Gefälschtes „Ich bin kein Roboter“: Wenn CAPTCHA zum Betrug wird
Eine echte CAPTCHA soll prüfen, ob ein Mensch eine Website nutzt. Eine gefälschte Seite kann das Aussehen kopieren, um Sie zum Öffnen eines Systemwerkzeugs und Ausführen eines Befehls zu bringen. Diese Täuschung heißt ClickFix.
Was genau haben Sie auf der Seite getan?
Das Risiko hängt vom konkreten Schritt ab. Eine Seite anzusehen ist etwas anderes, als im Betriebssystem einen Befehl auszuführen.
Ich habe die gefälschte Prüfung nur gesehen
Sie haben die Seite gesehen, aber nichts kopiert oder ausgeführt.
Vorgehen ansehen →Ich habe „Ich bin kein Roboter“ angeklickt
Sie haben geklickt, aber weder Ausführen, PowerShell noch ein Terminal geöffnet.
Vorgehen ansehen →Ich habe einen Befehl eingefügt, aber vermutlich nicht ausgeführt
Sie haben Inhalt in ein Systemwerkzeug eingefügt. Wenn unklar ist, ob er ausgeführt wurde, folgen Sie den Schritten für einen ausgeführten Befehl.
Vorgehen ansehen →Ich habe den Befehl bereits ausgeführt
Der Befehl wurde ausgeführt. Ihr Gerät könnte weiteren Code heruntergeladen oder gestartet haben.
Sofortmaßnahmen öffnen →Wie eine gefälschte Prüfung zur Befehlsausführung führt
Der Täter lässt den Vorgang wie eine gewöhnliche Sicherheitsprüfung wirken und führt Sie dann vom Browser in ein Systemwerkzeug.
Sie gelangen auf eine Seite
Der Link kann aus einer E-Mail, Anzeige, einem Suchergebnis oder einer kompromittierten seriösen Website stammen.
CAPTCHA oder Fehlermeldung erscheint
„Verify you are human“, „Ich bin kein Roboter“ oder ein vorgetäuschter technischer Fehler.
Die Seite bereitet einen Befehl vor
Ein Klick kann unbemerkt einen schädlichen Befehl in Ihre Zwischenablage kopieren.
Aufforderung zu Win + R
Die Website fordert Sie auf, einen Systemdialog oder ein anderes Werkzeug zu öffnen.
Sie sollen Strg + V verwenden
Sie fügen einen von der Seite vorbereiteten Befehl ein, keine CAPTCHA-Bestätigung.
Der Befehl startet weiteren Code
Mögliche Folgen sind Malware-Downloads, gestohlene Zugangsdaten oder Fernsteuerung Ihres Geräts.
Eine gefälschte Prüfung kann zur Malware-Installation werden
Was eine echte CAPTCHA tun kann — und wann Sie stoppen sollten
Aussehen und Logo des Kästchens sind nicht entscheidend. Entscheidend ist die verlangte Handlung.
Übliche Prüfung
- Findet innerhalb der Website statt.
- Kann ein Kontrollkästchen verlangen.
- Kann eine Bildauswahl verlangen.
- Kann automatisch erfolgen.
- Öffnet keine Systemwerkzeuge.
- Verlangt keine manuelle Befehlsausführung.
Gefälschte Prüfung
- Verlangt Win + R.
- Verlangt das Öffnen von PowerShell oder Terminal.
- Verlangt das Einfügen mit Strg + V.
- Verlangt das Ausführen eines Befehls.
- Nennt dies „manuelle Verifizierung“.
- Führt Sie aus dem Browser heraus.
Es geht nicht nur um „Ich bin kein Roboter“
Dieselbe Technik kann hinter einem gefälschten Fehler, Update oder Sicherheitshinweis stecken. Gemeinsam ist der Versuch, Sie selbst einen Systembefehl ausführen zu lassen.
„Ich bin kein Roboter“
Gefälschte CAPTCHA oder Aufforderung „Verify you are human“.
„Das Dokument konnte nicht geladen werden“
Angeblich ist eine manuelle Systemreparatur nötig.
„Aktualisieren Sie Ihren Browser“
Die Seite behauptet, eine wichtige Komponente oder Aktualisierung fehle.
„Beheben Sie einen Windows-Fehler“
Sie sollen einen vorbereiteten Befehl kopieren und ausführen.
„Verifizieren Sie Ihr Konto“
Der Betrug ahmt einen bekannten Dienst oder eine Institution nach.
„Alternative Prüfung“
Nach einer normalen CAPTCHA folgt ein angeblich nötiger manueller Schritt.
Betrüger nutzen Vertrauen in technische Routinehandlungen
ClickFix nutzt psychologische Mechanismen und die Erwartung, dass eine übliche „Prüfung“ oder „Reparatur“ sicher ist.
Routineverhalten
Menschen sind gewohnt, CAPTCHAs automatisch zu bestätigen, ohne jeden Schritt zu hinterfragen.
Technische Autorität
Die Anweisungen wirken, als kämen sie vom Betriebssystem oder einem bekannten Dienst.
Der Nutzer startet den Angriff
Der gefährliche Schritt ist nicht immer eine gewöhnliche automatisch heruntergeladene Datei.
Die Zwischenablage verbirgt den Inhalt
Sie wissen möglicherweise nicht genau, welchen Befehl Strg + V ins System eingefügt hat.
Was nach der Befehlsausführung passieren kann
Die Folgen hängen vom Code ab. Gehen Sie nicht davon aus, dass nur eine bestimmte Bedrohung vorliegt.
Passwortdiebstahl
Im Browser oder Betriebssystem gespeicherte Zugangsdaten.
Diebstahl von Cookies und Sitzungen
Der Angreifer kann versuchen, bereits angemeldete Sitzungen zu missbrauchen.
Zugriff auf E-Mails
E-Mail kann zum Zurücksetzen weiterer Konten und Passwörter dienen.
Kryptowährungsdaten
Wallets, Browsererweiterungen oder Börsenkonten können gefährdet sein.
Fernsteuerung des Geräts
Geladener Code kann weiteren Zugriff oder die Steuerung des Computers ermöglichen.
Weitere Schadsoftware
Der Befehl kann weitere schädliche Komponenten herunterladen.
Stoppen Sie, wenn eine Website Sie zu Systemwerkzeugen schickt
Win + R
Eine CAPTCHA muss den Dialog Ausführen nicht öffnen.
Strg + V außerhalb des Browsers
Die Seite fordert Sie auf, unbekannten Inhalt ins System einzufügen.
PowerShell
Manuelle Befehlsausführung gehört nicht zu einer normalen CAPTCHA.
Windows Terminal
Eine Mensch-Prüfung erfordert kein Terminal.
Eingabeaufforderung
Technische Anweisungen führen Sie aus der Website heraus.
Installation unbekannter Programme
Die Seite fordert einen Werkzeug-Download oder eine „Reparatur-App“.
Unerwartete manuelle Prüfung
Eine gewöhnliche Webprüfung wird zu Systemanweisungen.
Die Website führt Sie aus dem Browser heraus
Die Prüfung geht in Systemwerkzeugen weiter.
Das Prinzip ist wichtiger als die Tastenkombination
ClickFix-Kampagnen richteten sich auch gegen macOS-Nutzer. Die Anweisungen lassen sich an das Betriebssystem anpassen.
Vorgehen je nach erreichtem Schritt
Entscheidend ist, ob Sie die Seite nur gesehen, eine Schaltfläche angeklickt, einen Befehl eingefügt oder ihn ausgeführt haben.
Ich habe die Seite nur gesehen
- Kopieren Sie nichts.
- Fügen Sie nichts in Systemwerkzeuge ein.
- Schließen Sie die Seite.
- Öffnen Sie den verdächtigen Link nicht erneut.
- Sie können die verdächtige Seite melden.
Ich habe „Ich bin kein Roboter“ angeklickt, aber sonst nichts getan
- Schließen Sie die Seite.
- Verwenden Sie keinen Zwischenablageinhalt von dieser Seite.
- Fügen Sie nichts in Ausführen, PowerShell oder ein Terminal ein.
- Laden Sie keine „Reparaturwerkzeuge“ herunter.
- Ein Klick allein bedeutet nicht zwangsläufig, dass Schadsoftware ausgeführt wurde.
Ich habe einen Befehl eingefügt, aber vermutlich nicht ausgeführt
- Falls der Befehl sicher nicht ausgeführt wurde, entfernen Sie ihn, ohne ihn zu starten.
- Schließen Sie Dialog oder Terminal.
- Drücken Sie nicht Enter. Einfügen in ein Terminal kann Befehle unter Umständen automatisch ausführen. Bei Unsicherheit gehen Sie von einer Ausführung aus.
- Schließen Sie die Seite.
- Führen Sie vorsorglich einen Sicherheitsscan durch.
Ich habe den Befehl bereits ausgeführt
- Trennen Sie das Gerät vom Internet.
- Nutzen Sie es nicht für Banking, E-Mail oder Passwortänderungen.
- Ändern Sie wichtige Passwörter von einem anderen sicheren Gerät aus.
- Beenden Sie aktive Sitzungen wichtiger Konten.
- Veranlassen Sie eine vollständige Sicherheitsprüfung. Holen Sie bei Unsicherheit vertrauenswürdige technische Hilfe. Ein unauffälliger Scan allein garantiert keine Sicherheit.
- Prüfen Sie unbekannte Programme, Konten und aktive Sitzungen.
- Falls Bankzugangsdaten oder Zahlungsdaten betroffen sein könnten, kontaktieren Sie Ihre Bank von einem sicheren Gerät aus.
- Wenden Sie sich bei festgestelltem Schaden oder Missbrauch an Ihre örtliche Polizei.
Nach einem unbekannten Befehl nicht normal weiterarbeiten
Wenn Sie nicht wissen, was der Befehl getan hat, betrachten Sie das Gerät als möglicherweise kompromittiert. Ändern Sie wichtige Passwörter auf einem anderen sicheren Gerät und holen Sie bei Bedarf technische Hilfe.
Was Sie aufbewahren sollten
Dokumentation kann bei der Prüfung helfen. Führen Sie aber nichts erneut aus, nur um Belege zu sammeln.
URL der Seite
Genaue Adresse der verdächtigen Seite und wie Sie dorthin gelangt sind.
Screenshot der gefälschten CAPTCHA
Aussehen der Seite, Prüfungstext und angezeigte Anweisungen.
Text der Anweisungen
Was genau die Seite von Ihnen verlangt hat.
Befehl als Text
Nur wenn er noch sicher verfügbar ist, ohne ihn erneut auszuführen.
Zeitpunkt des Vorfalls
Datum und ungefähre Zeit von Klick, Einfügen oder Ausführung.
Neue Dateien oder Programme
Namen neuer Dateien, Installationen oder verdächtiger Prozesse.
Gefälschte Mensch-Prüfungen und ClickFix — FAQ
Ist jedes „Ich bin kein Roboter“ gefährlich?
Nein. CAPTCHA ist ein übliches Sicherheitsverfahren. Ein Warnsignal ist die Aufforderung, für die Prüfung den Browser zu verlassen und manuell einen Systembefehl auszuführen.
Ist schon das Anklicken einer CAPTCHA gefährlich?
Ein Klick führt nicht zwangsläufig Malware aus. Bei ClickFix kann er einen Befehl in die Zwischenablage legen. Das anschließende Einfügen und Ausführen ist der kritische weitere Schritt.
Was ist ClickFix?
Eine Täuschungstechnik, bei der eine Website unter dem Vorwand einer CAPTCHA, Fehlerbehebung oder technischen Prüfung zur manuellen Ausführung eines vorbereiteten Befehls auffordert.
Warum verlangt der Betrug Win + R?
Im Dialog Ausführen lassen sich Befehle manuell starten. Der Täter will, dass Sie selbst den von der Website vorbereiteten Inhalt ausführen.
Kann auch eine seriöse Website kompromittiert sein?
Ja. ClickFix kann auf kompromittierten seriösen Websites erscheinen. Ein vertrauenswürdiger Name ist kein Grund, ungewöhnlichen Systemanweisungen zu folgen.
Was, wenn ich den Befehl eingefügt, aber nicht ausgeführt habe?
Drücken Sie nicht Enter. Entfernen Sie den Befehl und schließen Sie den Dialog. Einfügen ins Terminal kann Befehle unter Umständen automatisch starten. Folgen Sie bei Unsicherheit den Schritten für ausgeführte Befehle und führen Sie vorsorglich einen Sicherheitsscan durch.
Was, wenn ich den Befehl ausgeführt habe?
Trennen Sie das Gerät vom Netz, nutzen Sie dort keine sensiblen Dienste, ändern Sie wichtige Passwörter auf einem anderen sicheren Gerät und veranlassen Sie eine vollständige Sicherheitsprüfung. Holen Sie bei Bedarf vertrauenswürdige technische Hilfe.
Betrifft ClickFix auch macOS?
Ja. Die Methode lässt sich an andere Betriebssysteme anpassen. Die Regel bleibt gleich: Eine Website darf zur Mensch-Prüfung keine manuell ausgeführten Systembefehle verlangen.
Gefälschte Mensch-Prüfung oder ClickFix-Seite entdeckt?
Bewahren Sie URL, Screenshot und Anweisungen auf. Eine DPP-Meldung ersetzt weder die Geräteprüfung noch den Kontakt zur Bank oder eine Anzeige bei der Polizei. Das DPP-Formular ist derzeit auf Tschechisch.