ClickFix ist eine verbreitete Social-Engineering-Technik, bei der Angreifer Nutzer dazu bringen, Schadcode direkt in das Betriebssystem zu kopieren und einzufügen – und damit klassische Sicherheitsmechanismen zu umgehen. Betroffene landen über kompromittierte, eigentlich legitime Seiten oder über bösartige Anzeigen auf Phishing-Seiten, die eine gefälschte Cloudflare- oder Google-reCAPTCHA-Prüfung oder andere erfundene Fehlermeldungen anzeigen. Zur vermeintlichen Behebung sollen Nutzer einen Befehl in den Windows-Ausführen-Dialog oder in die Terminal-App unter macOS einfügen.

Sobald nach dem Einfügen die Eingabetaste gedrückt wird, startet eine mehrstufige Infektionskette, an deren Ende Schadsoftware wie Informationsdiebe (Infostealer) oder Fernzugriffstrojaner steht. Um im normalen Systembetrieb nicht aufzufallen, setzen die Befehle häufig auf bordeigene Werkzeuge (Living-off-the-Land) wie PowerShell oder cmd.exe, um Nachladestufen herunterzuladen.

Wirksam bleibt die Methode, weil sie das Prinzip klassischen Phishings umkehrt: Statt komplexe Schwachstellen auszunutzen oder einen Klick auf einen verdächtigen Link zu provozieren, bringt sie Nutzer unter dem Vorwand einer alltäglichen Fehlerbehebung dazu, die Tür selbst zu öffnen.

„Indem die Angreifer den Download-Vorgang aus dem Browser heraus in das Terminal verlagern, umgehen sie die bestehenden Download-Schutzmechanismen von Chrome und Safe Browsing vollständig“, erklärte Google. „Um dieser Technik zu begegnen, erkennt Chrome jetzt, wenn ein Nutzer mit erweitertem Schutz dazu verleitet wird, verdächtige Befehle zu kopieren.“

Kopiert ein Nutzer ein mutmaßliches ClickFix-Skript, wird der Inhalt der Zwischenablage von eventuell enthaltenen personenbezogenen Angaben bereinigt und zur Analyse an Safe Browsing übermittelt. Stuft das System den Befehl als gefährlich ein, zeigt Chrome eine Warnung an – der Angriff soll so gestoppt werden, bevor der Befehl überhaupt ausgeführt wird.

Daneben führt Google für Nutzer mit erweitertem Schutz weitere Maßnahmen gegen Betrugsseiten ein. Dazu zählt eine neue Systematik für Safe-Browsing-Warnungen vor Websites: Als verdächtig (Suspicious) gelten Seiten, die Täuschungsmuster aufweisen, wie sie von bekannten bösartigen Seiten vertraut sind; als gefährlich (Dangerous) gelten Seiten, die nachweislich bösartig sind und ein hohes Schadensrisiko für Nutzer bergen.

Zudem baut Google auf Ansätzen mit einem großen Sprachmodell auf, das direkt auf dem Gerät läuft, um technische Support-Betrugsmaschen sowie weitere Varianten wie gefälschte Virenschutz- oder Browser-Update-Betrügereien zu erkennen. „Dieses Modell bewertet den Seiteninhalt und analysiert zentrale Indikatoren wie die dargestellte Marke, die Absicht der Seite und einen Betrugswahrscheinlichkeitswert; das liefert uns die umfangreichen Bedrohungsdaten, die wir zur Identifizierung täuschender Seiten benötigen“, so Google.

Zum Datenschutz erklärte das Unternehmen: „Chrome minimiert dabei die Menge der an den Server übermittelten Daten, indem Seitentext nur dann analysiert wird, wenn eine Seite Betrugsindikatoren mit hoher Zuverlässigkeit aufweist. Und wenn Seiteninhalte das Gerät verlassen, werden sie flüchtig verarbeitet – das heißt, sie werden niemals protokolliert, gespeichert oder zum Trainieren von Modellen verwendet.“

Ebenfalls am Dienstag kündigte Google die Einführung einer Verifizierung für Finanzdienstleister (Financial Services Verification) in den USA und Kanada an. Damit werden die Nachweise von Werbetreibenden geprüft, um sicherzustellen, dass Anzeigen von autorisierten Finanzanbietern stammen. Das Programm gilt bereits in zahlreichen Märkten weltweit, darunter Australien, Brasilien, Indien, Indonesien, Malaysia, Neuseeland, die Türkei und mehrere europäische Länder.

„Nach dieser Richtlinie müssen Werbetreibende nachweisen, dass sie von den zuständigen Regulierungsbehörden oder anerkannten Registern autorisiert sind, bevor sie bestimmte Finanzanzeigen schalten dürfen – das hilft, Markenimitation zu verhindern und böswillige Akteure davon abzuhalten, Menschen zu erreichen“, teilte Google mit. In den USA arbeitet der Konzern dafür mit der American Bankers Association und deren eigenem Register zusammen, um autorisierte Banken vor der Anzeigenschaltung zu verifizieren; in Kanada bereitet Google den Start in enger Abstimmung mit der Canadian Bankers Association vor. Parallel läuft die Zusammenarbeit mit Finanzaufsichtsbehörden.

Apple blockiert Identity Resolution in Safari und WebKit

Zeitgleich stellte Apple neue Datenschutzfunktionen in Safari und WebKit vor, die Teil der Veröffentlichungen von iOS, iPadOS, macOS und visionOS 27 sind. Sie richten sich gegen eine Praxis namens Identity Resolution, bei der E-Mail-Adressen in dauerhafte Tracking-Kennungen verwandelt werden.

„Bei diesem Verfahren sammeln Dritte – also nicht die Betreiber der Website – unsichtbar Ihre E-Mail-Adresse, wenn Sie sich anmelden oder einen Newsletter abonnieren“, erklärte Apples WebKit-Team. „Sie senden die E-Mail-Adresse an ihre Server, erzeugen eine undurchsichtige Tracking-ID, die dauerhaft mit Ihrer E-Mail-Adresse verknüpft ist, und schicken diese Tracking-ID an die Webseite zurück.“

„Die Tracking-ID wird auf der Website gespeichert und kann von da an für beliebige, mit Ihrer E-Mail-Adresse verknüpfte Zwecke genutzt werden, etwa um ein Profil Ihres Surfverhaltens aufzubauen oder Ihnen website-übergreifend Werbung auszuspielen. Ein Abmelden vom Konto oder vom Newsletter entfernt weder die Tracking-ID noch die beim Dritten gespeicherte E-Mail-Adresse.“

Nach Angaben von Apple können die Drittanbieter mit jeder weiteren Anmeldung per E-Mail-Adresse oder jedem ausgefüllten Formular mit personenbezogenen Daten mehr Informationen anhäufen und so einen Identitätsgraphen mit Namen, Wohnanschrift, Telefonnummer und IP-Adresse aufbauen.

Um dieses seitenübergreifende Tracking zu unterbinden, sperrt Safari den Netzwerkzugriff auf die in Webseiten eingebettete Identity-Resolution-Infrastruktur – der Dritte kann die E-Mail-Adresse damit nicht mehr an seine Server übermitteln. Die Sperre erfolgt laut Apple auf Domain-Ebene.

„Es reicht heute nicht mehr aus, seitenübergreifende Cookies zu blockieren, um Cross-Site-Tracking zu verhindern, denn die Tracking-Branche hat nicht aufgehört, Nutzer im Web zu verfolgen“, so Apple. „Sie haben das eingeläutet, was sie die Post-Cookie-Ära nennen, und wir haben in unseren jüngsten Veröffentlichungen einen starken Schutz dagegen eingerichtet.“