ClickFix-Angriffe: macOS warnt jetzt vor kopierten Schadbefehlen

In der aktuellen Version macOS Tahoe 26.4 steckt eine bislang undokumentierte Sicherheitsfunktion: Das Betriebssystem kann erkennen, wenn Nutzer potenziell gefährliche Befehle ins Terminal einfügen.

Aufgefallen ist das Feature nicht durch Apple selbst, sondern durch Nutzer der Release-Candidate-Version. Hintergrund ist eine Angriffsmethode namens ClickFix, die sich in den vergangenen Monaten zunehmend verbreitet hat. Das Prinzip ist simpel und gerade deshalb effektiv: Angreifer präsentieren ihren Opfern auf Webseiten oder in Nachrichten einen Befehl, den diese angeblich ausführen müssen, etwa um ein technisches Problem zu beheben oder eine Identitätsprüfung abzuschließen. Wer den Befehl dann kopiert und im Terminal einfügt, installiert sich selbst Schadsoftware. Weil der Nutzer die Aktion selbst ausführt, greifen viele herkömmliche Schutzmechanismen nicht.

So funktioniert die neue Warnung

Erkennt macOS einen verdächtigen Befehl in der Zwischenablage, wird dessen Ausführung zunächst pausiert. Das System zeigt dann einen Hinweis an, der den Nutzer darüber informiert, dass noch nichts passiert ist und dass solche Befehle häufig von Betrügern stammen. Anschließend hat man die Wahl: den Vorgang abbrechen oder den Befehl trotzdem ausführen.

Wie genau die Erkennung arbeitet, ist unklar. Apple hat weder ein Support-Dokument veröffentlicht noch die Funktion in den Release Notes erwähnt. Nutzer auf Reddit (via BleepingComputer) haben erste Beobachtungen geteilt: Die Warnung scheint vor allem dann zu erscheinen, wenn Befehle aus Safari kopiert werden. Außerdem wurde berichtet, dass pro Terminalsitzung offenbar nur eine einzige Warnung angezeigt wird, danach aber nicht erneut. Gleichzeitig soll bei harmlosen Befehlen gar keine Meldung erscheinen, was auf eine inhaltliche Analyse der Eingabe hindeutet.

Kein Allheilmittel

So begrüßenswert die neue Funktion ist: Blind darauf verlassen sollte man sich nicht. Solange nicht klar ist, nach welchen Kriterien macOS einen Befehl als riskant einstuft, bleibt die wichtigste Schutzmaßnahme die gleiche wie immer: Keine Befehle ausführen, die man im Netz gefunden hat und deren Wirkung man nicht vollständig versteht. Das gilt für jedes Betriebssystem.