Gefälschte Cloudflare-Prüfung: Diese Betrugsmasche lädt Kriminelle ein

Technologie 24.09.2026

Perfide Masche

Ein Klick – und die Betrüger sind drin

Aktualisiert am 24.09.2026 - 10:58 UhrLesedauer: 5 Min.

Eine gefälschte Sicherheitsabfrage sieht aus wie das Original, verlangt aber etwas, das echte Prüfungen niemals tun würden. Was dahintersteckt und wie Sie sich schützen.

Sicherheit steht beim Surfen im Internet für viele Menschen an erster Stelle. Betrug kennen sie vor allem aus Phishing-Mails: Eine Nachricht fordert dazu auf, einen Link anzuklicken. Anschließend landen Nutzer auf einer gefälschten Internetseite und geben dort etwa ihre Zugangsdaten, Kreditkartennummer oder andere persönliche Informationen ein.

Die neue Masche funktioniert anders. Die Betrüger interessieren sich zunächst gar nicht für Ihre persönlichen Daten. Sie wollen an Ihren Computer. Und das gelingt ihnen ziemlich leicht, wenn Sie überhaupt nicht damit rechnen. Dabei geht es um eine Sicherheitsprüfung. Diese sieht seriös aus, ist aber gefälscht und sehr gefährlich.

Betrüger missbrauchen Ihr Vertrauen

Für diesen perfiden Betrug missbrauchen Kriminelle das Vertrauen, das Nutzer in bekannte Sicherheitsdienste haben. Auf einer manipulierten oder kompromittierten Internetseite erscheint eine täuschend echt aussehende Sicherheitsprüfung von Cloudflare. Die bekannte Aufforderung lautet sinngemäß: "Verify you are human" – bestätigen Sie, dass Sie ein Mensch und kein Roboter sind.

Dafür müssen die Betrüger die Webseite nicht vollständig übernehmen. Häufig reicht es, wenn sie dort eigenen JavaScript-Code einschleusen können. Dieser Code kann beim Aufruf der Seite eine zusätzliche Oberfläche über den eigentlichen Inhalt legen – etwa ein Fenster, das wie eine Cloudflare-Prüfung aussieht. Die Webseite selbst kann dabei weiterhin ganz normal funktionieren. Das Problem: Die Prüfung stammt nicht von Cloudflare.

So funktioniert der perfide Betrug

Microsoft hat im August 2026 eine aktuelle Angriffskampagne dokumentiert, die genau nach diesem Muster funktioniert. Die Sicherheitsforscher nennen sie ClickFix oder TerminalFix. Der Angriff auf Ihren Computer funktioniert automatisch und läuft allein dadurch, dass Sie den Anweisungen der angeblichen Cloudflare-Überprüfung folgen.

Das macht die Masche besonders perfide: Wer auf die sogenannte Cloudflare-Turnstile-Prüfung hereinfällt, fügt einen von der Webseite vorgegebenen Befehl in das Windows Terminal ein und führt ihn dort mit PowerShell aus.

Was ist PowerShell?

Windows Terminal ist die Benutzeroberfläche (das Anzeigefenster), während PowerShell die eigentliche Befehlsumgebung (die Shell mit Skriptsprache) ist, die in diesem Fenster laufen kann.

Und so funktioniert es:

Wenn Sie auf eine kompromittierte Website kommen, zeigt ein eingeschleustes JavaScript die gefälschte Cloudflare-Prüfung an. Sie klicken auf „Bestätigen Sie, dass Sie ein Mensch sind”. Darauf reagiert das JavaScript und schreibt einen vorbereiteten PowerShell-Befehl in die Zwischenablage. Danach folgt diese Anleitung:

Windows-Taste + X

"I" bzw. Terminal öffnen

Strg + V

Enter

Windows-Taste + X öffnet die Auswahloptionen, mit "I" öffnen Sie das Windows-Terminal-Fenster, mit Strg + V fügen Sie den Code aus der Zwischenablage in das Befehlsfenster ein, und mit Enter bestätigen Sie den Befehl.

Achtung: Sie sehen den kopierten Inhalt zunächst nicht, sondern erst, wenn Sie ihn im Windows-Terminal einfügen.

Nach der Bestätigung mit Enter laden Sie als Anwender die Schadsoftware unsichtbar im Hintergrund selbst herunter und helfen den Angreifern sogar dabei, sie zu starten. Eine echte Cloudflare-Prüfung würde niemals das Windows Terminal oder PowerShell benötigen.

Warum PowerShell für die Betrüger so wichtig ist

PowerShell selbst ist kein Schadprogramm, sondern gehört zu Windows. Das Werkzeug kann auf einem Windows-Rechner Befehle ausführen, Dateien herunterladen und Programme starten. Genau deshalb nutzen Angreifer PowerShell immer wieder als Bestandteil von Angriffen. Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) weist darauf hin, dass Angreifer Kommandozeileninterpreter wie PowerShell nach einem ersten Zugriff häufig zum Nachladen oder Ausführen von Schadcode nutzen.

Woran Sie den Betrugsversuch erkennen

Den Betrugsversuch zu erkennen, ist schwierig. Denn die eigentliche Cloudflare-Technik ist seriös. Cloudflare Turnstile dient normalerweise dazu, zwischen menschlichen Besuchern und automatisierten Zugriffen zu unterscheiden. Dabei laufen im Browser verschiedene Prüfungen ab. Je nach Risiko kann Turnstile eine Checkbox anzeigen oder die Prüfung sogar vollständig im Hintergrund durchführen.

Wenn eine vermeintliche Cloudflare-Prüfung Sie auffordert, Windows Terminal oder eine andere Eingabeaufforderung zu öffnen, um dort einen unbekannten Befehl einzufügen, sollten Sie sofort abbrechen. Drücken Sie auch nicht einfach Enter, nur weil die Webseite Ihnen versichert, dass Sie damit die Verifizierung abschließen.

Achten Sie deshalb auf einen einfachen Grundsatz: Eine Webseite sollte Ihnen niemals erklären müssen, welchen Windows-Befehl Sie ausführen sollen, um zu beweisen, dass Sie ein Mensch sind. Wenn Sie Zweifel haben, schließen Sie die Seite.

Was passiert, wenn Sie auf Enter gedrückt haben?

Dann sollten Sie die Sache ernst nehmen – auch wenn auf dem Bildschirm scheinbar nichts passiert. In der von Microsoft untersuchten TerminalFix-Kampagne löst der eingefügte PowerShell-Befehl zunächst einen mehrstufigen Angriff aus. Er lädt unter anderem ein Archiv aus dem Internet herunter, entpackt Dateien auf dem Computer und startet anschließend weitere Komponenten.

Dabei nutzten die Angreifer sogar eine legitime, signierte Windows-Datei als Teil der Angriffskette. Daneben platzierten sie eine manipulierte DLL. Diese Technik nennt sich DLL-Sideloading. Anschließend luden die Angreifer weitere Schadprogramme nach und versteckten Daten sogar in scheinbar harmlosen PNG-Bildern.

Hinzu kommt: Die untersuchte Schadsoftware suchte gezielt Informationen über das Netzwerk und konnte einen sogenannten Reverse-Tunnel aufbauen. Dadurch konnte der betroffene Rechner als Zugang zum internen Netzwerk dienen. Microsoft betont deshalb, dass Sie betroffene Geräte als potenzielle Ausgangspunkte für weitere Angriffe behandeln sollten.

So scannen Sie Ihren Computer vollständig

Haben Sie den Befehl bereits ausgeführt, trennen Sie den Rechner zunächst vom Internet. Anschließend sollten Sie Ihren PC mit Microsoft Defender Offline überprüfen lassen. Der Scan läuft außerhalb des normalen Windows-Betriebs und kann dadurch auch Schadsoftware erkennen, die sich während des laufenden Systems versteckt. Danach empfiehlt sich zusätzlich ein vollständiger Scan mit Microsoft Defender.

Findet das Programm Schadsoftware, kann es die entsprechenden Dateien in der Regel unter Quarantäne stellen oder entfernen. Schwieriger wird es, wenn die Schadsoftware bereits dauerhafte Startmechanismen eingerichtet hat. Laut Microsoft legten die Angreifer in den untersuchten Fällen etwa Registry-Einträge und geplante Aufgaben für die erneute Ausführung an.

Taucht die Schadsoftware nach der Bereinigung also wieder auf oder kann Defender sie nicht vollständig entfernen, sollten Sie Windows neu installieren. Microsoft nennt die Neuinstallation ausdrücklich als Option, wenn eine Schadsoftware den Rechner nachhaltig verändert hat.

Die wichtigsten Schutzregeln im Überblick

Die wichtigsten Schutzmaßnahmen sind erstaunlich einfach:

Eine Cloudflare-Prüfung findet im Browser statt. Sie müssen dafür keinen unbekannten Windows-Befehl ausführen.

Führen Sie keine Befehle aus, die Ihnen eine fremde Webseite vorgibt.

Versuchen Sie nicht, die Prüfung irgendwie zu Ende zu bringen. Verlassen Sie die Seite umgehend.

Schließen Sie den Tab und rufen Sie die gewünschte Internetseite gegebenenfalls über eine bekannte Adresse erneut auf.

Falls Sie bereits auf Enter gedrückt haben, gilt: Geraten Sie nicht in Panik – aber hoffen Sie auch nicht darauf, dass schon nichts passiert sein wird. Trennen Sie den Rechner vom Internet und lassen Sie ihn gründlich überprüfen.

Das sind die Top-Fragen des Tages:

Wenn der Schadcode bereits lief, sollten Sie zumindest damit rechnen, dass Kriminelle Zugangsdaten abgegriffen haben könnten. Microsoft empfiehlt ausdrücklich, Zugangsdaten zu ändern, die auf dem betroffenen Rechner zugänglich waren – und zwar am besten von einem anderen, sauberen Gerät aus, beispielsweise vom Smartphone oder einem anderen Computer.

Je früher Sie reagieren, desto besser können Sie verhindern, dass aus einem vermeintlich kleinen Klick ein ernsthaftes Sicherheitsproblem wird.

ShoppingAnzeigen

← Zurück zu News

Gefälschte Cloudflare-Prüfung: Diese Betrugsmasche lädt Kriminelle ein

Bereit für Ihre kostenlose E-Mail?