Gefälschte CAPTCHAs: Der Cyberangriff auf Berlin

Eine Person, die am Computer ein CAPTCHA ausfüllt und dabei schaut ihr ein Hacker zu.
milindri/Getty Images, bearbeitet mit Canva.com

 

CAPTCHA-Abfragen: Du kennst sie bestimmt auch. Sie überprüfen, ob du ein Mensch oder ein Bot bist. Manchmal musst du anklicken, dass du ein Mensch bist, manchmal bestimmte Bilder auswählen oder vorgegebene Textbausteine abschreiben. Diese technischen Mittel, die zur Überprüfung dienen sollen, können von Cyberkriminellen täuschend echt nachgebaut und ausgenutzt werden. Das BSI warnt vor dieser Methode unter dem Namen "TerminalFix", einer Weiterentwicklung von "ClickFix". Nach Analysen des BSI war eine solche gefälschte CAPTCHA-Abfrage offenbar das Einfallstor für einen schweren Cyberangriff auf die Berliner Verwaltung. Zwischen dem 7. und 12. August 2026 wurden nach bisherigen Erkenntnissen große Datenmengen aus ihren Netzen kopiert – darunter auch personenbezogene Daten von Beschäftigten und möglicherweise von Bürger:innen. Betroffen sind Bereiche der Senatsverwaltungen für Stadtentwicklung, Bauen und Wohnen sowie für Mobilität, Verkehr, Klimaschutz und Umwelt. Die Hackergruppe Rhysida hat sich zu dem Angriff bekannt.

Für den Angriff nutzten die Täter:innen offenbar die TerminalFix-Methode. Dabei wurden gefälschte CAPTCHA-Abfragen eingesetzt, die Nutzer:innen dazu bringen sollten, einen schädlichen Befehl zum Beispiel durch eine vorgegebene Tastenkombination auszuführen. Die Webseite wirkt wie eine gewöhnliche Sicherheitsabfrage mit vertrautem Logo, sodass kein Verdacht entsteht. Die Methode nutzt also vor allem Täuschung und Social Engineering – die Verwaltung war dabei gezielt für den Angriff ausgewählt.

Am 4. September 2026 wurden die Daten im Darknet veröffentlicht. Der Angriff zeigt, wie professionell Cyberkriminelle inzwischen vorgehen und wie wichtig IT-Sicherheit für Behörden, Unternehmen, aber auch Privatpersonen ist. Deshalb gilt: Eine echte CAPTCHA-Abfrage fordert dich nie auf, eine Tastenkombination zu drücken, ein Eingabefenster zu öffnen oder dort etwas einzufügen, und sie fragt auch nicht nach persönlichen Daten. Verlangt eine Seite so etwas, brich sofort ab und schließ den Browser.

Auch andere Formen eines Betrugs durch digitale Mittel sind bekannt, wie zum Beispiel Quishing. Auch diese Betrugsmasche nutzt gefälschte Inhalte, um zu täuschen. Dabei kommen beispielsweise manipulierte QR-Codes zum Einsatz, die auf schädliche Webseiten führen können.

Ob du oder jemand aus deiner Familie betroffen sein könnte und was dann zu tun ist, erfährst du in den FAQ der Berliner Beauftragten für Datenschutz und Informationsfreiheit.


Weitere Infos zum Angriff und zur verwendeten Methode hier: