Phishing-Gefahr: Wie gefälschte CAPTCHAs Malware verbreiten

Gefälschte CAPTCHAs entwickeln sich von einfacher Täuschung zu einer aktiven Bedrohung.

Barracuda-Forscher erklären, wie Angreifer gefälschte CAPTCHAs nutzen, um Sicherheitsprüfungen zu umgehen, Zugangsdaten zu stehlen und Malware zu verbreiten

Zusammenfassung (TL; DR):

• Kriminelle nutzengefälschte CAPTCHAs bei Phishing-Angriffen, um automatisierte Sicherheitsprüfungen zu umgehen und schädliche Inhalte zu verbergen.
• Eine besonders gefährliche Entwicklung ist die Kombination mit sogenannten ClickFix-Techniken, bei denen Nutzer unbewusst schädlichen Code in ihre Zwischenablage kopieren und selbst ausführen.
• Da legitime CAPTCHAs niemals zur Ausführung von Systembefehlen oder Software-Installationen auffordern, sollte man unerwartete Verifizierungen immer genauestens auf ihre URL und Herkunft prüfen.

Gefälschte CAPTCHAs kommen immer häufiger zum Einsatz

Gefälschte CAPTCHAs kommen bei Phishing-Angriffen immer häufiger zum Einsatz. Laut einer Analyse von Barracuda brachten Kriminelle im Jahr 2025 bei 43 Prozent der untersuchten Phishing-Kit-Angriffe CAPTCHA-Abfragen zum Einsatz. Angreifer nutzen gefälschte CAPTCHAs nicht mehr nur, um Nutzer zur Eingabe ihrer Zugangsdaten auf Phishing-Seiten zu verleiten. Bei ausgefeilteren Angriffen dienen diese auch dazu, schädliche Inhalte vor automatisierten Sicherheitsprüfungen zu verbergen, Malware zu verbreiten oder Nutzer zur Aktivierung von Browser-Benachrichtigungen zu verleiten, über die sich anschließend weitere schädliche Inhalte verbreiten lassen.

Eine gefährliche Entwicklung ist die Kombination gefälschter CAPTCHAs mit ClickFix-Techniken. Dabei fordern Angreifer Nutzer auf, ein Kontrollkästchen oder eine Verifizierungsschaltfläche anzuklicken, wodurch im Hintergrund unbemerkt ein schädlicher Befehl in die Zwischenablage kopiert wird. Anschließend fordert die Webseite die Betroffenen auf, den Windows-Ausführen-Dialog oder ein anderes Systemtool zu öffnen, den Befehl einzufügen und die Eingabetaste zu drücken. Anstatt einen Verifizierungsprozess abzuschließen, lösen die Nutzer auf diese Weise unwissentlich eine Malware-Infektion aus. Aggressivere Varianten können bereits bei einer einfachen Interaktion mit der Webseite oder sogar durch eine Mausbewegung einen Befehl in die Zwischenablage kopieren. Der schädliche Code bleibt dabei stets verborgen.

Die Webseiten können Browserfehler, fehlgeschlagene Dokumentvorschauen, Probleme bei Online-Meetings oder Hinweise auf Softwareupdates vortäuschen. Anschließend präsentieren sie vermeintlich hilfreiche Anweisungen zur Problemlösung. Indem Angreifer zunächst ein Problem erzeugen und dann eine angebliche Lösung anbieten, setzen sie Nutzer unter Druck, die schädliche Aktion selbst auszuführen.

So schützen sich Nutzer vor CAPTCHA-basiertem Phishing

• KI- und No-Code-Entwicklungstools erleichtern es Angreifern, professionell gestaltete CAPTCHAs, Anmeldeseiten und vollständige Phishing-Abläufe zu erstellen. Doch auch bei überzeugend gestalteten Angriffen bleiben die Warnsignale dieselben: Legitime CAPTCHAs fordern Nutzer nicht dazu auf, Befehle auszuführen, Software zu installieren, Browser-Benachrichtigungen zu aktivieren oder Passwörter und Einmalcodes einzugeben. Sie lösen auch keine unerwarteten Downloads aus oder drängen Nutzer zu sofortigem Handeln, um eine Kontosperrung oder einen Datenverlust zu verhindern.
• Erscheint nach dem Klick auf einen E-Mail-Link unerwartet eine CAPTCHA-Abfrage, sollten Nutzer daher innehalten, die URL überprüfen und die Herkunft des Links über einen separaten, vertrauenswürdigen Kanal verifizieren. Ein CAPTCHA kann zwar dazu dienen, einen menschlichen Besucher zu erkennen, es sagt jedoch nichts darüber aus, ob eine Webseite sicher ist.

Häufige Fragen (FAQ)