Ist das dasselbe wie ein normales CAPTCHA?

Nein. Ein echtes CAPTCHA ist ein Klick oder ein kleines Rätsel innerhalb der Webseite. Wenn es Sie bittet, Tasten auf Ihrer Tastatur zu drücken, Text einzufügen oder etwas auf Ihrem Computer zu öffnen, ist es Betrug – kein Verifizierungsschritt.

Betrifft das iPhones?

Der Befehlstrick zielt vor allem auf Computer ab – am meisten auf Windows, zunehmend auch auf Mac. Telefone sind für diesen speziellen Betrug ein kleineres Ziel, aber die Gewohnheit, die er ausnutzt – einem vertrauten Feld zu vertrauen – lohnt sich, auf jedem Gerät im Hinterkopf zu behalten.

Was, wenn ich die Schritte bereits ausgeführt habe?

Gehen Sie davon aus, dass auf diesem Computer gespeicherte Passwörter offengelegt sein könnten. Ändern Sie von einem Gerät aus, dem Sie vertrauen, Ihre wichtigen Passwörter und aktivieren Sie die Zwei-Faktor-Anmeldung. Führen Sie dann auf dem betroffenen Computer eine Sicherheitsprüfung durch oder bitten Sie jemanden um Hilfe.

Wie kann eine normal aussehende Website das zeigen?

Kriminelle brechen in gewöhnliche Websites ein und fügen das gefälschte Feld hinzu, sodass es auf Seiten erscheinen kann, die Sie schon zuvor genutzt haben. Es auf einer vertrauten Seite zu sehen, bedeutet nicht, dass es sicher ist, dem Trick zu folgen.

Der gefälschte CAPTCHA-Betrug, der Malware installiert

Der gefälschte „Bestätigen Sie, dass Sie ein Mensch sind“-Betrug

Ein Trick namens „ClickFix“ verbreitet sich rasant. Eine Website zeigt etwas, das wie ein normales „Bestätigen Sie, dass Sie ein Mensch sind“-Feld aussieht, und bittet Sie dann, zum Fortfahren ein paar Tasten zu drücken. Diese Tasten führen still einen versteckten Befehl aus, der Malware installiert – und Sie haben es selbst getan. So funktioniert es, und so bleiben Sie sicher, einfach erklärt.

Das Wichtigste in Kürze

Ein echtes CAPTCHA verlangt nie, dass Sie den Browser verlassen oder einen Befehl eingeben – es ist nur ein Klick oder ein kleines Rätsel innerhalb der Seite.

Der Betrug, genannt „ClickFix“, kopiert das vertraute „Bestätigen Sie, dass Sie ein Mensch sind“-Erscheinungsbild, um Ihr Vertrauen zu gewinnen, und gibt Ihnen dann Schritte, die heimlich Malware ausführen.

Er funktioniert, weil Sie den Befehl selbst ausführen, sodass er an Antivirensoftware vorbeischlüpfen kann, die normalerweise eine heruntergeladene Datei blockieren würde.

Die Malware ist meist ein Infostealer, der gespeicherte Passwörter und Kontodaten von Ihrem Computer kopiert.

Die Lösung ist einfach: Wenn eine „Verifizierung“ Sie bittet, Tasten zu drücken, Text einzufügen oder ein Systemfenster zu öffnen, schließen Sie die Seite.

So sieht dieser Betrug aus

Sie besuchen eine Website – manchmal eine normale, die gehackt wurde – und ein Feld erscheint, das wie die übliche „Bestätigen Sie, dass Sie ein Mensch sind“-Prüfung aussieht. Statt eines einfachen Kontrollkästchens heißt es, die Verifizierung sei „fehlgeschlagen“, und gibt Ihnen Schritte, um sie zu beheben: Drücken Sie eine Tastenkombination, dann eine andere, dann Enter. Es können Pfeile oder ein Countdown hinzukommen, um Sie zur Eile zu drängen.

Sicherheitsforscher nennen diesen Trick „ClickFix“. Er wurde erstmals 2024 beschrieben und hat sich seitdem schnell verbreitet, und 2026 warnte die US-amerikanische Federal Trade Commission (FTC), dass gefälschte CAPTCHA-Seiten Menschen dazu brachten, versteckte Befehle auszuführen, die Malware installieren konnten.

Warum er so raffiniert ist

Ein normales CAPTCHA läuft innerhalb der Webseite ab. Es verlangt nie, dass Sie etwas auf Ihrem Computer öffnen. Dieser Betrug verlässt sich auf Gewohnheit: Menschen sind es so gewohnt, sich durch Verifizierungsfelder zu klicken, dass sie die Schritte befolgen, ohne innezuhalten und nachzudenken.

Weil Sie den Befehl selbst ausführen, gibt es keine riskante Datei zum Herunterladen und keinen Anhang zum Scannen – deshalb kann er an Sicherheitstools vorbeischlüpfen, die Malware normalerweise erkennen würden. Im Grunde verwandelt der Trick Ihr eigenes Vertrauen in den Zugangsweg.

Was die Malware tut

Der versteckte Befehl installiert meist einen Infostealer – Software, die still gespeicherte Passwörter, Browser-Anmelde-Cookies und andere Kontodaten kopiert und dann an Kriminelle sendet. Von dort aus versuchen sie möglicherweise, in Ihre E-Mail-, Bank- oder Social-Media-Konten einzudringen.

Dies betrifft vor allem Computer – am meisten Windows, zunehmend auch Mac –, daher zählt es am meisten, wenn Sie auf einem Laptop oder Desktop statt auf einem Telefon surfen.

So bleiben Sie sicher

Behandeln Sie jede „Verifizierung“, die Sie bittet, Tasten zu drücken, Text einzufügen oder ein Systemfenster zu öffnen, als Betrug, und schließen Sie die Seite. Eine echte Prüfung ist immer nur ein Klick oder ein Rätsel innerhalb der Seite – nichts weiter.

Fügen Sie niemals einen Befehl ein, den Sie nicht selbst geschrieben haben, selbst wenn eine Website verspricht, dass er etwas „reparieren“ wird. Halten Sie Computer und Browser aktuell. Wenn Sie glauben, einen dieser Befehle ausgeführt zu haben, ändern Sie Ihre wichtigen Passwörter von einem Gerät aus, dem Sie vertrauen, und aktivieren Sie die Zwei-Faktor-Anmeldung.

Wo Sealby ins Spiel kommt

Sealby bewahrt Ihre privaten Fotos, Notizen und Dateien in einem mit AES-256 verschlüsselten Tresor auf Ihrem iPhone auf, den nur Sie entsperren. Es kann einen Betrug auf Ihrem Computer nicht stoppen, und das behauptet es auch nicht.

Was es mit gesundem Menschenverstand gegenüber Betrug teilt, ist ein einfacher Gedanke: Seien Sie vorsichtig bei jedem Schritt, der Sie bittet, einen Befehl auszuführen oder Zugriff zu gewähren, und bewahren Sie das Wichtigste hinter einem Schloss auf, das nur Sie kontrollieren.

Dies ist allgemeine Bildung, keine Sicherheitsberatung. Betrugstaktiken und Formulierungen ändern sich mit der Zeit und unterscheiden sich je nach Gerät und Website – prüfen Sie aktuelle, seriöse Quellen und begegnen Sie jeder unerwarteten Anweisung mit Vorsicht.