ClickFix & ClickLock: Wie gefälschte Captchas Macs kapern – und wie Unternehmen sich schützen

Ein Mitarbeiter will kurz etwas herunterladen, die Seite verlangt eine „Verifizierung, dass Sie kein Roboter sind" – und bittet freundlich darum, einen kurzen Befehl ins Terminal zu kopieren. Ein Klick, ein Einfügen, Enter. Was wie eine harmlose Captcha-Abfrage aussieht, ist der Startschuss für eine der aktuell gefährlichsten Mac-Angriffsmethoden: ClickFix – und ihre besonders aggressive Ausprägung ClickLock.

Die Sicherheitsfirma Group-IB hat mit ClickLock im Jahr 2026 eine macOS-Schadsoftware dokumentiert, die seit Mai über 100 Opfer in 33 Ländern getroffen hat – mehr als die Hälfte davon in Europa. Für Unternehmen ist das brisant, weil ein einziges unbedachtes Einfügen im Terminal reicht, um Passwörter, Keychain-Inhalte, Browser-Sitzungen und Zugangsdaten in einem Rutsch zu kompromittieren. In diesem Beitrag erklären wir verständlich, wie ClickFix und ClickLock funktionieren, woran ihr einen Befall erkennt, was im Ernstfall sofort zu tun ist – und wie wir bei mx-itsolutions Unternehmens-Macs mit Jamf-Gerätemanagement und Managed Security so absichern, dass diese Masche gar nicht erst greift.

Das Wichtigste in Kürze

• ClickFix ist eine Social-Engineering-Masche: Gefälschte Captcha- oder Cloudflare-Verifizierungsseiten bringen Nutzer dazu, einen Schadbefehl selbst ins Terminal einzufügen und auszuführen. Es wird keine Sicherheitslücke ausgenutzt – der Mensch ist die Schwachstelle.
• ClickLock setzt darauf auf und erzwingt die Passworteingabe: Bricht das Opfer Passwortdialoge ab, schließt die Schadsoftware Finder, Terminal, Aktivitätsanzeige, Systemeinstellungen und Browser rund fünfmal pro Sekunde – bis nur noch der Passwortdialog nutzbar bleibt.
• Gestohlen werden Browser-Zugangsdaten, Keychain-Daten, Passwortmanager-Einträge, Krypto-Wallets, Shell-Verlauf und FileZilla-Zugänge – gezielt auch aus 1Password, Bitwarden, Chrome und Firefox.
• Die Schadsoftware installiert eine persistente Hintertür (ein modifizierter GSocket-Reverse-Shell in einem als „iCloudsync" getarnten Ordner) und verwischt anschließend ihre Spuren.
• Der wirksamste Schutz ist eine Kombination aus technischen Kontrollen und Awareness: kein lokaler Admin, gemanagte Geräte per Jamf, Endpoint-Schutz, restriktive Richtlinien – und Mitarbeitende, die wissen, dass echte Verifizierung niemals im Terminal stattfindet.

Was ist ClickFix – und was macht ClickLock so gefährlich?

ClickFix: die gefälschte Captcha-Masche

ClickFix ist keine klassische Sicherheitslücke, sondern ein Trick, der die Hilfsbereitschaft und Routine der Nutzer ausnutzt. Auf einer manipulierten Webseite erscheint eine gefälschte Verifizierung – oft täuschend echt einer Cloudflare- oder Captcha-Prüfung nachempfunden. Statt ein Häkchen zu setzen, wird der Nutzer aufgefordert, einen angeblich nötigen Befehl zu kopieren und im Terminal auszuführen, um „die Prüfung abzuschließen". Genau in diesem Moment installiert sich das Opfer die Schadsoftware selbst. Die entscheidende Regel dagegen ist simpel: Eine echte Browser-Verifizierung passiert immer im Browser – niemals im Terminal.

ClickLock: Erpressung über die Benutzeroberfläche

ClickLock geht einen Schritt weiter als reine Datendiebe. Sobald das Skript läuft, versucht die Software, an Passwörter und Keychain-Zugriff zu kommen. Wehrt sich der Nutzer und bricht die Dialoge ab, beginnt der eigentlich perfide Teil: Die Schadsoftware schließt systematisch alle Programme, mit denen man sich wehren könnte – Finder, Terminal, Aktivitätsanzeige, Systemeinstellungen und die gängigen Browser – und das etwa fünfmal pro Sekunde. Zusätzlich unterdrückt sie rund sechs Stunden lang die Mitteilungszentrale und öffnet immer wieder das Fenster für „Vollständigen Festplattenzugriff", um weitere Berechtigungen zu erzwingen. Der Mac wird faktisch unbenutzbar, bis das Opfer nachgibt und sein Passwort eingibt. Anders als klassische Ransomware verschlüsselt ClickLock also keine Dateien – es erpresst über die Oberfläche selbst.

Warum das gerade für Unternehmen brisant ist

Im privaten Umfeld ist ein kompromittierter Mac ärgerlich. Im Unternehmen ist er ein Einfallstor. Denn ClickLock zielt genau auf die Daten, mit denen sich weiterarbeiten lässt: gespeicherte Browser-Logins, aktive Sitzungscookies, Einträge aus Passwortmanagern wie 1Password und Bitwarden, die macOS-Keychain samt der geschützten Ablage von Chrome, dazu Shell-Verlauf und FileZilla-Zugänge zu Servern. Ein einziges kompromittiertes Gerät kann so den Schlüssel zu Cloud-Diensten, Admin-Konsolen, Kundendaten und Serverzugängen liefern.

Hinzu kommt die persistente Hintertür: Über eine als „iCloudsync" getarnte Reverse-Shell behalten die Angreifer dauerhaften Zugriff, während sich andere Komponenten selbst löschen und Zeitstempel manipulieren, um unentdeckt zu bleiben. Als das ursprüngliche Skript erstmals bei einem Analysedienst hochgeladen wurde, erkannte es zunächst kein einziger Virenscanner – ein klarer Beleg dafür, dass Signaturschutz allein bei solchen frischen Kampagnen nicht ausreicht. Für Unternehmen heißt das: Der Schutz muss verhindern, dass der Schadbefehl überhaupt ausgeführt werden kann, statt sich darauf zu verlassen, ihn hinterher zu erkennen.

Wie ClickLock technisch vorgeht

Der Ablauf ist bewusst niedrigschwellig gehalten, damit möglichst viele Opfer mitmachen:

• Einstieg ohne Admin-Rechte: Das eingefügte Shell-Skript startet zunächst ohne Administratorrechte – es braucht keine Sicherheitslücke, nur die freiwillige Ausführung durch den Nutzer.
• Nachladen von Modulen: Anschließend lädt das Skript weitere Bausteine nach – Passwortdiebe, Sammler für Browser- und Krypto-Daten, Keychain-Zugriffe und die Hintertür.
• Erzwingen der Eingabe: Über das dauerhafte Schließen von System- und Sicherheits-Apps sowie wiederholte Keychain- und Berechtigungsabfragen wird der Nutzer zur Passworteingabe gedrängt.
• Persistenz und Tarnung: Die Hintertür nistet sich als „iCloudsync"-Komponente ein, andere Teile löschen sich selbst und fälschen Dateizeitstempel, um Analyse und Aufräumen zu erschweren.

Woran Sie einen Befall erkennen

Ein deutliches Warnsignal ist genau das erpresserische Verhalten: Wenn sich Finder, Terminal oder die Systemeinstellungen immer wieder von selbst schließen und ein Passwortdialog penetrant wiederkehrt, ist höchste Vorsicht geboten. Technisch lohnt außerdem ein Blick in typische Persistenz-Orte auf dem Mac – etwa den Ordner ~/Library/LaunchAgents/ und ein verstecktes Verzeichnis ~/.cacheb/. Auffällige Einträge dort können auf eine Infektion hindeuten. Weil die Schadsoftware ihre Spuren aktiv verwischt, ist eine saubere Analyse allerdings nichts für zwischendurch – sie gehört in die Hände eines IT-Dienstleisters, idealerweise über den zentralen Verwaltungszugriff eures Gerätemanagements.

Sofortmaßnahmen bei Verdacht

Wenn der Verdacht besteht, dass ein Mac betroffen ist, zählt vor allem, das Passwort nicht im Erpressungsmoment einzugeben:

• Gerät herunterfahren statt Passwort eingeben: Schließen sich Programme wiederholt und drängt ein Passwortdialog, den Mac ausschalten, anstatt nachzugeben.
• Sitzungen widerrufen: Aktive Browser-Sitzungen und Tokens für wichtige Dienste von einem sauberen Gerät aus abmelden bzw. zurückziehen.
• Passwörter neu setzen – vom sauberen Gerät: Alle auf dem Mac gespeicherten Zugangsdaten als kompromittiert behandeln und von einem nicht betroffenen Gerät aus ändern.
• IT einbinden, nicht selbst „aufräumen": Analyse und Bereinigung über die IT bzw. euren Managed-Service-Partner laufen lassen – inklusive Prüfung, ob von dem Gerät aus weitere Systeme erreichbar waren.

Wie mx-itsolutions Unternehmens-Macs vor ClickFix & ClickLock schützt

Die gute Nachricht: Genau diese Angriffskette lässt sich in einer gemanagten Apple-Umgebung an mehreren Stellen unterbrechen. Wir setzen dabei nicht auf ein einzelnes Produkt, sondern auf ein abgestimmtes Zusammenspiel aus Gerätemanagement, technischen Kontrollen und geschulten Mitarbeitenden:

• Kein lokaler Administrator im Alltag: Standardnutzer arbeiten ohne dauerhafte Admin-Rechte. Berechtigungserweiterungen laufen kontrolliert – ein per Terminal nachgeladener Schädling kann sich so deutlich schwerer festsetzen.
• Zentrales Gerätemanagement mit Jamf: Über unser Gerätemanagement mit Jamf setzen wir einheitliche Sicherheitsrichtlinien durch, überwachen den Flottenzustand und können im Ernstfall ein Gerät zentral isolieren, sperren oder zurücksetzen.
• Endpoint-Schutz und Verhaltenserkennung: Moderner Endpoint-Schutz erkennt verdächtiges Verhalten – etwa das massenhafte Beenden von System-Apps oder ungewöhnliche Terminal-Aktivität – auch dann, wenn noch keine Signatur existiert.
• Härtung der Angriffsfläche: Richtlinien für Berechtigungen (u. a. Festplattenzugriff), gehärtete Browser-Konfigurationen und ein kontrollierter Umgang mit der Keychain reduzieren, was ein Angreifer im Ernstfall überhaupt erreichen kann.
• Zero-Trust-Identität und MFA: Gestohlene Passwörter allein reichen nicht, wenn Zugriffe zusätzlich an Gerät, Standort und einen zweiten Faktor gebunden sind. Kompromittierte Sitzungen lassen sich zentral widerrufen.
• Awareness statt Bauchgefühl: Wir schulen Teams gezielt auf Maschen wie ClickFix – mit der einfachen, wirksamen Faustregel, niemals Befehle aus einer Webseite ins Terminal zu kopieren.
• Monitoring und Incident Response: Fällt ein Gerät auf, greifen definierte Abläufe: isolieren, analysieren, Zugänge widerrufen, sauber neu aufsetzen – statt hektischer Einzelaktionen.

So wird aus einer akuten Bedrohung ein beherrschbares Restrisiko – eingebettet in eine sauber betriebene Cloud-Infrastruktur für Apple-Umgebungen und einen gemanagten Betrieb, bei dem Sicherheit nicht vom Zufall abhängt.

Fazit: Der beste Zeitpunkt zum Absichern ist vor dem ersten Klick

ClickFix und ClickLock zeigen, wohin sich Mac-Angriffe entwickeln: weg von der technischen Lücke, hin zur gezielten Manipulation der Nutzer. Genau deshalb lässt sich diese Bedrohung nicht mit einem einzelnen Virenscanner lösen, sondern nur mit einer Kombination aus gemanagten Geräten, technischer Härtung und geschulten Mitarbeitenden. Unternehmen, die ihre Macs zentral über Jamf verwalten, ohne dauerhafte Admin-Rechte arbeiten und ihre Teams für solche Maschen sensibilisieren, nehmen dieser Angriffskette die Grundlage.

Ihr wollt wissen, wie gut eure Apple-Flotte gegen ClickFix, ClickLock und ähnliche Maschen aufgestellt ist? Wir schauen uns eure Umgebung an und richten den passenden Schutz ein. Sprecht uns an – als Apple-Spezialist sichern wir genau solche Fälle ab, bevor sie zum Problem werden.

Häufige Fragen zu ClickFix und ClickLock auf dem Mac

Was ist ClickFix?

ClickFix ist eine Social-Engineering-Masche, bei der gefälschte Captcha- oder Verifizierungsseiten Nutzer dazu bringen, einen Schadbefehl selbst in das Terminal ihres Macs einzufügen und auszuführen. Es wird keine Sicherheitslücke ausgenutzt – die Schadsoftware wird durch die Handlung des Nutzers installiert. Wichtig: Eine echte Browser-Verifizierung findet immer im Browser statt, niemals im Terminal.

Was unterscheidet ClickLock von normaler Mac-Malware?

ClickLock kombiniert Datendiebstahl mit Erpressung über die Benutzeroberfläche. Wenn Nutzer die Passwortabfrage verweigern, schließt die Schadsoftware fortlaufend Finder, Terminal, Systemeinstellungen und Browser und macht den Mac damit praktisch unbenutzbar, bis das Passwort eingegeben wird. Dateien werden dabei nicht verschlüsselt – der Druck entsteht allein durch das Blockieren der Oberfläche.

Welche Daten stiehlt ClickLock?

Im Fokus stehen Browser-Zugangsdaten und Sitzungen, die macOS-Keychain, Einträge aus Passwortmanagern wie 1Password und Bitwarden, Krypto-Wallet-Daten, der Shell-Verlauf sowie FileZilla-Zugangsdaten. Für Unternehmen ist besonders kritisch, dass darüber Zugänge zu Cloud-Diensten, Servern und Admin-Konsolen abfließen können.

Was soll ich tun, wenn ich vermute, dass mein Mac betroffen ist?

Geben Sie im Erpressungsmoment nicht Ihr Passwort ein, sondern fahren Sie den Mac herunter. Widerrufen Sie anschließend von einem sauberen Gerät aus aktive Sitzungen und ändern Sie alle auf dem Mac gespeicherten Passwörter. Behandeln Sie sämtliche gespeicherten Zugangsdaten als kompromittiert und lassen Sie das Gerät durch Ihre IT bzw. Ihren Managed-Service-Partner analysieren und sauber neu aufsetzen.

Schützt ein Virenscanner allein vor ClickFix und ClickLock?

Nein. Als das Skript dieser Kampagne erstmals analysiert wurde, erkannte es zunächst kein Virenscanner. Signaturbasierter Schutz allein reicht daher nicht. Wirksam ist eine Kombination aus zentral gemanagten Geräten, fehlenden lokalen Admin-Rechten, Endpoint-Schutz mit Verhaltenserkennung, gehärteten Richtlinien und geschulten Mitarbeitenden.

Wie schützt mx-itsolutions unsere Unternehmens-Macs davor?

Wir verwalten Apple-Geräte zentral über Jamf, arbeiten ohne dauerhafte lokale Admin-Rechte, setzen Endpoint-Schutz und gehärtete Sicherheitsrichtlinien durch und binden Zugriffe an Zero-Trust-Identität mit MFA. Ergänzend schulen wir Teams gezielt auf Maschen wie ClickFix. Fällt ein Gerät auf, greifen definierte Incident-Response-Abläufe, um es zu isolieren, Zugänge zu widerrufen und den Mac sauber neu bereitzustellen.

‍