Berlin-Hack: Wie Phishing und Fake-Captcha Behörden knackten
Was beim Angriff auf Berlin passiert ist
Nach den ersten Erkenntnissen begann der Angriff auf die Berliner Behörden mit einer klassischen Phishing-Mail. Ein Mitarbeiter oder eine Mitarbeiterin klickte auf einen Link, der zu einer Seite mit einem gefälschten Captcha führte. Solche Captchas kennt eigentlich jeder aus dem Alltag, sie gelten als Nachweis, dass ein Mensch und kein Bot unterwegs ist. Genau dieses Vertrauen wurde ausgenutzt: Statt einer harmlosen Bestätigung wurde im Hintergrund ein Befehl vorbereitet, der von der betroffenen Person selbst im Terminal ihres Rechners ausgeführt wurde. Damit hatten die Angreifer einen Fuß in der Tür, ganz ohne komplexe Exploits oder aufwendige Schadsoftware, die erst noch an Virenscannern vorbeigeschleust werden musste.
Diese Vorgehensweise ist in der Sicherheitsbranche inzwischen unter dem Begriff „ClickFix" bekannt. Der Trick funktioniert deshalb so gut, weil er die übliche Logik von Sicherheitshinweisen umdreht. Nutzerinnen und Nutzer sind darauf trainiert, bei verdächtigen Dateianhängen oder ausführbaren Programmen misstrauisch zu sein. Ein Captcha dagegen wirkt wie eine Schutzmaßnahme, nicht wie eine Bedrohung. Wer aufgefordert wird, zur „Verifizierung" eine Tastenkombination zu drücken und einen Text einzufügen, handelt in dem Glauben, etwas Notwendiges und Harmloses zu tun. Tatsächlich fügt die Zwischenablage in diesem Moment oft einen Befehl ein, der ausführbaren Code startet, PowerShell aufruft oder eine Schadsoftware nachlädt.
Bemerkenswert an dem Vorfall ist, dass ausgerechnet eine öffentliche Verwaltung mit vergleichsweise hohen Sicherheitsstandards, eigenen IT-Abteilungen und definierten Meldewegen auf diese Weise kompromittiert werden konnte. Das zeigt, dass technische Schutzmaßnahmen allein nicht ausreichen, wenn am Ende ein Mensch den entscheidenden Klick oder Tastendruck ausführt.
Warum diese Angriffsmethode so erfolgreich ist
Der eigentliche Kniff der Fake-Captcha-Methode liegt darin, dass sie technische und menschliche Schwachstellen geschickt kombiniert. Technisch gesehen ist der Angriff simpel: keine komplizierte Malware, kein aufwendiger Exploit einer Softwarelücke, sondern ein paar Zeilen JavaScript auf einer präparierten Webseite und eine Portion Social Engineering. Genau das macht die Methode für Angreifer attraktiv, denn sie ist leicht zu skalieren, günstig umzusetzen und schwer durch klassische technische Filter zu erkennen, weil zunächst gar keine Schadsoftware im Spiel ist, sondern lediglich eine Webseite mit Text und ein Kopiervorgang.
Menschlich betrachtet nutzt der Angriff etwas aus, das sich in der Psychologie als Autoritäts- und Routineeffekt beschreiben lässt. Captchas begegnen uns täglich, oft mehrmals. Wir haben gelernt, sie schnell und ohne großes Nachdenken abzuarbeiten, weil sie in unserer Wahrnehmung ein notwendiges Übel und kein Risiko darstellen. Wird diese Routine mit einer leicht ungewöhnlichen, aber plausibel klingenden Anweisung kombiniert, etwa „Bitte drücken Sie Windows-Taste plus R und fügen Sie den folgenden Text ein, um die Sicherheitsprüfung abzuschließen", schaltet bei vielen Menschen das kritische Hinterfragen ab. Der Kontext eines vorangegangenen Phishing-Mails, der bereits eine gewisse Dringlichkeit oder ein bekanntes Thema vorgaukelt, verstärkt diesen Effekt zusätzlich.
Hinzu kommt, dass viele klassische Awareness-Schulungen sich vor allem auf E-Mail-Anhänge und verdächtige Links konzentrieren. Die Warnung „öffne keine unbekannten Anhänge" ist inzwischen vielen Mitarbeitenden vertraut. Die Warnung „führe niemals einen Befehl aus, zu dem dich eine Webseite auffordert" ist deutlich weniger verbreitet, obwohl genau das der entscheidende Schritt bei dieser Angriffsart ist. Angreifer verlagern ihre Methoden also gezielt dorthin, wo die Aufmerksamkeit der Belegschaft noch nicht geschärft ist.
Warum das nicht nur ein Behörden-Thema ist
Es liegt nahe, einen solchen Vorfall als Problem der öffentlichen Verwaltung abzutun, mit dem ein normaler Handwerksbetrieb, ein Ladengeschäft oder ein mittelständischer Zulieferer wenig zu tun hat. Das ist ein Trugschluss. Die Methode Phishing plus Fake-Captcha ist bewusst so gebaut, dass sie unabhängig von der Branche funktioniert. Sie zielt nicht auf eine bestimmte Software oder ein bestimmtes System, sondern auf den Menschen vor dem Bildschirm, und Menschen sitzen in jedem Unternehmen vor einem Rechner, ganz gleich ob in einer Behörde, einer Steuerkanzlei oder einem Onlineshop.
Für den Mittelstand kommt erschwerend hinzu, dass hier häufig weniger Ressourcen für IT-Sicherheit zur Verfügung stehen als in einer großen Verwaltung. Es gibt selten ein eigenes Security-Team, das verdächtige Aktivitäten rund um die Uhr überwacht, und oft auch keine dedizierten Schulungen zu aktuellen Angriffsmustern. Gerade deshalb sind kleinere und mittlere Unternehmen ein attraktives Ziel: weniger Kontrollmechanismen, aber oft ähnlich wertvolle Daten, sei es Kundendaten, Buchhaltungsunterlagen, Konstruktionspläne oder Zugänge zu Lieferantensystemen. Ein erfolgreicher Angriff kann hier schnell zum Stillstand des Tagesgeschäfts führen, weil zentrale Systeme wie Warenwirtschaft, E-Mail oder Buchhaltung verschlüsselt oder abgeschaltet werden müssen, um Schlimmeres zu verhindern.
Auch die Konsequenzen unterscheiden sich kaum von denen einer Behörde: Betriebsausfall, Wiederherstellungskosten, möglicher Reputationsschaden bei Kunden und Partnern, im schlimmsten Fall meldepflichtige Datenschutzverstöße. Wer als Zulieferer oder Dienstleister für größere Unternehmen arbeitet, riskiert zudem, dass eine Kompromittierung über die eigene IT-Infrastruktur auf Geschäftspartner übergreift, etwa über gemeinsam genutzte Systeme, VPN-Zugänge oder Cloud-Dienste. Genau solche Lieferketten-Risiken rücken auch regulatorisch stärker in den Fokus, etwa im Rahmen der NIS2-Richtlinie, die viele mittelständische Betriebe direkt oder über ihre Kunden indirekt betrifft. Wer sich noch nicht mit den daraus resultierenden Anforderungen beschäftigt hat, findet einen guten Einstieg unter NIS2 & IT-Sicherheit.
Die technische Seite: Warum klassische Schutzmaßnahmen hier oft zu spät greifen
Ein Grund, warum Angriffe dieser Art so gut funktionieren, liegt darin, dass sie technische Schutzsysteme geschickt umgehen, statt sie direkt anzugreifen. Ein Virenscanner prüft in der Regel Dateien, die heruntergeladen oder ausgeführt werden. Bei der Fake-Captcha-Methode wird jedoch kein klassischer Download angestoßen, sondern der Mensch selbst tippt oder fügt den entscheidenden Befehl ein. Für viele Sicherheitslösungen sieht das zunächst wie eine ganz normale, vom Nutzer initiierte Aktion aus, nicht wie ein automatisierter Angriff.
Auch E-Mail-Filter, die auf bekannte Schadanhänge oder eindeutig bösartige Links trainiert sind, stoßen hier an Grenzen, weil die eigentliche Phishing-Mail zunächst nur auf eine unauffällige Webseite verweist. Erst auf dieser Seite entfaltet sich der eigentliche Trick. Das bedeutet: Technische Filter können den ersten Schritt der Angriffskette zwar erschweren, indem sie bekannte Phishing-Domains blockieren, aber sie sind kein verlässlicher letzter Schutzwall. Genau an dieser Stelle wird deutlich, warum ein durchdachtes Zusammenspiel aus technischer Absicherung und geschulten Mitarbeitenden so wichtig ist. Wer die eigene technische Basis grundsätzlich überprüfen lassen möchte, etwa Firewalls, Endpoint-Schutz, Berechtigungskonzepte und Patchstände, bekommt mit einem strukturierten Blick auf die eigene IT-Sicherheit einen realistischen Überblick darüber, wo die eigenen Schwachstellen liegen.
Ein weiterer Aspekt betrifft die Rechtevergabe auf den Arbeitsplatzrechnern. Wenn ein Mitarbeiterkonto so eingerichtet ist, dass es beliebige Befehle mit weitreichenden Rechten ausführen kann, wird ein erfolgreicher Klick auf ein Fake-Captcha erst richtig gefährlich. Läuft der Angriff dagegen auf einem Konto mit eingeschränkten Rechten, in einer sauber segmentierten Netzwerkumgebung mit striktem Berechtigungskonzept, bleibt der mögliche Schaden deutlich begrenzter. Genau das ist einer der Gründe, warum professionell betreute Serverumgebungen und ein durchdachtes Managed Hosting einen echten Unterschied machen können: Updates, Rechtevergabe und Überwachung laufen hier kontinuierlich und nicht nur, wenn gerade Zeit dafür ist.
Was das für den Mittelstand bedeutet
Der Vorfall in Berlin sollte für kein Unternehmen Anlass zur Panik sein, aber ein guter Anlass, die eigene Sicherheitslage ehrlich zu prüfen. Aus der Analyse des Angriffsvektors lassen sich einige sehr konkrete Handlungsschritte ableiten, die sich auch mit begrenztem Budget umsetzen lassen.
Erstens: Awareness-Schulungen aktualisieren. Es reicht nicht mehr, Mitarbeitende ausschließlich vor verdächtigen Anhängen und offensichtlichen Betrugsmails zu warnen. Jede Person im Unternehmen sollte wissen, dass keine seriöse Webseite und kein legitimes Captcha jemals dazu auffordert, eine Tastenkombination zu drücken und Text in ein Terminal oder Ausführen-Fenster einzufügen. Diese eine Regel, klar kommuniziert und im besten Fall an einem konkreten Beispiel durchgespielt, kann genau die Angriffskette unterbrechen, die in Berlin zum Erfolg führte.
Zweitens: Klare Meldewege etablieren. Mitarbeitende sollten wissen, an wen sie sich wenden können, wenn ihnen eine Seite oder eine Aufforderung merkwürdig vorkommt, und zwar ohne Angst vor Konsequenzen, falls sie versehentlich doch geklickt haben. Je schneller ein verdächtiger Vorfall gemeldet wird, desto größer die Chance, größeren Schaden zu verhindern.
Drittens: Technische Basis absichern. Dazu gehören ein aktueller Virenschutz, konsequentes Patchmanagement, eine sinnvolle Rechtevergabe nach dem Prinzip der minimalen Berechtigung sowie die Trennung kritischer Systeme vom normalen Büronetzwerk. Wer regelmäßige Fernwartung nutzt, um Systeme aktuell zu halten und im Ernstfall schnell reagieren zu können, sollte darauf achten, dass auch diese Zugänge sauber abgesichert sind, etwa über Mehrfaktor-Authentifizierung und klar definierte Berechtigungen. Weitere Hintergründe dazu bietet die Seite zur Fernwartung.
Viertens: Notfallpläne testen, nicht nur schreiben. Ein Plan, der nur auf dem Papier existiert, hilft im Ernstfall wenig. Wichtig ist, dass klar ist, wer im Fall eines Verdachts sofort welche Systeme trennt, wer informiert wird und wie schnell auf Backups zurückgegriffen werden kann. Gerade Backups sollten regelmäßig auf ihre tatsächliche Wiederherstellbarkeit geprüft werden, denn ein Backup, das im Ernstfall nicht funktioniert, ist keines.
Fünftens: Multi-Faktor-Authentifizierung konsequent einführen, wo immer möglich. Auch wenn ein Angreifer über einen kompromittierten Rechner Zugriff erlangt, erschwert eine zweite Authentifizierungsstufe bei kritischen Systemen wie E-Mail-Postfächern, VPN-Zugängen oder Cloud-Diensten die weitere Ausbreitung des Angriffs erheblich.
Sechstens: Regelmäßige externe Prüfung der eigenen Systeme. Viele Sicherheitslücken bleiben lange unentdeckt, weil im Alltagsgeschäft schlicht keine Zeit für eine kritische Selbstprüfung bleibt. Ein unabhängiger Blick von außen deckt oft Schwachstellen auf, die intern gar nicht mehr auffallen, weil man sich an bestimmte Abläufe gewöhnt hat. Wer wissen möchte, wie die eigene Website und die dahinterliegenden Systeme aktuell dastehen, kann das im Rahmen eines strukturierten Website-Audit überprüfen lassen.
Am Ende zeigt der Fall Berlin vor allem eines: Investitionen in Sicherheit müssen nicht immer riesige Budgets erfordern. Oft entscheidet die Kombination aus wachsamen, gut geschulten Mitarbeitenden und einer solide gepflegten technischen Basis darüber, ob eine Angriffskette an der ersten Stelle unterbrochen wird oder sich ungehindert bis in die Tiefe eines Netzwerks fortsetzt.
Haeufige Fragen
Was ist ein Fake-Captcha-Angriff genau?
Dabei wird Nutzerinnen und Nutzern auf einer präparierten Webseite ein gefälschtes Captcha angezeigt, das angeblich zur Sicherheitsüberprüfung dient. In Wahrheit werden sie dazu gebracht, eine Tastenkombination zu drücken und einen vorbereiteten Text einzufügen, der einen Befehl auf dem eigenen Rechner ausführt. So gelangt Schadcode ins System, ohne dass eine klassische Datei heruntergeladen werden muss.
Warum konnte ein einziger Terminal-Befehl so viel Schaden anrichten?
Ein einzelner Befehl reicht oft aus, um Schadsoftware nachzuladen, eine Verbindung zu einem externen Server aufzubauen oder weitere Berechtigungen im System zu erlangen. Dieser erste Schritt öffnet Angreifern die Tür für alle weiteren Aktionen, von der Ausbreitung im Netzwerk bis zum Diebstahl von Daten.
Sind kleine Unternehmen für solche Angriffe überhaupt interessant genug?
Ja, kleinere und mittlere Unternehmen sind sogar besonders beliebte Ziele, weil sie oft über weniger Sicherheitsressourcen verfügen als große Organisationen, gleichzeitig aber wertvolle Daten und Zugänge besitzen. Zudem können sie als Einfallstor zu größeren Geschäftspartnern dienen, mit denen sie vernetzt sind.
Reicht ein guter Virenscanner nicht aus, um solche Angriffe abzuwehren?
Nein. Da der entscheidende Schritt bei dieser Angriffsmethode von der Nutzerin oder dem Nutzer selbst ausgeführt wird, sieht er für viele Schutzprogramme zunächst wie eine normale, gewollte Aktion aus. Technischer Schutz bleibt wichtig, muss aber durch geschulte Mitarbeitende und klare Verhaltensregeln ergänzt werden.
Wie kann man Mitarbeitende praxisnah für solche Tricks sensibilisieren?
Am wirksamsten sind konkrete, nachvollziehbare Beispiele statt abstrakter Warnungen. Eine klare Regel wie „keine Webseite fordert dich jemals auf, einen Befehl in ein Terminal oder Ausführen-Fenster einzufügen" bleibt eher im Gedächtnis als eine allgemeine Warnung vor „verdächtigen Inhalten". Regelmäßige, kurze Auffrischungen wirken zudem besser als eine einmalige Schulung im Jahr.
Was sollte ein Unternehmen als Erstes tun, wenn es einen Vorfall vermutet?
Betroffene Systeme sollten umgehend vom Netzwerk getrennt werden, um eine weitere Ausbreitung zu verhindern. Anschließend gilt es, die interne oder externe IT-Sicherheit zu informieren, den Vorfall zu dokumentieren und, falls personenbezogene Daten betroffen sein könnten, die datenschutzrechtlichen Meldepflichten zu prüfen.