Quishing (QR-Code-Phishing)
Immer mehr Phishing-Angriffe verstecken sich hinter einem harmlos wirkenden QR-Code. So funktioniert Quishing – und so erkennen und verhindern Sie es.
- Kategorie
- Phishing-Variante / Social Engineering
- Angriffsweg
- Manipulierter QR-Code statt Link in der Mail
- Besondere Gefahr
- Umgeht E-Mail-Filter, trifft private Smartphones
- Bester Schutz
- Ziel-URL prüfen & Awareness-Training
Wie funktioniert Quishing?
Quishing verlagert den gefährlichen Teil eines Phishing-Angriffs vom sichtbaren Link in einen QR-Code, dessen Ziel für das bloße Auge nicht erkennbar ist. Technisch handelt es sich um dieselbe Täuschung wie beim klassischen Phishing, nur dass der Köder in ein Bildmuster verpackt wird. Weil der Angriff auf Vertrauen und Gewohnheit setzt, zählt Quishing zu den Methoden des Social Engineering. Der Ablauf ist dabei typischerweise immer gleich:
- 1Der Angreifer bringt einen QR-Code in Umlauf – digital in einer Nachricht oder physisch als Aufkleber im öffentlichen Raum.
- 2Das Opfer scannt den Code mit dem Smartphone und wird automatisch auf eine vom Angreifer kontrollierte Website geleitet.
- 3Die Seite imitiert eine vertraute Anmelde- oder Bezahlmaske und fordert zur Eingabe von Zugangsdaten oder Zahlungsinformationen auf.
- 4Die eingegebenen Daten landen direkt beim Angreifer, der sie für Kontomissbrauch oder weitere Angriffe nutzt.
Entscheidend ist der Moment zwischen Scannen und Eingeben: In dieser kurzen Spanne wird das Opfer von einer vertrauten, alltäglichen Geste direkt auf eine fremde Seite geführt, ohne jemals eine verdächtige Adresse getippt oder bewusst angeklickt zu haben. Genau diese Unsichtbarkeit des Ziels macht Quishing für Angreifer so attraktiv.
Warum QR-Codes klassische E-Mail-Filter umgehen
Viele Unternehmen verlassen sich auf E-Mail-Gateways, Spamfilter und URL-Scanner, die verdächtige Links erkennen und blockieren. Diese Schutzschicht arbeitet mit lesbarem Text und bekannten Adressen – doch ein QR-Code enthält beides nicht in auswertbarer Form. Für die Filter ist er zunächst nur ein harmloses Bild. Die eigentliche Adresse entsteht erst, wenn der Code auf einem Endgerät gescannt und aufgelöst wird. Damit verschiebt Quishing den gefährlichen Schritt gezielt dorthin, wo die zentralen Schutzsysteme nicht mehr greifen:
- Ein QR-Code ist technisch nur ein Bildmuster – klassische E-Mail-Filter und URL-Scanner lesen die dahinterliegende Adresse nicht als Text aus und können sie deshalb nicht mit Sperrlisten abgleichen.
- Die gefährliche Adresse steht nicht im Nachrichtentext, sondern wird erst beim Scannen auf dem Endgerät aufgelöst – also außerhalb der Reichweite der zentralen Schutzsysteme im Unternehmen.
- Häufig steckt der Code als eingebettetes Bild oder in einem PDF-Anhang, sodass selbst anhangbasierte Prüfungen den eigentlichen Link nicht zu sehen bekommen.
- Reputations- und Sandbox-Prüfungen setzen meist erst beim Anklicken eines Links an – ein gescannter Code überspringt diesen Kontrollpunkt vollständig.
Warum reine Technik hier an Grenzen stößt
Das private Smartphone als schwaches Glied
QR-Codes werden fast ausschließlich mit dem Smartphone gescannt – und das ist im Arbeitsalltag häufig ein privates Gerät. Damit verlässt der Vorgang die kontrollierte IT-Umgebung des Unternehmens und wandert in einen Bereich, der kaum abgesichert und nicht protokolliert ist. Angreifer nutzen diesen blinden Fleck bewusst aus:
- Gescannt wird meist mit dem privaten Smartphone, das seltener durch Firmen-Schutzsoftware, zentrale Web-Filter oder verbindliche Richtlinien abgesichert ist.
- Auf kleinen Displays wird die Ziel-Adresse gekürzt oder gar nicht vollständig angezeigt – getarnte Tippfehler-Domains fallen kaum auf.
- Mit dem Wechsel vom Firmen-Rechner auf das Privatgerät verlässt die Handlung die überwachte Umgebung; verdächtige Aufrufe tauchen in keinem Unternehmens-Protokoll auf.
- Ein QR-Code wirkt alltäglich und harmlos – die Hemmschwelle, ihn schnell zu scannen, ist spürbar niedriger als bei einem Link in einer E-Mail.
Hinzu kommt der Kontextwechsel: Wer am Arbeitsplatz noch wachsam auf verdächtige E-Mails achtet, scannt einen QR-Code oft nebenbei, unterwegs oder in der Pause – in einer Situation, in der die kritische Aufmerksamkeit niedriger ist. Genau deshalb lässt sich Quishing nicht allein mit Software abwehren, sondern vor allem durch geschultes Verhalten im entscheidenden Moment.
Wie verbreitet und teuer ist der Faktor Mensch?
Quishing wirkt nicht über eine technische Schwachstelle, sondern über eine menschliche Handlung – den Scan. Dass genau dieser Faktor Mensch das zentrale Einfallstor ist, zeigen anerkannte Branchenberichte seit Jahren mit stabiler Deutlichkeit:
der Sicherheitsvorfälle gehen auf den Faktor Mensch zurück – etwa auf einen Klick oder einen gescannten Code.
Quelle: Verizon Data Breach Investigations Report 2024
betrugen die durchschnittlichen Kosten einer Datenpanne weltweit.
Quelle: IBM Cost of a Data Breach Report 2024
der Unternehmen in Deutschland waren von Datendiebstahl, Spionage oder Sabotage betroffen.
Quelle: Bitkom 2024
Die Zahlen beschreiben ein Muster, das Quishing besonders ausnutzt: Nicht die Firewall, sondern die alltägliche Interaktion ist heute das häufigste Einfallstor. Sicherheitsfirmen und das BSI beobachten zudem eine deutliche Zunahme QR-basierter Angriffe, seit QR-Codes im Zahlungsverkehr und in der Kommunikation alltäglich geworden sind. Weil ein gescannter Code technische Filter überspringt, entscheidet am Ende die Reaktion des Menschen über Erfolg oder Scheitern des Angriffs.
Wo Quishing auftritt
QR-Codes sind im Alltag allgegenwärtig – genau das machen sich Angreifer zunutze. Quishing begegnet uns sowohl digital als auch physisch im öffentlichen Raum. Die folgende Übersicht zeigt die häufigsten Orte, die jeweils typische Tarnung und das passende Warnsignal:
| Ort / Kanal | So tarnt sich der Angriff | Worauf Sie achten sollten |
|---|---|---|
| E-Mail-Anhang | QR-Code als Bild oder PDF, oft als angebliche „Verifizierung“ oder Zustellinfo getarnt. | Unerwartete Aufforderung, per Scan Zugangsdaten oder Konten zu bestätigen. |
| Brief / Rechnung | Gedruckter Code auf einer scheinbar offenen Rechnung, Mahnung oder Behördenpost. | Zahlung soll per QR-Scan statt über den bekannten, offiziellen Zahlungsweg erfolgen. |
| Überklebter Sticker | Aufkleber über dem Original an Parkautomaten, Ladesäulen oder Tischaufstellern. | Sichtbar nachträglich angebrachter Code, abweichende Bezahlseite nach dem Scan. |
| Plakat / Flyer | Attraktives Angebot oder Gewinnspiel mit Scan-Aufruf im öffentlichen Raum. | Sofortige Abfrage persönlicher Daten oder Zahlungsinformationen ohne erkennbaren Anbieter. |
Allen Varianten ist gemeinsam, dass ein unscheinbarer Code eine bequeme Abkürzung verspricht und am Ende auf eine Täuschungsseite führt. Besonders tückisch sind physische Codes: Ein überklebter Sticker an einem Parkautomaten wirkt vollkommen echt, weil der Kontext – der Automat selbst – Vertrauen suggeriert.
So prüfen Sie einen QR-Code sicher
Der wirksamste Schutz ist ein kurzer Moment des Innehaltens vor dem Öffnen der Seite. Mit wenigen bewussten Schritten lässt sich ein gefährlicher Code zuverlässig entlarven, bevor Schaden entsteht:
- 1Innehalten statt reflexartig scannen: Fragen Sie sich zuerst, ob Sie diesen Code überhaupt erwartet haben und wer ihn in Umlauf gebracht hat.
- 2Vorschau nutzen: Lassen Sie sich die Ziel-Adresse von der Kamera-App anzeigen, bevor Sie die Seite öffnen – seriöse Apps zeigen die URL vorab als Vorschau.
- 3Die Domain genau lesen: Prüfen Sie den Hauptteil der Adresse auf Tippfehler, zusätzliche Wörter oder eine fremde Endung – nicht nur den Anfang der URL.
- 4Bei physischen Codes auf Manipulation achten: Klebt ein Aufkleber über dem Original oder wirkt der Code nachträglich angebracht, scannen Sie ihn nicht.
- 5Nach dem Scan keine Zugangsdaten eingeben: Verlangt die Seite unerwartet Login, PIN oder Zahlungsdaten, brechen Sie den Vorgang ab.
- 6Im Zweifel den offiziellen Weg wählen: Rufen Sie Bank, Bezahldienst oder Anbieter über die bekannte App oder eine manuell eingetippte Adresse auf – nicht über den Code.
- 7Verdacht melden: Informieren Sie IT oder Sicherheitsteam, damit Kolleginnen und Kollegen rechtzeitig gewarnt werden können.
Die einfache Faustregel
Quishing und verwandte Phishing-Varianten
Quishing ist kein Einzelphänomen, sondern Teil einer ganzen Familie von Angriffen, die dasselbe Prinzip über unterschiedliche Kanäle verfolgen. Kommt die Täuschung per SMS oder Messenger, spricht man von Smishing; läuft sie über das Telefon, handelt es sich um Vishing. Wird der Angriff gezielt auf eine einzelne Person oder Rolle zugeschnitten, liegt Spear-Phishing vor – und ein QR-Code kann dabei durchaus das gewählte Werkzeug sein.
Allen Varianten gemeinsam ist das Prinzip des getarnten Köders: Nur das Medium wechselt, das Ziel bleibt dasselbe. Wer die Gemeinsamkeiten versteht, erkennt neue Maschen schneller wieder. Einen Überblick über alle Begriffe und ihre Zusammenhänge bietet unser Cyber-Lexikon.
Wie schützt man sich vor Quishing?
Wirksamer Schutz vor Quishing entsteht aus einer Kombination von aufmerksamem Verhalten und einfachen technischen Vorkehrungen. Weil klassische E-Mail-Filter hier an ihre Grenzen stoßen, kommt es vor allem auf eingeübte Reflexe an. Diese Verhaltensregeln senken das Risiko deutlich:
- Die Ziel-URL nach dem Scan immer prüfen, bevor Sie die Seite öffnen – stimmen Domain und Schreibweise wirklich?
- Nach einem QR-Scan niemals Zugangsdaten, PINs oder Zahlungsinformationen eingeben, wenn Sie nicht aktiv selbst eine Transaktion gestartet haben.
- Bei QR-Codes im öffentlichen Raum prüfen, ob ein Aufkleber über dem Original klebt – ein typisches Warnsignal.
- Wichtige Dienste wie Bank oder Bezahlportal lieber direkt über die bekannte App oder eine manuell eingetippte Adresse aufrufen.
- Zwei-Faktor-Authentifizierung aktivieren, damit abgegriffene Zugangsdaten allein nicht ausreichen.
- Verdächtige QR-Codes und Nachrichten melden, damit das Team gewarnt und der Angriff gestoppt werden kann.
Im Zweifel nicht scannen
So hilft SECMIND
SECMIND bietet eine eigene QR-Code-Phishing-Simulation (Quishing-Testkampagnen): Ihre Mitarbeitenden erhalten realistische, aber harmlose Testreize mit QR-Codes und erleben so im geschützten Rahmen, wie ein Quishing-Angriff abläuft. Wer scannt und reagiert, landet auf einer Schulungs-Landingpage und lernt genau im Moment des Fehlers. Über mehrere Kampagnen hinweg werden die Reflexe Ihres Teams messbar sicherer – anonymisiert und DSGVO-konform. So schließen Sie die Lücke, die klassische E-Mail-Filter beim QR-Code-Phishing offenlassen.
Die Simulation ist in unsere Phishing-Simulation und das Security-Awareness-Training eingebettet, sodass Ihr Team Quishing nicht isoliert, sondern im Zusammenhang aller Phishing-Varianten trainiert.
Starten Sie mit einer Standortbestimmung
Häufige Fragen zu Quishing
Was ist Quishing?
Quishing ist eine Phishing-Variante, bei der ein manipulierter QR-Code das Opfer auf eine gefälschte Website lotst. Der Begriff setzt sich aus „QR-Code“ und „Phishing“ zusammen. Statt eines klickbaren Links in der E-Mail nutzen Angreifer den QR-Code als getarnten Einstieg, um Zugangsdaten oder Zahlungsinformationen abzugreifen.
Wie erkenne ich einen gefährlichen QR-Code?
Prüfen Sie nach dem Scan immer zuerst die angezeigte Ziel-Adresse, bevor Sie die Seite öffnen. Misstrauisch sollten Sie werden, wenn die Domain unbekannt ist oder leicht abweicht, wenn nach dem Scan unerwartet Zugangsdaten verlangt werden oder wenn ein QR-Code im öffentlichen Raum offensichtlich über ein Original geklebt wurde.
Warum ist QR-Code-Phishing so gefährlich?
Weil der QR-Code klassische Schutzmechanismen umgeht: E-Mail-Filter lesen die versteckte Adresse oft nicht aus, und gescannt wird meist mit dem privaten, schlechter geschützten Smartphone. Auf dem kleinen Display ist die Ziel-URL zudem schwer zu prüfen, und die Hemmschwelle, einen alltäglichen QR-Code zu scannen, ist niedrig.
Warum umgehen QR-Codes klassische E-Mail-Filter?
Filter und URL-Scanner bewerten lesbaren Text und Links in einer Nachricht. Ein QR-Code ist für sie jedoch nur ein Bild, dessen Adresse erst beim Scannen auf dem Endgerät entsteht. Dadurch findet der Abgleich mit Sperrlisten nicht statt, und die gefährliche URL wird erst außerhalb der zentralen Schutzsysteme aufgelöst – häufig verstärkt dadurch, dass der Code in einem Anhang eingebettet ist.
Ist das private Smartphone das größte Risiko beim Quishing?
Es ist eine zentrale Schwachstelle. QR-Codes werden fast immer mit dem Smartphone gescannt, und oft handelt es sich um ein privates Gerät ohne Firmen-Schutzsoftware, Web-Filter oder Protokollierung. Der Vorgang verlässt damit die überwachte Umgebung, und auf dem kleinen Display lässt sich die Ziel-Adresse kaum zuverlässig prüfen.
Wo tritt Quishing besonders häufig auf?
Typisch sind QR-Codes in E-Mail-Anhängen, auf gefälschten Rechnungen oder Briefen, als überklebte Aufkleber an Parkautomaten und Ladesäulen sowie auf Plakaten und Flyern mit verlockenden Angeboten. Gemeinsam ist diesen Mustern, dass ein alltäglich wirkender Code auf eine Täuschungsseite führt.
Was tun, wenn ich einen schädlichen QR-Code gescannt habe?
Geben Sie keine Daten ein und schließen Sie die Seite. Haben Sie bereits Zugangsdaten eingegeben, ändern Sie umgehend das betroffene Passwort, aktivieren Sie Zwei-Faktor-Authentifizierung und informieren Sie IT oder Sicherheitsteam. Eine Schritt-für-Schritt-Anleitung für den Ernstfall finden Sie im Ratgeber „Phishing – was tun?“.
Kann man Quishing in Unternehmen testen?
Ja. SECMIND bietet eigene QR-Code-Phishing-Simulationen (Quishing-Testkampagnen). Dabei erhalten Mitarbeitende realistische, aber harmlose Testreize mit QR-Codes. So lässt sich messen, wie das Team reagiert, und die Awareness lässt sich gezielt und DSGVO-konform verbessern – ohne echtes Risiko.
Testen Sie die QR-Code-Phishing-Resistenz Ihres Teams
Starten Sie Ihre kostenlose 7-Tage-Demo – ohne Kreditkarte, in wenigen Minuten eingerichtet.
Jetzt kostenlos testen