Gefälschte CAPTCHA-Prüfungen erkennen: So schützt du dich vor der ClickFix-Masche

Du willst eine Datei öffnen, einen Artikel lesen oder dich bei einem Dienst anmelden. Statt der erwarteten Seite erscheint eine „Ich bin kein Roboter“-Prüfung. Sie fordert dich auf, mehrere Tasten zu drücken, etwas einzufügen und die Eingabetaste zu betätigen. Genau an dieser Stelle beginnt oft die ClickFix-Masche. Die vermeintliche Sicherheitsprüfung schützt nicht vor Bots, sondern soll dich dazu bringen, selbst einen schädlichen Befehl auf deinem Rechner auszuführen.

Was hinter der ClickFix-Masche steckt

ClickFix ist eine Phishing-Masche, die eine bekannte Alltagssituation ausnutzt: CAPTCHAs. Viele Menschen kennen kleine Kontrollkästchen, Bilderrätsel oder kurze Prüfungen beim Besuch einer Website. Kriminelle kopieren das Aussehen solcher Hinweise und behaupten, dein Browser müsse eine Sicherheitsprüfung abschließen.

Die gefälschte Prüfung zeigt dann meist konkrete Anweisungen. Häufig sollst du:

die Windows-Taste und R drücken
eine Tastenkombination zum Einfügen verwenden
mit der Eingabetaste bestätigen

Manchmal wird statt eines Dialogfensters auch das Terminal auf einem Mac angesprochen. Der entscheidende Punkt ist immer gleich: Die Website versucht, dich zum Starten eines Befehls außerhalb des Browsers zu bewegen.

Oft wurde der schädliche Inhalt vorher unbemerkt in deine Zwischenablage kopiert. Wenn du ihn einfügst und ausführst, kann er weitere Inhalte aus dem Internet laden. Das können Programme zum Ausspähen von Passwörtern, Fernzugriffssoftware oder Schadsoftware für deinen Rechner sein.

Die Seite muss dafür keine Sicherheitslücke ausnutzen. Sie setzt darauf, dass du den Befehl selbst bestätigst. Deshalb wirkt die Masche auf den ersten Blick harmlos und ist trotzdem ernst zu nehmen.

Daran erkennst du eine gefälschte CAPTCHA-Prüfung

Eine echte CAPTCHA-Prüfung kann lästig sein, aber sie verlangt nicht, dass du dein Betriebssystem bedienst. Sie öffnet kein Fenster „Ausführen“, kein Terminal und keine Eingabeaufforderung.

Echte Prüfung	Verdächtige ClickFix-Prüfung
Du klickst ein Kästchen an oder löst eine Aufgabe direkt im Browser.	Du sollst Tastenkombinationen drücken oder Befehle einfügen.
Die Prüfung bezieht sich auf die Website, die du gerade besuchst.	Die Seite behauptet vage, dein Browser, Gerät oder deine Verbindung müsse repariert werden.
Nach der Prüfung wirst du auf der Website weitergeleitet.	Es soll sich ein Fenster außerhalb des Browsers öffnen.
Du gibst keinen Text aus der Zwischenablage ein.	Die Anleitung fordert zum Einfügen und Bestätigen auf.
Der Anbieter ist plausibel und die Adresse der Seite passt.	Die Adresse wirkt fremd, ungewöhnlich lang oder passt nicht zum behaupteten Dienst.

Besonders verdächtig sind Formulierungen wie „Bestätige, dass du kein Roboter bist, indem du diese Schritte ausführst“ oder „Kopiere den Sicherheitscode in das Ausführen-Fenster“. Auch Zeitdruck ist ein Warnsignal: „Dein Zugriff läuft ab“ oder „Sofort verifizieren“ soll verhindern, dass du kurz innehältst.

Grundsätzlich gilt: Eine Website darf dich auffordern, etwas im Browser anzuklicken. Sie darf dich nicht dazu auffordern, Befehle auf deinem Computer auszuführen.

So reagierst du richtig, bevor etwas passiert

Wenn eine vermeintliche CAPTCHA-Prüfung Tastenfolgen, Einfügen oder ein Terminal verlangt, schließe den Tab. Du musst die Anweisungen nicht ausprobieren, um sicherzugehen. Ein Screenshot kann hilfreich sein, wenn du die Seite später melden oder im Unternehmen an die IT weitergeben möchtest.

Hast du die Seite über eine E-Mail, eine Anzeige oder eine Nachricht geöffnet, gehe nicht über den enthaltenen Link zurück. Rufe den betreffenden Dienst lieber selbst über ein gespeichertes Lesezeichen oder durch manuelles Eintippen der bekannten Adresse auf.

Viele ClickFix-Seiten sind Teil größerer Phishing-Kampagnen. Mehr Hinweise zu gefälschten Login-Seiten, falschen Mails und typischen Druckmitteln findest du in unserem Beitrag Phishing erkennen: die häufigsten Maschen und wie du sie durchschaust.

Du hast geklickt, aber nichts eingegeben

Wenn du nur auf der Seite geklickt, aber keine Tastenkombination ausgeführt und keinen Befehl bestätigt hast, ist das Risiko deutlich geringer. Schließe den Tab und prüfe kurz, ob dein Browser neue Erweiterungen erhalten hat oder ob sich ungewohnte Downloads im Download-Ordner befinden.

Öffne keine Datei, die du dort nicht erwartest. Lösche sie und leere anschließend den Papierkorb. Prüfe außerdem, ob die Website Benachrichtigungen senden darf. Unerwünschte Browser-Benachrichtigungen können später weitere Betrugsseiten oder gefälschte Warnungen anzeigen.

Wenn du unsicher bist, starte den Browser neu und aktualisiere ihn. Updates schließen bekannte Schwachstellen und verbessern den Schutz vor gefährlichen Websites. Warum das so wichtig ist, erklärt unser Beitrag Warum Updates dein bester Schutz sind.

Du hast die Tasten gedrückt und Enter bestätigt

Dann solltest du schnell, aber ruhig handeln. Nicht jeder ausgeführte Befehl führt automatisch zu einer Infektion. Trotzdem solltest du davon ausgehen, dass etwas nachgeladen worden sein könnte.

Gehe diese Schritte durch:

Trenne den Rechner vom Internet. Schalte WLAN aus oder ziehe das Netzwerkkabel ab.
Schließe keine weiteren Fenster und starte den Rechner nicht vorschnell neu, wenn du in einem Unternehmen arbeitest. Die IT kann dann besser prüfen, was passiert ist.
Informiere bei einem Arbeitsgerät sofort die zuständige IT oder deinen IT-Dienstleister. Beschreibe sachlich, welche Website geöffnet war und welche Schritte du ausgeführt hast.
Führe mit einer aktuellen Sicherheitssoftware eine vollständige Prüfung durch. Aktualisiere die Sicherheitssoftware vorher nur, wenn du dafür kurz kontrolliert und sicher ins Internet gehen kannst.
Prüfe installierte Programme, Browser-Erweiterungen und Autostart-Einträge auf Unbekanntes. Lösche nichts auf Verdacht, wenn es ein Firmenrechner ist. Frage zuerst die IT.
Ändere wichtige Passwörter von einem anderen, vertrauenswürdigen Gerät aus. Beginne bei deinem E-Mail-Konto, denn darüber lassen sich viele andere Konten zurücksetzen.
Melde dich aus unbekannten Sitzungen ab, falls der jeweilige Dienst diese Übersicht anbietet.

Falls du auf dem betroffenen Rechner Passwörter eingegeben, gespeichert oder mit einem Passwort-Manager genutzt hast, ist ein Passwortwechsel besonders wichtig. Verwende für jedes Konto ein eigenes Passwort. Ein Passwort-Manager hilft dabei, ohne dass du dir lange Zeichenfolgen merken musst. Eine praktische Anleitung findest du unter Passwort-Manager einrichten: der komplette Umstieg in einer Stunde.

Schütze deine Konten für den Fall der Fälle

Ein gestohlenes Passwort allein reicht Angreifern deutlich seltener, wenn für wichtige Konten eine Zwei-Faktor-Authentifizierung eingerichtet ist. Aktiviere sie vor allem für E-Mail, Cloud-Speicher, Zahlungsdienste, soziale Netzwerke und Zugänge zu deinem Unternehmen.

Am besten nutzt du, wenn verfügbar, eine Authenticator-App, einen Sicherheitsschlüssel oder Passkeys. SMS-Codes können besser sein als gar kein zweiter Faktor, sind aber bei Angriffen auf die Telefonnummer nicht immer die stärkste Lösung. Mehr dazu liest du in Zwei-Faktor-Authentifizierung, der wichtigste Schutz nach dem Passwort.

Für kleine Unternehmen ist außerdem wichtig: Ein einzelner infizierter Rechner kann Zugangsdaten für E-Mail, Buchhaltung, Kundendaten oder gemeinsame Dateien gefährden. Lege deshalb vorab fest, wen Mitarbeitende bei einem Verdacht informieren. Eine kurze, bekannte Meldestelle ist wirksamer als komplizierte Regeln, die im Ernstfall niemand findet.

Diese Merkhilfe schützt dich im Alltag

Bei CAPTCHAs genügt eine einfache Regel: Bleib im Browser. Eine echte „Ich bin kein Roboter“-Prüfung verlangt keinen Befehl, kein Einfügen aus der Zwischenablage und keine Tastenkombination zum Öffnen von Systemfenstern.

Wenn dich eine Seite auffordert, außerhalb des Browsers etwas auszuführen, schließe sie. Das ist keine technische Prüfung, sondern sehr wahrscheinlich ein Betrugsversuch.

Wer solche Angriffe im Unternehmen systematisch verstehen und sicher einordnen möchte, findet passende Seminare bei cmt.de.