Ein kopierter Befehl, dein ganzes Microsoft-Konto: die ACR-Stealer-Welle erklärt

Niemand, der ein echtes technisches Problem für dich lösen will, verlangt von dir, selbst einen Befehl in ein schwarzes Fenster einzufügen und Enter zu drücken. Kein Microsoft-Support, kein Browser-Update, kein Videocall-Anbieter, keine Behörde. Trotzdem klicken gerade wieder Menschen genau das zusammen, und Microsoft warnt seit dem 16. Juli 2026 in aller Deutlichkeit, wie gut das funktioniert.

Die Schadsoftware heißt ACR Stealer, ein Nachfolgeprodukt der bereits bekannten Malware Amatera Stealer, umbenannt und weiterverkauft im Baukastensystem des organisierten Cybercrime, das man Malware-as-a-Service nennt: Kriminelle mieten fertige Angriffswerkzeuge, statt sie selbst zu programmieren. Microsofts eigenes Sicherheitsteam beobachtete zwischen Ende April und Mitte Juni 2026 eine deutlich verstärkte Angriffswelle gegen seine Kund*innen. Der Einstieg in beide dokumentierten Angriffswege ist derselbe Trick, und der Trick heißt ClickFix.

Der Trick, der ganz ohne Hacking auskommt

ClickFix braucht keine Sicherheitslücke im klassischen Sinn. Er braucht nur einen Moment der Verunsicherung. Du landest auf einer Seite, die dir sagt, du müsst beweisen, dass du kein Roboter bist, eine gefälschte Version der bekannten Cloudflare-Prüfung. Oder dein Browser zeigt dir eine Absturzmeldung, die täuschend echt aussieht. Oder Word Online behauptet, dir fehle eine Erweiterung. Oder ein Discord-Server verlangt eine Verifizierung, bevor du beitreten darfst. In jedem dieser Fälle folgt derselbe Ablauf: ein Button mit einer Aufschrift wie „So behebst du das”, ein Klick, und im Hintergrund landet automatisch ein Befehl in deiner Zwischenablage. Die Anleitung daneben sagt dir freundlich, wohin du ihn jetzt einfügen sollst. In die Ausführen-Leiste, die sich mit der Tastenkombination Windows-Taste und R öffnet. In die PowerShell, eine Kommandozeile, über die sich praktisch jede Windows-Funktion steuern lässt. Oder ins Terminal.

Du tippst nichts Verdächtiges. Du fügst nur ein, was dir jemand als Lösung präsentiert hat. Genau das ist der Kern des Tricks: Er verlangt von dir keine technische Fertigkeit, sondern nur Vertrauen in eine Fehlermeldung. Recorded Future, ein auf Bedrohungsanalysen spezialisiertes US-Unternehmen, beschreibt die Lage über dessen Insikt Group so deutlich, dass es wehtut: „Insikt Group assesses with high confidence that the ClickFix methodology will very likely remain a heavily used initial access vector throughout 2026.” Auf Deutsch: Die Insikt Group geht mit hoher Sicherheit davon aus, dass ClickFix auch den Rest des Jahres 2026 ein stark genutzter Weg für den ersten Zugriff auf fremde Systeme bleiben wird. Wichtig ist dabei die Reihenfolge der Fakten: Diese Einschätzung gilt der Technik ClickFix insgesamt, branchenübergreifend, nicht der konkreten ACR-Stealer-Kampagne, um die es hier geht. Zwei unterschiedliche Dinge, die im selben Absatz landen, aber nicht dieselbe Aussage treffen.

Was passiert, nachdem du eingefügt hast

Microsoft beschreibt zwei unterschiedliche technische Wege, wie sich der eingefügte Befehl danach in eine vollständige Kompromittierung verwandelt. Im ersten Weg lädt dein System über eine als normaler Ordner getarnte Netzwerkfreigabe im Hintergrund eine Programmbibliothek nach und startet sie. Im zweiten Weg ruft ein Windows-Bordwerkzeug eine Datei von einem fremden Server ab, und darin steckt der eigentliche Schadcode nicht als Programm, sondern versteckt in den Pixeldaten eines ganz gewöhnlich aussehenden JPEG-Bildes. Steganografie nennt sich das, das Verstecken von Information in etwas, das völlig harmlos wirkt. Der Code wird direkt im Arbeitsspeicher ausgeführt, ohne jemals als sichtbare Datei auf der Festplatte zu landen. Für dich als Nutzer*in bedeutet das vor allem eines: Es gibt keinen Moment, in dem eine verdächtige Datei auftaucht, die du hättest bemerken können. Der gesamte Vorgang läuft unsichtbar.

Ist der Schädling erst einmal aktiv, greift er auf einen Windows-internen Verschlüsselungsdienst namens DPAPI zu, der eigentlich genau dafür gedacht ist, gespeicherte Zugangsdaten zu schützen. ACR Stealer nutzt diesen Dienst, um genau die Passwörter zu entschlüsseln, die er stehlen will: gespeicherte Browser-Passwörter, Cookies, mit denen sich Anmeldungen ohne erneutes Login fortsetzen lassen, und Authentifizierungstoken. Und dann durchsucht die Malware gezielt etwas, das über das übliche Passwort-Sammeln hinausgeht: PDF-Dateien, Microsoft-365-Dokumente sowie alles, was in deinen OneDrive- und SharePoint-Synchronisationsordnern liegt.

Warum ausgerechnet OneDrive und SharePoint das eigentliche Ziel sind

Hier wird aus einer Malware-Meldung ein Souveränitätsproblem. Stell dir dein digitales Leben wie eine Wohnung vor. Früher hattest du für unterschiedliche Dinge unterschiedliche Schlüssel: einen fürs Postfach, einen für den Aktenschrank im Keller, einen für den Bürocontainer. Verlierst du einen davon, ist der Schaden begrenzt. Microsoft 365 hat aus dieser Wohnung ein einziges Smart-Lock gemacht. Dein E-Mail-Login ist dein Microsoft-Konto. Dein Cloud-Speicher ist dasselbe Microsoft-Konto. Deine Office-Dokumente, automatisch synchronisiert, liegen im selben OneDrive, das wiederum am selben Microsoft-Konto hängt. Wer als Verein, kleines Unternehmen oder Privatperson konsequent alles in dieses eine Ökosystem einspeist, hat einen einzigen Schlüssel für buchstäblich alles gebaut.

Genau deshalb durchsucht ACR Stealer gezielt OneDrive- und SharePoint-Ordner: Dort liegt inzwischen gebündelt, wofür Angreifer*innen früher mehrere einzelne Systeme kompromittieren mussten. Ich will an dieser Stelle ehrlich sein, was durch Fakten belegt ist und was eine begründete Einschätzung bleibt: Dass eine einzige erfolgreiche ClickFix-Täuschung bei vollständiger OneDrive/SharePoint-Synchronisierung praktisch den kompletten Dokumentenbestand offenlegt, folgt zwingend aus der Architektur, die Microsoft selbst gebaut hat. Eine eigene Studie zu dieser Kampagne braucht es dafür nicht. Ein Passwort-Diebstahl ist ärgerlich. Ein Passwort-Diebstahl, der automatisch den Zugriff auf jedes Dokument freigibt, das dein Verein je erstellt hat, ist etwas anderes.

Eine Lücke, die ich nicht kaschieren will

Wenn ich recherchiere, will ich dir keine falsche Vollständigkeit vorgaukeln. Also: Es gibt bislang keine mir bekannte deutsche BSI-Warnung, die sich speziell auf diese ACR-Stealer-Kampagne bezieht, und auch keine Berichterstattung von heise oder golem dazu. Das ist bei einer erst wenige Tage alten, in Fachkreisen dokumentierten Kampagne nicht ungewöhnlich, deutsche Medien und Behörden brauchen ihre Zeit. Es bedeutet aber nicht, dass das Risiko geringer ist, nur weil noch keine deutsche Behörde offiziell reagiert hat. Die Primärquelle ist der Microsoft Security Blog selbst, ergänzt um Berichte von BleepingComputer und The Hacker News. Wer dir erzählt, es gäbe längst eine offizielle Schweizer oder deutsche Meldung dazu, verwechselt vermutlich etwas, oder erfindet eine Quelle, die es schlicht noch nicht gibt.

Die Grundregel, die du dir merken musst

Kein echtes technisches Problem verlangt jemals, dass du selbst einen Befehl ausführst, den dir eine Webseite in die Zwischenablage gelegt hat. Nicht wenn dein Browser angeblich abgestürzt ist, nicht wenn eine Verifizierung angeblich fehlschlägt, nicht wenn eine Erweiterung angeblich fehlt. Prüfungen, die echt sind, verlangen von dir höchstens einen Klick auf ein Kästchen. Sobald eine Anleitung dich auffordert, die Tastenkombination Windows-Taste und R zu drücken oder ein Terminal zu öffnen, ist der Punkt erreicht, an dem du das Fenster schließt, nicht die Anweisung befolgst.

Rechte einschränken, bevor überhaupt etwas passiert

Arbeite im Alltag mit einem Benutzerkonto ohne Administratorrechte, nicht mit dem Hauptkonto, mit dem du Windows eingerichtet hast. Ein eingeschränktes Konto begrenzt, was eine eingeschleuste Schadsoftware überhaupt anrichten kann, selbst wenn ein Klick danebengeht. Aktiviere außerdem die Zwei-Faktor-Authentifizierung für dein Microsoft-Konto, damit ein gestohlenes Passwort allein nicht reicht, um sich einzuloggen. Und wenn du den Ausführen-Dialog, also Windows-Taste plus R, im Alltag ohnehin nie brauchst, lässt er sich über Gruppenrichtlinien deaktivieren, ein kleiner Handgriff, der genau den Einstiegspunkt schließt, den ClickFix ausnutzt.

Genauso wichtig: Verlass dich nicht auf OneDrive oder SharePoint als Backup. Synchronisation ist keine Datensicherung, sie ist das exakte Gegenteil davon. Wird eine Datei verschlüsselt, gelöscht oder gestohlen, synchronisiert sich dieser Zustand ebenso zuverlässig auf alle verbundenen Geräte wie jede andere Änderung auch. Eine echte Sicherung liegt getrennt, idealerweise außerhalb der Microsoft-Cloud, auf einem eigenen Server oder bei einem europäischen Anbieter, den nicht derselbe Angriff erreicht, der gerade dein Microsoft-Konto trifft.

Was zu tun ist, wenn es dich bereits erwischt hat

Trenne das betroffene Gerät sofort vom Netzwerk, ziehe das Kabel oder schalte WLAN aus. Geh anschließend davon aus, dass jedes im Browser gespeicherte Passwort kompromittiert ist, nicht nur die, die du für wichtig hältst, und ändere sie von einem anderen, sauberen Gerät aus. Melde dein Microsoft-Konto an allen Geräten ab, über die Kontoeinstellungen im Web, damit gestohlene Sitzungstoken ihre Gültigkeit verlieren. Und wenn es um Vereins- oder Unternehmensdaten geht, zieh eine Fachperson hinzu, statt selbst zu improvisieren. Genau in diesem Moment ist die Versuchung am größten, noch einmal schnell irgendeine Anleitung aus dem Internet zu befolgen. Tu es nicht.

Wenn dich das an dieser Stelle nachdenklich macht, wie viel bei dir oder in deinem Verein tatsächlich an einem einzigen Microsoft-Konto hängt, ist das genau die richtige Reaktion. Diese Kampagne ist kein Einzelfall, der wieder verschwindet, sie ist ein Blick darauf, was passiert, wenn Bequemlichkeit und Datenkonzentration zusammentreffen. Wer sein digitales Leben entzerrt, verkleinert jeden Angriff, der trotzdem gelingt, auf einen Bruchteil dessen, was ein einziges Smart-Lock preisgibt.

Wenn du dabei Unterstützung willst, sei es beim Absichern eures Microsoft-365-Zugangs, beim Aufsetzen echter Backups außerhalb der Microsoft-Cloud oder beim schrittweisen Loslösen von der Ein-Konto-für-alles-Falle, begleite ich dich dabei.

Reden wir über eure IT-Sicherheit.

Schreib mir eine E-Mail: Kurz beschreiben, was du vorhast oder was dich beschäftigt. Ich melde mich in der Regel innerhalb eines Werktages. hallo@chrislo.de

Kein Kontaktformular, keine Pflichtfelder, keine Datenspur. Einfach schreiben.