ClickFix-Angriffe 2026: 7 Varianten, echte Angriffsdaten und Abwehrleitfaden

ClickFix in Q1 2026: Sieben Varianten, eine wachsende Bedrohung

Im ersten Quartal 2026 hat revel8 sieben aktive Varianten beobachtet, die auf Folgendes abzielen:

• Update-Aufforderungen
• Fehler beim Rendern von Dateien
• Meeting-Beitritte
• OAuth-Consent-Flows
• Onboarding von KI-Tools
• Druckerprobleme und
• Compliance-Workflows

Über knapp 30.000 simulierte Phishing-E-Mails hinweg öffneten 10,7 % der Empfangenden die Phishing-Seite und 0,41 % führten den Payload-Befehl aus. Köder im Microsoft-Design erreichten Spitzenwerte von 23,6 % Interaktion und 1,4 % Ausführung. Allein die Vertrautheit mit dem Payload reicht als Schutz nicht mehr aus; es braucht szenariospezifisches Training.

Was ist ClickFix-Update und warum umgeht es Dateiscanner?

ClickFix-Update nutzt aus, dass praktisch alle Nutzenden mit Software-Update-Aufforderungen vertraut sind. Der Köder zeigt eine überzeugende Browser- oder Windows-Update-Benachrichtigung samt Versionsnummern, Fortschrittsbalken und Branding und teilt mit, dass ein „unterstütztes Update“ erforderlich sei, weil die automatische Installation fehlgeschlagen ist. Das Opfer wird Schritt für Schritt dazu angeleitet, ein Terminal oder den Ausführen-Dialog zu öffnen und einen scheinbar harmlosen Update-Befehl einzufügen.

Der Befehl ruft typischerweise mshta.exe oder wscript.exe mit einer entfernten Skript-URL auf - legitime Windows-Binaries, die in Application-Control-Richtlinien häufig auf der Allowlist stehen. Der Update-Kontext ist besonders wirksam, weil Nutzende darauf trainiert sind, bei Updates Reibung zu erwarten und Aufforderungen sorgfältig zu befolgen.

Eine technisch bemerkenswerte Umgehungstechnik in dieser Variante: Die finalen Payloads werden per Steganografie direkt in den Pixeldaten von PNG-Bilddateien codiert und anschließend über einen .NET-Loader im Arbeitsspeicher rekonstruiert - wodurch dateiscannende Werkzeuge den Payload faktisch nicht sehen können.

Beobachtete Payloads: LummaC2, Rhadamanthys, SocGholish/NetSupport RAT, MintsLoader, Latrodectus.

Was ist FileFix und wie umgeht es SmartScreen?

FileFix macht sich die verbreitete Erfahrung zunutze, ein Dokument zu erhalten, das sich nicht korrekt darstellen lässt.

Der Köder kommt als E-Mail-Anhang (oft eine HTML- oder MHTML-Datei, die wie ein Word-Dokument oder ein PDF gestaltet ist) und zeigt eine überzeugende Aufforderung zur „Dateireparatur“ oder einen „Rendering-Fehler“ an. Das Opfer wird angewiesen, einen Pfad in die Adressleiste des Windows Explorers einzufügen, um „die Datei erneut vom sicheren Server zu laden“.

Tatsächlich enthält die Zwischenablage einen PowerShell-Befehl, an den der legitim wirkende Dateipfad hinter einem #-Kommentarzeichen angehängt ist, damit er in der Adressleiste sichtbar bleibt, während das schädliche Präfix unbemerkt ausgeführt wird. Ein kritisches Zusatzrisiko: Programme, die über die Explorer-Adressleiste gestartet werden, tragen kein Mark-of-the-Web-Attribut (MOTW), was SmartScreen und andere Kontrollen umgehen kann, die den Herkunftskontext einer Datei bewerten

FileFix bietet Angreifenden zudem einen Umgehungsvorteil gegenüber ClickFix: Der Ausführen-Dialog (Win+R) lässt sich per Gruppenrichtlinie sperren, während die Explorer-Adressleiste ein alltägliches Bedienelement ist, das sich praktisch nicht einschränken lässt.

Beobachtete Payloads: Interlock RAT, StealC.

Was ist ClickFix-MeetingJoin und auf wen zielt es ab?

ClickFix-MeetingJoin zielt auf die Abhängigkeit des modernen hybriden Arbeitsplatzes von Videokonferenzen und imitiert die Beitrittsabläufe von Teams, Zoom oder Webex.

Das Opfer erhält eine Kalendereinladung oder einen E-Mail-Link, der auf eine Landingpage führt, die den legitimen Meeting-Beitritt täuschend echt nachbildet. Die Seite behauptet, für das Meeting sei ein Codec- oder Audiotreiber-Update erforderlich, das manuell installiert werden müsse.

Die Dringlichkeit, die einem Meeting-Beitritt ohnehin innewohnt - insbesondere wenn eine Führungskraft oder ein wichtiger Kunde wartet -, unterdrückt kritisches Denken und beschleunigt das Mitmachen. Der „Fix“-Schritt fordert Nutzende auf, ein Terminal zu öffnen und einen scheinbaren Software-Installationsbefehl auszuführen. Tatsächlich installiert der Befehl ein Fernzugriffswerkzeug oder einen Info-Stealer.

Die Kampagnen zielten gezielt auf Mitarbeitende in kundennahen Rollen (Vertrieb, Account Management, Support), die häufig an externen Meetings teilnehmen und einen ungewohnten Beitrittsablauf seltener hinterfragen. Die Phishing-E-Mails mit diesen Links gaben sich häufig als bekannte externe Partner oder Kunden aus, um zusätzliche Glaubwürdigkeit zu erzeugen.

Beobachtete Payloads: Stealc, Rhadamanthys, AMOS Stealer (macOS), QuasarRAT.‍

Was ist ConsentFix und warum ist es schwerer zu erkennen als andere Varianten?

ConsentFix stellt eine deutliche Weiterentwicklung des ClickFix-Modells dar.

Während andere Varianten darauf setzen, Nutzende zur Ausführung von Befehlen zu überreden, ersetzt ConsentFix den Ausführungsschritt vollständig: Die Opfer werden durch einen standardmäßigen OAuth-2.0-Consent-Flow geführt, der der registrierten Anwendung der Angreifenden dauerhaften, tokenbasierten Zugriff auf die Cloud-Umgebung des Ziels gewährt.

Es wird kein Befehl ausgeführt. Es wird keine Datei heruntergeladen. Die Nutzenden klicken lediglich auf „Akzeptieren“ in einem scheinbar legitimen App-Autorisierungsdialog.

Der Angriff beginnt mit einem Phishing-Köder: eine gefälschte IT-Benachrichtigung, eine gespoofte SaaS-Onboarding-E-Mail oder ein schädlicher Link in einem Kollaborationstool, der die Nutzenden auf eine von Angreifenden erstellte OAuth-Autorisierungs-URL leitet, die weitreichende Scopes anfordert (mail.read, files.readwrite, contacts.read). Sobald die Zustimmung erteilt ist, erhalten die Angreifenden ein Refresh Token, das langlebigen Zugriff unabhängig vom Passwort oder MFA-Status der Nutzenden ermöglicht. Das Token überdauert Passwort-Zurücksetzungen und übersteht Kontosperrungen.

ConsentFix zielte gezielt auf Assistenzen der Geschäftsleitung sowie auf Finanz- und Rechtsabteilungen. Die Erkennung ist ausgesprochen schwierig, weil sämtliche daraus resultierenden Zugriffe in den Audit-Logs als autorisierte, legitime OAuth-Anwendungsaktivität erscheinen.

Was ist ClickFix-AI und warum ist es 2026 besonders gefährlich?

Als jüngster Ableger der ClickFix-Familie nutzt ClickFix-AI die Welle der KI-Tool-Einführung in Unternehmensumgebungen aus.

Während Organisationen KI-Assistenten, Copiloten und Produktivitätswerkzeuge im Eiltempo ausrollen, gewöhnen sich Mitarbeitende zunehmend daran, Onboarding-Abläufe zu durchlaufen, Erweiterungen zu installieren und Setup-Befehle auszuführen - oft ohne Beteiligung der IT, da viele KI-Tools informell von einzelnen Teams eingeführt werden.

Der Köder kommt typischerweise als schädliche Suchanzeige, die auf eine Seite führt, die das Setup oder die „Modell-Update“-Oberfläche eines beliebten KI-Tools imitiert. Die Seite informiert die Nutzenden, dass eine lokale Komponente installiert werden müsse, um KI-Funktionen zu aktivieren, und leitet sie durch die Ausführung eines Befehls im Terminal oder im Windows-Ausführen-Dialog. Die Vertrautheit des Kontexts macht diese Variante besonders gefährlich: KI-Setup-Abläufe sind so neu, dass Nutzende noch kein belastbares Gespür dafür entwickelt haben, was legitim ist.

Bemerkenswert ist, dass Kampagnen beobachtet wurden, die gezielt Organisationen ins Visier nahmen, die zuvor öffentlich KI-Initiativen angekündigt hatten. Das deutet darauf hin, dass Angreifende Unternehmenskommunikation und Pressemitteilungen verfolgen, um ihre Köder zeitlich auf echte interne Rollouts abzustimmen.

Beobachtete Payloads: Werkzeuge zum Abgreifen von Zugangsdaten, die neben klassischen Unternehmens-Zugangsdaten gezielt Tokens von KI-SaaS-Plattformen erbeuten.

Was ist PrintFix und wie werden dabei QR-Codes eingesetzt?

Diese Variante nutzt aus, dass Drucken unter Windows für Endnutzende seit jeher wirklich mühsam ist.

Der Köder tauchte vor allem auf kompromittierten Seiten im Intranet-Stil sowie über QR-Codes auf physischen Ausdrucken in Bürodrucker-Ausgabefächern auf - ein hybrider physisch-digitaler Angriffsvektor. Die Erkennung verbesserte sich rasch, sobald der Zustellweg über QR-Codes öffentlich bekannt wurde.

Beobachtete Payloads: Lumma Stealer, BitRAT.

Was ist ClickFix-Compliance und welche Branchen sind am stärksten betroffen?

Besonders wirksam in regulierten Branchen (Finanzwesen, Gesundheitswesen, Rechtsberatung), in denen Compliance-Aufgaben Routine sind und Mitarbeitende darauf konditioniert wurden, sie nicht zu hinterfragen.

Die gefälschten Seiten imitieren Plattformen für Security Awareness Training und interne LMS-Portale. Bemerkenswert ist die Geduld dieser Variante: Manche Kampagnen fahren mehrtägige Köder-Sequenzen (Phishing-E-Mail, Erinnerung, dringlicher Nachfassversuch), bevor die Payload-Seite ausgeliefert wird.

Beobachtete Payloads: Credential Stealer, AsyncRAT, Cobalt Strike.

Wie wirksam ist ClickFix im ersten Quartal 2026? (revel8-Simulationsdaten)

Obwohl ClickFix eine gut dokumentierte und zunehmend bekannte Angriffstechnik ist, zeigen die im ersten Quartal 2026 erhobenen Simulationsdaten, dass kontextbezogenes Social Engineering die Wachsamkeit der Nutzenden weiterhin untergräbt - selbst wenn der Payload-Mechanismus als solcher erkennbar ist.

Über sechs Phishing-Simulationen mit insgesamt knapp 30.000 versendeten E-Mails lag die ungewichtete durchschnittliche Interaktionsrate, definiert als Aufruf der simulierten Phishing-Website durch die Empfangenden, bei 10,7 %, wobei einzelne Kampagnen deutlich höhere Spitzenwerte erreichten.

Die Simulationen mit Ködern im Microsoft-Design, die eine besonders vertrauenswürdige Kommunikationsplattform mit einem ClickFix-Payload kombinierten, verzeichneten eine Interaktionsrate von 23,6 % – mehr als das Doppelte des Kampagnendurchschnitts. Das zeigt, wie plausible kontextuelle Aufhänger Misstrauen bereits unterdrücken, lange bevor ein Payload überhaupt ins Spiel kommt. Die Incident-Rate, also der Anteil der Empfangenden, die den Terminal-Befehl tatsächlich ausführten, lag über alle Kampagnen hinweg im Mittel bei 0,41 %, wobei die Microsoft-Simulationen mit 1,4 % erneut den höchsten Wert erzielten.

Diese Konversionsrate von Interaktion zu Ausführung mag gering erscheinen, bedeutet in Unternehmensgrößenordnung jedoch eine erhebliche Angriffsfläche. Allein eine einzige Kampagne erzeugte in der Simulationskohorte rund 80 Terminal-Ausführungen – aus einer einzigen E-Mail-Welle. Das bestätigt: ClickFix bleibt im ersten Quartal 2026 eine wirksame Bedrohung, und die bloße Vertrautheit mit dem Payload ist ohne gezieltes, szenariospezifisches Nutzertraining keine ausreichende Verteidigung.

Häufig gestellte Fragen

Was ist ClickFix?

ClickFix ist ein Social-Engineering-Angriff, der Nutzende dazu bringt, schädliche Befehle auf dem eigenen Rechner auszuführen - meist, indem sie eine „Fix“-Anweisung von einer gefälschten Fehlerseite kopieren und in den Windows-Ausführen-Dialog, ein Terminal oder die Explorer-Adressleiste einfügen. Weil die Nutzenden den Befehl selbst ausführen, umgeht die Technik viele klassische E-Mail- und Endpoint-Kontrollen.

Was ist der Unterschied zwischen ClickFix und FileFix?

ClickFix leitet Nutzende typischerweise zum Windows-Ausführen-Dialog (Win+R), der sich per Gruppenrichtlinie sperren lässt. FileFix nutzt stattdessen die Adressleiste des Windows Explorers, die sich praktisch nicht einschränken lässt, und profitiert davon, dass auf diesem Weg gestartete Programme kein Mark-of-the-Web-Attribut (MOTW) tragen - womit SmartScreen und herkunftsbasierte Kontrollen umgangen werden.

Welche Payloads werden über ClickFix-Angriffe ausgeliefert?

Zu den im ersten Quartal 2026 beobachteten Payloads zählen LummaC2, Rhadamanthys, SocGholish/NetSupport RAT, MintsLoader, Latrodectus, Interlock RAT, StealC, Stealc, AMOS Stealer (macOS), QuasarRAT, AsyncRAT, Cobalt Strike, BitRAT sowie Werkzeuge zum Abgreifen von Zugangsdaten für KI-SaaS-Plattformen.

Welche Branchen und Rollen stehen am stärksten im Visier?

Kundennahe Rollen (Vertrieb, Account Management, Support) stehen bei ClickFix-MeetingJoin stark im Fokus. Assistenzen der Geschäftsleitung sowie Finanz- und Rechtsabteilungen sind die Hauptziele von ConsentFix. Regulierte Branchen (Finanzwesen, Gesundheitswesen, Rechtsberatung) sind besonders von ClickFix-Compliance betroffen. Organisationen, die öffentlich KI-Initiativen angekündigt haben, geraten zunehmend ins Visier von ClickFix-AI.

Warum ist ConsentFix schwerer zu erkennen als andere ClickFix-Varianten?

ConsentFix erfordert weder die Ausführung eines Befehls noch den Download einer Datei. Die Opfer gewähren einer schädlichen OAuth-Anwendung dauerhaften, tokenbasierten Zugriff auf ihre Cloud-Umgebung, indem sie in einem scheinbar legitimen Autorisierungsdialog auf „Akzeptieren“ klicken. Der daraus resultierende Zugriff erscheint in den Audit-Logs als autorisierte OAuth-Aktivität und übersteht Passwort-Zurücksetzungen sowie MFA-Änderungen.

Wie können sich Unternehmen gegen ClickFix schützen?

Wirksamer Schutz erfordert mehrschichtige Maßnahmen: den Ausführen-Dialog (Win+R) per Gruppenrichtlinie deaktivieren, die Zustimmung zu OAuth-Anwendungen auf eine Admin-Freigabe beschränken, die Ausführung von mshta.exe und wscript.exe aus Nutzerkontexten überwachen und - vor allem - szenariospezifisches Awareness-Training einsetzen, das über generische Phishing-Simulationen hinausgeht und die konkreten Köder-Kontexte abdeckt, die Angreifende nutzen (Updates, Meetings, KI-Onboarding, Dateidarstellung).

Reicht die Vertrautheit mit dem Payload aus, um Nutzende zu schützen?

Nein. Die Simulationsdaten von revel8 aus dem ersten Quartal 2026 zeigen: Selbst wenn der ClickFix-Mechanismus gut dokumentiert und öffentlich bekannt ist, treiben kontextbezogene Köder die Interaktionsraten im Schnitt weiterhin über 10 % und in besonders vertrauenswürdigen Kontexten wie Microsoft Teams über 23 %. Nutzende brauchen gezieltes, kontextspezifisches Training, nicht nur ein allgemeines Bewusstsein für die Technik.