„Ich bin kein Roboter“-Abfrage mit unerwünschter Nebenwirkung
Mitte August 2026 kam es zu einem folgenschweren Cyberangriff auf das Berliner Landesnetz. Angreifer erlangen Zugriff auf die Systeme der Berliner Senatsverwaltungen für Bauen und Verkehr und entwendeten dort große Mengen an Daten. Nach einem erfolglosen Erpressungsversuch veröffentlichten die Täter daraufhin fast sechs Terabyte sensibler Daten – rund 1,3 Millionen Dateien, unter anderem Personalakten, Vertragsunterlagen und eingescannte Ausweise. Der RBB berichtete ausführlich über diesen Hackerangriff.
Was diesen Vorfall aus datenschutzrechtlicher Sicht so lehrreich macht, ist die Art, wie die Angreifer überhaupt ins System gelangten. Nach bisherigen Erkenntnissen (Siehe Bericht auf Heise) kam eine Angriffskampagne namens „TerminalFix“ zum Einsatz, bei der u.a. über eine gefälschte Captcha-Abfrage Kontrolle über das angegriffene System übernommen werden konnte.
Diese Captcha-Abfrage könnte so oder so ähnlich ausgesehen haben:
Diese Variante der als „ClickFix“ bekannten Masche nutzt gezielt das Vertrauen in etwas ganz Alltägliches aus: Die bekannte „Ich bin kein Roboter“-Checkbox. Klickt man sie auf einer manipulierten Webseite an, wird unbemerkt ein schädlicher Befehl in die Zwischenablage kopiert. Zur angeblichen „Verifizierung“ soll man anschließend eine bestimmte Tastenkombination drücken – dadurch öffnet sich ein Windows-Terminal- oder PowerShell-Fenster, in das der Befehl automatisch eingefügt wird. Führt man diesen Schritt aus, installiert man unwissentlich selbst die Schadsoftware der Angreifer.
Es ist daher auch aus Gründen der Datensicherheit essentiell über solche (neuen) Angriffsmuster auf dem Laufenden zu bleiben und die Beschäftigten ebenfalls über diese zu informieren. Denn: Die größte Schwachstelle ist selten die Technik allein, sondern die Unachtsamkeit von Beschäftigten in stressigen Momenten.
Erscheinen nach einem Captcha also weitere Anweisungen, eine Tastenkombination zu drücken oder Befehle in ein Terminal- bzw. PowerShell-Fenster einzugeben, ist höchste Vorsicht geboten; Anweisungen niemals ausführen, stattdessen den Browser schließen. Im Zweifel gilt: lieber einmal zu viel bei der IT nachfragen, als einmal zu wenig.
👉 Sie benötigen erfahrene Datenschutzbeauftragte, die Sie und Ihre Mitarbeiter zu relevanten Datenschutz-Themen beraten und schulen?
Sprechen Sie uns gerne an – wir prüfen Ihre Systeme und unterstützen Sie bei der Mitarbeiterfortbildung.
