6. September 2026 · Security-Advisory · BSI · Social Engineering · Ransomware · Awareness

TerminalFix: Wenn Mitarbeiter den Angriff selbst einfügen

Das BSI warnt vor der TerminalFix-Kampagne. Ein gefälschtes CAPTCHA bringt Beschäftigte dazu, einen PowerShell-Befehl einzufügen – am Ende steht ein Tunnel ins Netz.

Am 4. September 2026 hat das BSI eine Cybersicherheitswarnung der Stufe 2 von 4 veröffentlicht: Deutsche Institutionen wurden über die sogenannte TerminalFix-Kampagne kompromittiert. Der Anlass war die Meldung eines Vorfalls im August 2026 – nach Darstellung des BSI die Kompromittierung des Netzwerks einer staatlichen Institution.

Das Bemerkenswerte an dieser Kampagne ist, was in ihr fehlt: eine Schwachstelle. Es gibt keinen Patch, den Sie einspielen könnten. Der Angriff kommt nicht durch eine ungeschlossene Lücke, sondern durch die Hände eines Mitarbeiters, der etwas tut, das ihm plausibel erklärt wurde.

Wie der Angriff abläuft

Der Einstieg ist eine präparierte Webseite. Nutzer landen dort über Phishing oder Social Engineering – oder die Seite gehört schlicht zu denen, die regelmäßig besucht werden (Water-Holing). Dort erscheint eine Aufforderung, eine CAPTCHA-Prüfung durchzuführen. In der von Microsoft am 28. August 2026 analysierten Variante ist das ein täuschend echt nachgebautes Cloudflare-Overlay samt Logo, Häkchenfeld und Ladeanimation.

Der entscheidende Schritt passiert unsichtbar: Mit dem Klick wird ein schädlicher PowerShell-Befehl in die Zwischenablage kopiert. Die Anweisung auf dem Bildschirm führt den Nutzer dann dazu, Windows Terminal oder PowerShell zu öffnen und den Befehl einzufügen. Damit kein Verdacht aufkommt, meldet die Seite anschließend die erfolgreiche CAPTCHA-Prüfung – und im Terminal erscheint eine beruhigende Erfolgsausgabe.

Was danach passiert, läuft ohne weiteres Zutun ab. Der Befehl lädt ein Archiv, das eine legitime, signierte Windows-Datei und eine manipulierte DLL enthält; beide wirken per DLL-Sideloading zusammen. Die DLL lädt im Hintergrund PNG-Bilddateien von der Angreiferinfrastruktur, in denen weiterer Schadcode steckt und der auf dem System erst zusammengesetzt wird. Für den dauerhaften Halt sorgen ein Registry-Eintrag, eine stündlich wiederkehrende geplante Aufgabe und versteckte Verzeichnisse.

Erst dann beginnt die eigentliche Arbeit: Die Schadsoftware durchsucht Domänen, Rechtevergaben, das Active Directory, betriebene Server und – ausdrücklich – vorhandene Backup-Systeme. Danach richtet der Angreifer gegebenenfalls Online-Speicher ein, etwa in der Azure-Cloud, um Daten später dorthin abfließen zu lassen – mit den Bordmitteln des Cloud-Anbieters. Zum Abschluss wird eine Python-Laufzeitumgebung installiert, die über TLS auf Port 443 eine WebSocket-Verbindung zur Infrastruktur der Täter aufbaut. Das BSI weist auf ein Detail hin, das für die spätere Aufarbeitung entscheidend ist: Befehle, die der Angreifer über diese Laufzeitumgebung absetzt, werden unter Umständen nicht protokolliert.

Warum das nicht einfach ClickFix ist

Die Masche mit dem gefälschten CAPTCHA ist unter dem Namen ClickFix seit längerem bekannt. Nach dem Microsoft Digital Defense Report 2025 war ClickFix im Beobachtungszeitraum mit 47 Prozent die häufigste Methode für den Erstzugang, die Microsofts Defender-Experten registrierten – vor Phishing mit 35 Prozent. ESET zählte zwischen dem zweiten Halbjahr 2025 und dem ersten Halbjahr 2026 einen Anstieg der ClickFix-Erkennungen um 108 Prozent.

Der Unterschied klingt technisch und ist trotzdem der Kern der Sache. Klassisches ClickFix schickt das Opfer in der Regel in den Ausführen-Dialog von Windows. Der ist einzeilig. TerminalFix schickt es stattdessen in Windows Terminal oder PowerShell – und dort lassen sich, wie Microsoft schreibt, auch komplexe, mehrzeilige Skripte zuverlässig ausführen. Die Obergrenze dessen, was ein Anwender in einem einzigen Schritt für die Angreifer erledigt, steigt damit erheblich.

Das BSI zieht daraus die betriebliche Konsequenz: Während ClickFix in der Regel einzelne Rechner kompromittierte, biete TerminalFix die Möglichkeit, tiefer in Netzwerke einzudringen und Vertraulichkeit, Verfügbarkeit und Integrität der IT ganzer Organisationen zu beeinträchtigen. Für die Praxis heißt das: Ein bereinigter Einzelrechner ist keine abgeschlossene Vorfallsbearbeitung mehr.

Was belegt ist – und was nicht

Hier lohnt Genauigkeit, weil die Quellenlage nicht einheitlich ist.

Microsoft beschreibt die technische Kette bis zum Rückkanal ins Netz und hält ausdrücklich fest, die nachgelagerten Schritte in der analysierten Kette nicht beobachtet zu haben. Das BSI berichtet aus den ihm zugegangenen Meldungen zusätzlich, es sei versucht worden, Ransomware zu installieren und im Rahmen von Double Extortion Daten auszuleiten. Beides widerspricht sich nicht – es sind zwei verschiedene Datenbestände.

Bei der Täterfrage nennt Microsoft niemanden. Aus den beim BSI eingegangenen Meldungen geht der Einsatz der Schadsoftware LoremIpsumLoader hervor; nach Kenntnislage des BSI wird diese Malware derselben finanziell motiviert handelnden Gruppe zugeordnet, die für die Ransomware und Leak-Seite Rhysida verantwortlich ist. Die deutschen Vorfallsmeldungen selbst sind nicht öffentlich – die Zuordnung ist damit eine Einschätzung des BSI, keine von außen nachvollziehbare Analyse. Einen Zusammenhang mit staatlichen oder politisch motivierten Akteuren konnte das BSI nach eigenen Angaben bislang nicht herstellen.

Zwei Zahlen aus der BSI-Warnung sind für die Risikobewertung nützlicher als jede Bedrohungsrhetorik: Nach Kenntnislage eines kommerziellen Dienstleisters des BSI folgt in 92 Prozent der Fälle auf die Nennung auf der Leak-Seite auch eine Datenveröffentlichung, im Schnitt 11 Tage nach der Nennung. Und das für die gefälschte Prüfung verwendete JavaScript ließ sich in historischen Daten auf mehreren Hundert Webseiten nachweisen – die Bühne ist also breit, nicht auf einzelne Seiten beschränkt. Zur Zielauswahl hält das BSI fest: Eine Auswertung der Leak-Seite zeigt keinen signifikanten Fokus auf Deutschland als Region, wohl aber einen starken Fokus auf den Bildungs- und Gesundheitssektor; der Verwaltungssektor liegt unter den Top 5.

Was jetzt zu tun ist

Weil es keine Schwachstelle gibt, ist jede wirksame Maßnahme eine Konfigurations- oder Organisationsentscheidung, die vorher getroffen sein muss.

  • Windows Terminal warnen lassen, wenn mehrzeiliger Text eingefügt wird. Microsoft empfiehlt diese Einstellung ausdrücklich. Sie ist zentral ausrollbar und trifft genau den Schritt, von dem die Kampagne lebt.
  • PowerShell für Standardbenutzer einschränken. Microsoft nennt AppLocker, Application Control für Windows oder Gruppenrichtlinien und empfiehlt den Betrieb von PowerShell im Constrained Language Mode; das BSI greift dieselbe Maßnahmenliste in seiner Warnung auf. Fachanwendungen brauchen Skriptfreiheit fast nie unter Standardkonten.
  • Den Ausführen-Dialog einschränken, wo er für die tägliche Arbeit nicht gebraucht wird – das deckt die ältere ClickFix-Variante gleich mit ab. Microsoft empfiehlt ergänzend, ungewöhnliche Zwischenablage-Aktivität zu beobachten, auf die unmittelbar der Start einer Shell folgt.
  • PowerShell Script Block Logging aktivieren und die Protokolle wegschreiben. Ohne diese Aufzeichnung ist eine spätere Aufarbeitung kaum möglich, gerade weil die über den Tunnel abgesetzten Befehle unter Umständen nicht protokolliert werden.
  • Einen betroffenen Rechner als Netzzugang behandeln, nicht als Einzelfall. Das ist die zentrale Handlungsanweisung beider Quellen. Zugangsdaten, die von diesem Rechner aus erreichbar waren, gehören rotiert – bei Domänenmitgliedschaft schließt das administrative Konten ein.
  • Eine einzige Awareness-Botschaft, dafür verstanden: Kein legitimer Dienst lässt Sie jemals einen Befehl in Windows Terminal, PowerShell oder das Ausführen-Fenster einfügen. Wer es doch getan hat, meldet es – ohne Konsequenzen. Die gefälschte Erfolgsmeldung ist genau dafür gebaut, dass niemand nachfragt.

Stellen Sie Anzeichen einer Kompromittierung fest, bittet das BSI um sofortige Kontaktaufnahme über die etablierten Kommunikationskanäle.

Wie sector7 unterstützt

Wir prüfen mit Ihnen, welche der oben genannten Einstellungen in Ihrer Umgebung bereits greifen und welche sich ohne Reibung im Tagesbetrieb nachziehen lassen – von der Terminal-Warnung über die PowerShell-Richtlinie bis zur Protokollierung, die im Ernstfall den Unterschied macht. Im Rahmen unserer Managed Services betreiben und überwachen wir die vereinbarten Umgebungen über unser NOC; Endgeräteschutz, die Analyse von Security-Events und die Awareness-Schulungen, ohne die der beste Terminal-Schutz umgangen wird, gehören zu unseren Cyber-Security-Leistungen. Wo ein Verdacht entsteht, unterstützen wir bei der Eingrenzung, statt den betroffenen Rechner isoliert zu betrachten.

Quellen

Sprechen wir über Ihre Situation.

Gespräch vereinbaren+49 212 240915 0