Wenn ein Klick genügt: Warum moderne Cyberangriffe heute so gefährlich sind.

NEWS VOM 1. SEPTEMBER 2026

Cyberangriffe beginnen oft mit einer einzigen Benutzeraktion. Genau das zeigte ein aktueller Sicherheitsvorfall, bei dem ein User durch eine sogenannte ClickFix-Phishing-Kampagne auf eine kompromittierte Website gelangte. Bereits kurze Zeit später wurden verdächtige Verbindungen nach aussen festgestellt. Gleichzeitig gab es Hinweise darauf, dass der Angreifer versuchte, sich im Unternehmensnetzwerk weiter auszubreiten. Sicherheitsexperten sprechen dabei von einer lateralen Bewegung. Damit ist gemeint, dass ein Angreifer nach dem ersten Zugriff nicht stehen bleibt, sondern versucht, weitere Systeme und Benutzerkonten zu erreichen, um möglichst viel Kontrolle über die IT-Umgebung zu erlangen. Der Fall verdeutlicht, wie schnell ein einzelner Klick zu einem schwerwiegenden Sicherheitsvorfall werden kann. 

Was ist eine ClickFix-Phishing-Kampagne?

ClickFix-Kampagnen gehören zu den neueren Phishing-Methoden. Dabei werden Benutzer auf täuschend echt wirkende Webseiten geleitet. Häufig geben sich diese Seiten als bekannte Dienste oder Sicherheitsprüfungen aus. Im vorliegenden Fall handelte es sich um ein gefälschtes Cloudflare-CAPTCHA. 

Das Ziel besteht darin, Benutzer zu einer Aktion zu bewegen, die dem Angreifer den ersten Zugriff ermöglicht. Anders als klassische Phishing-Mails, die auf den Diebstahl von Passwörtern abzielen, können ClickFix-Angriffe direkt zur Ausführung schädlicher Befehle oder Malware führen.

Im vorliegenden Fall wurde eine legitime Website eines regionalen Unternehmens kompromittiert und für den Angriff missbraucht. Für den Benutzer wirkte der Aufruf der Webseite daher zunächst vollkommen unauffällig.

 

Vom ersten Zugriff zur Ausbreitung im Netzwerk

Nach dem Besuch der manipulierten Webseite zeigte das betroffene System verdächtiges Verhalten.

Zu den ersten Anzeichen gehörten:

• Unerwartete Netzwerkkommunikation zu externen Systemen

• Verdächtige Prozesse auf dem Server

• Hinweise auf Versuche zur lateralen Bewegung innerhalb des Netzwerks

• Suche nach weiteren erreichbaren Systemen und Konten

Besonders kritisch war, dass der Angriff nicht auf den ursprünglichen Benutzer beschränkt blieb. Innerhalb kurzer Zeit versuchte die Schadsoftware beziehungsweise der Angreifer, weitere Systeme in der Umgebung zu erreichen. 

Gespeicherte Anmeldedaten als Risiko

Bei der Analyse wurde erkannt, dass ein Benutzer mit erhöhten Rechten über zwischengespeicherte Anmeldeinformationen auf dem System verfügbar war.

Rund 20 Minuten nach der ursprünglichen Kompromittierung wurde eine Authentifizierung in Richtung eines weiteren Servers festgestellt. Die Ereignisprotokolle zeigten eine Anmeldung mit erhöhten Berechtigungen über PowerShell. Das entsprechende Sicherheitsereignis löste schliesslich einen MDR-Alarm mit hoher Kritikalität aus.

Solche Situationen gehören zu den gefährlichsten Szenarien in Unternehmensnetzwerken. Gelingt es Angreifern, auf Benutzerkonten mit erweiterten Rechten zuzugreifen, können die Auswirkungen schnell weit über das ursprünglich betroffene System hinausgehen.

Gelangen Angreifer an privilegierte Anmeldedaten, können sie:

• Sicherheitsrichtlinien manipulieren

• Weitere Systeme kompromittieren

• Neue Benutzerkonten erstellen

• Auf geschäftskritische Daten zugreifen

Warum MDR den Unterschied machte

Entscheidend in diesem Fall war die schnelle Erkennung durch das Managed Detection and Response (MDR)-System.

Die verdächtige Authentifizierung wurde automatisch erkannt und als sicherheitskritischer Vorfall eingestuft. Dadurch konnten sofort Gegenmassnahmen eingeleitet werden.

Unter anderem wurden:

• Die betroffene Benutzersitzung isoliert

• Die verdächtigen Aktivitäten untersucht

• Administratorkennwörter angepasst

• Weitere Systeme auf Kompromittierungsindikatoren geprüft

Ohne eine solche Überwachung hätte sich der Angreifer möglicherweise deutlich länger unbemerkt im Netzwerk bewegen können. 

Was Unternehmen daraus lernen können

Der Vorfall zeigt eindrücklich, dass moderne Cyberangriffe nicht zwingend mit einer direkten Attacke auf das Unternehmen beginnen. Bereits der Besuch einer kompromittierten, eigentlich vertrauenswürdigen Webseite kann ausreichend sein.

Unternehmen sollten daher insbesondere folgende Massnahmen prüfen: 

• Gespeicherte Anmeldedaten vermeiden
  Wo immer möglich sollten zwischengespeicherte privilegierte Anmeldeinformationen verhindert oder konsequent eingeschränkt werden.
• Netzwerksegmentierung umsetzen
  Terminal Server, Clients und kritische Infrastruktur sollten voneinander getrennt werden, um laterale Bewegungen zu erschweren.
• MDR und Security Monitoring einsetzen
  Verdächtige Aktivitäten müssen in Echtzeit erkannt und bewertet werden können. Moderne Angriffe entwickeln sich oft innerhalb weniger Minuten.
• Benutzer sensibilisieren
  Regelmässige Security-Awareness-Schulungen helfen, Angriffe frühzeitig zu erkennen und Fehlhandlungen zu reduzieren.

Fazit

Dieser Vorfall zeigt eindrucksvoll, wie schnell sich ein scheinbar harmloser Webseitenbesuch zu einem sicherheitskritischen Ereignis entwickeln kann. Innerhalb weniger Minuten gelangte der Angriff von einer kompromittierten Website auf einen Terminal Server und zeigte Anzeichen einer möglichen Ausweitung auf zentrale Systeme der Domäne. Die gute Nachricht: Durch modernes Monitoring und eine schnelle Reaktion konnte der Vorfall früh erkannt und eingedämmt werden. Für Unternehmen bleibt die wichtigste Erkenntnis, dass Prävention allein heute nicht mehr ausreicht. Ebenso entscheidend ist die Fähigkeit, Angriffe frühzeitig zu erkennen und unmittelbar darauf reagieren zu können. 

Möchten Sie Ihre Mitarbeitenden gezielt gegen moderne Phishing- und Social-Engineering-Angriffe sensibilisieren? Unsere Awareness-Trainings und Cyber-Security-Dienstleistungen unterstützen Sie dabei, das Risiko erfolgreicher Angriffe nachhaltig zu reduzieren. Ansprechpartner: Pascal Balazs, Verantwortlicher Cyber Security.