BSI warnt vor TerminalFix – Gefälschte CAPTCHAs als Einfallstor für Ransomware

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat am 4. September 2026 eine IT-Sicherheitsinformation zur sogenannten TerminalFix-Kampagne veröffentlicht. Nach Angaben des BSI wurde im August 2026 das Netzwerk einer staatlichen Institution in Deutschland über diese Angriffsmethode kompromittiert. Die TerminalFix-Kampagne setzt auf Social Engineering. Nutzer sollen selbst einen Befehl ausführen, der Schadsoftware nachlädt. Das BSI stuft die Lage mit Kritikalität 2 („Gelb“) ein – Maßnahmen sollen zeitnah ergriffen werden.

Der Name stammt von Microsoft. Dessen Sicherheitsforscher hatten den Ablauf Ende August in einem Blogbeitrag von Microsoft Threat Intelligence (englisch) beschrieben und die Kampagne als Variante der bereits bekannten ClickFix-Angriffe eingeordnet. Das BSI stützt seine Warnung auf diesen Bericht und auf eigene Erkenntnisse aus Meldungen.

So läuft der Angriff ab

• Opfer gelangen – etwa über Phishing oder über eine regelmäßig besuchte, aber kompromittierte Website – auf eine Seite mit einer angeblichen CAPTCHA-Prüfung. Microsoft beschreibt gefälschte Cloudflare-Prüfseiten.
• Die Seite kopiert einen PowerShell-Befehl in die Zwischenablage und fordert dazu auf, ihn in Windows Terminal oder PowerShell auszuführen. Anschließend wird eine erfolgreiche Prüfung vorgetäuscht.
• Der Befehl lädt ein ZIP-Archiv, das über DLL-Sideloading weiteren Schadcode ausführt, sich dauerhaft einnistet und das Netzwerk ausspäht – darunter Active Directory, Server und Backup-Systeme.
• Zum Schluss richten die Angreifer einen verschlüsselten Rückkanal ein, über den sie tiefer ins Netz vordringen können.

Nach beim BSI eingegangenen Meldungen wurde in diesem Zusammenhang versucht, Ransomware zu installieren und Daten auszuleiten, um die Opfer anschließend mit einer Veröffentlichung zu erpressen („Double Extortion“). Das BSI ordnet die eingesetzte Schadsoftware einer finanziell motivierten Gruppe zu, die hinter der Ransomware und Leak-Seite Rhysida steht. Laut einem kommerziellen Dienstleister des BSI folgt auf eine Nennung auf dieser Leak-Seite in 92 Prozent der Fälle tatsächlich eine Datenveröffentlichung, im Durchschnitt nach elf Tagen. Das für die falsche CAPTCHA-Prüfung verwendete Skript wurde nach BSI-Angaben auf mehreren Hundert Websites festgestellt.

Empfohlene Maßnahmen

Das BSI verweist auf die Empfehlungen von Microsoft. Dazu gehören aktuelle Netzwerk- und Endpunktschutzlösungen, Browser mit Phishing-Filter, cloudbasierte Malware-Erkennung, Protokollierung von PowerShell-Skriptblöcken und der Betrieb von PowerShell im eingeschränkten Sprachmodus (Constrained Language Mode). Ein befallener Rechner sei als möglicher Einstiegspunkt ins gesamte Netz zu behandeln, nicht als Einzelfall.

Einordnung

Die Warnung nennt Kanzleien nicht ausdrücklich. Betroffen war nach BSI-Angaben eine staatliche Stelle, und die Gruppe hinter Rhysida zielt laut BSI vor allem auf Bildung und Gesundheitswesen. Die Methode ist aber branchenunabhängig. Sie setzt bei einem einzelnen Windows-Arbeitsplatz und einem unaufmerksamen Klick an. Für Kanzleien liegt der Bezug in der Folge – ausgeleitete Mandatsdaten betreffen die anwaltliche Verschwiegenheit, und bei einer Verletzung des Schutzes personenbezogener Daten sieht Art. 33 DSGVO grundsätzlich eine Meldung an die Aufsichtsbehörde vor – unverzüglich und möglichst binnen 72 Stunden. Praktisch naheliegend ist ein kurzer Hinweis an alle Mitarbeitenden, dass keine Website für eine CAPTCHA-Prüfung verlangt, Befehle in Terminal oder PowerShell einzufügen. Ob sich PowerShell auf Kanzleirechnern einschränken lässt, ist eine Frage an den IT-Dienstleister. Weitere Themen zur Kanzlei-IT bündelt die Seite Kanzleisoftware.