Stell dir vor, du willst nur kurz eine Webseite öffnen – und zack: Ein Pop-up sagt dir, dein Browser müsse „verifiziert“ werden. Oder „ein Fehler muss behoben werden“. Klingt harmlos. Und genau das ist das Problem:
Bei ClickFix ist nicht dein System die Schwachstelle – sondern der Moment, in dem jemand „mal eben schnell“ ein Problem lösen will.
ClickFix ist eine Social-Engineering-Methode, bei der Angreifer Menschen dazu bringen, selbst schädliche Befehle auszuführen – oft über Windows „Ausführen“ (Win+R), PowerShell bzw. Terminal oder sogar die Adressleiste des Datei-Explorers.
Microsoft beschreibt es treffend: Es nutzt den Reflex, kleine technische Hürden sofort wegzuklicken – und führt dich Schritt für Schritt genau dahin, wo es weh tut.
Damit du (und dein Team) nicht in diese Falle tappt, bekommst du hier eine praxisnahe Einführung – inklusive vieler typischer ClickFix-Beispiele und einer Checkliste, die du direkt intern nutzen kannst.
Und falls es doch mal passiert, findest du hier unseren IT-Notfallplan:
Beim üblichen Phishing geht’s oft um Login-Daten („Bitte hier anmelden“). ClickFix geht einen Schritt weiter:
Die Masche sorgt dafür, dass das Opfer selbst eine Aktion ausführt, die wie „Support“ aussieht – z. B. Copy-&-Paste eines „Fix“-Befehls.
Das Gemeine daran:
Du kennst die Checkbox. ClickFix missbraucht genau dieses Muster: Statt Checkbox gibt’s „Fix verification“ – und dann die Win+R-Anleitung.
Bitdefender beschreibt anschaulich, dass die Seite wirkt wie ein legitimer Bot-Schutz: „Bitte reparieren / Please verify“. Dahinter steckt Copy-&-Paste in Run bzw. Terminal.
Das Pop-up sieht nach Chrome, Edge oder Firefox aus, inklusive Logo. Statt Store- bzw. Update-Link: „Führe diesen Befehl aus, um das Update zu installieren.“
Besonders perfide bei Seiten, wo man „nur kurz was anschauen“ will: „Aktiviere Wiedergabe durch Ausführen dieses Fixes.“ (Spoiler: es ist kein echter Codec.)
Köder: „Sicherheitskomponente fehlt“ oder „Zugriff muss repariert werden“ – gerne in sehr professionellem Deutsch.
Köder: „Scanne dieses Repo schnell lokal“ – und dann kommt ein „Fix“-Befehl. (Gern gesehen in Entwickler- oder Admin-Zielgruppen, wie CERN berichtet.)
Tom's Guide warnt: ClickFix tarnt sich als „Hilfe“. Manche Kampagnen liefern sogar Video-Anleitungen, zugeschnitten auf dein Betriebssystem, plus Timer für Druck.
Du klickst auf „Fix“ – und die Seite kopiert automatisch eine Command-Zeile in deine Zwischenablage. Danach sollst du nur noch „einfügen“.
Variante von ClickFix: Statt Win+R heißt es „Öffne Explorer“ → „füge diesen Pfad oben ein“. Das ist aber PowerShell-Code, der durch cleveres Maskieren harmlos aussieht, wie TechRadar in diesem kurzen Bericht beschreibt.
„Öffne Terminal bzw. PowerShell als Nutzer“. Gerade bei IT-affinen Nutzern funktioniert das: „Starte PowerShell und führe aus…“
„Lade dieses Tool herunter, dann ‘Fix’ ausführen“. Hier wird es klassischer – aber das Framing bleibt: „Das ist nur ein Fix.“
Laut Bleeping Computer nutzen neuere ClickFix-Ketten sogar DNS-Mechaniken, um Teile der Nutzlast nachzuladen – für viele Umgebungen ein ungewohntes Muster. Die Opfer werden angewiesen, den Befehl „nslookup“ auszuführen, der eine Anfrage an einen vom Angreifer kontrollierten DNS-Server statt an den Standard-DNS-Server des Systems sendet. Daraufhin wird ein bösartiges PowerShell-Skript ausgeführt, das dann auf dem Gerät ausgeführt wird, um Malware zu installieren.
Wenn du auch nur 1–2 Punkte siehst: Stopp. Nicht „fixen“.
Das ist der wichtigste Hebel. Mach daraus eine einfache Team-Regel – wie „Keine Passwörter per Mail“.
Vorlage für euren internen Hinweis (copy-&-paste-fertig):
Wenn eine Website dich auffordert, Win+R, PowerShell oder Terminal zu öffnen und etwas einzufügen: Abbrechen, Tab schließen, Screenshot ans IT-Team. Niemals Befehle von Webseiten ausführen!
ClickFix sieht anders aus als klassische Phishing-Mails. Trainiere genau diese Pop-ups (CAPTCHA, Cloudflare, „Fix“-Dialoge). Microsoft und Bitdefender zeigen typische Muster und Flows sehr greifbar.
Viele Varianten ändern dauernd Details – aber das Grundverhalten bleibt: Nutzer startet Run, PowerShell oder fügt etwas in die Explorer-Adressleiste ein → Script lädt nach. Solche „Erkennungs-Engstellen“ sind in der Praxis hilfreich, um dein Team zu sensibilisieren.
Viele Kampagnen kommen über Web (malvertising, kompromittierte Seiten) oder E-Mail. Reduziere Risiko durch Web-Security, Ad- bzw. Script-Kontrollen, und sauberes Patchen.
ClickFix ist kein Hightech-Exploit. Es ist hochprofessionelle Manipulation, verpackt als „kleiner Fix“.
Wenn du es schaffst, im Unternehmen einen Reflex zu etablieren („Keine Befehle von Webseiten ausführen – niemals“), hast du schon viel gewonnen.