Was in dem gemeldeten Fall passiert ist

Das BSI wurde im August 2026 über die Kompromittierung des Netzwerks einer staatlichen Institution informiert. Die Analyse ergab, dass der Ablauf einer Angriffswelle entspricht, die Microsoft eine Woche zuvor unter dem Namen TerminalFix beschrieben hatte. Das BSI stuft die Warnung als Kritikalität 2 ein, also gelb: Maßnahmen müssen zeitnah ergriffen werden.

Eine Einordnung vorweg, weil sie in vielen Berichten untergeht: Das BSI spricht in seiner Warnung von einer staatlichen Institution und nennt keinen Namen. Dass es sich um Berliner Verwaltungen handelt, ist Berichterstattung, nicht Behördenauskunft. Für die Lehre, um die es hier geht, spielt das keine Rolle. Für die Genauigkeit schon.

Der Ablauf, so wie ihn das BSI beschreibt:

• Das Opfer landet auf einer präparierten Website. Entweder wurde es dorthin geführt, etwa per Phishing, oder es ruft die Seite ohnehin regelmäßig auf.
• Dort erscheint eine Captcha-Abfrage. Sie legt nahe, dass zum Abschluss der Prüfung ein Befehl in Windows Terminal oder PowerShell ausgeführt werden muss. Der Befehl liegt bereits in der Zwischenablage.
• Führt das Opfer ihn aus, lädt der Befehl ein Archiv herunter, entpackt es und startet es. Gleichzeitig zeigt die Seite an, das Captcha sei erfolgreich gelöst worden. Das ist der Teil, der Misstrauen verhindern soll.
• Im Archiv arbeiten eine ausführbare Datei und eine Schadbibliothek zusammen. Weiterer Schadcode wird in Bilddateien versteckt nachgeladen und erst auf dem Rechner zusammengesetzt.
• Die Schadsoftware nistet sich dauerhaft ein, über einen Registry-Eintrag, eine wiederkehrende Aufgabe und versteckte Verzeichnisse.
• Dann wird die Umgebung ausgespäht: Domänen, Rechtevergaben, Active Directory, Server und vorhandene Backup-Systeme.
• Für den späteren Datenabfluss richten die Angreifer Cloud-Speicher ein und nutzen dafür die offiziellen Werkzeuge des jeweiligen Anbieters.
• Zuletzt entsteht ein verschlüsselter Rückkanal über eine nachinstallierte Python-Umgebung. Befehle, die darüber laufen, werden unter Umständen nicht protokolliert.

Am Ende stehen Verschlüsselung und Datenabfluss. Was danach kommt, ist doppelte Erpressung — einmal für die Entschlüsselung, einmal für das Nichtveröffentlichen. Diesen zweiten Teil habe ich in Erpresser veröffentlichen gestohlene Daten beschrieben.

Zwei Punkte aus dieser Kette lohnen den zweiten Blick. Erstens: Die Angreifer sehen sich die Backup-Systeme an. Wer davon ausgeht, dass eine Sicherung im Ernstfall bereitsteht, sollte wissen, dass sie mit auf der Liste steht. Zweitens: Zwischen dem ausgeführten Befehl und dem eigentlichen Schaden liegt Zeit. Diese Zeit ist die Gelegenheit, den Angriff zu bemerken — vorausgesetzt, jemand schaut hin.

Warum die üblichen Phishing-Regeln hier nicht greifen

Was Mitarbeitern in Schulungen beigebracht wird, ist über Jahre gewachsen und größtenteils sinnvoll: Absender prüfen, Anhänge nicht öffnen, das Ziel eines Links vor dem Klick ansehen, keine Zugangsdaten auf einer fremden Anmeldeseite eingeben. Bei dieser Masche greift keiner dieser vier Punkte.

Es gibt keinen Anhang, den man nicht öffnen könnte. Es gibt keine gefälschte Anmeldeseite, auf der man kein Passwort eingeben sollte. Und es gibt keine Absenderadresse, die man prüfen könnte, denn der eigentliche Vorgang findet nicht in der Mail statt, sondern auf einer Website.

Der Ratschlag, nur vertrauenswürdige Seiten zu besuchen, hilft ebenfalls nicht. Das BSI hält fest, dass das für die Captcha-Abfrage verwendete JavaScript in historischen Daten auf mehreren Hundert Webseiten gefunden wurde. Es handelt sich um kompromittierte Seiten, nicht um eigens gebaute Betrugsseiten. Die Seite, auf der die Abfrage erscheint, kann also eine sein, die jemand seit Jahren täglich aufruft.

Der Unterschied zum klassischen Phishing sitzt tiefer, als es zunächst wirkt. Beim klassischen Phishing täuscht der Angreifer eine vertraute Umgebung vor und hofft, dass das Opfer etwas preisgibt. Hier täuscht er eine vertraute Routine vor und lässt das Opfer die Arbeit machen. Die Schadsoftware bricht nicht ein. Sie wird hereingebeten.

Das erklärt auch, warum Schutzsoftware es schwer hat. Am Anfang der Kette steht kein verdächtiger Anhang, sondern ein Mensch, der etwas kopiert und einfügt. Das ist ein völlig normaler Vorgang.

Die eine Regel, die auch bei der nächsten Variante trägt

Merkmalslisten haben ein Problem: Sie veralten. Wer zehn Erkennungszeichen lernt, erkennt die elfte Variante nicht. Bei dieser Masche gibt es aber einen Satz, der unabhängig von der Aufmachung funktioniert, weil er nicht am Aussehen ansetzt, sondern an der Handlung.

Der Satz trägt, weil er die Grenze beschreibt, die der Angriff überschreiten muss. Ein Captcha prüft, ob ein Mensch am Gerät sitzt. Diese Prüfung findet im Browser statt und endet dort. In dem Moment, in dem eine Website Sie aus dem Browser herausführt und an ein Systemfenster verweist, hat sie den Zweck verlassen, den ein Captcha überhaupt hat.

Deshalb funktioniert die Regel auch dann noch, wenn die nächste Kampagne statt einer Captcha-Abfrage eine Fehlermeldung, ein Druckerproblem oder eine angebliche Videokonferenz-Reparatur vorschiebt. Die Aufmachung wechselt. Die verlangte Handlung bleibt dieselbe.

Diesen Satz können Sie in einer Teambesprechung in zwei Minuten weitergeben. Er ist die wirksamste Einzelmaßnahme, die in einem kleinen Betrieb ohne Budget möglich ist.

ClickFix und TerminalFix — der Unterschied entscheidet über den Schaden

Die Masche ist nicht neu. Unter dem Namen ClickFix ist sie seit 2024 bekannt. Die aktuelle Variante heißt TerminalFix, und der Unterschied ist für Betriebe wichtiger, als es der Name vermuten lässt.

Bei ClickFix wurde das Opfer üblicherweise über den Ausführen-Dialog von Windows geleitet. Das BSI hält fest, dass dabei in der Regel einzelne Rechner kompromittiert wurden. Bei TerminalFix führt der Weg stattdessen in Windows Terminal oder PowerShell. Microsoft nennt als Grund, dass sich dort längere, mehrzeilige Skripte zuverlässiger ausführen lassen.

Die Folge beschreibt das BSI deutlich: TerminalFix bietet die Möglichkeit, tiefer in Netzwerke einzudringen und die IT ganzer Organisationen zu beeinträchtigen. Aus einem befallenen Rechner wird damit ein Zugang zum Netz.

Für die Praxis heißt das vor allem eines, und es ist der Punkt, an dem in kleinen Betrieben am häufigsten falsch entschieden wird: Ein Rechner, auf dem so ein Befehl ausgeführt wurde, ist kein Einzelfall, den man mit einem Virenscan erledigt. Das BSI führt in seinen Maßnahmen ausdrücklich auf, kompromittierte Rechner als Einstiegspunkte ins Netzwerk zu betrachten und nicht als isolierte Systeme.

Was Sie technisch dagegen tun können

Die folgenden Punkte stammen aus dem Advisory, das Microsoft zu dieser Kampagne veröffentlicht hat und auf das sich das BSI in seiner Warnung stützt. Sie sind für einen Betrieb ohne eigene IT-Abteilung nicht selbst umsetzbar. Sie eignen sich aber als Fragen an denjenigen, der Ihre IT betreut:

• Wird die Ausführung von PowerShell und dem Ausführen-Dialog eingeschränkt? Microsoft empfiehlt dafür AppLocker und rät, den Ausführen-Dialog dort zu sperren, wo er für die tägliche Arbeit nicht gebraucht wird. In den meisten Betrieben braucht ihn niemand außer dem Administrator.
• Läuft PowerShell im eingeschränkten Sprachmodus? Der Constrained Language Mode verhindert, dass die gefährlichen Befehlsformen überhaupt ausgeführt werden. Beide Quellen nennen ihn ausdrücklich.
• Wird protokolliert, was PowerShell tut? Das Script Block Logging hält auch verschleierte Befehle fest. Es verhindert nichts, aber ohne diese Protokolle lässt sich hinterher nicht rekonstruieren, was passiert ist.

Dazu kommen die Selbstverständlichkeiten, die trotzdem oft fehlen: aktueller Schutz auf den Geräten und im Netz, ein Browser mit Reputationsprüfung und cloudgestützte Erkennung.

Wenn Sie auf alle drei Fragen keine Antwort bekommen, ist das die eigentliche Erkenntnis des Gesprächs. Wo Sie in einem kleinen Betrieb sinnvollerweise anfangen, habe ich in IT-Sicherheit im Kleinbetrieb beschrieben.

Jemand hat den Befehl ausgeführt — was jetzt?

Zuerst die Erwartung geraderücken: Ein Virenscan ist keine Entwarnung. Nach dem, was BSI und Microsoft beschreiben, richtet sich die Schadsoftware an mehreren Stellen gleichzeitig ein und lädt weitere Bestandteile in Bilddateien versteckt nach. Ein sauberer Befund bedeutet, dass nichts gefunden wurde. Er bedeutet nicht, dass nichts da ist.

Für private Geräte empfiehlt das BSI, den Browser sofort zu schließen, das System neu aufzusetzen und alle Passwörter zu ändern. Das ist ein hartes Vorgehen, und es ist genau so gemeint.

Im Betrieb kommt der Netzwerkgedanke dazu. Trennen Sie das Gerät vom Netz und geben Sie es nicht einfach zur Bereinigung. Behandeln Sie stattdessen jeden Zugang, der von diesem Rechner aus erreichbar war, als offengelegt. Wie ein geordneter Ablauf im Ernstfall aussieht, mit Anzeige, Forensik und den Fragen, die dann anstehen, steht in Erpresser veröffentlichen gestohlene Daten. Ob im konkreten Fall Meldepflichten greifen, ist eine Frage für den Einzelfall; die Fristenlogik habe ich in NIS2-Meldepflicht beschrieben.

Zum Zeitdruck gehört eine Zahl, die im BSI-Dokument steht und die man kennen sollte. Nach Kenntnislage eines kommerziellen Dienstleisters des BSI folgt in 92 Prozent der Fälle auf die Nennung auf der Leak-Seite Rhysida auch eine Veröffentlichung der Daten. Zwischen Nennung und Veröffentlichung vergehen im Schnitt elf Tage. Wer auf dieser Liste auftaucht, hat also weder eine realistische Aussicht darauf, dass nichts passiert, noch besonders viel Zeit.

Warum das auch kleine Betriebe angeht

Der naheliegende Einwand lautet: Das war eine Behörde, wir sind ein Betrieb mit zwanzig Leuten. Drei Punkte sprechen dagegen, es dabei zu belassen.

Die Täter suchen nicht gezielt. Das BSI ordnet die Kampagne dem Cybercrime-Bereich zu und beschreibt die Täter als opportunistisch und ausschließlich finanziell motiviert. Einen Zusammenhang mit staatlichen Akteuren konnte das BSI nicht herstellen. Wer auf einer präparierten Seite landet, landet dort nicht, weil er ausgewählt wurde.

Die Auswertung der Leak-Seite zeigt außerdem keinen besonderen Fokus auf Deutschland. Stark vertreten sind der Bildungs- und der Gesundheitssektor, der Verwaltungssektor folgt mit Abstand. Das sind keine Ziele, die nach besonderer Absicherung aussehen. Es sind Ziele, die Angreifer erreichen.

Und der Einstieg braucht keine Größe. Er braucht einen Menschen an einem Rechner, der eine Anweisung befolgt, die plausibel aussieht. Diesen Menschen gibt es in jedem Betrieb.