Jeder kennt Captchas. Die kleinen Bilderrätsel, bei denen man Ampeln, Zebrastreifen oder Fahrräder markieren soll. Mittlerweile gehören sie zum Internet wie Ladebalken und Cookie-Banner. Wir klicken sie weg, ohne darüber nachzudenken – und genau das machen sich Angreifer zunutze.
Im September 2026 hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) vor einer Angriffsmethode gewarnt, die genau diesen Mechanismus umdreht. Statt Menschen von Bots zu unterscheiden, nutzt sie das Captcha als Vorwand, um Menschen dazu zu bringen, schädlichen Code auf ihrem eigenen System auszuführen. Die Methode heißt TerminalFix. Sie war vermutlich der Einstiegspunkt für den Cyberangriff auf die Berliner Landes-IT, bei dem die Ransomware-Gruppe Rhysida über 5,79 Terabyte Daten erbeutete.
Dieser Artikel erklärt, wie TerminalFix funktioniert, warum niemals ein Captcha eine Eingabe im Terminal verlangen sollte, was passiert, wenn man es trotzdem tut – und wie man sich schützt.
- Was ein Captcha eigentlich macht
- Wie TerminalFix funktioniert
- Schritt 1: Die präparierte Webseite
- Schritt 2: Die Aufforderung zum Terminal
- Schritt 3: Der schädliche Befehl in der Zwischenablage
- Schritt 4: Die Infektion
- Schritt 5: Die Persistenz
- Schritt 6: Die Ausbreitung
- Was in Berlin passiert ist
- Warum das Terminal kein Captcha kennt
- Was tun, wenn man es schon ausgeführt hat?
- Wie man sich vor TerminalFix schützt
- Die größere Frage
- Quelle und Hinweis
- Quellen
Was ein Captcha eigentlich macht
Captcha steht für „Completely Automated Public Turing test to tell Computers and Humans Apart”. Die Idee ist einfach: Ein Server stellt eine Aufgabe, die für Menschen leicht, für Maschinen aber schwer zu lösen ist. Früher waren das verzerrte Buchstaben, heute sind es Bilderauswahlen oder unsichtbare Verfahren, die das Verhalten des Nutzers auswerten.
Der Zweck ist immer derselbe: Bots davon abhalten, Formulare zu spammen, Accounts massenhaft anzulegen oder Preisvergleichsseiten abzugrasen. Ein echtes Captcha verlangt vom Nutzer Klicks auf Bilder. Nicht mehr und nicht weniger.
Hinweis
Ein echtes Captcha fordert niemals – unter keinen Umständen – die Eingabe von Befehlen in ein Terminal, eine PowerShell, eine Eingabeaufforderung oder eine Konsole. Wer das sieht, hat kein Captcha vor sich. Er hat einen Angriff vor sich.
Wie TerminalFix funktioniert
TerminalFix ist eine Variante der ClickFix-Kampagne, die Microsoft bereits im Februar 2026 beschrieben hatte. Der Ablauf ist mehrstufig und baut auf Social Engineering – also auf psychologischer Manipulation statt auf technischen Exploits.
Schritt 1: Die präparierte Webseite
Der Nutzer besucht eine Webseite, die ein gefälschtes Captcha anzeigt. Diese Seite ist entweder direkt von Angreifern erstellt und per Phishing-Link verbreitet worden, oder es ist eine legitime Seite, die von den Angreifern kompromittiert wurde – sogenanntes Water-Holing. Letzteres ist besonders tückisch, weil die Seite dem Nutzer vertraut vorkommt.
Das gefälschte Captcha sieht aus wie ein echtes. Oft imitiert es das Design von Cloudflare, dem bekanntesten Captcha-Anbieter. Der optische Eindruck ist täuschend echt.
Schritt 2: Die Aufforderung zum Terminal
Statt Bilder zum Anklicken bietet das gefälschte Captcha eine Anleitung. Dort steht sinngemäß: „Um zu beweisen, dass Sie kein Roboter sind, drücken Sie Windows + X und dann I, öffnen Sie das Windows-Terminal, und fügen Sie den folgenden Befehl ein.”
Das ist der Moment, in dem jeder Alarmglocke läuten müsste. Ein echtes Captcha braucht kein Terminal. Ein echtes Captcha braucht keine PowerShell. Ein echtes Captcha braucht keinen Befehl. Wer eine Sicherheitsabfrage sieht, die einen auffordert, Code in eine Kommandozeile einzufügen, sieht keinen Schutzmechanismus. Er sieht einen Angriff.
Schritt 3: Der schädliche Befehl in der Zwischenablage
Während der Nutzer die Anleitung liest, hat ein JavaScript auf der Webseite bereits einen schädlichen PowerShell-Befehl in die Zwischenablage kopiert. Der Nutzer muss nur noch Strg+V drücken und Enter – und der Befehl wird ausgeführt.
Der Befehl selbst sieht für Laien unverständlich aus: eine lange Zeichenkette mit Base64-kodierten Abschnitten, URLs, Pfaden. Genau das ist das Problem. Wer nicht versteht, was ein Befehl macht, sollte ihn niemals ausführen. Wer ihn versteht, würde ihn niemals ausführen.
Schritt 4: Die Infektion
Der Befehl lädt ein ZIP-Archiv von einer Angreifer-Infrastruktur herunter, entpackt es und führt eine darin enthaltene Datei aus. Zeitgleich zeigt die Webseite „Captcha erfolgreich bestätigt” an – um den Nutzer zu beruhigen und Misstrauen zu verhindern.
Im ZIP-Archiv arbeiten zwei Dateien zusammen: eine scheinbar harmlose ausführbare Datei und eine schädliche DLL. Die DLL lädt weiteren Schadcode nach, der in PNG-Bildern versteckt ist – eine Technik, die Virenscanner oft umgeht, weil Bilddateien nicht als ausführbar gelten.
Schritt 5: Die Persistenz
Die Malware richtet sich dauerhaft auf dem System ein. Sie erstellt Einträge in der Windows-Registry, legt wiederkehrende Aufgaben an, versteckt Daten und Verzeichnisse. Ab diesem Punkt gehört das System nicht mehr dem Nutzer. Es gehört den Angreifern.
Schritt 6: Die Ausbreitung
Von dem infizierten System aus spähen die Angreifer das Netzwerk aus. Sie untersuchen Domänen, Active Directory, Rechtevergaben, betriebene Server. Sie suchen nach weiteren erreichbaren Systemen und versuchen, sich lateral zu bewegen – also von einem kompromittierten Rechner aus weitere Systeme zu infiltrieren. Am Ende steht oft die Installation von Ransomware und die Erpressung der Opfer.
Was in Berlin passiert ist
Der Angriff auf die Berliner Landes-IT, der im August 2026 bekannt wurde, folgte wohl genau diesem Muster. Die Senatsverwaltungen für Stadtentwicklung und Wohnen sowie für Mobilität, Verkehr, Klima und Umwelt wurden über TerminalFix kompromittiert.
Die Ransomware-Gruppe Rhysida beanspruchte die Verantwortung für den Angriff, erbeutete nach eigenen Angaben 5,79 Terabyte Daten – rund 1,2 bis 1,44 Millionen Dateien – und forderte 30 Bitcoin Lösegeld, umgerechnet rund zwei Millionen Euro. Berlin zahlte nicht. Rhysida veröffentlichte die Daten im Darknet.
Die Folgen waren und sind gravierend: Bürgerinnen und Bürger konnten über Tage hinweg keine Anträge auf Wohngeld stellen, da zwei Senatsverwaltungen vom Netz isoliert werden mussten. Die Prüfung der veröffentlichten Dateien dauert an. Ein Krisenstab wurde eingerichtet, Sicherheitsmaßnahmen verschärft.
Das BSI hat am 4. September 2026 eine IT-Sicherheitsmitteilung veröffentlicht, die den Angriffsverlauf detailliert beschreibt und vor weiteren TerminalFix-Angriffen warnt. Auf Mastodon bestätigte das BSI den Zusammenhang mit dem Berliner Angriff.
Warum das Terminal kein Captcha kennt
Die Kernbotschaft dieses Artikels lässt sich in einem Satz zusammenfassen: Ein echtes Captcha verlangt niemals eine Eingabe im Terminal.
Das Terminal – egal ob PowerShell, Eingabeaufforderung, Bash, Zsh oder eine andere Shell – ist das mächtigste Werkzeug auf einem System. Wer dort einen Befehl ausführt, gibt dem System eine Anweisung, die es befolgt. Ohne Rückfrage, ohne Sicherheitsabfrage, ohne „Sind Sie sicher?”. Das Terminal vertraut dem Nutzer. Das ist seine Stärke und seine Gefahr.
Ein Captcha dagegen ist ein Schutzmechanismus, der im Browser läuft. Er will herausfinden, ob der Nutzer ein Mensch ist. Dafür braucht er keine Befehle. Er braucht Klicks. Wer behauptet, ein Captcha könne nur durch Terminal-Eingaben gelöst werden, behauptet etwas technisch Unsinniges. Das ist kein Captcha. Das ist Social Engineering.
Die einfache Regel lautet: Wenn eine Webseite dich auffordert, etwas in ein Terminal einzufügen und auszuführen, schließe die Webseite. Nicht nachdenken. Nicht den Befehl lesen. Nicht prüfen, ob er harmlos aussieht. Schließen.
Was tun, wenn man es schon ausgeführt hat?
Das BSI empfiehlt für den Fall, dass ein Nutzer einen solchen Befehl bereits ausgeführt hat:
- Browser sofort schließen – die Verbindung zur Angreifer-Infrastruktur kappen.
- System vom Netz nehmen – WLAN aus, LAN-Kabel ziehen. Das verhindert, dass die Malware weitere Daten nachlädt oder sich im Netzwerk ausbreitet.
- System neu installieren – nicht bereinigen, nicht scannen, nicht hoffen. Neu installieren. Eine einmal kompromittierte Maschine ist nicht mehr vertrauenswürdig.
- Passwörter ändern – alle, die auf dem Gerät gespeichert oder eingegeben wurden. Von einem anderen, sauberen Gerät aus.
- Zwei-Faktor-Authentifizierung prüfen – und wo möglich aktivieren, falls noch nicht geschehen.
Wer in einem Unternehmens- oder Behördenkontext arbeitet, muss zusätzlich die IT-Abteilung informieren. Sofort. Nicht morgen. Die Zeit zwischen Infektion und Entdeckung ist entscheidend dafür, wie weit sich ein Angreifer im Netzwerk ausbreiten kann.
Wie man sich vor TerminalFix schützt
Der wichtigste Schutz ist Bewusstsein. TerminalFix funktioniert nur, weil Nutzer einen Befehl ausführen, den sie nicht verstehen. Wer weiß, dass ein Captcha niemals Terminal-Eingaben verlangt, ist vor dieser Angriffsmethode weitgehend sicher.
Weitere Maßnahmen:
- Browser auf dem aktuellen Stand halten – Updates schließen Sicherheitslücken, die Angreifer nutzen könnten, um Webseiten zu kompromittieren.
- Zwischenablage bewusst betrachten – wer Strg+V drückt und sieht, dass etwas anderes eingefügt wird als erwartet, sollte sofort stoppen.
- Ad-Blocker und Pi-hole nutzen – viele Angriffe laufen über kompromittierte Werbenetzwerke. Wer Werbung netzwerkweit blockiert, reduziert die Angriffsfläche. Dazu mehr im Artikel Pi-hole und Quad9 am Raspberry Pi.
- Makros und Skriptausführung einschränken – in Windows lässt sich die Ausführung von PowerShell-Skripten über Execution Policies einschränken. Das hilft nicht gegen jeden Angriff, erschwert aber viele.
- Mitarbeiter schulen – in Unternehmen und Behörden ist der Mensch die letzte Verteidigungslinie. Wer TerminalFix nicht kennt, wird darauf hereinfallen.
- Backups haben – falls alles andere schiefgeht, ist ein sauberes, offline liegendes Backup der einzige Weg, Daten ohne Lösegeld zurückzubekommen.
Die größere Frage
TerminalFix ist nicht nur ein technisches Problem. Es ist ein Symptom für ein tieferes Missverständnis: Wir haben uns an Sicherheit als etwas Gewohntes gewöhnt, das im Hintergrund passiert. Captchas sind Alltag. Wir klicken sie weg. Wir vertrauen darauf, dass sie funktionieren. Und wir haben verlernt, zwischen einem Schutzmechanismus und einem Angriff zu unterscheiden.
Das ist dieselbe Logik, die im Artikel Wem gehört eigentlich unsere Technik? angesprochen wurde: Technik funktioniert, solange wir sie verstehen. Wenn wir aufhören zu verstehen, was ein Captcha macht, was ein Terminal macht, was ein Befehl bewirkt – dann wird Komfort zur Abhängigkeit. Und in diesem Fall wird Abhängigkeit zur Sicherheitslücke.
Wer sein System kontrollieren will, muss wissen, was er ausführt. Wer nicht weiß, was ein Befehl macht, darf ihn nicht ausführen. Egal, wie überzeugend die Webseite aussieht, die ihn fordert.
Das Terminal ist kein Captcha. Das Captcha ist kein Terminal. Wer den Unterschied kennt, ist den Angreifern einen Schritt voraus.
Quelle und Hinweis
Dieser Artikel basiert auf der IT-Sicherheitswarnung des Bundesamts für Sicherheit in der Informationstechnik (BSI) vom 4. September 2026 zur TerminalFix-Kampagne sowie auf Berichten von heise online, Golem.de und borncity.com zum Cyberangriff auf die Berliner Landes-IT. Die beschriebene Angriffsmethode wurde von Microsoft als Variante der ClickFix-Kampagne analysiert.
Bezüge bestehen zu: Pi-hole und Quad9 am Raspberry Pi (netzwerkweiter Schutz vor kompromittierten Werbenetzwerken) und Wem gehört eigentlich unsere Technik? (Verständnis als Voraussetzung für Kontrolle).
Quellen
- BSI: IT-Sicherheitsmitteilung zur TerminalFix-Kampagne – Offizielle Warnung des Bundesamts für Sicherheit in der Informationstechnik vom 4. September 2026. Beschreibt den mehrstufigen Angriff von gefälschten Captchas über PowerShell-Befehle bis hin zu Ransomware-Installation.
- Berichterstattung zum Berliner Cyberangriff – Die Ransomware-Gruppe Rhysida beanspruchte den Angriff, erbeutete 5,79 Terabyte Daten und forderte 30 Bitcoin Lösegeld. Das BSI bestätigte den Zusammenhang mit TerminalFix auf Mastodon.