Vor zwei Wochen bestätigte das BSI offiziell, wie der Angriff auf die Berliner Verwaltung ablief. Inzwischen liegt die vollständige Angriffskette vor und sie zeigt ein mehrstufiges, gut durchdachtes Vorgehen statt eines einfachen Tricks.
Der Einstieg: Ein Mitarbeiter landet auf einer kompromittierten Webseite. Ein Overlay erscheint, das wie eine normale Cloudflare-Sicherheitsprüfung aussieht – Logo, Ladeanimation, die vertraute „Verify you are human“-Checkbox. Ein Klick genügt, im Hintergrund landet ein PowerShell-Befehl in der Zwischenablage. Die Seite fordert auf, das Windows-Terminal zu öffnen und den vermeintlichen Bestätigungscode einzufügen. Der Nutzer führt den Schadcode selbst aus, mit eigenen Rechten.
Erst jetzt vollständig bekannt: Die Schadsoftware („LoremIpsumLoader“) tauscht Systembibliotheken aus, um sich zu verstecken, zieht ihre Nutzlast versteckt aus Bilddateien, kartiert die Active-Directory-Struktur und baut einen Reverse-Tunnel auf: aus einem Rechner wird so ein dauerhafter Zugang ins gesamte Netzwerk. Das unterscheidet TerminalFix von älteren ClickFix-Varianten, die meist nur einzelne Rechner betrafen.
Passend zum größeren Bild: Laut aktueller Bitkom-Erhebung waren 2026 bereits 87 % der befragten deutschen Unternehmen von Cyberangriffen betroffen, Gesamtschaden geschätzt 289 Mrd. €. Social Engineering bleibt damit einer der häufigsten Einstiegspunkte.
Für die Praxis: Awareness-Schulungen, die nur vor Anhängen warnen, greifen zu kurz. Mitarbeitende müssen wissen, dass keine legitime Webseite zur eigenständigen Befehlseingabe in ein Terminal auffordert. Technisch gehören eingeschränkte PowerShell-Rechte für Standardnutzer und aktivierte Script-Block-Protokollierung zur Grundausstattung, nicht zur Kür.
Quelle: BSI, Bitkom
Stand der Recherche: 16. September 2026 — Regulatorik entwickelt sich dynamisch; dieser Beitrag ersetzt keine individuelle Rechts- oder Fachberatung.
