Cyberangriff auf die Berliner Landesverwaltung: Wie ein gefälschtes CAPTCHA zum Einfallstor wurde

Cyberkriminelle entwickeln ihre Methoden ständig weiter und nutzen zunehmend Social-Engineering-Techniken, um Sicherheitsmechanismen zu umgehen. Ein aktuelles Beispiel ist der Cyberangriff auf die Berliner Landesverwaltung, bei dem Angreifer eine sogenannte Fake-CAPTCHA-Methode einsetzten, um sich Zugang zu internen Systemen zu verschaffen.

 Der Vorfall zeigt, dass nicht nur technische Schwachstellen, sondern auch die Manipulation von Nutzern ein erhebliches Sicherheitsrisiko darstellen kann. Anstatt komplexer Software-Lücken bedienten sich die Cyberkriminellen psychologischer Kniffe und brachten Mitarbeiter dazu, Schadcode unbewusst selbst auszuführen. Dieser Vorfall verdeutlicht, dass nicht nur technologische Schwachstellen, sondern auch das menschliche Verhalten ein entscheidendes Einfallstor darstellen.

A. Kurze Beschreibung des Vorfalls

Der Vorfall traf die Berliner Landesverwaltung (unter anderem die Senatsverkehrsverwaltung) und wurde im Sommer 2026 (Mitte August/September) öffentlich bekannt.

Was ist passiert?

Angreifer gelangten über eine Phishing-E-Mail und eine manipulierte Website in das Behördennetzwerk. Anschließend führten sie eine komplexe Angriffskette durch: Dazu gehörten das sogenannte DLL-Sideloading über legitime Windows-Komponenten, die Platzierung versteckter Payloads, das Einrichten dauerhafter Zugänge (Persistenz), die Auskundschaftung der Verzeichnisdienste (Active-Directory-Reconnaissance) sowie die Erstellung eines verschlüsselten Reverse Tunnels.

Wie kam es dazu?

Der Erstzugriff erfolgte über die sogenannte „TerminalFix“- beziehungsweise Fake-CAPTCHA-Methode. Ein Mitarbeiter wurde auf einer präparierten Webseite getäuscht und dazu verleitet, selbst einen bösartigen PowerShell-Befehl auszuführen.

Wie viele Daten wurden offengelegt?

Nach öffentlicher Berichterstattung entwendeten die Angreifer rund 5,7 bis 5,8 Terabyte an Daten, was etwa 1,44 Millionen Dateien entspricht.

B. Was ist ein gefälschtes CAPTCHA und wie funktioniert es?

Ein gefälschtes CAPTCHA ist eine betrügerische Nachbildung einer bekannten Sicherheitsabfrage, die eigentlich dazu dient, Menschen von automatisierten Bots zu unterscheiden. Während ein echtes CAPTCHA lediglich die Identität des Nutzers überprüft, verfolgt ein Fake-CAPTCHA das Ziel, den Nutzer zu einer Handlung zu bewegen, die die Angreifer ausnutzen können.

Für Anfänger erklärt: Stellen Sie sich vor, Sie stehen vor einer verschlossenen Tür und ein Schild sagt: „Um zu beweisen, dass Sie ein Mensch sind, drücken Sie bitte den roten Knopf neben der Tür.“ Sie drücken den Knopf, glauben, die Tür zu öffnen – aber in Wahrheit übergeben Sie damit unbemerkt Ihren Haustürschlüssel an einen Dieb. Genau das tut ein Fake-CAPTCHA: Es gibt vor, Ihre Identität zu prüfen, bringt Sie aber dazu, dem Angreifer selbst die Tür zu Ihrem Computer zu öffnen.

Schritt-für-Schritt-Ablauf des Angriffs:

1. Die Falle stellen (Klick auf den Link): Der Nutzer landet – beispielsweise durch eine Phishing-E-Mail oder Werbeanzeige – auf einer präparierten, böswilligen Webseite.
2. Die Täuschung anzeigen (Fake-CAPTCHA): Die Webseite zeigt eine Pop-up-Meldung an, die wie eine normale Bot-Sicherheitsabfrage aussieht. 
3. Schadcode in die Zwischenablage legen: Unbemerkt kopiert die Webseite im Hintergrund einen gefährlichen Systembefehl (PowerShell) direkt in die Zwischenablage des Computers.
4. Anweisung zur Eigenausführung: Dem Nutzer wird vorgegaukelt, ein Fehler müsse manuell behoben werden (daher der Name TerminalFix oder ClickFix). Die Seite weist den Nutzer an: „Drücken Sie Windows-Taste + R, dann Strg + V und anschließend Enter“.
5. Der Nutzer führt die Schadsoftware aus: Da der Nutzer glaubt, eine normale Verifizierung durchzuführen, befolgt er die Schritte. Dadurch fügt er den kopierten Schadcode in die Windows-Eingabeaufforderung/PowerShell ein und startet ihn eigenhändig.
6. Infektion und Übernahme: Die PowerShell lädt die eigentliche Schadsoftware herunter, stellt eine Verbindung zum Server der Angreifer her und gewährt diesem schrittweise Zugriff auf das gesamte Netzwerk.

Unser Kollege Irakli E. zeigt anschaulich, wie ein gefälschtes CAPTCHA zum Einfallstor werden kann:

C. Was hätte getan werden können, um diese Situation zu vermeiden?

Der Angriff verdeutlicht, wie wichtig die Kombination aus technischen und organisatorischen Sicherheitsmaßnahmen ist. Eine der wirksamsten Schutzmaßnahmen wäre die regelmäßige Schulung von Mitarbeitenden im Umgang mit Social-Engineering-Angriffen gewesen. Nutzer sollten wissen, dass seriöse CAPTCHA-Abfragen niemals verlangen, PowerShell-Befehle auszuführen oder Befehle manuell in die Eingabeaufforderung einzufügen.

Darüber hinaus könnten Application Control-Lösungen die Ausführung nicht autorisierter Skripte und PowerShell-Befehle einschränken.

Mit der DriveLock Application Control können Sie genau festlegen, welche Skripte, Bibliotheken und Anwendungen auf den Systemen ausgeführt werden dürfen. Die Application Behaviour Control erweitert diesen Schutz, indem sie das Verhalten dieser autorisierten Programme kontinuierlich überwacht.

Der Vorfall in Berlin zeigt uns, warum eine mehrschichtige Verteidigung entscheidend ist: Sensibilisierung verringert das Risiko durch Social-Engineering-Angriffe, die immer raffinierter werden.

Der Angriff macht deutlich, dass technische Sicherheitslösungen allein nicht ausreichen. Nur die Kombination aus Sensibilisierung der Nutzer, restriktiven Sicherheitsrichtlinien, moderner Angriffserkennung an Endgeräten und einer konsequenten Sicherheitsstrategie kann Unternehmen wirksam vor solchen Angriffen schützen.

Nehmen Sie am 23. September an unserem Webinar „Ein CAPTCHA reicht. Wie der Berliner Cyberangriff begann.“ teil. Unsere Kollegen werden in Echtzeit demonstrieren, wie Cyberkriminelle heute manipulierte CAPTCHAs, PowerShell und moderne Angriffstechniken für Datendiebstahl und Erpressung einsetzen und an welchen Punkten der Angriffskette diese Angriffe erfolgreich gestoppt werden können.