Mac auf Malware prüfen: Was nach einem falschen CAPTCHA zu tun ist

„Hilfe, wie werde ich diese Malware los?“ ist ein immer wiederkehrender Beitrag in Mac-Foren, und 2026 geht er fast immer auf dasselbe zurück: eine gefälschte CAPTCHA-Seite, die Besucher dazu bringt, das Terminal zu öffnen und einen Befehl einzufügen. Sicherheitsforscher nennen die Technik ClickFix, und das ganze Jahr über wurden Kampagnen verfolgt, die sie gegen Mac-Nutzer einsetzen, darunter solche, die auf Entwickler und Nutzer von KI-Tools zielen. Dieser Ratgeber erklärt, wie es dazu kommt, was du tust, wenn du schon einen Befehl ausgeführt hast, und wie du einen Mac ordentlich prüfst, statt zu raten.

Hast du schon einen Befehl eingefügt: Spring unten zum entsprechenden Abschnitt und änder deine wichtigen Passwörter von einem anderen, sauberen Gerät aus, bevor du auf dem infizierten Mac irgendetwas anderes tust.

Schnelle Einschätzung

Wie Mac-Infektionen heute wirklich zustande kommen

Mac-Malware kommt kaum noch über eine Software-Lücke ins System. Die vorherrschende Technik 2026 ist Social Engineering, keine technische Schwachstelle:

1. Eine gefälschte Verifizierungsseite. Du landest auf einer Website, oft einer kompromittierten, sonst aber legitimen WordPress-Seite, und siehst etwas, das wie eine Standard-Menschenprüfung von Cloudflare oder eine „macOS-Optimierung“ aussieht.
2. Sie fordert dich auf, das Terminal zu öffnen und einen Befehl einzufügen. Manche Varianten kopieren den Befehl automatisch in deine Zwischenablage und führen dich durch Command+Leertaste, Terminal öffnen, einfügen, Zeilenschalter drücken.
3. Du führst ihn selbst aus. Weil du den Zeilenschalter gedrückt hast und nicht ein Angreifer eine Lücke ausnutzt, geht das an den meisten klassischen Abwehrmaßnahmen vorbei. Eine Kampagne leert danach sogar das Terminal-Fenster und gibt eine falsche Meldung „Verifizierung erfolgreich“ aus, damit du nicht merkst, dass etwas passiert ist.
4. Die Schadsoftware installiert sich unbemerkt. Meist lädt sie eine Datei in einen temporären Ordner, führt sie mit einem Befehl wie nohup im Hintergrund aus, damit sie das Schließen des Terminals überlebt, und beginnt, Daten zu sammeln.

Kein legitimes CAPTCHA, keine legitime Website und kein legitimes Verifizierungssystem verlangt jemals, dass du das Terminal öffnest und etwas einfügst. Diese eine Tatsache deckt die allermeisten aktuellen Mac-Infektionen ab. Im März 2026 hat Apple macOS eine Schutzmaßnahme hinzugefügt, die Nutzer warnt, bevor so ein Befehl läuft, doch neue Varianten finden immer wieder Wege an einfachen Warnungen vorbei, deshalb zählt die Gewohnheit mehr als der Patch.

Wenn du schon einen Terminal-Befehl von einer Website ausgeführt hast

Behandle den Mac sofort als kompromittiert, bevor du irgendetwas anderes tust:

1. Änder von einem anderen, sauberen Gerät aus die Passwörter für E-Mail, Banking und jedes Konto, für das du einen Passwortmanager nutzt.
2. Such nach dem Macfinger-Indikator. Existiert der Pfad ~/Library/Caches/com.apple.metadata/com.apple.verified auf deinem Mac, nennt ein Sicherheitsforscher das als Zeichen für genau diese Kampagne.
3. Trenn die Netzwerkverbindung, wenn du aktive, laufende Datenabflüsse vermutest, und mach dann mit den Prüfungen unten weiter.
4. Trau eine Weile keinen Schlüsselbund-Abfragen. Manche Kampagnen versuchen gezielt, dein Schlüsselbund-Passwort über einen gefälschten Systemdialog abzugreifen, nachdem der erste Befehl gelaufen ist. Siehst du in den Stunden danach eine unerwartete Abfrage des Schlüsselbund-Passworts, brich sie ab und tipp nichts ein.
5. Notier, was passiert ist: welche Website, ungefähr wann und was die Seite von dir verlangt hat. Das hilft, wenn du es melden oder Hilfe holen willst.
6. Führ den Befehl nicht noch einmal aus und füg ihn nirgendwo anders ein, um „zu sehen, was er macht“.

Anzeichen, dass dein Mac infiziert sein könnte

• Unerklärlich hohe CPU-Auslastung im Leerlauf, sichtbar in der Aktivitätsanzeige.
• Browser-Umleitungen, unerwartete Pop-ups oder eine neue Standardsuchmaschine, die du nicht gesetzt hast.
• Gefälschte Software-Update-Hinweise außerhalb der Systemeinstellungen.
• Anmeldeobjekte oder Hintergrundobjekte, die du nicht kennst.
• Ein spürbar heißerer Mac oder lautere Lüfter ohne erkennbaren Grund.

Keines davon beweist für sich allein eine Infektion. Auch die Indizierung von Golden Gate nach dem Update kann CPU und Hitze hochtreiben; sieh in unseren Ratgeber zu Systemdaten, wenn der Speicher gleichzeitig ungewöhnlich voll wirkt. Erst die Prüfung unten bestätigt es in die eine oder andere Richtung.

Wo sich Mac-Malware versteckt

Die Persistenztechniken auf dem Mac sind gut dokumentiert und konzentrieren sich auf wenige Orte:

Auch viel legitime Software nutzt diese Orte. Entscheidend ist ein Eintrag, den du nicht kennst.

So prüfst du es, Schritt für Schritt

1. Aktivitätsanzeige. Öffne sie, sortier nach CPU und such nach Prozessen, die du nicht kennst, besonders mit ungewöhnlichen oder zufällig wirkenden Namen.
2. Anmeldeobjekte & Erweiterungen. Systemeinstellungen > Allgemein > Anmeldeobjekte & Erweiterungen. Klick alles an, was du nicht kennst, und entfern es. Sieh auch im Bereich „Im Hintergrund zulassen“ auf derselben Seite nach.
3. LaunchAgents und LaunchDaemons. Öffne den Finder, drück Command+Umschalt+G und prüf jeden dieser Pfade:

/Library/LaunchDaemons/
/Library/LaunchAgents/
~/Library/LaunchAgents/

Such nach unbekannten .plist-Dateien, besonders mit allgemeinen oder kürzlich geänderten Namen. Sortierst du jeden Ordner nach Änderungsdatum, stehen die neuesten Dateien oben.

4. Konfigurationsprofile. Systemeinstellungen > Allgemein > Geräteverwaltung oder Datenschutz & Sicherheit > Profile, je nach macOS-Version. Entfern jedes Profil, das du nicht selbst installiert hast.
5. Browser-Erweiterungen. Sieh dir die Erweiterungsseite jedes Browsers einzeln an und entfern alles Unbekannte.
6. Temporäre Dateien des Infektionswegs. Hast du einen Befehl im ClickFix-Stil ausgeführt, sieh in /tmp nach kürzlich angelegten Dateien, die du nicht kennst.

Das Gefundene entfernen

1. Beende zuerst die verdächtige App oder den Prozess, notfalls in der Aktivitätsanzeige, wenn sie sich nicht normal beenden lässt.
2. Lösch die App selbst aus dem Ordner Programme.
3. Lösch die passende LaunchAgent- oder LaunchDaemon-Plist, die du oben gefunden hast.
4. Entfern den Eintrag des Anmelde- oder Hintergrundobjekts.
5. Starte den Mac neu.
6. Öffne die Aktivitätsanzeige und Anmeldeobjekte & Erweiterungen erneut und bestätige, dass nichts Verdächtiges wieder aufgetaucht ist.
7. Achte in der nächsten Woche darauf, ob die Symptome zurückkehren: CPU-Spitzen im Leerlauf, Browser-Umleitungen, gefälschte Update-Hinweise oder neue unbekannte Anmeldeobjekte.

Wann nur ein Zurücksetzen auf Werkseinstellungen wirklich hilft

Manuelles Entfernen funktioniert bei einfacher Adware und Browser-Hijackern. Bei einem echten Infostealer, der bereits mit vollen Benutzerrechten gelaufen ist, ist es nicht verlässlich, weil du nicht sicher sein kannst, alles gefunden und rückgängig gemacht zu haben, was er berührt, heruntergeladen oder konfiguriert hat. Trifft eines davon zu, ist das saubere Löschen und Neuinstallieren von macOS der sicherere Weg:

• Du hast einen Terminal-Befehl von einer verdächtigen Seite ausgeführt, und die Malware hatte Zeit zu laufen, bevor du es bemerkt hast.
• Du hast ein Administratorpasswort oder Schlüsselbund-Zugriff bei einer Abfrage erteilt, die du jetzt für Teil des Angriffs hältst.
• Die Symptome kehren zurück, nachdem du alles entfernt hast, was du finden konntest.
• Du verarbeitest auf dem Mac sensible Daten, Zugangsdaten oder Krypto-Wallets. Sieh in unseren Ratgeber zum Bedrohungsmodell für Hot Wallets, falls das auf dich zutrifft.

Sichere deine Dateien (nicht deine Apps oder Systemeinstellungen, die die Infektion zurückbringen könnten), lösch die Disk aus der Wiederherstellung und installier sauber neu. Der Reihe nach:

1. Sichere nur deine Dokumente und Fotos.
2. Lösch den Mac, entweder mit Alle Inhalte & Einstellungen löschen unter Systemeinstellungen > Allgemein > Übertragen oder zurücksetzen oder aus der macOS-Wiederherstellung.
3. Installier macOS neu.
4. Richte den Mac als neu ein und hol nur deine Dokumente zurück.
5. Installier deine Apps aus ihren offiziellen Quellen neu, nicht aus einem alten Backup.

Nachdem du deine Passwörter geändert hast

• Meld dich bei deinen wichtigen Konten von allen Sitzungen ab, wo der Dienst das anbietet.
• Aktivier die Bestätigung in zwei Schritten oder Passkeys für E-Mail, Banking und deinen Passwortmanager.
• Such nach Anmeldungen oder Passwort-zurücksetzen-Mails, die du nicht kennst.
• Behalt in den kommenden Wochen Konto- und Kartenauszüge genau im Blick.
• Hast du auf diesem Mac eine Krypto-Wallet genutzt, betrachte ihre Wiederherstellungsphrase als offengelegt.

Nach dem Aufräumen: Schließ die Tür, durch die es kam

• Füg niemals einen Befehl von einer Website ins Terminal ein, egal wie er dargestellt wird. Kein legitimer Verifizierungsprozess verlangt das.
• Verlangt eine Seite, dass dein Browser „beweisen“ müsse, kein Bot zu sein, und zwar so, dass das Terminal im Spiel ist, schließ den Tab.
• Lass Gatekeeper und XProtect eingeschaltet und halt macOS aktuell. Sieh dir an, welches Sicherheitsupdate dein Mac braucht.
• Bevor du eine App von außerhalb des Mac App Store installierst, lies unseren Ratgeber dazu, wie du prüfst, ob eine App echt ist.

Die Kurzfassung

• Die meiste aktuelle Mac-Malware verbreitet sich über ClickFix: ein gefälschtes CAPTCHA oder eine Verifizierungsseite, die dich dazu bringt, selbst einen Befehl ins Terminal einzufügen.
• Hast du so einen Befehl schon ausgeführt, änder sofort deine wichtigen Passwörter von einem anderen Gerät aus.
• Prüf Aktivitätsanzeige, Anmeldeobjekte & Erweiterungen, LaunchAgents und LaunchDaemons sowie Konfigurationsprofile auf Unbekanntes.
• Bei einer echten Infostealer-Infektion ist ein sauberes Löschen und Neuinstallieren verlässlicher als manuelles Entfernen.