet, variiert je nach Kampagne und Angreifer. Microsoft Security hat in seiner August-2025-Analyse<\/strong> eine detaillierte Aufstellung der h\u00e4ufigsten Nutzlasten ver\u00f6ffentlicht.<\/p>\n\n\n\n

Infostealers<\/strong> machen die h\u00e4ufigste Nutzlastkategorie aus. Lumma Stealer allein ist laut Microsoft f\u00fcr 51 Prozent aller ClickFix-Infektionen<\/strong> verantwortlich. Lumma stiehlt Browser-Anmeldedaten, Kryptowallet-Daten, Sitzungscookies und Authentifizierungstoken. Weitere dokumentierte Infostealers: Vidar Stealer, SectopRAT und Atomic macOS Stealer (AMOS) f\u00fcr Apple-Ger\u00e4te.<\/p>\n\n\n\n

Remote-Access-Trojaner (RATs)<\/strong> sind die zweith\u00e4ufigste Kategorie und erm\u00f6glichen Angreifern dauerhaften, interaktiven Zugang zu kompromittierten Systemen. Dokumentiert via ClickFix: AsyncRAT, NetSupport RAT und Xworm. Diese Tools erlauben Tastenprotokollierung, Screenshot-Erfassung, Datei\u00fcbertragung und vollst\u00e4ndige Remote-Kontrolle des infizierten Systems.<\/p>\n\n\n\n

Loader und Droppers<\/strong> wie Latrodectus und MintsLoader sind mehrstufige Bedrohungen: Sie laden nach der Installation zus\u00e4tzliche Malware nach, oft je nach Wertigkeitseinsch\u00e4tzung des kompromittierten Systems durch den Angreifer. DarkGate als Multi-Stage-Bedrohung verbindet Infostealer-F\u00e4higkeiten mit RAT-Funktionen und Cryptomining-Komponenten.<\/p>\n\n\n\n

Rootkits<\/strong> bilden die gef\u00e4hrlichste Kategorie: Eine modifizierte Variante des Open-Source-Rootkits r77 wurde in ClickFix-Kampagnen eingesetzt, um tiefen und schwer erkennbaren Zugang zu infizieren Systemen zu gew\u00e4hrleisten. Das HHS-Sicherheitsalert (US-amerikanisches Gesundheitsministerium) best\u00e4tigt Kampagnen mit dem Ziel, \u00fcber ClickFix Zugang zu kritischen Infrastrukturen im Gesundheitsbereich zu erlangen.<\/p>\n\n\n\n

Die h\u00e4ufigsten ClickFix-Varianten und K\u00f6der<\/h2>\n\n\n\n

Angreifer setzen eine wachsende Zahl an K\u00f6derszenarien ein, die auf unterschiedliche Opfergruppen zugeschnitten sind. Palo Alto Networks Unit 42 dokumentierte in seiner 2025-Analyse<\/strong> die Zustellwege und K\u00f6dertypen.<\/p>\n\n\n\n

Gef\u00e4lschte CAPTCHA-Seiten<\/strong> sind der h\u00e4ufigste K\u00f6der. Die Seiten imitieren Cloudflare Turnstile, Google reCAPTCHA oder Microsoft-Authentifizierungsflows. Nach dem vermeintlichen Abschluss der Verifikation erscheint eine Anweisung, einen “Sicherheitsschritt” durch Ausf\u00fchren eines kopierten Befehls abzuschlie\u00dfen. Diese Variante ist besonders effektiv, weil CAPTCHA-L\u00f6sung f\u00fcr Nutzer routinem\u00e4\u00dfig ist und kaum Misstrauen weckt.<\/p>\n\n\n\n

Browser-Update-Benachrichtigungen<\/strong> imitieren echte Update-Dialoge von Chrome, Firefox oder Edge. Die SocGholish-Malware-Familie nutzt diesen K\u00f6der mit besonders authentisch gestalteten Dialogen, oft verbreitet \u00fcber kompromittierte WordPress-Websites mit hohem Besucheraufkommen.<\/p>\n\n\n\n

Dokument-Darstellungsprobleme<\/strong> t\u00e4uschen vor, dass ein PDF oder Office-Dokument nicht korrekt geladen werden kann. Der “Fix” ist die Ausf\u00fchrung eines Befehls zur “Schriftinstallation” oder “Codec-Aktualisierung”. Diese Variante zielt besonders auf Berufsumgebungen ab, wo Dokumentenzugang allt\u00e4glich und dringend ist.<\/p>\n\n\n\n

YouTube-Tutorials und SEO-vergiftete Suchergebnisse<\/strong> locken technisch affine Nutzer, die nach L\u00f6sungen f\u00fcr Software-Probleme suchen. In diesen Szenarien erscheinen Anweisungen zur manuellen Ausf\u00fchrung von Befehlen als Teil einer legitimen Anleitung, was kritisches Hinterfragen deutlich reduziert.<\/p>\n\n\n\n

Im Mai 2026 nutzten Angreifer eine kritische SQL-Injection-L\u00fccke in Ghost CMS (CVE-2026-10956)<\/strong>, um tausende Websites zu kompromittieren und Besucher dieser Seiten mit ClickFix-Inhalten zu konfrontieren. Der Angriff kombinierte eine Software-Schwachstelle mit ClickFix als Zustellmechanismus und weitete so die Opferbasis erheblich aus.<\/p>\n\n\n\n

Technische Analyse: Warum klassische Sicherheitsl\u00f6sungen versagen<\/h2>\n\n\n\n

Der Kern der Effektivit\u00e4t von ClickFix liegt in einer einfachen technischen Tatsache: Es gibt keine Malware-Datei, die erkannt werden m\u00fcsste.<\/strong> Klassische Antivirus-Software erkennt signaturbasiert bekannte Schadprogramme. ClickFix liefert jedoch keinen signaturpflichtigen Code, sondern eine Zeichenkette, die der Nutzer selbst ausf\u00fchrt.<\/p>\n\n\n\n

Die genutzten System-Tools, mshta.exe<\/code>, cmd.exe<\/code>, powershell.exe<\/code> und conhost.exe<\/code>, sind legitimate Microsoft-Komponenten mit g\u00fcltigen Signaturen. Endpoint-Detection-and-Response-L\u00f6sungen (EDR) k\u00f6nnen auf Verhaltensebene verd\u00e4chtige Muster erkennen, aber die Unterscheidung zwischen einem Administrator, der bewusst PowerShell ausf\u00fchrt, und einem get\u00e4uschten Nutzer ist technisch schwierig.<\/p>\n\n\n\n

Microsoft beschreibt das Problem in seiner Analyse treffend: “ClickFix inverts the attack model. Instead of delivering malware to the victim, attackers convince victims to deliver it to themselves through legitimate Windows binaries that security tools have no reason to flag.” Dieser Ansatz umgeht E-Mail-Filter, Browser-Sicherheit, Datei-Sandboxen und viele EDR-Regeln gleichzeitig.<\/p>\n\n\n\n

Ein weiteres Evasion-Element ist die Nutzung von Blockchain und Smart Contracts<\/strong> (EtherHiding) zur Payload-Auslieferung. Da Blockchain-Transaktionen nicht \u00fcber traditionelle Blacklists blockiert werden k\u00f6nnen, ist diese Methode gegen URL-Filter resistent. Angreifer hinterlegen verschl\u00fcsselte Payloads in Smart Contracts und rufen diese mit legitimen Blockchain-API-Aufrufen ab.<\/p>\n\n\n\n

ClickFix auf macOS und Linux: Keine Plattform ist sicher<\/h2>\n\n\n\n

Was als Windows-spezifische Technik begann, hat sich auf alle g\u00e4ngigen Betriebssysteme ausgeweitet. Microsoft dokumentierte im Juni 2025<\/strong> eine ClickFix-Kampagne gegen macOS-Nutzer, die Atomic macOS Stealer (AMOS) \u00fcber Terminal-Befehle installierte. Die K\u00f6der-Seite forderte macOS-Nutzer auf, ein Terminal zu \u00f6ffnen und einen kopierten Befehl auszuf\u00fchren, um ein “Sicherheitszertifikat zu installieren”.<\/p>\n\n\n\n

Huntress best\u00e4tigte in seinem September 2025 Report, dass ClickFix-Varianten inzwischen auch Linux-spezifische Systemwerkzeuge ausnutzen. Gerade in Unternehmensumgebungen mit heterogenen Betriebssystemen stellt dies eine erhebliche Ausweitung der Angriffsfl\u00e4che dar.<\/p>\n\n\n\n

F\u00fcr DACH-Unternehmen mit Mac-lastigen Kreativteams oder Linux-basierten Entwicklungsumgebungen bedeutet dies: Die verbreitete Annahme, Apple- oder Linux-Systeme seien gegen\u00fcber solchen Angriffen resistenter, ist im ClickFix-Zeitalter nicht mehr haltbar. Awareness-Schulungen und technische Gegenma\u00dfnahmen m\u00fcssen alle Plattformen abdecken.<\/p>\n\n\n\n

DACH-Unternehmen im Visier: Die Bedrohungslage f\u00fcr Deutschland<\/h2>\n\n\n\n

Deutschland ist laut dem Darktrace Report 2026<\/strong> das beliebteste Ziel f\u00fcr Cyberangriffe in ganz Europa. Deutsche Unternehmen erlebten durchschnittlich 1.223 Cyberangriffe pro Woche<\/strong>, das entspricht 175 Angriffen t\u00e4glich. Bildungseinrichtungen waren mit 2.885 Angriffen pro Woche am st\u00e4rksten betroffen, mehr als doppelt so viele wie der nationale Durchschnitt.<\/p>\n\n\n\n

Der durch Cyberkriminalit\u00e4t verursachte Gesamtschaden in Deutschland bel\u00e4uft sich laut Bitkom und BSI auf 289 Milliarden Euro<\/strong> f\u00fcr das Jahr 2025\/2026. Davon entf\u00e4llt ein wachsender Anteil auf Angriffe, die \u00fcber Social-Engineering-Techniken wie ClickFix eingeleitet wurden. Das BKA registrierte 333.922 Cyberkriminalit\u00e4tsf\u00e4lle<\/strong> in Deutschland im Jahr 2025.<\/p>\n\n\n\n

Besonders anf\u00e4llig f\u00fcr ClickFix-Kampagnen sind Branchen mit hohem Anteil an Wissensarbeitern, die regelm\u00e4\u00dfig digitale Tools nutzen: Finanzdienstleistungen, Gesundheitswesen, Maschinenbau und \u00f6ffentliche Verwaltung. In diesen Branchen sind Mitarbeiter es gewohnt, Software-Aufforderungen zu folgen, was die Erfolgsrate von ClickFix-K\u00f6dern erh\u00f6ht.<\/p>\n\n\n\n

Ein weiterer Faktor: 82,6 Prozent aller Phishing-E-Mails<\/strong> sind laut KnowBe4 inzwischen KI-generiert, was bedeutet, dass ClickFix-Kampagnen, die per E-Mail eingeleitet werden, immer \u00fcberzeugender werden. Die Kombination aus KI-generiertem Social Engineering und ClickFix als Ausf\u00fchrungsmechanismus ist die gef\u00e4hrlichste Angriffskombination des Jahres 2026.<\/p>\n\n\n\n

ClickFix vs. klassisches Phishing: Vergleich der Angriffsmethoden<\/h2>\n\n\n\n
Merkmal<\/th>Klassisches Phishing<\/th>ClickFix<\/th><\/tr><\/thead>
Ersterkennungsjahr<\/td>1990er<\/td>M\u00e4rz 2024<\/td><\/tr>
Anteil Erstzug\u00e4nge 2025<\/td>35%<\/td>47%<\/td><\/tr>
Wachstum 2024-2025<\/td>Stagnierend<\/td>+517% (ESET)<\/td><\/tr>
Erkennung durch AV\/EDR<\/td>Mittel (Anhang-Signaturen)<\/td>Niedrig (keine Malware-Datei)<\/td><\/tr>
Betroffene Plattformen<\/td>Windows, macOS<\/td>Windows, macOS, Linux<\/td><\/tr>
Technische Vorkenntnisse Opfer n\u00f6tig<\/td>Keine<\/td>Minimale (Run-Dialog \u00f6ffnen)<\/td><\/tr>
H\u00e4ufigste Nutzlast<\/td>Malware-Anhang, Link<\/td>Lumma Stealer (51%)<\/td><\/tr>
Bypass-Rate klassischer E-Mail-Filter<\/td>~30%<\/td>Bis zu 90% (keine Anh\u00e4nge)<\/td><\/tr>
Einsatz durch APT-Gruppen<\/td>H\u00e4ufig<\/td>Zunehmend<\/td><\/tr>
MITRE ATT&CK-Technik<\/td>T1566 Phishing<\/td>T1204.004 Malicious Copy and Paste<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

Erkennung und Abwehr: 8 konkrete Schutzma\u00dfnahmen<\/h2>\n\n\n\n

Die gute Nachricht: ClickFix l\u00e4sst sich mit einer Kombination aus technischen und organisatorischen Ma\u00dfnahmen wirksam eind\u00e4mmen. Die folgenden acht Empfehlungen basieren auf den Handlungsempfehlungen von Microsoft, Huntress und Palo Alto Networks Unit 42.<\/p>\n\n\n\n

1. Security Awareness Training mit ClickFix-Szenarien.<\/strong> Mitarbeiter m\u00fcssen konkret trainieren, wie ein ClickFix-Angriff aussieht. Simulations\u00fcbungen, die gef\u00e4lschte CAPTCHA-Seiten, Browser-Update-Aufforderungen und Dokumentenfehler nachbilden, bauen die n\u00f6tige Skepsis auf. Kein Sicherheitssystem kann menschliche Entscheidungen ersetzen.<\/p>\n\n\n\n

2. PowerShell- und CMD-Zugriffsbeschr\u00e4nkung.<\/strong> F\u00fcr die meisten Mitarbeiter besteht keine betriebliche Notwendigkeit, PowerShell oder den Run-Dialog zu nutzen. Group Policy Objects (GPOs) k\u00f6nnen den Zugriff auf diese Werkzeuge f\u00fcr Standard-Nutzer einschr\u00e4nken oder protokollieren. AppLocker und Windows Defender Application Control erm\u00f6glichen granulare Kontrolle.<\/p>\n\n\n\n

3. AMSI-Monitoring und PowerShell-Protokollierung.<\/strong> Das Antimalware Scan Interface (AMSI) pr\u00fcft PowerShell-Skripte vor der Ausf\u00fchrung. Vollst\u00e4ndige PowerShell-Protokollierung (Script Block Logging, Module Logging) erm\u00f6glicht nachtr\u00e4gliche forensische Analyse selbst dann, wenn der Angriff die Erstbarrieren \u00fcberwindet.<\/p>\n\n\n\n

4. Behavioral Analytics und Process-Relationship-Monitoring.<\/strong> Huntress betont: “Wirksame Erkennung erfordert die \u00dcberwachung legitimer Systemtools, die durch Nutzerinteraktion missbraucht werden. Das macht Verhaltensanalyse und Process-Relationship-Monitoring zu unverzichtbaren Komponenten.” Suchen Sie nach dem Muster explorer.exe -> conhost.exe --headless<\/code> als Erkennungssignal.<\/p>\n\n\n\n

5. Web-Proxy mit Inhaltsfilterung.<\/strong> Viele ClickFix-Seiten nutzen bekannte Infrastrukturen. DNS-Filterung (DNS over HTTPS mit Blocklisten), Browser-Isolationstechnologie und Web-Proxies mit KI-basierter Inhaltsanalyse k\u00f6nnen ClickFix-Seiten vor dem Laden blockieren.<\/p>\n\n\n\n

6. Clipboard-Monitoring.<\/strong> Spezialisierte Endpoint-L\u00f6sungen k\u00f6nnen den Inhalt der Zwischenablage auf verd\u00e4chtige Befehlsmuster \u00fcberwachen. Befehlsstrings, die mshta.exe<\/code>, cmd.exe \/c<\/code>, powershell -enc<\/code> oder obfuskierten Code enthalten, sollten automatisch geblockt und gemeldet werden.<\/p>\n\n\n\n

7. Netzwerksegmentierung und Zero Trust.<\/strong> ClickFix zielt auf initiale Kompromittierung, anschlie\u00dfendes Lateral Movement ist der zweite Schritt. Mikrosegmentierung und Zero-Trust-Prinzipien begrenzen den Schaden, auch wenn ein Arbeitsplatz kompromittiert wird. Der Sophos-Befund von 3,40 Stunden bis zur AD-Kompromittierung zeigt, wie wichtig schnelle Eind\u00e4mmung ist.<\/p>\n\n\n\n

8. Incident Response Playbook f\u00fcr ClickFix.<\/strong> Unternehmen sollten spezifische Playbooks f\u00fcr ClickFix-Verdachtsf\u00e4lle erstellen. Schl\u00fcsselelemente: sofortige Netzwerkisolation des betroffenen Systems, Zwischenablage-Forensik, Prozessbaum-Analyse und Suche nach geplanten Aufgaben oder Autostart-Eintr\u00e4gen.<\/p>\n\n\n\n

KI beschleunigt ClickFix: Deepfakes und automatisierte K\u00f6der<\/h2>\n\n\n\n

Die Verbindung von ClickFix mit KI-gest\u00fctzten Angriffsmethoden ist die besorgniserregendste Entwicklung im Jahr 2026. 82,6 Prozent aller Phishing-E-Mails<\/strong> sind bereits KI-generiert (KnowBe4). Deepfake-Angriffe auf Unternehmen stiegen um \u00fcber 300 Prozent. ClickFix-Kampagnen profitieren von dieser Entwicklung doppelt.<\/p>\n\n\n\n

Erstens werden die K\u00f6der-Seiten selbst mit KI \u00fcberzeugender gestaltet. Statt generischer Fehlermeldungen erscheinen kontextspezifische, personalisierte Hinweise, die auf die besuchte Webseite, den genutzten Browser oder sogar den erkannten Unternehmenskontext zugeschnitten sind. KI kann aus \u00f6ffentlich verf\u00fcgbaren Daten (LinkedIn, Unternehmenswebseiten) K\u00f6der generieren, die wie interne IT-Kommunikation des Zielunternehmens wirken.<\/p>\n\n\n\n

Zweitens erm\u00f6glicht KI die Automatisierung von Erstzugangskampagnen<\/strong> in einem Ausma\u00df, das manuell nicht m\u00f6glich w\u00e4re. Angreifer k\u00f6nnen mit KI tausende Zielorganisationen analysieren, spezifische K\u00f6der generieren und Kampagnen vollautomatisch ausrollen. Der Center for Internet Security dokumentierte ClickFix als verantwortlich f\u00fcr mehr als ein Drittel aller Non-Malware-Alerts<\/strong> gegen US-amerikanische Beh\u00f6rden in H1 2025.<\/p>\n\n\n\n

5 Prognosen f\u00fcr ClickFix 2026 und 2027<\/h2>\n\n\n\n

Basierend auf den aktuellen Wachstumsraten, den dokumentierten Angreifer-TTPs (Taktiken, Techniken, Prozeduren) und den Einsch\u00e4tzungen f\u00fchrender Sicherheitsunternehmen lassen sich f\u00fcnf klare Prognosen f\u00fcr die weitere Entwicklung treffen.<\/p>\n\n\n\n

Prognose 1: ClickFix wird 50% aller dokumentierten Erstzug\u00e4nge \u00fcberschreiten.<\/strong> Ausgehend von 47 Prozent in 2025 und den anhaltenden Wachstumsraten ist eine \u00dcberschreitung der 50-Prozent-Marke bis Ende 2026 wahrscheinlich. Recorded Future hat dies als sehr wahrscheinliches Szenario bewertet.<\/p>\n\n\n\n

Prognose 2: Mobile Plattformen werden das n\u00e4chste Ziel.<\/strong> W\u00e4hrend ClickFix bisher haupts\u00e4chlich Desktop-Systeme trifft, werden mobile Varianten f\u00fcr iOS und Android erscheinen. Die technische \u00dcbertragung auf mobile Ger\u00e4te, etwa \u00fcber Shortcuts oder Automatisierungsapps, ist algorithmisch umsetzbar.<\/p>\n\n\n\n

Prognose 3: Browser-Hersteller werden mit nativen Gegenma\u00dfnahmen reagieren.<\/strong> Google Chrome und Microsoft Edge werden im Jahr 2026\/2027 Warnmeldungen f\u00fcr Clipboard-Injection-Versuche einf\u00fchren, \u00e4hnlich wie bei verd\u00e4chtigen Download-Links. Erste Prototypen sind f\u00fcr Edge bereits dokumentiert.<\/p>\n\n\n\n

Prognose 4: ClickFix wird der Standardzugangsweg f\u00fcr Ransomware-Gruppen.<\/strong> Derzeit nutzen Ransomware-Gruppen wie Qilin (15% Marktanteil), LockBit (12%) und Akira (9%) verschiedene Zugangsverfahren. ClickFix bietet aufgrund seiner Erkennungsresistenz klare Vorteile und d\u00fcrfte sich als Standardverfahren etablieren.<\/p>\n\n\n\n

Prognose 5: Deutschland wird ClickFix-spezifische BSI-Warnungen und NIS-2-Leitlinien erhalten.<\/strong> Das BSI hat begonnen, spezifische Warnungen f\u00fcr Angriffstechniken herauszugeben. Angesichts der Verbreitung von ClickFix in deutschen Unternehmensumgebungen ist eine spezifische BSI-Lageeinsch\u00e4tzung mit Handlungsempfehlungen bis Ende 2026 zu erwarten.<\/p>\n\n\n\n

Verwandte Berichte und Hintergr\u00fcnde<\/h2>\n\n\n\n

Weiterf\u00fchrende Analysen zur aktuellen Bedrohungslage auf shattered.io:<\/p>\n\n\n\n