Was ist „Quishing“? Wie funktioniert QR-Code-Phishing und wie kann man sich davor schützen?

Quishing ist Phishing über QR-Codes. Anstelle eines verdächtigen Links in einer E-Mail versteckt der Angreifer eine bösartige Website hinter einem QR-Code – auf einem Plakat, einer Parkuhr oder in einem E-Mail-Anhang. Wer den Code scannt, gelangt auf eine gefälschte Seite, die Anmeldedaten oder Zahlungsinformationen abgreift oder Malware installiert.

Der Trick funktioniert, weil ein QR-Code das Ziel verbirgt. Während man bei einem Link in einer E-Mail noch mit der Maus darüberfahren kann, gibt ein QR-Code keinerlei Hinweis darauf, wohin man gelangt. In diesem Artikel erklären wir, wie ein Quishing-Angriff funktioniert, warum diese Form des Phishing auf dem Vormarsch ist und wie Sie Ihr Unternehmen schützen können.

Bedeutung von „Quishing“: Wofür steht dieser Begriff?

„Quishing“ ist eine Wortschöpfung aus „QR“ und „Phishing“. Das Ziel ist dasselbe wie bei jedem Phishing-Angriff: Jemand soll dazu verleitet werden, Zugangsdaten preiszugeben, eine Zahlung zu genehmigen oder Malware herunterzuladen. Lediglich die Vorgehensweise unterscheidet sich. Der Angreifer verwendet keinen anklickbaren Link, sondern einen QR-Code, der zu der schädlichen Seite führt.

Dieser Schalter ist mehr als nur eine Spielerei. Seit Beginn der Pandemie scannen wir QR-Codes ganz selbstverständlich – für Speisekarten, Zahlungen, Parken und zum Einloggen. Angreifer machen sich genau diesen erlernten Reflex zunutze: Das Scannen fühlt sich wie eine Routinehandlung an, nicht wie ein Risiko.

Wie funktioniert „Quishing“?

Ein typischer Quishing-Angriff verläuft in vier Schritten:

• Der Angreifer erstellt einen QR-Code, der auf eine gefälschte Website verweist, häufig eine Nachahmung einer Anmeldeseite für Microsoft 365, einer Bank oder eines Zahlungsanbieters.
• Der Code wird per E-Mail, per Brief, als Flyer oder als Aufkleber verbreitet, der an einem öffentlichen Ort über einen echten QR-Code geklebt wird.
• Das Opfer scannt den Code mit seinem Handy. Das ist der entscheidende Schritt: Der Angriff verlagert sich von einem verwalteten Firmenlaptop mit Filtern und Sicherheitssoftware auf ein privates Smartphone, das oft weitaus weniger gut geschützt ist.
• Die gefälschte Seite erfüllt ihren Zweck. Das Opfer meldet sich auf der gefälschten Seite an, und der Angreifer erfasst die Anmeldedaten, manchmal einschließlich der MFA-Sitzung.

In Unternehmensumgebungen ist die häufigste Variante eine E-Mail, die scheinbar von der IT-Abteilung oder von Microsoft stammt: Ihre MFA-Einstellungen laufen angeblich ab, und Sie müssen den Code scannen, um sich erneut zu authentifizieren. Die E-Mail selbst enthält überhaupt keinen anklickbaren Link, was sie gerade so harmlos erscheinen lässt.

Warum QR-Code-Phishing so effektiv ist

Quishing löst zwei Probleme, mit denen Angreifer bei klassischen Phishing-E-Mails konfrontiert sind.

Erstens: E-Mail-Filter lesen Text und überprüfen Links, ein QR-Code ist jedoch ein Bild. Die bösartige URL ist nicht nur für den Empfänger, sondern auch für einen Großteil der Sicherheitsprogramme unsichtbar. Nachrichten, die mit einem normalen Link sofort blockiert würden, kommen mit einem QR-Code ungehindert durch.

Zweitens: Der Scan lenkt das Opfer auf sein Smartphone um. Auf einem kleinen Bildschirm lässt sich die Adressleiste schwerer überprüfen, die URL ist oft teilweise verdeckt, und Schutzmaßnahmen des Unternehmens wie Webfilter fehlen auf privaten Geräten häufig. Der Angreifer lockt das Opfer genau in dem Moment, in dem der Angriff beginnt, aus der geschützten Umgebung heraus.

Quishing in der Praxis: Ein gefälschter QR-Code kann überall auftauchen

Die Stärke dieser Betrugsform liegt darin, dass ein gefälschter QR-Code überall dort auftauchen kann, wo auch ein normaler QR-Code zu finden ist: an einem Automaten, in Ihrem Briefkasten, in Ihrem E-Mail-Posteingang oder an der Wand im Büro. All diese Szenarien sind tatsächlich schon vorgekommen:

• Der gefälschte QR-Code auf der Parkuhr. Im November 2024 warnten die niederländische Polizei und der ANWB vor Aufklebern mit gefälschten QR-Codes auf Parkuhren, unter anderem in Amsterdam, Maastricht und Sittard-Geleen. Der Code führte zu einer Nachahmung einer bekannten Park-App; die „Parkgebühr“ und die Kartendaten landeten direkt bei den Kriminellen.
• Der Brief von „der Bank“. Betrüger versenden Briefe auf überzeugendem Bankbriefpapier: Ihre Debitkarte müsse angeblich ersetzt werden, und Sie scannen den QR-Code, um dies zu veranlassen. „Veilig Bankieren“ warnt vor dieser Form des Betrugs, gerade weil ein Brief in Papierform vertrauenswürdiger wirkt als eine E-Mail.
• Die E-Mail des Außenministeriums am Arbeitsplatz. „Ihr Authentifikator läuft heute ab. Scannen Sie diesen Code, um weiterhin Zugriff zu haben.“ Die Dringlichkeit in Verbindung mit einem vertrauten Ablauf macht dies zur erfolgreichsten Variante im Büro.
• Die gefälschte Rechnung oder die gefälschte Unterschriftsaufforderung. Ein Dokument, das so aussieht, als stamme es von DocuSign oder einem Lieferanten, mit einem QR-Code zum „Anzeigen“ oder „Unterzeichnen“ der Rechnung.
• Das Plakat oder der Flyer im Büro. Eine Ankündigung zu einer Mitarbeiterfeier oder einer neuen Parkregelung, mit einem QR-Code, den niemand hinterfragt.

Quishing, Phishing, Smishing und Vishing: Was ist der Unterschied?

Alle vier sind Formen des Social Engineering; der Unterschied liegt im Kanal. Klassisches Phishing erfolgt per E-Mail mit einem Link oder Anhang. Smishing nutzt SMS und Messaging-Apps, Vishing findet per Telefon statt und Quishing nutzt QR-Codes als Einstiegsmöglichkeit. In der Praxis kombinieren Angreifer verschiedene Kanäle: eine Quishing-E-Mail am Arbeitsplatz, gefolgt von einem Anruf des „Helpdesks“, in dem gefragt wird, ob die Anmeldung funktioniert hat.

Möchten Sie einen umfassenden Überblick über diese Varianten und andere Angriffsmethoden erhalten? Lesen Sie unseren Artikel über die häufigsten Arten von Phishing-Angriffen.

So schützen Sie Ihr Unternehmen vor Quishing

Machen Sie das Verhalten zur ersten Verteidigungslinie. Gerade weil es für die Technologie schwierig ist, QR-Codes zu erkennen, ist die Wahrnehmung durch die Mitarbeiter hier wichtiger als bei herkömmlichem Phishing. In Schulungen zur Sicherheitssensibilisierung lernt Ihr Team den entscheidenden Reflex: Behandeln Sie einen unerwarteten QR-Code genau wie einen unerwarteten Link. Scannen Sie ihn nicht ein und überprüfen Sie nach dem Scannen die URL-Vorschau, bevor Sie darauf tippen.

Testen Sie mit realistischen Simulationen. Eine Phishing-Simulation zeigt, wer auf welche Maschen hereinfällt, und verwandelt einen falschen Klick in eine Lernerfahrung statt in einen Vorfall. Regelmäßige Tests halten die Aufmerksamkeit aufrecht und zeigen, ob sich das Verhalten tatsächlich verbessert.

Schließen Sie die technischen Sicherheitslücken. Setzen Sie nach Möglichkeit auf phishing-resistente MFA, schützen Sie mobile Geräte, die auf Unternehmensdaten zugreifen, und erleichtern Sie die Meldung von Vorfällen: Ein Mitarbeiter, der eine verdächtige E-Mail mit QR-Code innerhalb einer Minute meldet, schützt damit alle Kollegen, die dieselbe Nachricht erhalten haben.

Häufig gestellte Fragen

Was passiert, wenn man einen Phishing-QR-Code scannt?

Das Scannen an sich ist in der Regel harmlos. Das Risiko liegt in dem, was danach folgt: der Seite, die der Code öffnet. Solange Sie sich nicht anmelden, keine Daten eingeben oder nichts herunterladen, ist der Schaden in der Regel begrenzt. Haben Sie Anmeldedaten eingegeben? Ändern Sie sofort Ihr Passwort und benachrichtigen Sie Ihre IT-Abteilung.

Woran erkennt man einen gefälschten QR-Code?

Achten Sie vor dem Scannen auf den Kontext: Ein Aufkleber, der über einen anderen Code geklebt wurde, eine Zahlungsaufforderung an einer unerwarteten Stelle oder eine E-Mail, in der Sie dazu aufgefordert werden, den Code mit Ihrem Smartphone zu scannen, sind allesamt Warnsignale. Überprüfen Sie nach dem Scannen immer die URL, die Ihre Kamera anzeigt, bevor Sie die Seite öffnen.

Verhindert ein Spamfilter, dass E-Mails gelöscht werden?

Oftmals nicht. Die meisten Filter überprüfen Links und Text, und ein QR-Code ist ein Bild ohne lesbaren Link. Einige Sicherheitsanbieter scannen mittlerweile zwar QR-Codes in E-Mails, doch die Erkennung hinkt hinter dem klassischen Phishing hinterher. Genau deshalb sind aufmerksame Mitarbeiter die wichtigste Maßnahme.

„Quishing“ ist keine neue Art der Täuschung, sondern eine neue Verpackung für einen alten Trick: Man lockt jemanden auf eine gefälschte Seite und lässt ihn die Arbeit selbst erledigen. Teams, die dieses Muster erkennen, achten nicht nur auf Links in E-Mails, sondern werden auch bei diesem harmlos aussehenden kleinen Quadrat stutzig.