TerminalFix-Angriff: Niemals Befehle aus einem CAPTCHA ausführen

Stellen Sie sich vor, Sie öffnen eine Webseite. Eine angebliche „Ich bin kein Roboter“-Prüfung – ein CAPTCHA – fordert Sie auf, die Prüfung zu bestätigen. Beim Anklicken landet unbemerkt ein schädlicher PowerShell-Befehl in Ihrer Zwischenablage. Danach sollen Sie Windows Terminal oder PowerShell öffnen, den Befehl einfügen und ausführen. Eine normale CAPTCHA-Prüfung verlangt so etwas nicht. Genau diese ClickFix-Variante steht am Anfang der von Microsoft beschriebenen TerminalFix-Kampagne: Die manipulierte Webseite bringt den Nutzer dazu, den ersten schädlichen Befehl selbst zu starten.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) berichtet, dass es im August 2026 über die Kompromittierung des Netzes einer staatlichen Institution informiert wurde. Nach Angaben des BSI passen die technischen Analysen zu der von Microsoft beschriebenen TerminalFix-Kampagne. Microsoft veröffentlichte seine Analyse am 28. August 2026.

Der Mensch startet den ersten technischen Schritt

Microsoft beschreibt kompromittierte Websites, die ein gefälschtes Cloudflare-CAPTCHA einblenden. Beim Anklicken wird unbemerkt ein schädlicher Befehl in die Zwischenablage kopiert. Die eingeblendete Anleitung fordert anschließend dazu auf, ein Windows-Systemwerkzeug zu öffnen, den Befehl einzufügen und auszuführen.

Der von Microsoft analysierte Einstieg beruht damit auf Social Engineering: Die betroffene Person führt den ersten Befehl selbst aus. Sicherheitsupdates und Schutzsoftware bleiben notwendig. Gegen diesen Social-Engineering-Einstieg braucht es zusätzlich eine klare Teamregel und passende technische Begrenzungen.

Wie daraus ein Netzwerkvorfall werden kann

Nach der Microsoft-Analyse lädt der ausgeführte Befehl weitere Schadsoftware nach. Diese kann sich auf dem Gerät festsetzen, erreichbare Netzwerkressourcen erkunden und eine verschlüsselte Verbindung nach außen herstellen. Der Rechner kann dadurch zum Zugangspunkt für weitere Systeme werden.

Microsoft beobachtete in der analysierten Kette jedoch keine anschließende seitliche Bewegung, keinen Datenabfluss und keine Verteilung von Ransomware. Der aufgebaute Zugang könnte solche Schritte ermöglichen. Das BSI verweist für die deutsche Fallbearbeitung getrennt davon auf Berichte über versuchte Ransomware-Angriffe und Datenabfluss mit anschließender Erpressung.

Was der Befund für Praxen bedeutet – und was nicht

Die Quellen belegen weder eine gezielte Kampagne gegen Arzt- oder Zahnarztpraxen noch einen konkreten Praxisvorfall. Der Praxisbezug ist eine redaktionelle Übertragung.

Wo eine Praxis Windows-Arbeitsplätze und vernetzte Systeme nutzt, ist die Angriffstechnik grundsätzlich relevant. Active-Directory-Erkundung betrifft nur entsprechend aufgebaute Umgebungen. Wurde der Befehl ausgeführt, darf die Reaktion deshalb nicht beim Schließen des Browserfensters enden: Das betroffene Gerät, mögliche Zugangsdaten und erreichbare Systeme müssen fachkundig geprüft werden.

Jetzt vorbeugen

1. Teamregel festlegen: Jede angebliche CAPTCHA-Prüfung, die zum Öffnen von Windows Terminal oder PowerShell und zum Einfügen eines Befehls auffordert, wird abgebrochen und gemeldet.
2. Meldeweg festhalten: Alle Mitarbeitenden wissen, wen sie sofort erreichen und welche Angaben sie weitergeben sollen.
3. Technische Grenzen prüfen: Der IT-Dienstleister prüft, ob die Befehlsausführung für Standardkonten eingeschränkt werden kann und ob die Änderung mit PVS, Geräten und vereinbarten Supportwegen kompatibel ist. Änderungen werden vor dem Praxisbetrieb getestet.
4. Erkennung abstimmen: Microsoft veröffentlicht technische Indikatoren und Erkennungsabfragen. Die zuständige IT prüft, welche davon mit den eingesetzten Schutzsystemen überwacht werden können.

Wenn der Befehl bereits ausgeführt wurde

Führen Sie keine weiteren Eingaben aus und versuchen Sie nicht, die Situation mit weiteren Befehlen selbst zu bereinigen. Starten Sie sofort das festgelegte Isolations- und Meldeverfahren. Fehlt ein solcher Ablauf, kontaktieren Sie unverzüglich die bekannte IT-Ansprechperson und folgen Sie deren Anweisung zur Isolierung des Geräts. Ist niemand sofort erreichbar und lässt sich das Gerät gefahrlos vom Netz trennen, kann es als vorsorgliche redaktionelle Ableitung von LAN und WLAN getrennt werden; schalten Sie es nicht aus und starten Sie es nicht neu. Nennen Sie der IT-Ansprechperson das Gerät, die aufgerufene Seite, den ungefähren Zeitpunkt und die ausgeführten Schritte, ohne die verdächtige Seite erneut aufzurufen.

Das Gerät sollte nach dem festgelegten Verfahren isoliert und fachkundig untersucht werden. Microsoft empfiehlt, es als möglichen Zugangspunkt zum Netzwerk zu behandeln und auf seitliche Bewegung sowie mögliche Zugangsdatenexposition zu prüfen. Ob und welche Zugangsdaten anschließend geändert werden müssen, sollte die zuständige IT anhand der tatsächlichen Erreichbarkeit entscheiden.

Zwei Fragen für heute

Kann jedes Teammitglied die TerminalFix-Anweisung erkennen? Und ist die zuständige IT-Person im Verdachtsfall ohne Suche erreichbar? Halten Sie Teamregel, Zuständigkeit und Meldeweg im IT-Notfallplan fest – oder zunächst auf einer offline verfügbaren Kontaktkarte, falls ein solcher Plan noch fehlt.

Wurde ein solcher Befehl bereits ausgeführt, überspringen Sie diesen Startcheck und lösen Sie sofort den vereinbarten IT-Notfallweg aus.

Quellen

• BSI: Version 1.0 – Deutsche Institutionen über TerminalFix-Kampagne kompromittiert — BSI-IT-Sicherheitshinweis, veröffentlicht am 4. September 2026, Kritikalität 2, geprüft am 5. September 2026 (Q-0006)
• Microsoft Security Research: TerminalFix campaign deploys a reverse tunnel through multistage intrusion — technische Primäranalyse, veröffentlicht am 28. August 2026, geprüft am 5. September 2026 (Q-0040)

Die organisatorischen Hinweise für Praxen sind eine redaktionelle Übertragung der veröffentlichten Empfehlungen und ersetzen keine individuelle Sicherheitsanalyse oder Vorfallbehandlung.