So erstellen Sie eine ClickFix-Simulation mit Cyberdise Behavioral Defense EngineeringHow to Create a ClickFix Simulation with Cyberdise Behavioral Defense Engineering
Veröffentlichungsdatum:
- 8. Juli 2026
Cyberkriminelle sind bemerkenswert gut darin geworden, technische Sicherheitskontrollen zu umgehen. Statt Software-Schwachstellen auszunutzen, zielen viele moderne Angriffe auf etwas viel Einfacheres ab: das menschliche Verhalten.
Eines der am schnellsten wachsenden Beispiele ist ClickFix. Anstatt Nutzer dazu zu bringen, einen bösartigen Anhang anzuklicken, führen die Angreifer sie durch einen scheinbar legitimen Fehlerbehebungs- oder Verifizierungsprozess. Das Opfer führt die schädliche Aktion letztlich selbst aus.
Für Security-Awareness-Teams bedeutet das einen wichtigen Wandel. Klassische Phishing-Übungen sind nach wie vor wertvoll, decken aber nicht mehr das gesamte Spektrum des modernen Social Engineering ab. Unternehmen benötigen zunehmend eine ClickFix-Simulation, die Mitarbeitende auf diese interaktionsgetriebenen Angriffe vorbereitet, bevor sie ihnen im Ernstfall begegnen. Dieser Artikel zeigt, wie Sie eine solche Simulation in Cyberdise Awareness erstellen – von der Szenario-Auswahl über die Zustellung bis zur Messung.
Was ist ClickFix?
ClickFix ist eine Social-Engineering-Technik, bei der Angreifer Nutzer dazu bringen, technische Aktionen auszuführen, die letztlich ihre eigenen Systeme kompromittieren. Anders als beim klassischen Phishing setzt der Angriff in der Regel nicht auf einen bösartigen Anhang oder einen Exploit. Stattdessen wird den Nutzern ein scheinbar legitimer Verifizierungsschritt präsentiert.
Typische Anweisungen lauten etwa: „Bestätigen Sie, dass Sie ein Mensch sind“, „Reparieren Sie Ihr Microsoft-365-Dokument“, „Aktualisieren Sie Ihre SAP-Sicherheitskomponente“, „Beheben Sie das Sicherheitsmodul Ihres Browsers“.
Die Anweisungen wirken routiniert und ähneln oft technischen Hinweisen, die Nutzer schon einmal gesehen haben. Opfer werden typischerweise aufgefordert:
- die Tastenkombination Win + R zu drücken
- einen Befehl einzufügen
- PowerShell auszuführen
- einen Verifizierungsbefehl auszuführen
- eine „erforderliche“ Komponente zu installieren
Nach der Ausführung werden Malware, Credential Stealer oder Remote-Access-Tools heruntergeladen und installiert.
Entscheidend ist, dass der Nutzer die kritische Aktion freiwillig ausführt. Aus Sicht des Betriebssystems ist nichts Verdächtiges passiert – der Nutzer hat lediglich Anweisungen befolgt.
Ein typischer ClickFix-Ablauf sieht so aus: Angreifer locken Nutzer über E-Mail, Vishing, SEO-Poisoning oder andere Kanäle auf eine gefälschte Website. Die Website zeigt überzeugende technische Anweisungen an, der Nutzer befolgt sie, führt den bereitgestellten Befehl aus – und die Malware gelangt auf den Endpoint.
Social Engineering entwickelt sich stetig weiter
Modernes Social Engineering besteht nicht mehr nur aus Phishing-E-Mails. Angreifer kombinieren zunehmend mehrere Kanäle – darunter E-Mail, Telefonanrufe, Messaging-Apps, bösartige Werbeanzeigen und kompromittierte Websites. Gleichzeitig haben sie sich von einfachen „Link-anklicken“-Angriffen hin zu interaktionsgetriebenen Angriffen (wie ClickFix) verlagert, bei denen das Opfer aktiv technische Aktionen ausführen muss.
Laut dem 2026 Check Point Cyber Security Report [1] entwickelte sich ClickFix im Jahr 2025 zu einer der bedeutendsten Techniken für den Erstzugriff (Initial Access). Der Report beschreibt einen Anstieg der ClickFix-Aktivität um rund 500 % gegenüber dem Vorjahr, wobei die Technik in nahezu der Hälfte der dokumentierten Malware-Kampagnen auftauchte. Er hebt zudem das Aufkommen verwandter Techniken wie FileFix und ConsentFix hervor und veranschaulicht, wie schnell sich erfolgreiche Social-Engineering-Konzepte weiterentwickeln.
Diese Entwicklung unterstreicht einen wichtigen Punkt:
Security Awareness bedeutet heute nicht mehr nur, verdächtige E-Mails zu erkennen. Mitarbeitende müssen zunehmend auch verdächtige Prozesse und Abläufe erkennen.
Warum ClickFix-Simulationen wichtig sind
Die meisten Mitarbeitenden wissen bereits, dass sie verdächtige Links nicht anklicken sollten.
ClickFix versucht, genau dieses Wissen zu umgehen. Statt Nutzer zu bitten, einer verdächtigen E-Mail zu vertrauen, bringen Angreifer sie dazu, einem scheinbar legitimen IT-Support-Ablauf zu vertrauen
Das Opfer glaubt, es würde:
- Microsoft Office reparieren
- ein Browser-Problem beheben
- SAP aktualisieren
- eine VPN-Sitzung wiederherstellen
- ein geschütztes Dokument öffnen
Der Angreifer bettet die schädlichen Anweisungen einfach in einen glaubwürdigen Geschäftsprozess ein.
Genau deshalb wird eine ClickFix-Simulation zu einer wichtigen Ergänzung klassischer Phishing-Simulationen. Sie hilft Unternehmen zu bewerten, ob Mitarbeitende verdächtige technische Anweisungen erkennen – und nicht nur verdächtige E-Mails.
Häufige ClickFix-Szenarien
Auch wenn das klassische gefälschte CAPTCHA nach wie vor verbreitet ist, nehmen Angreifer zunehmend Unternehmensanwendungen ins Visier, die Mitarbeitende täglich nutzen. Einige Beispiele:
- Gefälschtes CAPTCHA – „Bestätigen Sie, dass Sie ein Mensch sind.“ Der Nutzer wird angewiesen, einen bösartigen PowerShell-Befehl auszuführen.
- Microsoft-365-Dokumentenreparatur – „Dieses Dokument kann nicht sicher dargestellt werden.“ Das Ausführen des vorgeschlagenen Reparaturbefehls installiert einen Credential Stealer oder einen Remote-Access-Trojaner (RAT).
- SAP Secure Login – „Ihre Sicherheitskomponente ist veraltet.“ Ein gefälschter Verifizierungsbefehl führt Malware aus, bevor die SAP-Sitzung startet.
- Salesforce-Sitzungsverifizierung – „Aktualisieren Sie Ihr Browser-Sicherheitsmodul.“ Der Angreifer stiehlt Session-Cookies oder Authentifizierungs-Tokens.
- Oracle HCM / Workday – „Führen Sie vor dem Öffnen der Gehaltsabrechnung eine Validierung durch.“ Ein Infostealer greift Unternehmens-Zugangsdaten ab.
- Microsoft Teams / Zoom – „Audio-Codec-Verifizierung fehlgeschlagen.“ Der gefälschte Fix führt zur Installation von Malware.
- VPN-Portal – „Zertifikatsvalidierung fehlgeschlagen.“ Der Nutzer wird dazu verleitet, seinen Endpoint zu kompromittieren.
- Citrix Workspace – „Security plugin needs verification.“ The attack installs remote access malware.
- SharePoint – „Der Viewer für geschützte Dokumente muss aktiviert werden.“ Der gefälschte Aktivierungsprozess führt zum Diebstahl von Zugangsdaten.
- Microsoft Entra ID – „Die Geräteregistrierung erfordert eine lokale Verifizierung.“ Der Angreifer kompromittiert das Cloud-Konto des Nutzers.
Eine ClickFix-Simulation in Cyberdise Awareness erstellen
Mit Cyberdise Awareness können Unternehmen realistische ClickFix-Simulationen erstellen, die ihre eigene Umgebung und ihre Geschäftsanwendungen widerspiegeln. Der Ablauf ist unkompliziert.
1. Eine ClickFix-Simulationskampagne erstellen
Erstellen Sie eine Phishing-Simulation wie gewohnt und wählen Sie die Zielgruppe der Empfänger aus.
2. Ein realistisches ClickFix-Szenario für Ihr Unternehmen wählen
Wählen Sie ein ClickFix-Szenario, das einem Ablauf ähnelt, dem Ihre Mitarbeitenden tatsächlich begegnen. Je genauer die Übung den Arbeitsalltag abbildet, desto aussagekräftiger sind die Verhaltensbeobachtungen.
3. Die Landing Page für die ClickFix-Simulation erstellen
Mit dem Cyberdise Website Cloner lassen sich bestehende Webseiten schnell in realistische Landing Pages für Ihre ClickFix-Simulation verwandeln, die legitimen Unternehmensportalen täuschend ähnlich sehen. Die geklonten Inhalte können anschließend für die Übung angepasst werden.
4. Die Zustellmethode auswählen
Cyberdise unterstützt beide Zustellansätze, die in realen ClickFix-Kampagnen häufig zu beobachten sind.
Option 1 – Zustellung per URL
Die E-Mail bzw. die dahinterliegende Landing Page enthält „nur“ einen Link. Die Nutzer werden auf die Simulations-Landing-Page (index.html) geleitet, auf der der ClickFix-Dialog angezeigt wird.
Um eine erfolgreiche Interaktion zu messen, muss der kopierte Befehl als Hyperlink in der Landing Page hinterlegt werden (mit Verweis auf account.html). Wenn Nutzer auf „Kopieren“ klicken, werden sie auf die Erfolgsseite (= account.html) weitergeleitet, sodass die ClickFix-Simulation den erfolgreichen Abschluss erfassen kann.
Dies entspricht weitgehend vielen aktuellen ClickFix-Angriffen, bei denen der schädliche Ablauf vollständig auf einer externen Website gehostet wird.
Option 2 – Zustellung per HTML-Anhang
Alternativ kann die Phishing-E-Mail einen HTML-Anhang enthalten, anstatt auf eine externe Website zu verlinken (Knowledge Base).
Beim Öffnen rendert die HTML-Datei die gefälschte ClickFix-Seite lokal im Browser des Nutzers. Cyberdise unterstützt die Erstellung solcher HTML-basierten Übungen über die Funktion „File Based Attachment“. Dieser Ansatz bildet reale Kampagnen ab, bei denen die Landing Page selbst als HTML-Anhang statt über eine URL zugestellt wird.
Ein zusätzlicher Vorteil: Das Herunterladen oder Öffnen des HTML-Anhangs liefert ein klar messbares Erfolgsereignis während der Übung.
Behavioral Defense Engineering in der Praxis
ClickFix zeigt, wie schnell sich Social-Engineering-Techniken weiterentwickeln.
Mitarbeitende werden nicht mehr nur dazu aufgefordert, Links anzuklicken – sie werden zunehmend dazu verleitet, technische Abläufe auszuführen, die völlig legitim erscheinen.
Um Nutzer auf diese Angriffe vorzubereiten, reichen herkömmliche Phishing-Simulationen nicht aus.
Behavioral Defense Engineering konzentriert sich darauf, das Abwehrverhalten zu verbessern, indem Mitarbeitende realistischen Angriffsabläufen ausgesetzt werden, bevor sie ihnen im Ernstfall begegnen. ClickFix-Übungen ergänzen klassische Phishing-Kampagnen, indem sie Mitarbeitenden helfen, Manipulation innerhalb alltäglicher Geschäftsprozesse zu erkennen – und nicht nur in verdächtigen E-Mails.
Fazit
Unternehmen, die weiterhin ausschließlich auf klassische und standardisierte Phishing-Simulationen setzen, riskieren, einen wichtigen Angriffsvektor unberücksichtigt zu lassen.
Indem Sie realistische und maßgeschneiderte ClickFix-Simulationen in Ihr Security-Awareness-Programm integrieren, können Unternehmen ihre Mitarbeitenden besser auf interaktionsgetriebene Angriffe vorbereiten, die legitimen Geschäftsabläufen immer ähnlicher werden.
Da Angreifer ständig neue Methoden entwickeln, muss sich das Abwehrverhalten ebenso schnell weiterentwickeln.
Häufig gestellte Fragen
Was ist eine ClickFix-Simulation?
Eine ClickFix-Simulation ist eine simulierte Variante eines ClickFix-Angriffs für das Security-Awareness-Training. Sie präsentiert Mitarbeitenden eine gefälschte, aber realistische technische Aufforderung (z. B. einen Schritt zur „Dokumentenreparatur“ oder „Verifizierung“) und misst, ob sie den Anweisungen folgen – etwa einen Befehl einfügen und ausführen –, ohne dass eine echte Kompromittierung ausgelöst wird.
Worin unterscheidet sich eine ClickFix-Simulation von einer klassischen Phishing-Simulation?
Eine klassische Phishing-Simulation prüft in der Regel, ob ein Nutzer einen bösartigen Link anklickt oder einen Anhang öffnet. Eine ClickFix-Simulation prüft stattdessen, ob ein Nutzer aktiv eine technische Aktion ausführt – etwa den Windows-Ausführen-Dialog öffnet und einen Befehl einfügt –, nachdem er durch einen scheinbar legitimen Fehlerbehebungs- oder Verifizierungsablauf geführt wurde.
Warum sind ClickFix-Angriffe technisch schwer zu erkennen?
Da der Nutzer den Dialog selbst öffnet und den Befehl eigenhändig ausführt, wertet das Betriebssystem die Aktion als beabsichtigte, vom Nutzer initiierte Aufgabe – und nicht als externen Exploit oder bösartigen Anhang. Dadurch kann ClickFix viele Schutzmechanismen umgehen, die auf das Erkennen bösartiger Links, Anhänge oder automatisierter Ausnutzung ausgerichtet sind.
Gängige Köder imitieren alltägliche Geschäftsabläufe, denen Mitarbeitende bereits vertrauen – etwa eine Microsoft-365-Meldung „Dokument kann nicht dargestellt werden“, ein „Sicherheitskomponenten“-Update für SAP oder VPN, einen Salesforce- oder Teams-„Verifizierungs“-Schritt oder eine allgemeine CAPTCHA-artige Prüfung „Bestätigen Sie, dass Sie ein Mensch sind“.
Wie erstellt man eine ClickFix-Landing-Page für eine Simulation?
In Cyberdise Awareness können Teams mit dem Website Cloner eine bestehende, vertraute Webseite in eine realistische ClickFix-Landing-Page verwandeln und anschließend die gefälschten Verifizierungs- oder Reparaturanweisungen sowie den Befehl anpassen, bevor sie sie per URL oder HTML-Anhang zustellen.
Können ClickFix-Simulationen als HTML-Anhang statt als Link zugestellt werden?
Ja. Cyberdise unterstützt sowohl die URL-basierte Zustellung, bei der die Landing Page extern gehostet wird, als auch die Zustellung per File Based Attachment, bei der die ClickFix-Seite lokal gerendert wird, sobald der Mitarbeitende eine HTML-Datei öffnet – womit beide in realen ClickFix-Kampagnen beobachteten Zustellmuster abgebildet werden.
