Stand: 11. September 2026. Die forensischen Untersuchungen zum Berliner Vorfall dauern an. Wir aktualisieren diesen Beitrag, sobald neue behördlich bestätigte Erkenntnisse vorliegen.
Ein Häkchen setzen, kurz bestätigen, weiterarbeiten: CAPTCHA-Abfragen gehören für viele Menschen zum Alltag im Internet. Genau diese Routine nutzen Angreifer inzwischen aus. Hinter einer vermeintlichen Prüfung „Ich bin kein Roboter“ kann sich eine Anleitung verbergen, mit der Nutzer selbst einen schädlichen Befehl auf ihrem Windows-Rechner starten.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt seit dem 4. September 2026 vor einer solchen Kampagne. Sie wird TerminalFix genannt und ist eine Weiterentwicklung der bereits bekannten ClickFix-Methode. Der aktuelle Berliner Cybervorfall macht deutlich, warum Unternehmen ihre Mitarbeiter jetzt konkret vor diesem Muster warnen sollten.
Was beim Cyberangriff auf das Berliner Landesnetz bekannt ist
Zwischen dem 7. und 12. August 2026 flossen Daten aus Bereichen der Berliner Verwaltung ab. Betroffen sind die Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen sowie die Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt. Beide Verwaltungen wurden am 14. August vorsorglich vom Landesnetz getrennt und später wieder angebunden.
Die Gruppe Rhysida bekannte sich zu dem Angriff und behauptete, 5,7 Terabyte Daten erbeutet zu haben. Das Land Berlin bestätigte anschließend, dass gestohlene Daten veröffentlicht wurden. In einem weiteren veröffentlichten Datenpaket befanden sich nach Angaben der Senatskanzlei unter anderem Zugangsdaten. IT-Forensiker und Sicherheitsbehörden prüfen weiterhin, welche Personen, Unternehmen und staatlichen Stellen konkret betroffen sind.
Am 4. September veröffentlichte das BSI parallel eine Sicherheitsmitteilung zu einer staatlichen Institution, deren Netzwerk im August kompromittiert worden war. Nach Angaben des BSI stimmt der beobachtete Tathergang mit der TerminalFix-Kampagne überein. Die dabei eingesetzte Schadsoftware ordnet das BSI derselben finanziell motivierten Gruppe zu, die für die Ransomware und Leak-Seite Rhysida verantwortlich ist.
Wichtig für die Einordnung: Die BSI-Sicherheitsmitteilung nennt Berlin nicht ausdrücklich. Der Zusammenhang mit dem Berliner Vorfall gilt daher als sehr wahrscheinlich, ist in den öffentlich zugänglichen Behördeninformationen aber nicht abschließend bestätigt. Ebenso wenig ist öffentlich belegt, welche konkrete Nachricht oder Webseite den ersten betroffenen Nutzer auf das gefälschte CAPTCHA geführt hat.
Was TerminalFix von gewöhnlichem Phishing unterscheidet
Bei klassischem Phishing sollen Opfer häufig ein Passwort auf einer nachgebauten Anmeldeseite eingeben oder einen schädlichen Anhang öffnen. TerminalFix geht anders vor: Die Webseite bringt den Nutzer dazu, den Angriff selbst auszuführen.
Der Ablauf sieht vereinfacht so aus:
- Ein Nutzer gelangt auf eine kompromittierte oder von Angreifern kontrollierte Webseite.
- Dort erscheint eine gefälschte CAPTCHA-Prüfung.
- Die Seite kopiert unbemerkt einen schädlichen Befehl in die Zwischenablage.
- Eine eingeblendete Anleitung fordert dazu auf, Windows Terminal oder PowerShell zu öffnen, den Inhalt einzufügen und mit Enter zu bestätigen.
- Der Befehl lädt weitere Dateien nach und startet eine mehrstufige Infektionskette.
- Die Schadsoftware richtet einen dauerhaften Zugang ein und beginnt, das Netzwerk, Benutzerrechte, Server und Backup-Systeme auszuspähen.
- Angreifer können anschließend Daten ausleiten und versuchen, Ransomware zu installieren.
Das Tückische daran: Nach dem Ausführen zeigt die präparierte Webseite häufig eine angeblich erfolgreiche CAPTCHA-Prüfung an. Für den Nutzer wirkt es, als sei nichts Ungewöhnliches passiert.
Zwei Wege auf die präparierte Webseite
Das gefälschte CAPTCHA ist nicht zwangsläufig der erste Kontakt mit dem Angriff. Entscheidend ist, wie ein Nutzer auf die manipulierte Seite gelangt. Für die Sensibilisierung im Unternehmen sind vor allem zwei Szenarien wichtig.
Szenario 1: Link in einer Phishing-Mail
Eine E-Mail wirkt wie eine Nachricht eines bekannten Dienstleisters, einer Behörde, eines Paketdienstes oder eines Geschäftspartners. Sie fordert dazu auf, ein Dokument anzusehen, eine Zustellung zu bestätigen oder eine Anmeldung zu prüfen. Der Link führt jedoch nicht zum erwarteten Ziel, sondern auf eine präparierte Webseite mit dem vermeintlichen CAPTCHA.
Die Nachricht muss heute keine auffälligen Rechtschreibfehler mehr enthalten. Absendername, Gestaltung und Anlass können plausibel wirken. Deshalb sollte nicht nur der sichtbare Absendername, sondern die vollständige Absender- und Zieladresse geprüft werden. Bei ungewöhnlichen Aufforderungen empfiehlt sich eine Rückfrage über eine selbst recherchierte Telefonnummer oder einen bereits bekannten Kontaktweg.
Szenario 2: Vertipperdomain beim direkten Surfen
Auch ohne E-Mail kann ein Nutzer auf einer falschen Seite landen. Beim sogenannten Typosquatting registrieren Angreifer eine Domain, die einer bekannten Adresse sehr ähnlich sieht. Ein fehlender Buchstabe, ein Buchstabendreher, ein zusätzlicher Bindestrich oder eine andere Domainendung kann genügen. Wer sich bei der Eingabe vertippt, landet auf der nachgebauten oder präparierten Seite.
Dieses zweite Szenario ist kein öffentlich bestätigter Einstiegsweg des Berliner Vorfalls, aber ein vom BSI beschriebenes Angriffsmuster und für die aktuelle Warnung besonders relevant. Anders als bei einer Phishing-Mail fehlt hier das verdächtige Anschreiben: Der Nutzer glaubt, die Adresse selbst aufgerufen zu haben.
Hinzu kommt ein dritter, vom BSI für TerminalFix ausdrücklich genannter Weg: Angreifer können eine legitime, regelmäßig besuchte Webseite kompromittieren und dort das falsche CAPTCHA einblenden. In diesem Fall kann sogar die richtige Domain in der Adresszeile stehen.
Woran Sie ein gefälschtes CAPTCHA erkennen
Ein gewöhnliches CAPTCHA bleibt im Browser. Es verlangt beispielsweise ein Häkchen, die Auswahl bestimmter Bilder oder eine kurze Texteingabe. Es gibt keinen legitimen Grund, für eine solche Prüfung ein Windows-Werkzeug zu öffnen oder einen Befehl aus der Zwischenablage auszuführen.
Brechen Sie den Vorgang sofort ab, wenn eine Webseite Sie zu einem dieser Schritte auffordert:
- eine Tastenkombination wie Windows-Taste plus R ausführen,
- Windows Terminal, PowerShell oder die Eingabeaufforderung öffnen,
- einen kopierten Text in ein Systemfenster einfügen,
- einen unbekannten Befehl mit Enter bestätigen,
- eine Warnung des Browsers oder des Betriebssystems umgehen.
Prüfen Sie zusätzlich die vollständige Webadresse. Achten Sie auf vertauschte oder fehlende Buchstaben, zusätzliche Bindestriche, ungewohnte Endungen und Zeichen, die bekannten Buchstaben nur ähnlich sehen. Ein Schloss-Symbol und HTTPS allein beweisen nicht, dass eine Webseite vertrauenswürdig ist.
Was Mitarbeiter im Verdachtsfall tun sollten
Wenn noch kein Befehl ausgeführt wurde
Schließen Sie die Seite und führen Sie keine der angezeigten Anweisungen aus. Informieren Sie Ihre IT-Verantwortlichen und übermitteln Sie die Webadresse sowie – wenn gefahrlos möglich – einen Screenshot. Löschen Sie eine verdächtige Nachricht nicht sofort, damit sie technisch geprüft und gegebenenfalls organisationsweit blockiert werden kann.
Wenn der Befehl bereits ausgeführt wurde
Trennen Sie den Rechner sofort vom Netzwerk: Netzwerkkabel abziehen und WLAN ausschalten. Arbeiten Sie nicht weiter und führen Sie keine eigenen Bereinigungsversuche durch. Informieren Sie umgehend die zuständige IT oder den IT-Dienstleister und beschreiben Sie genau, welche Schritte ausgeführt wurden.
Lassen Sie das Gerät möglichst eingeschaltet, sofern Ihre IT keine andere Anweisung gibt. Dadurch können flüchtige Spuren für die Untersuchung erhalten bleiben. Ändern Sie betroffene Passwörter nur von einem anderen, als sicher geltenden Gerät. Der Vorfall muss als möglicher Einstieg in das gesamte Netzwerk behandelt werden – nicht nur als Problem eines einzelnen Arbeitsplatzes.
Was Unternehmen jetzt konkret umsetzen sollten
Eine Rundmail mit dem Hinweis „Vorsicht vor Phishing“ reicht nicht. Das Angriffsmuster sollte so konkret gezeigt werden, dass Mitarbeiter die ungewöhnliche Kombination aus CAPTCHA, Zwischenablage und Windows-Befehl wiedererkennen.
Diese Maßnahmen sind jetzt sinnvoll:
- Fünf-Minuten-Unterweisung im Team: Zeigen Sie die vier Stoppsignale und nennen Sie den internen Meldeweg.
- Meldungen ausdrücklich erwünscht machen: Mitarbeiter müssen einen Verdacht ohne Sorge vor Schuldzuweisungen melden können – auch wenn sich der Alarm später als harmlos herausstellt.
- Browser- und Endgeräteschutz aktuell halten: Das BSI empfiehlt aktuelle Netzwerk- und Endpoint-Schutzlösungen sowie Browser-Schutzfunktionen gegen Phishing und schädliche Downloads.
- PowerShell absichern und protokollieren: Script-Block-Logging, eingeschränkte Ausführungsmodi und Anwendungskontrolle können die Angriffskette sichtbar machen oder unterbrechen.
- Benutzerrechte begrenzen: Standardnutzer sollten keine unnötigen administrativen Rechte besitzen.
- Web- und DNS-Filter einsetzen: Bekannte Schadseiten und neu registrierte verdächtige Domains können dadurch frühzeitig blockiert werden.
- Mehrfaktor-Authentisierung aktivieren: Sie verhindert nicht die Ausführung von Schadcode, erschwert aber die Nutzung gestohlener Zugangsdaten.
- Backups getrennt halten und Wiederherstellung testen: Angreifer suchen gezielt nach Backup-Systemen. Ein vorhandenes Backup hilft nur, wenn es nicht mitverschlüsselt wird und die Wiederherstellung tatsächlich funktioniert.
- Vorfallplan festlegen: Es muss klar sein, wer ein Gerät vom Netz trennt, wen Mitarbeiter anrufen und wer über weitere Maßnahmen entscheidet.
Unser kurzes Video zum Angriffsmuster
In unserem Instagram-Video zeigen wir kompakt, wie die Masche funktioniert und welches Verhalten Mitarbeiter sofort stoppen sollten:
Video ansehen: Gefälschtes CAPTCHA und TerminalFix
Die wichtigste Lehre aus dem Berliner Vorfall
Der Angriff zeigt nicht, dass Mitarbeiter „das Problem“ sind. Er zeigt, wie gezielt Angreifer vertraute Abläufe nachahmen und menschliche Routine mit technischen Werkzeugen verbinden. Deshalb braucht es beides: konkrete Sensibilisierung und Schutzmaßnahmen, die verhindern, dass aus einer falschen Eingabe automatisch ein Zugriff auf das Unternehmensnetz wird.
NETWORK ASSISTANCE GmbH unterstützt Berliner Unternehmen ab 10 Mitarbeitern mit Awareness-Schulungen, technischer Absicherung und strukturierten Sicherheitsanalysen. NETWORK ASSISTANCE GmbH ist für den CyberRisikoCheck nach DIN SPEC 27076 vom BSI autorisiert und priorisiert gemeinsam mit Ihnen die Maßnahmen, die für Ihr Unternehmen den größten Unterschied machen.
Sprechen Sie mit uns über Ihre IT-Sicherheit
Häufige Fragen zu Fake-CAPTCHAs und TerminalFix
Kann ein normales CAPTCHA Schadsoftware installieren?
Ein echtes CAPTCHA installiert keine Software und verlangt keine Befehle außerhalb des Browsers. Gefährlich ist eine nachgebaute CAPTCHA-Anzeige auf einer kompromittierten oder von Angreifern kontrollierten Webseite, die Nutzer zum Öffnen von Windows Terminal oder PowerShell und zum Einfügen eines Befehls auffordert.
Reicht das Schließen des Browsers aus?
Wenn noch kein Befehl ausgeführt und keine Datei geöffnet wurde, sollte die Seite geschlossen und der Vorfall der IT gemeldet werden. Wurde ein Befehl bereits bestätigt, reicht das Schließen des Browsers nicht: Das Gerät sollte sofort vom Netzwerk getrennt und technisch untersucht werden.
Kann eine Vertipperdomain zu einem Fake-CAPTCHA führen?
Ja. Beim Typosquatting registrieren Angreifer Webadressen, die bekannten Domains sehr ähnlich sehen. Ein Buchstabendreher oder eine andere Endung kann auf eine präparierte Seite führen. Dieser Weg ist für den Berliner Vorfall nicht öffentlich bestätigt, gehört aber zu den realistischen Szenarien, auf die Mitarbeiter vorbereitet sein sollten.
Schützt eine Mehrfaktor-Authentisierung vor TerminalFix?
Mehrfaktor-Authentisierung erschwert den Missbrauch gestohlener Zugangsdaten, verhindert aber nicht, dass ein Nutzer einen schädlichen Befehl ausführt. Sie ist deshalb ein wichtiger Baustein, muss aber mit Endpoint-Schutz, eingeschränkten Rechten, Protokollierung, sicheren Backups und Awareness kombiniert werden.
Quellen und weiterführende Informationen
- BSI: Deutsche Institutionen über TerminalFix-Kampagne kompromittiert, 4. September 2026
- Land Berlin: Aktuelle Lage nach dem IKT-Vorfall, 3. September 2026
- Land Berlin: Veröffentlichung gestohlener Daten, 4. September 2026
- Land Berlin: Weiteres Datenpaket mit Zugangsdaten, 6. September 2026
- Berliner Datenschutzbeauftragte: Hinweise zum Hackerangriff auf Berlin
- Microsoft Security Blog: TerminalFix-Kampagne, 28. August 2026
- BSI-Leitfaden: Typosquatting als Angriffsmethode
