ClickFix ist eine betrügerische Angriffsmethode, bei der Kriminelle manipulierte Webseiten und täuschend echte Sicherheitsüberprüfungen nutzen, um Nutzer zur manuellen Ausführung schädlicher Systembefehle zu bewegen. Weil Anwender den Schadcode selbst in Ausführen-Dialoge, PowerShell oder Terminals kopieren, umgehen diese Angriffe viele automatische Schutzfilter.
In dieser Anleitung erfahren Sie, an welchen Merkmalen Sie gefälschte CAPTCHA- und Browser-Meldungen zuverlässig entlarven, wie Sie die Ausführung im entscheidenden Moment stoppen und welche Sofortmaßnahmen Ihr System absichern, falls bereits ein Befehl ausgeführt wurde.
Akutfall: Nicht weiterklicken
- Befehl eingefügt oder ausgeführt? Trennen Sie unverzüglich sämtliche Netzwerkverbindungen (WLAN abschalten, LAN-Kabel ziehen).
- Text nur kopiert? Fügen Sie den Inhalt keinesfalls in Ausführen-Dialoge oder Terminals ein. Überschreiben Sie die Zwischenablage durch Kopieren eines harmlosen Wortes.
- Browser reagiert nicht? Beenden Sie den Browserprozess über den Task-Manager (Windows) oder „Sofort beenden" (macOS), anstatt im Dialogfenster weiterzuklicken.
- Konten und Zugänge absichern: Ändern Sie betroffene Kennwörter umgehend von einem separaten, nachweislich sauberen Zweitgerät aus.
Das Wichtigste in Kürze
- Echte CAPTCHA verlangt keine Systembefehle: Eine echte CAPTCHA-Prüfung erfordert niemals Systembefehle, PowerShell-Eingaben oder das Öffnen eines Terminalfensters. Wenn eine Seite Sie auffordert, Text in ein Systemfenster einzufügen und zu bestätigen, stoppen Sie sofort und schließen die Registerkarte.
- Optik beweist nichts: Weder bekannte Logos (wie Cloudflare) noch ausbleibende Virenwarnungen beweisen, dass eine Website manipulationsfrei ist.
- Bei Ausführung sofort isolieren: Haben Sie bereits einen Befehl ausgeführt, isolieren Sie das Gerät sofort vom Netzwerk und kontaktieren eine vertrauenswürdige Fachhilfe.
Kapitel 1: Was ist ClickFix und warum wirken Fake-CAPTCHAs glaubwürdig?
ClickFix ist eine Angriffsmasche, bei der Angreifer echte oder gehackte Webseiten verwenden, um gefälschte Sicherheitsprüfungen einzublenden. Diese Seiten zeigen vermeintlich von Cloudflare stammende CAPTCHA-Fenster oder gefälschte Browser-Warnungen an – Fenster, die echten Fehlermeldungen oder Verifikationen sehr ähnlich sehen.
Das Tückische ist nicht der Klick auf eine CAPTCHA-Box selbst. Das Tückische ist das, was danach kommt: Nachdem Sie geklickt oder vermeintlich „bestätigt" haben, erhalten Sie eine Aufforderung, fremde Befehle einzufügen und auszuführen. Diese Befehle können Schadsoftware nachladen.
Die Angreifer nutzen mehrere Gründe, warum Menschen diesen Aufforderungen trauen: Sie haben gerade eine scheinbar echte CAPTCHA gelöst und denken, das wäre der Abschluss. Die Warnung stammt angeblich von einer bekannten Firma oder Sicherheitsfirma. Der Browser selbst scheint die Warnung zu zeigen oder zu bestätigen. Die Seite wurde vielleicht von einem vertrauten Link oder einer echten Webseite aus aufgerufen (die Seite wurde selbst gehackt).
Vergleichbare ClickFix-Varianten sind für Windows, macOS und Linux dokumentiert. Die Angreifer passen die Aufforderung an das Betriebssystem an, damit Sie denken, es handele sich um ein legitimes Problem.
↑ Zurück zum Inhaltsverzeichnis
Kapitel 2: Woran erkennen Sie, dass eine Prüfung zur gefährlichen Systemaktion wird?
Der kritische Moment ist der Punkt, an dem die Seite Sie auffordert, einen Computerbefehl auszuführen. Erkennen Sie folgende Zeichen:
Aufforderung, etwas in die Kommandozeile oder Systemkonsole zu kopieren: Sie öffnen normalerweise die Kommandozeile (Windows: cmd oder powershell; Mac/Linux: Terminal) nicht per Hand, um etwas einzufügen, das eine Webseite Ihnen diktiert. Wenn eine Sicherheitswarnung von einer Webseite verlangt, dass Sie „die folgenden Schritte öffnen und durchführen", „diese Zeile kopieren", „in die Konsole einfügen" oder „Enter drücken", ist das bereits ein Alarmzeichen. Auch der Windows-Dialog „Ausführen" gehört zu den Warnsignalen. Stoppen Sie, wenn eine CAPTCHA-Seite Sie auffordert, Windows-Taste + R, anschließend Einfügen und eine Bestätigung zu verwenden. Ein schwarzes Konsolenfenster muss dabei nicht sichtbar bleiben.
Die Aufforderung erfolgt, nachdem eine CAPTCHA „gelöst" wurde: Sie lösen eine vermeintliche CAPTCHA-Prüfung (einen Knopf klicken, Bilder auswählen, Häkchen setzen). Sofort danach – nicht später, sondern unmittelbar – erhalten Sie eine neue Anweisung: „Kopieren Sie jetzt diesen Code", „Führen Sie diesen Befehl aus", „Öffnen Sie das Terminalfenster". Das ist ein typisches ClickFix-Muster. Eine CAPTCHA-Prüfung erfordert keine Befehlsausführung.
Der Befehlstext sieht unlesbar, vollgepackt oder technisch aus: Eine CAPTCHA-Prüfung erfordert keine Systembefehle. Technische Supportanleitungen können dagegen Befehle enthalten. Führen Sie solche Befehle nicht auf Aufforderung einer unerwarteten Webseite oder eines Pop-ups aus. Prüfen Sie die Anleitung unabhängig über die selbst aufgerufene offizielle Supportseite. Wenn der angebotene Text aus kryptischen Buchstaben, Zahlen und Symbolen besteht und Sie aufgefordert werden, ihn eins-zu-eins zu kopieren, vertrauen Sie dieser Warnung nicht.
Es wird Eile suggeriert: „Sie haben nur 30 Sekunden", „Jetzt handeln oder Ihr System wird gesperrt", „Dies ist Ihr letzter Versuch". Zeitdruck ist ein Warnsignal, beweist allein aber keinen Betrug. Lassen Sie sich dadurch nicht zur Ausführung fremder Befehle bewegen.
↑ Zurück zum Inhaltsverzeichnis
Kapitel 3: Welche Browser-Warnungen und Reparaturaufforderungen sollten Sie abbrechen?
Nicht jede Warnung, die Ihr Browser zeigt, ist echt – und nicht jede echte Browser-Warnung verlangt eine Aktion, die Sie sofort durchführen müssen.
Warnsignale im Browser: Ein Fenster behauptet „Ihr Computer ist befallen", „Ihre Browser-Version ist veraltet" oder „Sicherheitsprüfung erforderlich". Das Fenster erscheint, obwohl Sie gerade auf einer normalen Webseite waren (nicht auf einer vom Browser selbst stammenden Seite, wie dem Einstellungsmenü). Sie werden aufgefordert, eine Datei herunterzuladen oder ein Programm zu starten, um das „Problem" zu beheben. Ein Fenster wird eingeblendet, während Sie eine Website durchsuchen oder einfach nur dort waren – nicht, weil Sie selbst ein Update oder eine Überprüfung gestartet haben.
Wie Sie eine Update-Meldung unabhängig prüfen: Schließen Sie die verdächtige Webseite. Rufen Sie die Aktualisierungsfunktion anschließend selbst über das Menü Ihres installierten Browsers auf. Verwenden Sie dafür keine Schaltfläche aus der Warnmeldung. Eine selbst angeklickte Schaltfläche innerhalb einer Webseite beweist nicht, dass der folgende Dialog vom Browser stammt. Wenn Sie Webseite und Browserfunktion nicht sicher unterscheiden können, brechen Sie ab und holen Sie Hilfe.
↑ Zurück zum Inhaltsverzeichnis
Kapitel 4: Wie stoppen Sie den Vorgang, bevor ein fremder Befehl ausgeführt wird?
Die verdächtige Webseite ist geöffnet; möglicherweise wurde zusätzlich ein Ausführen-Dialog oder Terminal geöffnet. Fügen Sie nichts ein und bestätigen Sie keinen Befehl. Schließen Sie die Registerkarte über das X in der Tab-Leiste. Reagiert der Browser nicht, verwenden Sie unter Windows den Task-Manager: Öffnen Sie ihn, wählen Sie den Browser in der Prozessliste und beenden Sie ihn. Auf dem Mac öffnen Sie mit Wahltaste + Befehlstaste + Esc den Dialog „Sofort beenden", wählen den Browser und bestätigen „Sofort beenden". Unter Linux verwenden Sie die Prozessverwaltung Ihrer Desktopumgebung. Dabei können ungespeicherte Browser-Eingaben verloren gehen.
Prüfkriterium: Können Sie nachvollziehen, dass kein fremder Befehl ausgeführt, kein Programm gestartet und keine sensible Information eingegeben wurde?
Erfolgssignal
Die verdächtige Seite ist geschlossen und die angeleitete Systemaktion wurde abgebrochen. Das bestätigt den Abbruch, nicht die Schadensfreiheit des Geräts.
Fehlerweg
Ist eine Ausführung möglich oder der Ablauf unklar, folgen Sie Kapitel 9. Können Sie den Browser nicht beenden, holen Sie Hilfe über einen unabhängig bekannten Kontaktweg. Stellen Sie beim nächsten Browserstart die verdächtige Registerkarte nicht wieder her. Erscheint sie erneut, schließen Sie sie ohne weitere Interaktion.
Entscheidungstabelle: Beobachtung, Einordnung, sicherer Schritt
| Beobachteter Handlungsschritt | Nächste sichere Handlung |
|---|---|
| Seite nur angesehen oder CAPTCHA angeklickt | Mehrdeutig. Seite schließen. Prüfen, ob zusätzlich etwas eingefügt, ausgeführt, installiert oder eingegeben wurde. Bei Unklarheit wie mögliche Ausführung handeln (Kapitel 9). |
| Text nur kopiert; keine Ausführung festgestellt | Sicherer Schritt. Nicht in einen Ausführen-Dialog oder ein Terminal einfügen. Die aktive Zwischenablage durch Kopieren eines harmlosen Textes ersetzen. Ein vorhandener Zwischenablageverlauf kann ältere Einträge weiterhin enthalten; verdächtige Einträge dort gesondert löschen. |
| Befehl eingefügt; Ausführung unklar | Warnsignal. Netzwerk trennen, Gerät nicht für Kontenzugriffe verwenden und zuständige IT beziehungsweise vertrauenswürdige Fachhilfe kontaktieren (Kapitel 9). |
| Befehl ausgeführt oder Programm gestartet | Warnsignal. Unverzüglich Sofortmaßnahmen ergreifen und betroffene Konten von einem anderen vertrauenswürdigen Gerät absichern (Kapitel 9). |
Seite nur angesehen oder CAPTCHA angeklickt
Mehrdeutig: Seite schließen, auf weitere Eingaben prüfen.
Text nur kopiert, keine Ausführung
Sicherer Schritt: nicht einfügen, Zwischenablage überschreiben.
Befehl eingefügt, Ausführung unklar
Warnsignal: Netzwerk trennen, Fachhilfe kontaktieren.
Befehl ausgeführt oder Programm gestartet
Warnsignal: Sofortmaßnahmen, Konten absichern.
↑ Zurück zum Inhaltsverzeichnis
Kapitel 5: Was tun Sie, wenn Sie bereits geklickt oder Text kopiert haben?
Ordnen Sie den tatsächlichen Ablauf ein. Nicht sichtbare Fenster oder fehlende Fehlermeldungen beweisen nicht, dass kein Befehl ausgeführt wurde. Wie Sie den beobachteten Handlungsschritt konkret einordnen, zeigt die Entscheidungstabelle in Kapitel 4.
Wie gehen Sie mit der Windows-Zwischenablage um? Wenn sicher nur kopiert wurde, ersetzen Sie zunächst die aktive Zwischenablage durch einen selbst geschriebenen harmlosen Text. Ein bereits aktivierter Verlauf lässt sich mit Windows-Taste + V öffnen. Wählen Sie beim verdächtigen Eintrag das Menü und „Löschen"; klicken Sie nicht auf den Befehl zum Einfügen. „Alle löschen" lässt angeheftete Einträge bestehen. Wenn der Verlauf nicht aktiviert ist, aktivieren Sie ihn nicht eigens. Können Sie einen verdächtigen Eintrag nicht sicher entfernen, fügen Sie vorerst nichts aus der Zwischenablage ein und holen Sie Hilfe. Das Löschen bereinigt keine mögliche Infektion.
↑ Zurück zum Inhaltsverzeichnis
Kapitel 6: Warum beweisen bekannte Logos keine Sicherheit?
Viele Menschen vertrauen einer Warnung, weil die Seite bekannt wirkt oder weil sie kein Virenschutz-Signal bekommen. Das ist ein gefährlicher Trugschluss.
Angreifer kopieren die visuelle Darstellung echter Dienste. Das Cloudflare-Logo ist simpel zu kopieren. Dass es auf der Seite steht, beweist nicht, dass Cloudflare dahintersteckt. Gleiches gilt für andere Logos (Firefox, Chrome, Windows, Apple). Ein Bild ist leicht gefälscht.
↑ Zurück zum Inhaltsverzeichnis
Kapitel 7: Wie können kompromittierte Webseiten ClickFix verbreiten?
Eine Webseite kann von Hackern übernommen werden, ohne dass der Betreiber es sofort bemerkt. WordPress-Seiten, Online-Shops, kleine Nachrichtenportale – alles kann gehackt werden. Wenn Sie auf einer echten, bekannten Website eine verdächtige CAPTCHA oder Warnung sehen, kann die Webseite selbst kompromittiert sein, nicht Ihr Browser.
ClickFix kann über kompromittierte Webseiten, Werbeanzeigen oder Phishing-Nachrichten verbreitet werden. Der Zugangsweg und das Aussehen einer Seite erlauben keine verlässliche Entwarnung. Entscheidend ist die Aufforderung, eine fremde Systemaktion auszuführen.
↑ Zurück zum Inhaltsverzeichnis
Kapitel 8: Warum bieten fehlende Virenwarnungen und bekannte Absender keine Entwarnung?
Ihr Antivirus-Programm zeigt oft nur dann eine Warnung, wenn es bereits weiß, dass etwas bösartig ist. Es erkennt neue oder sehr sorgfältig versteckte Schadsoftware nicht automatisch. Wenn kein Alarm kommt, kann das bedeuten: Das System ist tatsächlich sauber. Die Schadsoftware ist so neu, dass der Hersteller sie noch nicht in der Datenbank hat. Oder die Malware hat sich so versteckt, dass der Scanner sie noch nicht findet. Hüten Sie sich also vor der Annahme: „Mein Virenschutz hat nichts gemeldet, also kann ich dem Befehl trauen."
Eine E-Mail mit einem vertraut wirkenden Absendernamen oder eine Warnung, die behauptet, vom „Chrome-Team" zu stammen, kann gefälscht sein. Betrüger nutzen ähnliche E-Mail-Adressen, gefälschte Browser-Kopien und vertraute Namen. Das bloße Aussehen oder der Name beweist nicht, dass die Aufforderung legitim ist.
↑ Zurück zum Inhaltsverzeichnis
Kapitel 9: Wie handeln Sie bei möglicher oder bestätigter Befehlsausführung?
Sie haben einen fremden Befehl eingefügt, ausgeführt oder können eine Ausführung nicht ausschließen.
1. Netzwerk trennen: Ziehen Sie das Netzwerkkabel und deaktivieren Sie WLAN sowie gegebenenfalls Mobilfunk oder Tethering. Prüfen Sie jede tatsächlich verwendete Verbindung. Ein Flugzeugmodus allein bestätigt nicht, dass alle Verbindungen getrennt sind.
2. Sensible Nutzung stoppen: Öffnen Sie auf dem betroffenen Gerät keine E-Mails, melden Sie sich nicht bei Konten an und ändern Sie dort keine Passwörter.
3. Hilfe unabhängig erreichen: Bei Arbeitsgeräten kontaktieren Sie sofort die zuständige IT über einen bekannten Kontaktweg. Stimmen Sie Ausschalten, Neustart und weitere Schritte mit ihr ab. Bei Privatgeräten wenden Sie sich an eine vertrauenswürdige Fachhilfe; verwenden Sie keine Telefonnummer aus dem verdächtigen Pop-up. Eine pauschale Anweisung zum erzwungenen Ausschalten gilt hier nicht.
4. Betroffene Konten absichern: Ändern Sie auf einem anderen vertrauenswürdigen Gerät die auf dem betroffenen Gerät gespeicherten oder verwendeten Passwörter. Beginnen Sie mit dem E-Mail-Konto. Öffnen Sie danach die offiziellen Sicherheitseinstellungen der Dienste, prüfen Sie Sicherheitsereignisse, Geräte beziehungsweise Sitzungen und Wiederherstellungsdaten. Beenden Sie unbekannte Sitzungen über die angebotenen Funktionen. Eine Sitzung ist eine bestehende Anmeldung; gestohlene Sitzungsdaten können einen Zugriff ohne erneute Passworteingabe ermöglichen. Bei fehlendem Zugang nutzen Sie die offizielle Kontowiederherstellung oder den offiziellen Support.
5. Zahlungsrisiken behandeln: Wenn Zahlungsdaten betroffen sein könnten oder unbekannte Buchungen erscheinen, kontaktieren Sie die Bank beziehungsweise den Kartenanbieter über einen unabhängig bekannten Kontaktweg. Klären Sie dort erforderliche Sperren und weitere Maßnahmen.
6. Ablauf festhalten: Notieren Sie Zeitpunkt, Webseitenadresse und ausgeführte Schritte, soweit ohne weitere Interaktion möglich. Öffnen Sie die Seite dafür nicht erneut und führen Sie den Befehl nicht nochmals aus. Stimmen Sie Bereinigung oder Neuinstallation mit der Fachhilfe ab. Ein unauffälliger Scan allein ist kein Beweis erfolgreicher Bereinigung.
Prüfkriterium: Sind die verwendeten Netzwerkverbindungen getrennt, die sensible Nutzung gestoppt und die zuständige Stelle über den tatsächlichen Ablauf informiert?
Erfolgssignal
Die Netzwerkverbindungen sind getrennt und die Meldung wurde übermittelt. Das Gerät wird bis zur Klärung nicht für sensible Aufgaben verwendet. Diese Maßnahmen beweisen noch keine erfolgreiche Bereinigung.
Fehlerweg
Können Sie eine Verbindung nicht trennen oder niemanden erreichen, verwenden Sie ein anderes vertrauenswürdiges Gerät oder Telefon für die Kontaktaufnahme und nehmen Sie die sensible Nutzung nicht wieder auf. Auf Arbeitsgeräten folgen Sie dem betrieblichen Notfallweg. Ist ein Kontozugang bereits verloren, verwenden Sie die offizielle Wiederherstellung; bei Zahlungsrisiken kontaktieren Sie unabhängig davon die Bank.
↑ Zurück zum Inhaltsverzeichnis
Kapitel 10: Wie kontrollieren Sie Ihren Umgang mit CAPTCHAs und Browser-Warnungen systematisch Schritt für Schritt?
Die folgende Reihenfolge hilft, verdächtige Aufforderungen rechtzeitig zu stoppen:
Schritte für den Alltag
1. Keine Systembefehle für CAPTCHA: Führen Sie für eine CAPTCHA-Prüfung keine Systembefehle aus und stoppen Sie bei Aufforderungen zum Öffnen von „Ausführen", PowerShell oder Terminal. Fügen Sie keinen unbekannten „Verifizierungscode" in ein Systemfenster ein.
2. Verdächtige Seiten konsequent schließen: Schließen Sie verdächtige Seiten ohne weitere Bestätigung und verwenden Sie bekannte Logos und Webseiten nicht als Sicherheitsnachweis.
3. Updates selbst aufrufen: Rufen Sie Browser-Updates immer selbst über das Browsermenü auf, nicht über eine Schaltfläche aus einer Warnmeldung.
4. Fehlende Warnungen nicht als Entwarnung werten: Bewerten Sie fehlende Virenwarnungen nicht als Entwarnung.
5. Bei möglicher Ausführung sofort handeln: Trennen Sie bei möglicher Befehlsausführung die verwendeten Netzwerkverbindungen, ändern Sie betroffene Kontopasswörter über den offiziellen Dienst auf einem anderen vertrauenswürdigen Gerät, prüfen Sie bestehende Sitzungen und kontaktieren Sie zuständige IT oder vertrauenswürdige Fachhilfe über einen unabhängig bekannten Kontaktweg (Kapitel 9).
Je nach Situation kann es sinnvoll sein, anschließend weitere MySecureGuard-Ratgeber zu Rate zu ziehen: bei ausgeführtem Befehl oder Schadsoftware-Verdacht eine vertiefte Malware-Diagnose und Bereinigung; bei möglicherweise betroffenen Zugangsdaten, Sitzungen oder Konten die Absicherung betroffener Konten und Sitzungen; bei einer gefälschten Update- oder Reparaturmeldung als Auslöser eine gezielte Prüfung solcher Fake-Meldungen; und zur vorbeugenden Reduzierung von Browserrisiken eine Browser-Härtung und Update-Prüfung. Diese Ratgeber sind zum jetzigen Stand noch nicht veröffentlicht.
↑ Zurück zum Inhaltsverzeichnis
Offizielle Hilfe und Anlaufstellen
Vier offizielle Angebote für unterschiedliche Anliegen rund um ClickFix und Fake-CAPTCHAs. Bei einem laufenden Betrugsversuch oder betroffenem Konto nutzen Sie zuerst die passenden Sofortmaßnahmen. Diese Übersicht ersetzt keine unmittelbare Kontosicherung oder Kontaktaufnahme mit der eigenen Bank.
Service-Center des BSI
IT-SicherheitInformationen und Unterstützung bei Fragen zur IT- und Cybersicherheit.
Onlinewachen der Polizeien der Länder
StrafanzeigeFür geeignete Sachverhalte können Sie online Strafanzeige erstatten oder Hinweise geben. Das Portal führt zur zuständigen Landespolizei; es ist nicht für akute Notfälle gedacht.
Bürger-CERT (BSI)
WarndienstVerbraucher-Newsletter und Sicherheitshinweise zu Schwachstellen in verbreiteter Software.
Verbraucherzentrale
GeräteschutzUnabhängige Verbraucherinformationen, unter anderem eine Schrittfolge bei Virenverdacht auf dem Gerät.
Quellen
Universität Münster, Stabsstelle Informationssicherheit: Warnung vor Angriffen mit gefälschten Captchas (ClickFix). Abrufdatum: 05.10.2026.
Bundesamt für Cybersicherheit BACS: Woche 8: «ClickFix» – Wenn eine vermeintliche Fehlerbehebung oder Verifikation eine Malware installiert. Abrufdatum: 05.10.2026.
Bundesamt für Cybersicherheit BACS: Zunahme kompromittierter Webseiten mit gefälschten CAPTCHA. Abrufdatum: 05.10.2026.
Verbraucherzentrale: Virus auf dem Gerät? Das müssen Sie jetzt tun – in 4 Schritten. Abrufdatum: 05.10.2026.
Microsoft Support: Verwenden der Zwischenablage. Abrufdatum: 05.10.2026.
Apple Support: Das Beenden einer App auf dem Mac erzwingen. Abrufdatum: 05.10.2026.
Google-Konto-Hilfe: Geräte mit Kontozugriff ansehen. Abrufdatum: 05.10.2026.
