BSI warnt vor TerminalFix: Wie gefälschte Captchas Firmennetze öffnen

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat am 4. September 2026 vor der Angriffskampagne „TerminalFix" gewarnt. Betroffen sind bereits deutsche Behörden. Die Masche ist so einfach wie wirkungsvoll: Nicht eine Lücke in der Software öffnet die Tür, sondern ein Mitarbeiter, der einer gefälschten Anleitung folgt.

So läuft der Angriff ab

Microsoft hatte die Kampagne wenige Tage zuvor beschrieben. Der Ablauf ist immer ähnlich:

1. Ein Mitarbeiter öffnet eine Website, die eigentlich seriös ist, aber von Angreifern manipuliert wurde.
2. Dort erscheint eine vermeintliche Sicherheitsabfrage, wie man sie von „Ich bin kein Roboter"-Prüfungen kennt.
3. Zur Bestätigung soll er ein Befehlsfenster öffnen - das Windows-Terminal oder PowerShell - und einen Text einfügen. Diesen Text hat die Seite zuvor unbemerkt in die Zwischenablage kopiert.
4. Mit dem Einfügen startet der Mitarbeiter selbst ein Schadprogramm. Es richtet für die Angreifer einen versteckten Zugang ins Firmennetz ein, der wie gewöhnlicher Internetverkehr aussieht.

Über diesen Zugang erreichen die Täter Dateiserver, Datenbanken und andere interne Systeme. Laut BSI versuchten sie im bekannten Fall anschließend, Erpressungssoftware (Ransomware) zu installieren, Daten abzuziehen und die Opfer mit deren Veröffentlichung zu erpressen.

Nicht nur ein Problem von Behörden

Die BSI-Warnung nennt Behörden, Microsoft spricht von Angriffen auf mehrere wichtige Branchen. Die Masche funktioniert überall, wo Mitarbeiter im Internet recherchieren - im Steuerbüro genauso wie in der Arztpraxis, im Handwerksbetrieb oder in der Verwaltung. Eine gefälschte Prüfung auf einer bekannten Website wirkt schließlich vertrauenswürdig.

Warum Virenscanner hier wenig helfen

Klassische Schutzprogramme achten vor allem auf verdächtige Dateien und Anhänge. Bei TerminalFix gibt es keinen Anhang: Der Befehl wird vom Nutzer selbst ausgeführt, mit dessen Rechten und in einem Werkzeug, das Windows ganz normal mitbringt. Für die Technik sieht das zunächst aus wie gewöhnliche Arbeit.

TerminalFix ist eine Weiterentwicklung der Masche „ClickFix", vor der Sicherheitsexperten schon länger warnen. Neu ist vor allem, dass die Opfer in das Terminal oder PowerShell gelotst werden. Dort laufen auch lange, mehrzeilige Befehle zuverlässig durch - für die Angreifer ein Vorteil.

Woran Sie die Masche erkennen

• Eine Website verlangt für eine Prüfung oder „Fehlerbehebung", eine Tastenkombination zu drücken oder etwas einzufügen.
• Sie werden aufgefordert, ein Befehlsfenster, das Terminal oder PowerShell zu öffnen.
• Die Anleitung kommt von einer Seite, die mit Ihrem eigentlichen Anliegen nichts zu tun hat.

Die wichtigste Regel für alle im Team: Keine seriöse Website und kein echter Support verlangt, dass Sie Befehle in ein Windows-Fenster einfügen.

Was bedeutet das für Sie?

• Mitarbeiter sensibilisieren: Erklären Sie die Masche kurz im Team, am besten mit einem Beispielbild. Das BSI betont, dass der „Faktor Mensch" eine entscheidende Rolle für die Informationssicherheit spielt.
• PowerShell begrenzen: Microsoft empfiehlt, den Zugriff auf PowerShell auf die Mitarbeiter zu beschränken, die ihn wirklich brauchen, und ausgeführte Befehle zu protokollieren.
• Mit eingeschränkten Rechten arbeiten: Wer im Alltag ohne Administratorrechte arbeitet, kann mit einem eingeschleusten Befehl weniger Schaden anrichten.
• Verdacht sofort melden: Wer schon etwas eingefügt hat, sollte die IT sofort informieren, statt abzuwarten. Jede Stunde zählt.
• Zugänge prüfen: Nach einem Verdachtsfall Passwörter und Anmeldungen kontrollieren lassen, denn die Angreifer haben es auch auf Zugangsdaten abgesehen.

okm unterstützt Unternehmen in Magdeburg und der Region dabei, ihre Systeme abzusichern; zum Datenschutz-Angebot gehören auch Schulungen für Ihre Mitarbeiter. Sprechen Sie uns gern im kostenlosen Erstgespräch an.