Zuletzt aktualisiert 8. September 2026
Seit dem 8. September 2026 gibt es konkrete Hinweise darauf, wie die Angreifer in das Netzwerk der deutschen Hauptstadt Berlin gelangt sein dürften. Nach dem derzeitigen Kenntnisstand spielte eine TerminalFix-Kampagne eine zentrale Rolle – eine besonders raffinierte Weiterentwicklung der sogenannten ClickFix-Angriffe. Problematisch daran ist, dass jedermann jederzeit – am Arbeitsplatz wie auch als Privatperson – Opfer eines solchen Angriffs werden kann. Wir erklären Ihnen in diesem Artikel, wie die Masche funktioniert und wie Sie sich und Ihre Daten schützen können:
Wichtig ist allerdings die Unterscheidung zwischen gesicherten und noch nicht abschließend bestätigten Erkenntnissen: Das BSI hat Informationen aus dem Berliner Vorfall ausdrücklich in seine Warnung vor TerminalFix einfließen lassen. Eine vollständige forensische Rekonstruktion des Berliner Angriffs ist aber noch nicht öffentlich. Medien ziehen aus den BSI-Angaben den sehr naheliegenden Schluss, dass TerminalFix tatsächlich der initiale Angriffsweg in Berlin war. (Golem)
Was vom Berliner Angriff bekannt ist
Der eigentliche Angriff fand bereits zwischen dem 7. und 12. August 2026 statt. Betroffen waren insbesondere Bereiche der Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen sowie der Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt. Die Angreifer konnten über mehrere Tage große Datenmengen kopieren. (Berliner Datenschutzbeauftragte)
Die Ransomware-/Erpressergruppe Rhysida bekannte sich anschließend zu dem Angriff und behauptete, 5,7 Terabyte Daten erbeutet zu haben. Sie verlangte 30 Bitcoin – seinerzeit ungefähr zwei Millionen Euro. Berlin zahlte nicht. Die Daten wurden daraufhin am 4. September veröffentlicht. Inzwischen ist klar, dass sich darunter auch personenbezogene Informationen befinden können. Die Berliner Datenschutzbeauftragte nennt unter anderem Namen, Anschriften, Geburtsdaten, Bankdaten, E-Mail-Adressen, Telefonnummern, Schriftverkehr und eingereichte Dokumentkopien als möglicherweise betroffen.
Das eigentlich Interessante: Wie TerminalFix funktioniert
TerminalFix nutzt zunächst gar keine klassische technische Sicherheitslücke. Stattdessen wird der Benutzer dazu gebracht, die Schadsoftware selbst auf seinem Rechner auszuführen.
Microsoft hat die derzeit beobachtete Angriffskette Ende August detailliert analysiert. Sie beginnt typischerweise damit, dass jemand eine zuvor von Kriminellen kompromittierte Webseite besucht. Dort erscheint ein täuschend echt aussehendes Cloudflare-CAPTCHA, etwa mit dem bekannten Kästchen „Verify you are human“. (Microsoft)
Dann geschieht etwas Entscheidendes:
1. Das falsche CAPTCHA kopiert einen Befehl in die Windows-Zwischenablage.
Der Benutzer merkt davon unter Umständen nichts.
2. Die Webseite behauptet, für die menschliche Verifikation seien noch einige Schritte erforderlich.
Das Opfer soll beispielsweise Windows Terminal oder PowerShell öffnen und den Inhalt der Zwischenablage dort einfügen.
Damit unterscheidet sich TerminalFix etwas von älteren ClickFix-Angriffen: Bei ClickFix wird häufig Win + R benutzt; TerminalFix versucht gezielt, den Benutzer zum Öffnen von Windows Terminal beziehungsweise PowerShell zu bringen. Dadurch lassen sich wesentlich komplexere, auch mehrzeilige Befehle ausführen.
3. Der Benutzer führt den PowerShell-Befehl selbst aus.
Damit hat der Angreifer die wichtigste Hürde überwunden. Das vermeintliche CAPTCHA meldet anschließend sogar sinngemäß, die Überprüfung sei erfolgreich gewesen.
Im Hintergrund beginnt dagegen die eigentliche Infektion. Microsoft beobachtete, dass ein ZIP-Archiv heruntergeladen und unter C:\ProgramData entpackt wird. Anschließend wird eine legitime, von Microsoft signierte Windows-Datei namens LockScreenContentServer.exe gestartet. Daneben liegt jedoch eine manipulierte DLL namens dui70.dll. Durch sogenanntes DLL-Sideloading bringt der Angreifer den vertrauenswürdigen Prozess dazu, den Schadcode zu laden.
Danach wird es erheblich raffinierter
TerminalFix lädt weitere Bestandteile nach. Dabei wird unter anderem Steganografie verwendet.
Die Malware lädt scheinbar harmlose PNG-Bilder von Servern der Angreifer herunter. In den Bilddaten befindet sich jedoch weiterer Schadcode. Ein PowerShell-Skript extrahiert diese Daten aus den Pixelinformationen und setzt daraus ausführbare Dateien beziehungsweise DLL-Komponenten zusammen.
Anschließend versucht die Malware, dauerhaft auf dem Rechner zu bleiben. Microsoft fand dafür gleich zwei Mechanismen: einen Registry-Autostart sowie eine geplante Windows-Aufgabe, welche die Schadsoftware regelmäßig erneut startet. Das betreffende Verzeichnis wird zusätzlich versteckt.
Besonders problematisch für ein Behörden- oder Unternehmensnetz ist aber die nächste Phase.
Der kompromittierte Computer wird zur Startrampe für Angriffe auf das interne Netzwerk.
TerminalFix untersucht beispielsweise:
- welcher Windows-Domäne der Rechner angehört,
- welche anderen Rechner und Server vorhanden sind,
- welche Benutzerkonten existieren,
- wer Mitglied der Gruppe der Domain-Administratoren ist,
- welche Vertrauensbeziehungen zwischen Domains bestehen und
- welche erreichbaren Server vorhanden sind.
Danach kann ein Reverse-Tunnel aufgebaut werden. Der infizierte Rechner stellt dabei selbst eine verschlüsselte WebSocket-Verbindung über Port 443 zum Angreifer her. Weil dies nach außen wie gewöhnlicher HTTPS-Verkehr aussehen kann, ist eine solche Verbindung für Firewalls wesentlich schwieriger zu erkennen. Der Angreifer kann den kompromittierten Rechner anschließend gewissermaßen als Proxy innerhalb des Behördennetzes verwenden.
Vereinfacht sieht die Angriffskette also so aus:
kompromittierte Webseite → falsches CAPTCHA → Zwischenablage → Benutzer öffnet Terminal/PowerShell → Schadbefehl → Download → DLL-Sideloading → versteckte Malware → Netzwerkerkundung → Reverse-Tunnel → Zugriff auf weitere Systeme → Datendiebstahl/Ransomware
Warum diese Methode so gefährlich ist
Das Raffinierte daran ist, dass der Angreifer eine Reihe klassischer Sicherheitsmechanismen umgeht.
Der Browser lädt zunächst nicht einfach eine EXE-Datei herunter, bei der sofort Alarm ausgelöst werden könnte. Stattdessen kopiert die Webseite zunächst lediglich Text in die Zwischenablage.
Und anschließend führt der Benutzer selbst PowerShell aus.
Das kann gegenüber manchen Schutzmechanismen wie eine legitime Benutzeraktion erscheinen. Der eigentliche Schadcode wird zudem in mehreren Stufen nachgeladen und teilweise in Bildern versteckt.
Für Organisationen bedeutet das außerdem: MFA allein verhindert diesen Erstzugang nicht unbedingt. Wenn der Benutzer bereits an einem Firmenrechner angemeldet ist und selbst einen Schadcode ausführt, muss der Angreifer für diesen Schritt kein Passwort stehlen.
Die wichtigste Schutzregel für normale Benutzer
Sie ist erfreulich einfach:
Ein echtes CAPTCHA verlangt niemals, dass Sie Windows Terminal, PowerShell, die Eingabeaufforderung oder „Ausführen“ öffnen und dort einen Befehl einfügen.
Auch ein CAPTCHA, das Sie auffordert, Win + R, Win + X oder ähnliche Tastenkombinationen zu drücken und anschließend etwas mit Ctrl + V einzufügen, sollte als Angriffsversuch betrachtet werden.
Das gilt selbst dann, wenn das CAPTCHA vollkommen echt aussieht und Logos von Cloudflare, Google oder anderen bekannten Unternehmen verwendet.
Was Unternehmen und Behörden zusätzlich tun können
Hier reicht Mitarbeiterschulung allein nicht aus. Microsoft empfiehlt unter anderem, PowerShell für normale Benutzer mit AppLocker, Windows Defender Application Control oder Gruppenrichtlinien einzuschränken. Wo die Windows-Ausführen-Funktion nicht benötigt wird, kann auch diese eingeschränkt beziehungsweise überwacht werden.
Sehr sinnvoll sind außerdem PowerShell Script Block Logging und zentrale Überwachung. Auffällig wäre beispielsweise, wenn Windows Terminal oder PowerShell plötzlich Downloadbefehle ausführt, ZIP-Dateien nach ProgramData schreibt oder LockScreenContentServer.exe außerhalb seines normalen Windows-Verzeichnisses gestartet wird.
Microsoft empfiehlt außerdem Constrained Language Mode, geeignete Attack-Surface-Reduction-Regeln, Netzwerk- und Webschutz sowie eine Terminal-Konfiguration, die Benutzer beim Einfügen mehrzeiliger Befehle warnt.
Gerade der Berliner Fall zeigt zudem, warum Netzwerksegmentierung wichtig ist: Die Kompromittierung eines einzelnen Arbeitsplatzes sollte nicht automatisch bedeuten, dass dieser Rechner große Teile des Verwaltungsnetzes erreichen und ausforschen kann.
Falls jemand bereits auf ein solches CAPTCHA hereingefallen ist
Hier muss man zwischen „CAPTCHA angeklickt“ und „Befehl ausgeführt“ unterscheiden.
Nur das gefälschte CAPTCHA anzuklicken ist noch nicht zwangsläufig die Infektion. Kritisch wird es insbesondere dann, wenn anschließend ein vorgegebener Befehl in PowerShell, Terminal, cmd.exe oder das Windows-Ausführen-Fenster eingefügt und ausgeführt wurde.
Ist das passiert, sollte man nicht einfach einen Virenscan durchführen und anschließend weiterarbeiten. Bei der von Microsoft beschriebenen TerminalFix-Variante muss davon ausgegangen werden, dass der Rechner möglicherweise bereits als Zugang zum Netzwerk dient. Microsoft empfiehlt ausdrücklich, betroffene Hosts gründlich zu untersuchen und von möglicher Netzwerkkompromittierung auszugehen.
Für einen Privatrechner würde ich in diesem Fall mindestens die Netzwerkverbindung trennen, Passwörter von einem anderen, sauberen Gerät aus ändern und den Rechner gründlich untersuchen beziehungsweise im Zweifelsfall neu aufsetzen. Genau zu Netzwerk-Trennung, Passwortänderung von einem sicheren Gerät und Malwareprüfung rät inzwischen auch die Berliner Datenschutzbeauftragte.
Zum Berliner Fall bleibt allerdings eine wichtige offene Frage: Dass TerminalFix nach den neuesten Erkenntnissen der initiale Angriffsweg war, erklärt noch nicht, wie aus der Kompromittierung eines Arbeitsplatzes schließlich ein Datendiebstahl in der Größenordnung von mehreren Terabyte werden konnte. Dafür müssen weitere Sicherheitsbarrieren überwunden worden sein. Gerade die Fragen nach Berechtigungen, Netzwerksegmentierung, Erkennung des ungewöhnlichen Datenverkehrs und der Zeitspanne bis zur Entdeckung sind daher mindestens ebenso interessant wie das gefälschte CAPTCHA selbst. Die forensischen Untersuchungen dauern laut Berlin weiterhin an.
Neo24 AI beantwortet dazu gerne Ihre Nachfragen:
Ask me anything!
Möchten Sie ein solches Dialogfenster von Neo24 AI in Ihre Internetseite oder in Ihren Onlineshop einbauen? Dann klicken Sie bitte hier und laden kostenlos die benötigte App für die Einbindung herunter.
