ClickLock Stealer: Neue macOS-Malware jagt Passwörter und Kryptowährungen

Ein Mac, der sich plötzlich weigert, ein Fenster zu schließen. Ein Terminal, das sich wie von Zauberhand öffnet. Und mittendrin ein Passwortfeld, das nicht verschwinden will, bis Sie tippen. Genau das ist der Moment, in dem der ClickLock Stealer zuschlägt – eine neue macOS-Malware, die Sicherheitsforscher von Group-IB erst kürzlich seziert haben. Der Clou dabei: Kein Exploit, keine Zero-Day-Lücke, kein Hollywood-Hacking. Nur ein Skript, ein bisschen Geduld und ein Nutzer, der glaubt, er müsse jetzt schnell etwas bestätigen.

Was ist der ClickLock Stealer eigentlich?

ClickLock ist ein Infostealer für macOS, der laut der Analyse von Group-IB gezielt Anmeldedaten, Browserdaten und Kryptowährungen abgreift. Die Masche ist wenig überraschend, aber wirksam: Statt eine Sicherheitslücke im Betriebssystem auszunutzen, setzt die Kampagne auf Social Engineering nach dem sogenannten ClickFix-Muster. Nutzerinnen und Nutzer landen auf einer präparierten Seite, die eine Cloudflare-Verifizierung imitiert, und werden dazu gebracht, einen Terminal-Befehl einzufügen. Ab diesem Moment übernimmt die macOS-Malware das Steuer.

Das Pikante daran: ClickLock verzichtet komplett auf technische Raffinesse im klassischen Sinn. Es gibt keinen Kernel-Exploit, keine Umgehung von Gatekeeper über eine Sicherheitslücke. Die Malware verlässt sich darauf, dass Menschen unter Druck Dinge tun, die sie sonst nie tun würden – nämlich Code aus dem Internet in ihr eigenes Terminal kopieren. Genau diese Masche macht ClickLock so unbequem: Ein Patch kann hier nichts reparieren, weil es keine Lücke zu schließen gibt.

Der Trick mit dem Terminal: So läuft die Infektion ab

Der Ablauf folgt laut den vorliegenden Berichten einem stringenten Drehbuch. Zunächst wird ein Opfer auf eine gefälschte Verifizierungsseite gelockt, die eine Cloudflare-Prüfung simuliert. Wer der Aufforderung folgt und den bereitgestellten Befehl im Terminal ausführt, startet damit unwissentlich die eigentliche Infektionskette. Anschließend beginnt die eigentliche Erpressung im Kleinen: ClickLock beendet sichtbare Systemprozesse und Fenster, bis das Opfer sein Systempasswort eingibt. Der Bildschirm wird also nicht gesperrt wie bei klassischer Ransomware, sondern schlicht unbrauchbar gemacht, bis die gewünschte Eingabe erfolgt.

Wichtig für die Einordnung: Das ist kein vollständiger technischer Systemausfall, sondern eine erzwungene Interaktion. Der Mac funktioniert, aber jedes Fenster, das Sie öffnen, wird sofort wieder geschlossen – ein psychologischer Belagerungszustand, der die meisten Menschen ziemlich schnell zur Passworteingabe treibt. Genau das ist der eigentliche Trick: ClickLock erzwingt keinen Login-Dialog durch technische Manipulation des Betriebssystems, sondern durch schlichtes Nerven zermürben.

Nach der Eingabe des Passworts hat die Schadsoftware freie Bahn. Laut Berichten lädt das Skript zusätzliche Komponenten nach und richtet einen persistenten Mechanismus ein, der auch nach einem Neustart aktiv bleibt. Diese Backdoor-Funktion ist der Teil, der ClickLock von simplen Einmal-Stealern unterscheidet – hier geht es nicht um einen schnellen Datenklau, sondern um dauerhaften Zugriff auf das System.

Warum das kein macOS-Sicherheitsversagen ist

Wer jetzt denkt, Apple habe hier gepatzt, liegt daneben. Die Analysten von RHISAC betonen ausdrücklich, dass keine klassische Sicherheitslücke ausgenutzt wird. Das Risiko entsteht ausschließlich durch das Ausführen des schädlichen Skripts und die anschließende Eingabe des Passworts durch das Opfer selbst. Wenig überraschend ist das zugleich die schlechteste Nachricht für alle, die auf technische Lösungen hoffen: Gegen menschliche Neugier gibt es kein Sicherheitsupdate. Wer sich intensiver mit den aktuellen Trends bei Ransomware und Business-E-Mail-Compromise beschäftigt, erkennt schnell ein wiederkehrendes Muster: Die technisch raffiniertesten Angriffe sind selten die erfolgreichsten. Erfolgreich sind die Angriffe, die auf simple menschliche Reflexe setzen – Zeitdruck, Neugier, die Angst, etwas zu verpassen oder ein System nicht mehr benutzen zu können.

Wie ClickFix-Kampagnen typischerweise aufgebaut sind

Um die Tragweite von ClickLock einordnen zu können, hilft ein Blick auf das größere Muster hinter ClickFix-Angriffen im Allgemeinen. Diese Kampagnen sind in den letzten zwei Jahren zu einem festen Bestandteil des Cybercrime-Werkzeugkastens geworden, weil sie erstaunlich günstig zu bauen und erstaunlich schwer zu erkennen sind. Die Angreifer benötigen weder aufwendige Exploit-Ketten noch teure Zero-Day-Käufe auf dem Schwarzmarkt. Es reicht eine überzeugend gestaltete Landingpage, ein bisschen Werbebudget oder kompromittierte Werbeflächen auf legitimen Webseiten, und schon landen ahnungslose Nutzer im Trichter.

Ein typisches Szenario: Ein Angestellter sucht nach einer bestimmten Software, klickt auf ein Suchmaschinenergebnis, das eigentlich zu einer harmlosen Downloadseite führen sollte, und landet stattdessen auf einer Zwischenseite mit der Meldung, man müsse sich zunächst als Mensch verifizieren. Die Seite sieht aus wie ein gewöhnlicher Cloudflare-Check, komplett mit Ladebalken und Häkchen-Animation. Nur folgt danach keine harmlose Weiterleitung, sondern die Aufforderung, einen Befehl in die Zwischenablage zu kopieren und im Terminal einzufügen. Wer das tut, hat in Sekunden die Kontrolle über sein System zumindest teilweise abgegeben.

Das Perfide an diesem Muster ist die Kombination aus Vertrautheit und Dringlichkeit. Captcha- und Verifizierungsabfragen sind mittlerweile so alltäglich, dass kaum jemand sie kritisch hinterfragt. Genau diese Gewöhnung machen sich die Angreifer zunutze. Es ist kein Zufall, dass ClickFix-Varianten branchenübergreifend auftauchen – von gefälschten Software-Updates über angebliche Dokumentenfreigaben bis hin zu vermeintlichen Support-Tickets. ClickLock ist damit nur die aktuellste, macOS-spezifische Ausprägung eines Trends, der plattformübergreifend funktioniert.

Die Beute: Passwörter, Zugangsdaten und Kryptowährungen im Visier

Was ClickLock einsammelt, liest sich wie eine Einkaufsliste für digitale Identitätsdiebe. Auf dem Zettel stehen Zugangsdaten aus acht Browsern, dazu Zugriffe auf 31 Browser-Erweiterungen für Krypto-Wallets und sieben Passwortmanager-Erweiterungen. Ergänzt wird das durch acht Desktop-Wallet-Anwendungen, die direkt auf dem Rechner installiert sind. Wer glaubte, seine Kryptowährungen seien in einer lokalen App sicherer aufgehoben als im Browser, muss hier leider umdenken.

Zusätzlich greift die Malware auf den macOS Keychain zu, liest die Shell-History aus und sammelt FTP-Zugangsdaten ein. Auch Blockchain-Adressen aus sechs verschiedenen Chains werden laut Analyse gezielt extrahiert. Der Fokus auf Passwortdiebstahl und Kryptowährungen ist damit kein Zufall, sondern Programm: Diese Daten lassen sich schnell zu Geld machen, ohne den Umweg über komplizierte Erpressung.

Die gesammelten Informationen werden anschließend archiviert und über Telegram an die Angreifer übertragen. Dieses Vorgehen ist bei leichtgewichtigen Stealer-Kampagnen mittlerweile fast schon Standard – Telegram-Bots sind günstig, schwer zurückzuverfolgen und liefern nahezu in Echtzeit. Wer also glaubt, Krypto-Diebstahl sei nur ein Problem für Leute mit sechsstelligen Wallet-Beständen, unterschätzt, wie automatisiert dieser Prozess inzwischen abläuft.

Bemerkenswert ist auch, wie breit das Beutespektrum angelegt ist. Statt sich auf eine einzige Kategorie zu konzentrieren, sammelt ClickLock praktisch alles, was auf einem kompromittierten Mac finanziellen oder strategischen Wert haben könnte. Diese Streubreite deutet darauf hin, dass die Betreiber der Kampagne nicht nur auf schnellen Krypto-Diebstahl setzen, sondern die erbeuteten Zugangsdaten möglicherweise auch weiterverkaufen oder für Folgeangriffe wie gezieltes Phishing oder Account-Übernahmen bei Unternehmensdiensten nutzen. Ein gestohlenes FTP-Passwort mag auf den ersten Blick weniger spektakulär wirken als eine geleerte Wallet, kann aber der Ausgangspunkt für einen viel größeren Angriff auf eine Unternehmensinfrastruktur sein.

Verbreitung: Mindestens 100 Systeme in 33 Ländern

Laut den aktuell vorliegenden Zahlen wurden mindestens 100 Systeme in 33 Ländern kompromittiert, mehr als die Hälfte davon in Europa. Aktiv ist die Kampagne den Berichten zufolge seit mindestens Mai 2026, die öffentliche Analyse von Group-IB folgte im Juni. Wichtig für die Einordnung: Diese Zahl ist eine Telemetrie-Schätzung der Sicherheitsforscher, keine amtliche Gesamtstatistik. Die reale Fallzahl könnte höher liegen – Dunkelfeld inklusive.

Der Bericht von BleepingComputer ordnet ClickLock in eine Serie ähnlicher ClickFix-Kampagnen ein, die zunehmend gezielt Unternehmens-Macs ins Visier nehmen. Das ist der eigentlich brisante Punkt: Während klassische Consumer-Malware oft breit gestreut wird, zeigen die Verbreitungsmuster bei ClickLock eine gewisse Konzentration auf professionell genutzte Geräte – also genau die Maschinen, auf denen Firmenzugänge, VPN-Zugangsdaten und eben auch Kryptowährungs-Wallets für Geschäftszwecke liegen.

Für Unternehmen mit internationalen Standorten ergibt sich daraus ein weiteres Problem: Die geografische Streuung über 33 Länder bedeutet, dass klassische, regional begrenzte Sicherheitswarnungen kaum greifen. Ein IT-Team in Deutschland mag über eine Warnung aus dem DACH-Raum stolpern, während die Kollegen in einer ausländischen Niederlassung möglicherweise gar nichts davon erfahren, obwohl dieselbe Kampagne dort ebenfalls aktiv ist. Wer international aufgestellt ist, sollte Threat-Intelligence-Feeds deshalb nicht nach Landesgrenzen filtern, sondern nach Plattform und Angriffsmuster.

Die größere Bedrohungslage: 2026 ist kein ruhiges Jahr

ClickLock reiht sich in eine Entwicklung ein, die sich seit Monaten ankündigt. Beim Juli-Patchday 2026 veröffentlichte Microsoft 621 neue CVEs und übertraf damit zur Jahresmitte bereits die Gesamtzahl aller Schwachstellenmeldungen aus jedem einzelnen Vorjahr seit Beginn der Erfassung. Parallel dazu meldet der aktuelle Newsticker von it-daily.net, dass Deutschland bei Ransomware-Angriffen weltweit auf Platz drei liegt. Diese beiden Zahlen haben mit ClickLock im engeren Sinn nichts zu tun – aber sie erklären, warum spezialisierte Stealer-Kampagnen wie diese gerade jetzt Konjunktur haben. Die Angriffsfläche wächst schneller, als Verteidigungsbudgets mithalten können.

Für IT-Verantwortliche bedeutet das: Die Zeiten, in denen macOS-Malware als exotische Randnotiz behandelt wurde, sind vorbei. Wer Unternehmens-Macs verwaltet, sollte ClickLock nicht als Einzelfall, sondern als Symptom eines größeren Trends lesen. Die Kombination aus wachsender Schwachstellenzahl, professionalisierten Ransomware-Gruppen und leichtgewichtigen, aber effektiven Stealern wie ClickLock ergibt eine Bedrohungslage, in der einzelne Sicherheitsmaßnahmen kaum noch ausreichen. Es braucht ein Zusammenspiel aus technischer Härtung, Mitarbeiterschulung und einer realistischen Einschätzung der eigenen Angriffsfläche.

macOS war nie die Festung, die alle dachten

Der Mythos vom quasi-unverwundbaren Mac hält sich hartnäckig, obwohl er schon lange nicht mehr stimmt. Wenig überraschend, denn Angreifer folgen dem Geld, nicht der Marktphilosophie eines Herstellers. Je mehr Unternehmen ihre Belegschaft mit MacBooks ausstatten, desto attraktiver wird die Plattform für genau solche Kampagnen. ClickLock zielt bewusst nicht auf eine macOS-Schwachstelle, sondern auf die Schwachstelle Mensch – und die ist plattformunabhängig.

Persönlich finde ich das fast schon ironisch: Ausgerechnet die Nutzergruppe, die sich am ehesten in Sicherheit wiegt, weil „auf dem Mac gibt’s ja keine Viren“, wird hier zur bevorzugten Zielscheibe. Wer im Unternehmenskontext Zugriff auf Kryptowährungen, Kundendaten oder sensible Zugangsdaten hat, sollte diesen Irrglauben schleunigst begraben. Ein Mac ist kein Schutzschild, sondern nur ein anderes Betriebssystem mit anderen Angriffsflächen.

Man kann natürlich einwenden, dass macOS als Plattform nach wie vor deutlich seltener von klassischer Malware betroffen ist als Windows, und das ist auch nicht falsch. Doch dieses Gegenargument greift bei ClickLock ins Leere, weil die Kampagne genau nicht auf plattformspezifische Schwachstellen abzielt, sondern auf ein universelles Verhaltensmuster. Die relative Seltenheit von macOS-Malware im Vergleich zu Windows-Bedrohungen mag statistisch stimmen, sie ist aber kein verlässlicher Schutzfaktor gegen Social-Engineering-Angriffe, die unabhängig vom Betriebssystem funktionieren. Wer sich allein auf diese Statistik verlässt, verwechselt geringere Angriffshäufigkeit mit geringerem Risiko im Einzelfall.

Der Zusammenhang mit Passwortmanagern und Authentifizierung

Interessant ist, dass ClickLock gezielt auch Erweiterungen von Passwortmanagern attackiert. Das zeigt: Selbst wer bereits auf ein Passwort-Manager-System setzt, ist nicht automatisch aus dem Schneider, wenn die Erweiterung im Browser läuft und der Rechner grundsätzlich kompromittiert ist. Wer seine Zugangsdaten zentral verwaltet, sollte deshalb zusätzlich auf Zwei-Faktor-Authentifizierung setzen und Master-Passwörter niemals im Browser zwischenspeichern lassen. Identitäten sind längst das primäre Angriffsziel geworden, nicht mehr nur Netzwerke oder Server.

Diese Verschiebung des Angriffsfokus von Infrastruktur auf Identität lässt sich auch in den Details von ClickLock ablesen. Die Malware investiert erheblichen Aufwand darin, möglichst viele Authentifizierungswege gleichzeitig abzugreifen – Browser-Sessions, Keychain-Einträge, Wallet-Zugänge, FTP-Zugangsdaten. Für Angreifer ist das ökonomisch sinnvoll: Ein einziger erfolgreicher Infektionsvorgang liefert nicht nur einen, sondern gleich mehrere verwertbare Zugänge. Für Verteidiger bedeutet das im Umkehrschluss, dass ein kompromittiertes Gerät niemals isoliert betrachtet werden darf. Wenn ein Mac von ClickLock betroffen war, müssen konsequent alle darauf gespeicherten oder darüber zugänglichen Konten als potenziell betroffen gelten – nicht nur die offensichtlichsten.

Ein Praxisszenario: Wie ein Vorfall im Unternehmensalltag aussehen könnte

Um die abstrakte Bedrohung greifbarer zu machen, lohnt sich ein hypothetisches, aber realistisches Szenario. Eine Mitarbeiterin im Finanzbereich eines mittelständischen Unternehmens sucht online nach einer Vorlage für eine Steuerbescheinigung. Sie klickt auf ein Suchergebnis, landet auf einer Seite mit einer vermeintlichen Sicherheitsprüfung und wird aufgefordert, einen Befehl im Terminal einzufügen, um „die Verifizierung abzuschließen“. Unter Zeitdruck – es ist kurz vor Feierabend, der Bericht muss noch raus – folgt sie den Anweisungen, ohne lange nachzudenken.

In den folgenden Minuten beginnt ihr Mac, sich merkwürdig zu verhalten: Fenster schließen sich von selbst, das Systempasswortfeld erscheint wiederholt. Genervt und in der Annahme, es handle sich um ein technisches Problem, gibt sie ihr Passwort ein, um endlich weiterarbeiten zu können. Was sie nicht sieht: Im Hintergrund liest die Malware bereits ihre gespeicherten Browser-Zugangsdaten aus, inklusive des Zugangs zum Buchhaltungssystem und einer im Browser gespeicherten Sitzung für ein Firmen-Krypto-Wallet, das für internationale Zahlungen genutzt wird.

Erst Tage später fällt im IT-Team eine ungewöhnliche Netzwerkverbindung auf, die zu einer Telegram-API führt. Die anschließende forensische Prüfung zeigt: Der Rechner war infiziert, mehrere Zugangsdaten sind kompromittiert, und es ist unklar, wie lange die Angreifer bereits mitgelesen haben. Dieses Szenario ist konstruiert, aber es folgt exakt dem Muster, das die Sicherheitsforscher für ClickLock beschreiben – und es zeigt, wie wenig spektakulär der Ausgangspunkt eines ernsten Sicherheitsvorfalls oft ist. Kein lauter Alarm, kein Systemabsturz, sondern ein müder Klick am Ende eines langen Arbeitstages.

Was Sie jetzt konkret tun sollten

Die gute Nachricht: Gegen ClickLock hilft in erster Linie gesundes Misstrauen, nicht teure Sicherheitssoftware. Ein paar konkrete Schritte machen den Unterschied zwischen Panik und Kontrolle:

• Führen Sie niemals Terminal-Befehle aus, die eine Webseite Ihnen vorgibt zu kopieren – egal wie seriös die Verifizierungsseite aussieht. Das gilt insbesondere für angebliche Cloudflare- oder Captcha-Prüfungen, die eine Befehlszeile verlangen.
• Bei Verdacht auf eine Infektion: Behandeln Sie sämtliche im Browser oder Keychain gespeicherten Passwörter als kompromittiert und ändern Sie sie umgehend, idealerweise von einem anderen, sauberen Gerät aus.
• Widerrufen Sie aktive Sitzungen in allen wichtigen Diensten, besonders bei Kryptowährungs-Wallets und Finanzportalen.
• Starten Sie den betroffenen Mac im abgesicherten Modus, um verdächtige Startobjekte zu identifizieren und zu entfernen.
• Prüfen Sie ungewöhnliche Terminal- oder osascript-Aktivität sowie unerklärliche Netzwerkverbindungen zur Telegram-API – beides gilt als typisches Indiz für ClickLock.
• Nutzen Sie, wo möglich, physische Sicherheitsschlüssel statt reiner Passwort-Logins, gerade für Kryptowährungs-Wallets mit nennenswertem Bestand.
• Schulen Sie Mitarbeitende gezielt zu ClickFix-Mustern, statt nur allgemein vor „verdächtigen E-Mails“ zu warnen – die Terminal-Masche ist ein eigenständiges Angriffsschema, das eine eigene Sensibilisierung verdient.
• Dokumentieren Sie im Unternehmen klare Eskalationswege, damit Mitarbeitende im Zweifel schnell und ohne Scham melden können, wenn sie versehentlich einen fragwürdigen Befehl ausgeführt haben.

Der Clou an dieser Liste: Kein einziger Punkt erfordert ein Sicherheitsupdate oder eine neue Softwareversion. Es geht schlicht um Verhalten. Genau das macht ClickLock so unbequem für klassische IT-Sicherheitsstrategien, die stark auf Patch-Management setzen – hier hilft kein Patch, sondern nur Aufklärung. Wichtig ist dabei auch die Fehlerkultur im Unternehmen: Wenn Mitarbeitende Angst haben, einen Vorfall zu melden, weil sie Konsequenzen fürchten, vergeht wertvolle Zeit, in der Angreifer bereits munter Daten absaugen. Ein offener Umgang mit solchen Zwischenfällen ist am Ende oft die wirksamste Verteidigungsmaßnahme.

Was bleibt?

ClickLock ist nach aktuellem Stand noch in Entwicklung, Code-Struktur und Artefakte deuten laut Analysten auf aktive Weiterarbeit der Angreifer hin. Das bedeutet: Diese erste Welle war wahrscheinlich nicht die letzte, und die Kampagne dürfte sich in den kommenden Monaten weiterentwickeln – vermutlich mit neuen Tricks, um Passwortdiebstahl noch reibungsloser zu gestalten. Bleibt die Frage, wie viele Unternehmen erst nach einem konkreten Vorfall merken, dass ihr Mac-Fuhrpark längst kein Nischen-Risiko mehr ist, sondern ein Ziel wie jedes andere. Wer wartet, bis die eigene Belegschaft betroffen ist, zahlt am Ende meist doppelt: einmal in Kryptowährungen, einmal in Vertrauen.