Achtung, Betrugsmasche: Captcha-basiertes Social Engineering

Gerade kursiert eine Welle gefälschter E-Mails und manipulierter Webseiten – mit einem gemeinsamen Trick: ein Captcha, das aussieht wie jedes andere. Was dahintersteckt, ist keine harmlose Prüfung, sondern Schadsoftware, die still auf deinem Rechner landet.

Was ist ein Captcha?

Captcha steht für „Completely Automated Public Turing test to tell Computers and Humans Apart“ – auf Deutsch: ein vollautomatisierter Test, der Menschen von Bots unterscheidet.

Im Alltag begegnest du Captchas als:

• Bilderrätsel («Markiere alle Felder mit Autos»)
• Verzerrte Buchstaben oder Zahlen zum Abtippen

Ziel: sicherstellen, dass ein Mensch hinter der Aktion steckt – und kein automatisiertes Programm.

Wie die neue Betrugsmasche funktioniert

Fachleute nennen sie «Captcha-basiertes Social Engineering». Der Ablauf ist immer ähnlich:

1. Lock-Mail oder manipulierte Webseite: Du erhältst eine E-Mail oder landest auf einer Seite, die harmlos wirkt.
2. Gefälschtes Captcha erscheint: Statt eines Bilderrätsels fordert es ungewöhnliche Tastenkombinationen – zum Beispiel «Drücke Windows + R», was das Windows-Ausführen-Fenster öffnet.
3. Schadcode wird aktiviert: Im Zwischenspeicher deines Computers wartet bereits ein kleiner Code. Die Tastenkombination löst ihn aus.
4. Im Hintergrund passiert das Gefährliche: Schadsoftware wird unbemerkt heruntergeladen, Daten können abgegriffen werden, Angreifer erhalten Zugang zum Gerät.

Und warum sie so gefährlich ist

Captchas wirken auf die meisten harmlos – sie begegnen uns online ständig und ohne schlechte Erfahrungen.

Genau das nutzt die Masche aus. Kein Systemhack, kein Exploit. Nur Vertrauen und Gewohnheit.

Besonders heikel: Du merkst meist erst sehr spät, dass dein Gerät kompromittiert wurde.

Schutzmassnahmen für Nutzer

• Ungewöhnliche Captchas hinterfragen: Tastenkombinationen oder andere abweichende Aktionen sind fast immer ein Warnsignal.
• Keine Aktionen ausführen, die du nicht kennst – insbesondere keine Anweisungen von unbekannten Webseiten oder E-Mails befolgen.
• Verdächtige E-Mails in den Spam verschieben, bei Bedarf an Sicherheitsplattformen oder die IT-Abteilung weiterleiten.
• Gerät prüfen lassen, falls du Schadsoftware vermutest – Fachleute können sie entfernen.
• Passwörter ändern und Sicherheitssoftware aktuell halten.
• Im Ernstfall die Polizei einschalten: Eine Cybercrime-Strafanzeige ist besonders bei Datenverlust sinnvoll.

Captchas sind kein verlässliches Vertrauenssignal mehr. Wer ungewöhnliche Aktionen kritisch hinterfragt und im Zweifel Fachleute beizieht, schützt sich wirksam.