Die Prüfung, die keine ist

Sie öffnen eine Website, die Sie gut kennen. Bevor der Inhalt erscheint, legt sich ein Fenster darüber: eine Sicherheitsprüfung im Stil von Cloudflare, einem Anbieter solcher Prüfungen, wie sie Websites vorschalten, um Menschen von automatisierten Programmen zu unterscheiden. Sie klicken. Dann folgt eine Anleitung. Öffnen Sie Windows Terminal oder PowerShell, fügen Sie ein, bestätigen Sie.

Wer dieser Anleitung folgt, hat keine Prüfung bestanden. Er hat einen Angriff auf den eigenen Rechner gestartet, mit eigener Hand.

Microsoft Threat Intelligence, die Sicherheitsforschung von Microsoft, hat diese Masche am 28.08.2026 im Microsoft Security Blog beschrieben und nennt sie TerminalFix. In diesem Beitrag schreibt Microsoft, es habe Angriffe auf Organisationen in mehreren Branchen beobachtet. Anfang September 2026 hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) eine Cybersicherheitswarnung mit dem Titel „Deutsche Institutionen über TerminalFix-Kampagne kompromittiert" veröffentlicht und sie mit „Kritikalität 2" eingestuft.

Dieser Artikel erklärt, wie die Masche funktioniert, was Sie Ihren Mitarbeitenden sagen und was technisch vorbeugt. Und er sagt offen, was die Quellen nicht hergeben.

Was hinter TerminalFix steckt

Microsoft ordnet TerminalFix als Variante von ClickFix ein. So heißt eine Angriffstechnik, bei der das Opfer einen schädlichen Befehl selbst ausführt, weil eine Website es dazu anleitet.

Beim klassischen ClickFix führt der Weg laut Microsoft über den Ausführen-Dialog von Windows. Das ist das kleine Eingabefenster, das sich mit der Windows-Taste und R öffnet. TerminalFix nutzt dieselbe Technik, lenkt die Nutzer aber zu Windows Terminal oder PowerShell. In beide Programme tippt man Befehle direkt an Windows ein.

Den Einstieg beschreibt Microsoft so:

  • Der Angriff beginnt mit dem Besuch einer kompromittierten Website, also einer eigentlich harmlosen Seite, die Angreifer unter ihre Kontrolle gebracht haben. Sie zeigt eine gefälschte Prüfung im Stil von Cloudflare Turnstile, dem Prüfdienst von Cloudflare.
  • Sobald der Besucher mit dieser Prüfung interagiert, kopiert die Seite heimlich einen schädlichen PowerShell-Befehl in die Zwischenablage. Die Zwischenablage ist der Speicher, in dem Windows ablegt, was Sie kopieren, bis Sie es wieder einfügen.
  • Die Anleitung auf dem Bildschirm führt den Besucher dann dazu, Windows Terminal oder PowerShell zu öffnen und den Befehl einzufügen.

Der Besucher hat also nichts bewusst kopiert. Er fügt ein, was die Seite ohne sein Wissen abgelegt hat, und setzt es selbst in Gang. Genau deshalb wirkt der Vorgang so harmlos: Er sieht aus wie ein weiterer Schritt einer Prüfung, die man schon hundertmal weggeklickt hat.

Was nach dem Einfügen passiert

Microsoft beschreibt einen mehrstufigen Angriff. Am Ende steht ein sogenannter Reverse Tunnel, ein Rückkanal zwischen dem befallenen Rechner und den Angreifern. Nach Microsofts Einschätzung wird der Rechner damit zum vollständigen Sprungbrett ins Firmennetz.

Von dort sehen sich die Angreifer im Netz um. Microsoft hat dabei Rechnernamen beobachtet, die zu typischen Aufgaben in einer IT-Umgebung passen:

  • Domänencontroller, also die Server, die Benutzerkonten und Anmeldungen im Firmennetz verwalten
  • Datenbanken
  • Backup-Systeme
  • Gateways, also Übergänge zwischen Netzen
  • Mailsysteme

Das sind genau die Systeme, von denen ein Betrieb im Alltag abhängt.

Für die Phase danach, in der Angreifer von Hand im fremden Netz arbeiten, beschreibt Microsoft einen typischen Verlauf. Sie erweitern ihre Rechte, schalten Schutzmaßnahmen ab, leiten sensible Daten aus und verteilen Ransomware im Unternehmen. Ransomware ist Schadsoftware, die Daten verschlüsselt und für die Freigabe Geld verlangt. Wichtig für die Einordnung: Microsoft beschreibt das ausdrücklich als üblichen Verlauf solcher Angriffe, nicht als Ergebnis jedes einzelnen beobachteten Falls.

Was das BSI meldet

Das BSI hat die Kampagne in einer Cybersicherheitswarnung mit der Einstufung „Kritikalität 2" aufgegriffen. Den Anlass nennt die Warnung selbst: Im August 2026 wurde das BSI über die Kompromittierung des Netzwerks einer staatlichen Institution informiert. Die Analysen entsprechen laut BSI den mehrstufigen Angriffen, die Microsoft als TerminalFix-Kampagne vorgestellt hat.

Nach Meldungen, die beim BSI eingingen, versuchten die Angreifer, Ransomware zu installieren und im Rahmen von Double Extortion auch Daten auszuleiten. Double Extortion heißt doppelte Erpressung: Die Täter verschlüsseln nicht nur, sie drohen zusätzlich mit der Veröffentlichung gestohlener Daten.

Das BSI ist nach eigener Aussage in die Bearbeitung des Sicherheitsvorfalls im Land Berlin eingebunden und hat in diesem Zusammenhang am 04.09.2026 auf seine Warnung zur TerminalFix-Kampagne verwiesen.

Die Warnung finden Sie auf der Website des BSI unter bsi.bund.de/dok/1207612.

Betrifft das meinen Betrieb?

Der Einstieg ist der Besuch einer Website. Das kann an jedem Windows-Arbeitsplatz passieren, an dem jemand im Internet unterwegs ist, ob im Büro, in der Werkstatt oder im Homeoffice. Die Masche setzt auf einen Menschen, der einer Anleitung folgt.

Wie viele Betriebe in Deutschland betroffen sind, nennt keine der Quellen, die wir geprüft haben. Microsoft spricht von Organisationen in mehreren Branchen, ohne Zahlen.

Eine Frage sollten Sie Ihrem IT-Dienstleister trotzdem stellen: Darf an Ihren Arbeitsplätzen jeder Benutzer PowerShell, Windows Terminal und den Ausführen-Dialog starten? Die Antwort zeigt, wo Sie ansetzen können. Genau an dieser Stelle setzen auch die Empfehlungen von Microsoft an.

Was Sie Ihren Mitarbeitenden sagen

Eine Maßnahme kostet kein Geld, nur eine Besprechung: eine klare Regel, die jeder im Betrieb kennt.

  • Nichts aus dem Browser in Windows einfügen. Fordert eine Website dazu auf, etwas in Windows Terminal, PowerShell oder das Fenster nach Windows-Taste und R einzufügen, brechen Sie ab. Behandeln Sie jede solche Aufforderung als Angriff, egal wie vertraut die Seite aussieht.
  • Melden, auch wenn nichts passiert ist. Wer eine solche Aufforderung sieht, gibt dem IT-Ansprechpartner die Adresse der Website weiter. Die Seite kann auch bei Kollegen auftauchen.
  • Sofort melden, wenn schon eingefügt wurde. Microsoft beschreibt, dass nach dem Einfügen weitere Stufen folgen. Wer sofort Bescheid gibt, gibt Ihrem IT-Dienstleister die Chance einzugreifen, bevor die Angreifer im Netz weiterkommen.
  • Keine Angst vor dem Melden. Wer einen Fehler zugibt, darf dafür keinen Ärger bekommen. Sonst schweigt beim nächsten Mal jemand, und niemand erfährt rechtzeitig davon.

Was im Ernstfall konkret zu tun ist, legen Sie am besten vorab mit Ihrem IT-Dienstleister fest und schreiben es auf eine Seite. Wen ruft die Mitarbeiterin an? Was macht sie bis dahin mit dem Rechner? Solche Fragen klärt man nicht erst, wenn es passiert ist.

Was technisch vorbeugt

Microsoft nennt in seinem Beitrag vom 28.08.2026 mehrere Gegenmaßnahmen. Die folgenden sind Empfehlungen von Microsoft, nicht vom BSI. Drei davon sind auch für kleine Betriebe gut greifbar:

  • PowerShell und den Ausführen-Dialog einschränken, etwa mit AppLocker, Application Control for Windows oder Gruppenrichtlinien. Das sind Windows-Werkzeuge, mit denen man festlegt, wer welche Programme starten darf.
  • Den Ausführen-Dialog sperren oder protokollieren, wo er für die tägliche Arbeit nicht gebraucht wird.
  • Windows Terminal so einstellen, dass es warnt, wenn eingefügter Text mehrere Zeilen enthält.

Für den IT-Dienstleister nennt Microsoft weitere Punkte:

  • Netzwerkschutz und Webschutz in Microsoft Defender for Endpoint aktivieren
  • Für PowerShell die Protokollierung von Skriptblöcken einschalten (script block logging), damit ausgeführte Befehle nachvollziehbar bleiben
  • PowerShell im Constrained Language Mode betreiben, einem eingeschränkten Sprachmodus

Nicht jede Maßnahme passt zu jedem Betrieb. Welche Arbeitsplätze PowerShell oder den Ausführen-Dialog tatsächlich brauchen, kann nur jemand beantworten, der Ihre Umgebung kennt. Diese Antwort bestimmt, wie weit Sie einschränken können, ohne die tägliche Arbeit zu stören. Der Aufwand hängt von Ihrer Umgebung ab; einen pauschalen Preis gibt es dafür nicht.

Was offen ist

Wir schreiben nur auf, was wir an Primärquellen nachvollziehen konnten. Einiges bleibt deshalb bewusst offen:

  • Die ausführliche Mitteilung des BSI liegt als PDF vor, das wir nicht auswerten konnten. Was darin zum Angriffsweg im gemeldeten Fall und zu den Empfehlungen des BSI steht, geben wir deshalb nicht wieder. Wer die Empfehlungen des BSI braucht, findet den Hinweis über die oben genannte Warnung.
  • Zum Vorfall in Berlin berichtet die Presse weitere Einzelheiten. In den BSI-Quellen, die wir lesen konnten, stehen sie nicht, deshalb übernehmen wir sie nicht. Das BSI äußert sich nach eigenen Worten nicht zu Details laufender Vorfälle.
  • Zur Verbreitung gibt es keine Zahlen: weder wie viele Websites die gefälschte Prüfung zeigen noch wie viele Betriebe betroffen sind.
  • Seit wann die Kampagne läuft, geht aus Microsofts Beitrag nicht hervor.
  • Einen Täter nennen weder Microsoft noch die Warnseite des BSI.

Für Ihren Betrieb ändern diese Lücken wenig. Die Regel für Ihre Mitarbeitenden hängt nicht am Namen TerminalFix: Sie greift bei jeder Seite, die dazu auffordert, einen Befehl in Windows einzufügen.

Wie Toptronix unterstützt

Wir prüfen mit Ihnen, welche Arbeitsplätze PowerShell und den Ausführen-Dialog wirklich brauchen, richten die von Microsoft empfohlenen Einschränkungen passend zu Ihrer Umgebung ein und formulieren mit Ihnen eine kurze Regel für Ihre Mitarbeitenden, einschließlich der Frage, wer im Ernstfall wen anruft.