Eine harmlos wirkende Seite fordert euch auf, kurz zu bestätigen, dass ihr keine Maschine seid. Ein Klick auf die Checkbox, dann die Meldung, dass die Prüfung fehlgeschlagen sei und ihr sie manuell abschließen müsst: Tastenkombination drücken, einfügen, Enter. Was wie ein banaler technischer Zwischenschritt aussieht, ist in Wahrheit einer der erfolgreichsten Angriffsvektoren der letzten Monate. ClickFix macht nicht eine Software zum Komplizen, sondern den Menschen selbst, der die schädlichen Befehle mit eigener Hand ausführt.
ClickFix hat sich rasant von einer Nischentechnik zu einem Massenphänomen entwickelt. Microsoft ordnet der Methode mittlerweile rund 47 Prozent der beobachteten Angriffe zu. In diesem Beitrag erklären wir, wie ClickFix funktioniert, warum es klassische Schutzmechanismen umgeht und mit welchen konkreten Maßnahmen ihr euer Unternehmen absichert.
ClickFix ist eine Social-Engineering-Technik, bei der Angreifer ihre Opfer dazu bringen, selbst einen schädlichen Befehl auf dem eigenen Rechner auszuführen. Der Trick besteht darin, die Ausführung als Lösung für ein vermeintliches Problem zu tarnen, etwa als notwendigen Schritt, um eine Seite anzuzeigen, ein Dokument zu öffnen oder eine Sicherheitsprüfung abzuschließen.
Der typische Ablauf folgt einem klaren Muster, das gezielt an alltägliche Gewohnheiten anknüpft:
Über Phishing-Mails, manipulierte Werbeanzeigen oder gekaperte Webseiten landen Opfer auf einer präparierten Seite, die bekannte Dienste wie Google reCAPTCHA, Cloudflare Turnstile oder Microsoft-Oberflächen täuschend echt nachbaut.
Eine angebliche Mensch-Verifikation erscheint. Sobald das Opfer klickt, kopiert ein JavaScript im Hintergrund unbemerkt einen verschleierten Befehl in die Zwischenablage, während die Seite eine Anleitung zum vermeintlichen Fix anzeigt.
Das Opfer wird angewiesen, den Ausführen-Dialog mit Win+R zu öffnen, den Inhalt mit Strg+V einzufügen und mit Enter zu bestätigen. Damit startet der Befehl direkt auf dem System.
Der Befehl nutzt bordeigene Werkzeuge wie PowerShell, um Schadcode nachzuladen. Nachgewiesen wurden unter anderem Infostealer wie Lumma und Amatera sowie Fernzugriffstrojaner wie AsyncRAT und XWorm.
Der entscheidende Punkt: Nicht die Technik wird ausgetrickst, sondern der Mensch. Das Opfer führt den Angriff selbst aus und umgeht damit viele Schutzschichten, die genau diesen Moment eigentlich verhindern sollen.
ClickFix ist nicht deshalb so wirksam, weil es besonders raffinierte Schadsoftware nutzt, sondern weil es die Übergabe an genau den Punkt verlagert, an dem klassische Abwehr wenig ausrichten kann. Vier Eigenschaften machen die Methode besonders tückisch:
Es gibt keine verdächtige Datei, die ein Filter blockieren könnte. Der Schadcode entsteht erst im Moment der Ausführung durch das Opfer.
Der Angriff missbraucht legitime Windows-Bordmittel wie PowerShell oder signierte Skripte, die auf jedem System vorhanden und erlaubt sind.
Weil das Opfer den Befehl selbst startet, erscheint die Aktion als bewusste, gewollte Handlung und nicht als Angriff von außen.
Fertige ClickFix-Baukästen werden im Untergrund für 200 bis 1.500 US-Dollar im Monat vermietet. Das senkt die Einstiegshürde für Angreifer massiv.
Hinzu kommt, dass sich die Methode rasant weiterentwickelt. Neben dem klassischen ClickFix kursieren inzwischen Varianten wie FileFix, CrashFix oder GlitchFix. Manche Kampagnen nutzen statt PowerShell signierte Windows-Komponenten wie SyncAppvPublishingServer.vbs, um die Ausführung noch unauffälliger zu machen, und legen Steuerbefehle in vertrauenswürdigen Diensten wie Kalendereinträgen ab.
Besonders perfide: Der eigentliche Reflex, kleine technische Probleme selbst schnell zu lösen, wird hier zur Einfallstür. Gerade technisch versierte und hilfsbereite Mitarbeitende sind daher nicht automatisch geschützt, im Gegenteil.
Die gute Nachricht: ClickFix folgt einem wiederkehrenden Drehbuch. Wer die typischen Merkmale kennt, kann den Angriff im entscheidenden Moment stoppen. Achtet auf folgende Warnsignale:
Win+R, Strg+V und Enter vorgibt, verfolgt fast immer bösartige Absichten.Faustregel für den Alltag: Sobald eine Webseite euch bittet, etwas in den Ausführen-Dialog oder eine Kommandozeile einzufügen, brecht ab und meldet den Vorfall an die IT. Diese eine Regel verhindert nahezu jeden ClickFix-Angriff.
ClickFix zielt auf den Menschen, deshalb braucht es eine Kombination aus technischen Kontrollen und geschulten Mitarbeitenden. Wirksamer Schutz stützt sich auf mehrere Ebenen, die ineinandergreifen:
Den Ausführen-Dialog per Gruppenrichtlinie einschränken, wo er nicht gebraucht wird, PowerShell-Ausführungsrichtlinien setzen und Attack-Surface-Reduction-Regeln gegen verschleierte Skripte aktivieren.
PowerShell Script Block Logging aktivieren, verdächtige Einträge in der RunMRU-Registry überwachen und Endpoint Detection einsetzen, um verdächtige Prozessketten frühzeitig zu erkennen.
Regelmäßige Awareness-Schulungen und realistische Phishing-Simulationen, die genau das ClickFix-Muster abbilden. Mitarbeitende, die den Trick kennen, sind die stärkste Verteidigungslinie.
Ein einfacher, angstfreier Weg, verdächtige Seiten und Aufforderungen zu melden, sorgt dafür, dass ein einzelner Vorfall früh sichtbar wird, bevor daraus ein Flächenbrand entsteht.
Wir betrachten ClickFix ganzheitlich, von der technischen Härtung eurer Systeme bis zur nachhaltigen Stärkung eurer Sicherheitskultur. Dabei setzen wir dort an, wo der Angriff wirklich stattfindet.
Praxisnahe Schulungen und Phishing-Simulationen, die das ClickFix-Muster gezielt trainieren und eure Belegschaft handlungssicher machen.
Wir prüfen und konfigurieren Gruppenrichtlinien, ASR-Regeln und Logging, damit ein versehentlicher Klick möglichst folgenlos bleibt.
In kontrollierten Tests decken wir auf, wie anfällig Systeme und Prozesse für Social Engineering wie ClickFix wirklich sind, und liefern klare Maßnahmen.
Ihr wollt loslegen? Wir bieten einen kostenlosen Erstberatungstermin an, in dem wir eure aktuelle Ausgangslage einordnen und die nächsten Schritte gemeinsam festlegen. Jetzt Kontakt aufnehmen.
ClickFix ist so erfolgreich, weil es die stärkste und zugleich verwundbarste Instanz eures Unternehmens anspricht: den hilfsbereiten, lösungsorientierten Menschen. Der Angriff kommt ohne verdächtigen Anhang aus und lässt das Opfer den entscheidenden Schritt selbst gehen. Damit laufen viele klassische Schutzmechanismen ins Leere.
Der beste Schutz ist eine Kombination aus technischer Härtung und gelebter Sicherheitskultur. Wer seine Mitarbeitenden das Muster erkennen lässt und gleichzeitig die Angriffsfläche technisch reduziert, nimmt ClickFix den Großteil seiner Wirkung.
Mint Secure begleitet euch auf diesem Weg, von der Awareness-Schulung bis zur technischen Absicherung. Sprecht uns an.