Start/News/Cybersecurity Cybersecurity Veröffentlicht am 28.10.2026

Gehackt über ein Captcha auf der Hotelwebseite: Was wirklich passiert ist

Gefälschtes Captcha auf einer Hotelwebseite mit der Anweisung Windows + R, Strg + V, Enter

Ein Kunde rief uns vor Kurzem mit einem Verdacht an. Sein Rechner sei kompromittiert, und der Auslöser war seiner Meinung nach eine „Ich bin kein Roboter“-Abfrage auf der Webseite eines Hotels. Klingt im ersten Moment abwegig. Ist es aber nicht.

Ein echtes reCAPTCHA von Google infiziert niemanden. Eine gefälschte Kopie davon schon, und genau diese Masche gehört derzeit zu den häufigsten Wegen, auf denen Angreifer in Firmennetze gelangen. Sicherheitsforscher nennen sie ClickFix, das BSI spricht auch von Terminalfix. Hotels und ihre Gäste sind ein bevorzugtes Ziel.

Falls Sie gerade selbst vor einem ähnlichen Problem sitzen: Weiter unten finden Sie die Schritte, mit denen Sie prüfen, ob Ihr Rechner betroffen ist, und was Sie sofort tun sollten.

Ein Klick und drei Tastenkombinationen bis zur Infektion

Der Angriff braucht keine Sicherheitslücke im Browser. Er braucht nur einen Menschen, der einer Anweisung folgt. So läuft er typischerweise ab:

  1. 1Auf der Webseite erscheint eine Abfrage, die aussieht wie reCAPTCHA von Google oder Turnstile von Cloudflare. Beide Dienste sind laut The Register die beliebtesten Tarnungen.
  2. 2Sie klicken auf die Checkbox. In diesem Moment kopiert ein verstecktes JavaScript einen Befehl in Ihre Zwischenablage. Davon sehen Sie nichts.
  3. 3Statt der gewohnten Bilder mit Ampeln oder Zebrastreifen kommt eine „Verifizierung“: Windows + R drücken, dann Strg + V, dann Enter.
  4. 4Damit öffnen Sie den Ausführen-Dialog von Windows, fügen den Befehl ein und starten ihn selbst. Meist lädt er über die PowerShell einen Infostealer oder einen Fernzugriffstrojaner nach.

Auf dem Mac funktioniert dieselbe Masche über das Terminal, unter Linux ebenso. Die Uni Münster hat zuletzt vermehrt solche Angriffe auf ihre Angehörigen beobachtet und beschreibt genau diese Varianten.

Warum schlägt der Virenschutz dabei oft nicht an? Weil keine verdächtige Datei heruntergeladen wird. Sie führen einen Systembefehl aus, und Windows hält das für eine gewollte Aktion. Der Infostealer arbeitet danach schnell: Gespeicherte Browserpasswörter, Sitzungscookies und Zugangsdaten sind oft binnen Sekunden abgeflossen.

Ein Satz hilft, jede Variante zu erkennen. Ein echtes Captcha bleibt immer im Browser. Verlangt eine Verifizierung, dass Sie Tastenkombinationen drücken, ein Systemfenster öffnen oder etwas einfügen, ist sie gefälscht.

Warum ausgerechnet Hotels

Bei Angriffen rund um Hotels gibt es zwei Wege, beide gut dokumentiert. Für unseren Kunden kommt vor allem der erste infrage.

Die Hotelwebseite selbst wurde gehackt.

Das ist die wahrscheinlichste Erklärung. Angreifer verbreiten ClickFix über kompromittierte, ganz normale Webseiten, wie der Sicherheitsanbieter AhnLab beschreibt. Besonders häufig trifft es WordPress-Seiten mit veralteten Plugins. Laut Guardio Labs übernahm die Masche 2024 genau das Netz gehackter WordPress-Seiten, über das vorher gefälschte Browserupdates verteilt wurden. Der Hotelbetreiber selbst merkt davon häufig nichts, denn seine Seite sieht für ihn ganz normal aus.

Hotelmitarbeiter werden gezielt angeschrieben.

Microsoft hat 2025 eine Kampagne aufgedeckt, bei der Mails im Namen von Booking.com an Hotelpersonal gingen, etwa mit der Bitte, auf eine negative Bewertung zu reagieren. Der Link führte zu einem gefälschten Captcha. Nach Auswertungen von Cofense nutzten 75 Prozent aller Vorfälle mit gefälschten Captchas Vorlagen im Design von Booking.com.

Der zweite Fall betrifft am Ende auch die Gäste. Mit den erbeuteten Zugangsdaten melden sich die Täter bei Booking.com und Expedia an und schreiben Gäste mit echten Reservierungsdaten an, um an Zahlungen zu kommen. Wer eine solche Nachricht bekommt, erkennt den Betrug kaum, weil Name, Datum und Zimmer stimmen.

Wie ernst das in Deutschland ist, zeigt der Angriff auf die Berliner Landesverwaltung. Nach Angaben des BSI waren betrügerische Captchas auf präparierten Webseiten der Einstiegspunkt. Die Gruppe Rhysida verschaffte sich so Zugang zu zwei Senatsverwaltungen.

Habe ich den Befehl ausgeführt? So prüfen Sie es

Die gute Nachricht zuerst: Allein das Anschauen der gefälschten Seite infiziert Sie nicht. Selbst wenn bereits etwas in Ihrer Zwischenablage gelandet ist, passiert erst etwas, wenn Sie es einfügen und ausführen.

Die meisten Betroffenen erinnern sich, sobald man ihnen die Tastenfolge beschreibt. Haben Sie nach dem Klick Windows + R gedrückt und etwas eingefügt? Dann sollten Sie von einer Infektion ausgehen.

Ihr IT-Dienstleister kann es nachprüfen. Windows speichert die Befehle aus dem Ausführen-Dialog in der Registry unter HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU. Dort steht der eingefügte Befehl oft noch im Klartext. Weitere Spuren liegen in der Historie der PowerShell und in den Protokollen eines EDR-Systems, falls eines installiert ist.

Was Sie jetzt tun sollten

  1. 1Trennen Sie den Rechner vom Netzwerk, also LAN-Kabel ziehen und WLAN ausschalten.
  2. 2Ändern Sie Ihre Passwörter, und zwar von einem anderen, sauberen Gerät aus. Beginnen Sie mit E-Mail, Onlinebanking und allen Firmenzugängen.
  3. 3Melden Sie sich in Microsoft 365, Google und anderen Diensten überall ab, damit gestohlene Sitzungscookies ungültig werden.
  4. 4Lassen Sie den Rechner von Fachleuten untersuchen. Das BSI empfiehlt nach einem solchen Vorfall, das System komplett neu zu installieren.
  5. 5Informieren Sie das Hotel. Ist dessen Webseite manipuliert, trifft es sonst weitere Besucher.

In einem Firmennetz drängt die Zeit. Der Angriff auf Berlin zeigt, dass ein einzelner infizierter Arbeitsplatz reicht, um ein ganzes Netzwerk zu öffnen.

Warum ein Virenschutz allein hier zu spät kommt

ClickFix ist für klassische Antivirenprogramme schwer zu fassen. Der Nutzer startet den Befehl selbst, mit Bordmitteln von Windows, ohne Datei auf der Festplatte. Was hilft, ist eine Überwachung, die auf Verhalten achtet: Warum öffnet sich nach einem Browserklick plötzlich die PowerShell und baut eine Verbindung zu einem unbekannten Server auf?

Genau dafür gibt es Sophos MDR, das wir bei Zöllner Office für Unternehmen in Sachsen und Brandenburg einrichten und betreuen. MDR steht für Managed Detection and Response. Dahinter steckt ein Team von Sicherheitsanalysten im Security Operations Center von Sophos, das Ihre IT rund um die Uhr überwacht, auch nachts, am Wochenende und an Feiertagen. Schlägt das System an, prüfen Menschen den Vorfall und greifen ein. Laut Sophos liegt die Reaktionszeit bei einer Minute, Analyse und Bereinigung eines Vorfalls dauern im Schnitt 38 Minuten.

Im Fall eines gefälschten Captchas sieht das so aus: Der Endpoint-Schutz mit EDR zeichnet auf, welche Prozesse auf dem Rechner starten. Über Sophos Fusion teilen Endpoint, Firewall und E-Mail-Schutz ihre Erkenntnisse. Ein verdächtiges Gerät kann die Firewall automatisch vom Netz trennen, bevor sich der Angreifer im Firmennetz ausbreitet. Ein Rechner, der nachts um zwei Uhr Daten abfließen lässt, bleibt so nicht bis Montagmorgen unbemerkt.

Technik ersetzt dabei keine Vorsicht. Wir empfehlen unseren Kunden zusätzlich zwei einfache Maßnahmen: Für normale Benutzerkonten lässt sich der Ausführen-Dialog per Gruppenrichtlinie sperren, und eine kurze Schulung mit genau diesem Beispiel macht Ihre Mitarbeiter misstrauisch, wenn ein Captcha plötzlich Tastenkombinationen verlangt.

Lassen Sie Ihre Cyberabwehr prüfen

Sie wurden bereits angegriffen oder wollen wissen, ob Ihr Unternehmen auf solche Angriffe vorbereitet ist? Unsere Cybersecurity-Architekten analysieren Ihre IT-Infrastruktur und zeigen Ihnen, wo Lücken sind.

Kostenlose Beratung anfragenMehr zu Sophos MDR und unseren SicherheitslösungenPeter GemanderIhr Ansprechpartner ist Peter Gemander, Zöllner Büro- & IT-Systeme GmbH.Dresden, Pillnitzer Landstraße 32: +49 351 287087-50Elsterwerda, Burgstraße 1: +49 3533 4807-0E-Mail: info@buero-zoellner.de

Häufige Fragen zu gefälschten Captchas

Kann man durch ein Captcha gehackt werden?

Durch ein echtes Captcha nicht. Gefälschte Captchas, die wie reCAPTCHA oder Cloudflare aussehen, bringen Nutzer aber dazu, selbst einen schädlichen Befehl auszuführen. Diese Masche heißt ClickFix oder Terminalfix.

Woran erkenne ich ein gefälschtes Captcha?

Ein echtes Captcha verlangt nur Klicks oder Eingaben im Browser. Fordert eine Abfrage Sie auf, Windows + R, Strg + V und Enter zu drücken oder ein Terminal zu öffnen, ist sie gefälscht. Schließen Sie dann den Browsertab.

Bin ich infiziert, wenn ich nur auf die Checkbox geklickt habe?

In der Regel nicht. Der Klick kopiert den Befehl nur in die Zwischenablage. Gefährlich wird es erst, wenn Sie ihn einfügen und ausführen.

Was soll ich tun, wenn ich den Befehl ausgeführt habe?

Trennen Sie den Rechner sofort vom Netz, ändern Sie Ihre Passwörter von einem anderen Gerät aus und lassen Sie das System von Fachleuten prüfen. Das BSI rät zur Neuinstallation.

Warum erkennt mein Virenschutz den Angriff nicht?

Weil keine Datei heruntergeladen wird. Sie starten den Befehl selbst mit Windows-Bordmitteln. Lösungen wie Sophos EDR und MDR achten auf auffälliges Verhalten und können solche Abläufe besser erkennen.

Sind nur Hotelwebseiten betroffen?

Nein. Gefälschte Captchas tauchen auf gehackten Webseiten aller Branchen auf, in Werbeanzeigen und in Phishingmails. Hotels sind besonders häufig Ziel, weil Kampagnen im Design von Booking.com sehr verbreitet sind.

Quellen

  • BleepingComputer: ClickFix attack delivers infostealers, RATs in fake Booking.com emails
  • The Register: Fake CAPTCHA tests trick users into running malware
  • Splunk: Unveiling Fake CAPTCHA Campaigns
  • Guardio Labs: Captchageddon
  • AhnLab: The Hidden Threat Behind Fake CAPTCHAs
  • Hackread via CISO2CISO: Cofense zu Booking.com-Vorlagen
  • Admin By Request: PureRAT-Kampagne gegen Hotels
  • Universität Münster: Warnung vor ClickFix
  • BornCity: Cyberangriff Berlin, BSI warnt vor gefälschten Captchas
  • Zöllner Office: Cybersecurity mit Sophos
Alle News