Steam-Foren als Malware-Falle: Wie ClickFix-Angriffe Unternehmen mit Krypto-Minern bedrohen

Aktuell warnen Sicherheitsforscher vor einer raffinierten Angriffswelle, die ausgerechnet die Steam-Diskussionsforen als Verbreitungskanal nutzt – mit potenziell gravierenden Folgen auch für Unternehmensnetze.

1. Was ist passiert – und warum sollten deutsche Unternehmen aufhorchen?

Gaming-Plattformen gelten in vielen IT-Abteilungen als Randthema. Doch ein aktueller Angriff zeigt eindrücklich, warum diese Einschätzung gefährlich kurzsichtig ist: Unbekannte Angreifer missbrauchen die öffentlichen Diskussionsforen der Steam-Plattform, um sogenannte ClickFix-Angriffe durchzuführen. Dabei werden täuschend echt wirkende Beiträge gepostet, die vorgeben, Lösungen für verbreitete Spiel- oder PC-Probleme zu liefern – tatsächlich schleusen sie jedoch den Krypto-Miner XMRig auf die Geräte der Opfer.

Warum ist das für IT-Verantwortliche und Geschäftsführer in Deutschland relevant? Ganz einfach: Mitarbeiter nutzen Firmengeräte auch privat – oder surfen in Pausen auf Plattformen wie Steam. Ein einziger infizierter Rechner kann ausreichen, um die gesamte IT-Infrastruktur eines Unternehmens zu belasten, Hintertüren zu öffnen oder Compliance-Verpflichtungen zu verletzen. In Zeiten von NIS2, BSI-Grundschutz und DSGVO ist das kein theoretisches Risiko, sondern ein handfestes Haftungsthema.

2. Technischer Hintergrund: Was steckt hinter ClickFix-Angriffen?

Die ClickFix-Methode: Social Engineering auf neuem Niveau

ClickFix ist keine neue Schadsoftware, sondern eine Social-Engineering-Technik, die auf die natürliche Hilfsbereitschaft und Problemlösungsmentalität von Nutzern setzt. Der Ablauf ist typischerweise folgender:

1. Köder platzieren: Angreifer erstellen gefälschte Forenbeiträge auf Steam, die sich als hilfreiche Community-Mitglieder tarnen. Der Beitrag beschreibt ein häufiges Problem – etwa Abstürze, Grafikfehler oder Performance-Einbrüche bei beliebten Spielen.
2. Vertrauen aufbauen: Die Beiträge sind sprachlich sorgfältig formuliert, oft mit Screenshots und Schritt-für-Schritt-Anleitungen versehen – kaum von echten Hilfe-Posts zu unterscheiden.
3. Schadcode ausführen: Das „Fix" besteht darin, einen bestimmten Befehl in die Windows-Eingabeaufforderung (PowerShell oder CMD) einzufügen und auszuführen. Dieser Befehl lädt im Hintergrund XMRig nach – einen Open-Source-Krypto-Miner, der ursprünglich legitim ist, hier jedoch missbräuchlich eingesetzt wird.

XMRig: Der stille Energiefresser

XMRig selbst ist ein quelloffenes Mining-Tool für die Kryptowährung Monero (XMR). Wegen seiner Flexibilität und Unauffälligkeit ist er das bevorzugte Werkzeug für sogenanntes Cryptojacking – die unerlaubte Nutzung fremder Rechenkapazitäten zum Schürfen von Kryptowährungen. Die Symptome sind oft subtil:

• Spürbar erhöhte CPU-/GPU-Auslastung
• Erhöhter Energieverbrauch
• Verlangsamte Systemleistung
• Erhöhte Lüftergeräusche bei betroffenen Geräten

Die direkte finanzielle Schädigung für das Opfer entsteht durch höhere Stromkosten, Hardware-Verschleiß und Produktivitätsverluste – der eigentliche Gewinn landet beim Angreifer.

Warum Steam-Foren besonders gefährlich sind

Suchmaschinen indizieren Steam-Diskussionsbeiträge. Ein Nutzer, der nach einer Fehlermeldung googelt, landet möglicherweise direkt auf einem infizierten Forum-Post – ohne jemals aktiv die Steam-Plattform geöffnet zu haben. Die Reichweite dieser Angriffe übersteigt damit deutlich die der eigentlichen Steam-Nutzerbasis.

3. NIS2-Relevanz und Auswirkungen auf Deutschland

Wer ist betroffen?

Seit der Umsetzung der NIS2-Richtlinie in deutsches Recht durch die Novelle des BSI-Gesetzes (BSIG) unterliegen zahlreiche Unternehmen verschärften Cybersicherheitspflichten. Dazu zählen:

• Wesentliche Einrichtungen (z. B. Energie, Gesundheit, Finanzmarkt, Verkehr)
• Wichtige Einrichtungen (z. B. verarbeitendes Gewerbe, digitale Dienste, Post)

Auch wenn ein Cryptojacking-Angriff auf den ersten Blick „nur" die Systemleistung beeinträchtigt, hat er unter NIS2 potenziell weitreichende Konsequenzen:

Meldepflichten im Blick behalten

Das BSI ist die zuständige nationale Behörde für Cybersicherheitsvorfälle in Deutschland. Bei einem erheblichen Vorfall – und ein nachgewiesener Cryptojacking-Befall auf Unternehmensgeräten kann diesen Schwellenwert erreichen – gilt:

• Erstmeldung innerhalb von 24 Stunden
• Zwischenbericht nach 72 Stunden
• Abschlussbericht nach einem Monat

Verstöße gegen diese Meldepflichten können mit Bußgeldern von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden.

DSGVO-Berührungspunkte

Werden durch die Malware personenbezogene Daten von Mitarbeitenden oder Kunden gefährdet oder abgegriffen, greift zusätzlich die DSGVO mit eigenen Melde- und Dokumentationspflichten gegenüber der zuständigen Datenschutzaufsichtsbehörde (in Deutschland je nach Bundesland z. B. der BfDI oder den Landesbehörden).

4. Praktische Schutzmaßnahmen: Was IT-Verantwortliche jetzt tun sollten

Die gute Nachricht: ClickFix-Angriffe sind mit den richtigen technischen und organisatorischen Maßnahmen (TOMs) gut abzuwehren. Hier sind mindestens fünf konkrete Handlungsempfehlungen:

Tipp 1: PowerShell- und CMD-Ausführung restriktiv konfigurieren

Der entscheidende Schritt bei ClickFix-Angriffen ist das manuelle Einfügen und Ausführen von Befehlen durch den Nutzer. Unternehmen sollten:

• PowerShell Execution Policies auf AllSigned oder RemoteSigned setzen
• AppLocker oder Windows Defender Application Control (WDAC) einsetzen, um nicht autorisierte Skripte zu blockieren
• Die Ausführung von CMD und PowerShell für Standardnutzer über Gruppenrichtlinien (GPO) einschränken

Tipp 2: Endpoint Detection & Response (EDR) einsetzen

Klassische Antivirenlösungen erkennen XMRig oft nicht zuverlässig, da das Tool technisch legitim ist. Moderne EDR-Lösungen analysieren das Verhaltensschema von Prozessen und schlagen Alarm, wenn ein Prozess ungewöhnlich hohe Systemressourcen beansprucht oder Netzwerkverbindungen zu bekannten Mining-Pools aufbaut.

Tipp 3: Netzwerksegmentierung und DNS-Filterung

Mining-Software muss sich mit externen Stratum-Protokoll-Servern (Mining-Pools) verbinden, um zu funktionieren. Eine DNS-Filterung (z. B. über Pi-hole für Unternehmen oder kommerzielle DNS-Security-Lösungen) sowie die Sperrung bekannter Mining-Pool-Domains auf Firewall-Ebene können die Schadsoftware effektiv lahmlegen – selbst wenn sie installiert wurde.

Tipp 4: Mitarbeiterschulungen zu Social Engineering und ClickFix

Technische Maßnahmen allein reichen nicht aus. Mitarbeitende müssen verstehen:

• Dass keine seriöse Software einen manuell einzufügenden Konsolenbefehl als Lösung anbietet
• Wie sie verdächtige Beiträge in Foren und sozialen Medien erkennen
• An wen sie solche Vorfälle intern melden sollen (ISMS-Prozess)

Regelmäßige Phishing-Simulationen und Security-Awareness-Trainings sind hier das Mittel der Wahl – und nach NIS2 ohnehin Pflicht.

Tipp 5: Asset Management und Monitoring der Ressourcenauslastung

Unternehmen sollten ein zentrales System-Monitoring betreiben, das ungewöhnliche CPU/GPU-Lastspitzen automatisch erkennt und meldet. Tools wie Zabbix, PRTG oder Grafana in Kombination mit SIEM-Lösungen ermöglichen es, infizierte Geräte schnell zu identifizieren – bevor der Schaden eskaliert. Ein vollständiges Asset-Inventar ist dafür die notwendige Voraussetzung.

Bonus-Tipp: Richtlinie zur privaten Nutzung von Firmengeräten überprüfen

Viele Unternehmen erlauben eine eingeschränkte Privatnutzung von Firmen-Hardware. Diese Richtlinien sollten explizit regeln, welche Plattformen und Aktivitäten zulässig sind – und sollten insbesondere das Ausführen von Code aus dem Internet klar untersagen.

5. Fazit: Unterschätzte Angriffsvektoren gezielt schließen

Der Steam-ClickFix-Angriff ist ein Paradebeispiel dafür, wie Cyberkriminelle vertrauenswürdige Plattformen und menschliche Hilfsbereitschaft als Einfallstor missbrauchen. Für Unternehmen in Deutschland ist das ein Weckruf in mehrfacher Hinsicht: Technisch, weil klassische Schutzmaßnahmen oft versagen. Rechtlich, weil NIS2 und DSGVO klare Anforderungen an Prävention, Detektion und Reaktion stellen.

Die Kombination aus technischen Härtungsmaßnahmen, geschulten Mitarbeitenden und klaren Meldeprozessen ist der einzige wirksame Schutz. Unternehmen, die noch kein strukturiertes Information Security Management System (ISMS) betreiben, sollten jetzt handeln – bevor der nächste Vorfall die eigene Organisation trifft.

Hinweis für IT-Verantwortliche: Die Umsetzung und Dokumentation von NIS2-Anforderungen – von der Risikobewertung über die Meldepflichten bis hin zu Schulungsnachweisen – lässt sich erheblich vereinfachen, wenn Sie auf eine dedizierte NIS2-Compliance-Softwarelösung setzen. Solche Plattformen helfen dabei, Maßnahmen zu strukturieren, Nachweise zu dokumentieren und im Ernstfall gegenüber dem BSI auskunftsfähig zu sein. Eine Investition, die sich angesichts möglicher Bußgelder schnell rechnet.