Quishing: QR-Code-Phishing erkennen und Ihr Unternehmen schützen

Quishing ist Phishing über QR-Codes. Statt eines Links enthält die Nachricht einen Code, der beim Scannen auf eine gefälschte Anmeldeseite oder Bezahlseite führt. Weil QR-Codes im Alltag allgegenwärtig sind, vom Parkautomaten bis zur Speisekarte, scannen viele Menschen sie fast automatisch. Genau diese Gewohnheit nutzen Angreifer aus.

Dieser Beitrag erklärt, warum Quishing schwerer zu erkennen ist als eine klassische Phishing-Mail, zeigt typische Beispiele aus dem Unternehmensalltag und nennt 7 Warnsignale. Außerdem erfahren Sie, was nach einem Scan zu tun ist und wie Sie Ihr Unternehmen vorbeugend schützen.

Was ist Quishing?

Quishing ist ein Kunstwort aus „QR-Code“ und „Phishing“. Gemeint sind Angriffe, bei denen ein QR-Code die Rolle übernimmt, die sonst ein Link in einer Phishing-Mail spielt. Wer den Code mit dem Smartphone scannt, landet auf einer Seite, die echt aussieht, aber von Angreifern betrieben wird. Dort sollen Zugangsdaten, Zahlungsdaten oder ein Bestätigungscode eingegeben werden. Seltener startet der Code direkt einen Download.

Wie alle Varianten des Phishings ist QR-Code-Phishing eine Form des Social Engineering: Der Angriff gelingt nur, wenn ein Mensch handelt. Einen Überblick über die übrigen Varianten wie Smishing und Vishing gibt der Beitrag zu den Phishing-Arten.

Warum ist Quishing so gefährlich?

Ein QR-Code ist für Menschen nicht lesbar. Wer ihn sieht, kann das Ziel erst nach dem Scan beurteilen. Dazu kommen vier Gründe, warum Quishing im Unternehmen besonders wirksam ist:

1. Filter sehen weniger: Ein Link im Text einer Mail lässt sich automatisch prüfen. Ein QR-Code ist ein Bild, oft eingebettet in ein PDF. Nicht jeder Mailfilter wertet solche Bilder zuverlässig aus.
2. Der Angriff wechselt das Gerät: Die Mail kommt am Arbeitsrechner an, gescannt wird mit dem Smartphone. Damit verlässt der Angriff die geschützte Umgebung, und auf privaten Handys greifen Webfilter und Sicherheitsrichtlinien des Unternehmens meist nicht.
3. Kleiner Bildschirm, wenig Kontrolle: Auf dem Smartphone ist die Adresszeile kurz und wird schnell ausgeblendet. Gefälschte Domains fallen dort weniger auf als am großen Monitor.
4. QR-Codes gelten als harmlos: Seit Speisekarten, Tickets und Parkscheine per Code funktionieren, ist das Scannen Routine. Viele denken dabei nicht an ein Risiko.

Quishing Beispiele aus dem Unternehmensalltag

QR-Code-Betrug erreicht Beschäftigte digital und analog. Diese Szenarien sind typisch:

Die ersten beiden Szenarien sind im Unternehmen besonders verbreitet, weil sie an echte Abläufe anknüpfen. Werden sie gezielt an einzelne Personen geschickt, etwa an die Lohnbuchhaltung, gehen sie in Spear Phishing über. Weitere Fälle aus Briefen, Bus und Bahn sowie dem Straßenverkehr sammelt die Verbraucherzentrale zum Thema Quishing.

Wie erkennen Sie Quishing? 7 Warnsignale

Quishing erkennen Sie weniger am Code selbst als an den Umständen, unter denen er Ihnen begegnet. Seien Sie bei diesen 7 Warnsignalen vorsichtig:

1. Login per QR-Code: Sie sollen sich über einen Code aus einer Mail anmelden oder die Mehr-Faktor-Authentifizierung neu einrichten. Seriöse IT-Abteilungen gehen diesen Weg in der Regel nicht.
2. Code statt Link: Die Mail enthält kaum Text, nur einen QR-Code oder ein PDF mit Code. Warum sollte jemand ausgerechnet am Rechner einen Code zum Scannen schicken?
3. Druck und Frist: „Innerhalb von 24 Stunden“, „sonst wird der Zugang gesperrt“. Zeitdruck soll das Nachdenken verhindern.
4. Unerwartete Quelle: Der Code kommt per Post von einem Absender, mit dem Sie sonst nur digital kommunizieren, oder hängt an einer ungewohnten Stelle.
5. Aufkleber über dem Original: An Automaten, Ladesäulen oder Aushängen sitzt ein Code, der überklebt oder nachträglich angebracht wirkt.
6. Auffällige Adresse: Die Vorschau nach dem Scan zeigt eine Domain, die nicht zum angeblichen Absender passt, eine Kurz-URL oder einen Tippfehler im Namen.
7. Sofortige Datenabfrage: Die Zielseite verlangt direkt Passwort, Bestätigungscode oder Kartendaten, ohne dass Sie das erwartet haben.

Wie Sie eine Adresse sicher lesen, erklärt der Beitrag Phishing erkennen im Abschnitt zu gefährlichen Links. Die Regeln gelten für die Vorschau nach dem Scan genauso.

Was tun nach dem Scan eines verdächtigen QR-Codes?

Ein Scan allein öffnet in der Regel nur eine Vorschau der Adresse. Gefährlich wird es, wenn die Seite geöffnet und dort etwas eingegeben oder heruntergeladen wird. Je nachdem, wie weit es gekommen ist, gilt:

• Nur gescannt: Seite nicht öffnen oder sofort schließen. Den Fund trotzdem an die IT melden, damit andere gewarnt werden können.
• Seite geöffnet, nichts eingegeben: Seite schließen, nichts herunterladen, die IT informieren.
• Zugangsdaten eingegeben: Sofort die IT verständigen. Das Passwort über den bekannten Weg ändern und aktive Sitzungen beenden lassen. Wurde auch ein Bestätigungscode eingegeben, ist das Konto möglicherweise bereits übernommen.
• Zahlungsdaten eingegeben: Bank oder Kartenanbieter kontaktieren und die Karte sperren lassen, zusätzlich die zuständige Stelle im Unternehmen informieren.

Wichtig ist eine Kultur, in der niemand für einen Fehler bloßgestellt wird. Wer schnell meldet, verkürzt die Zeit, in der Angreifer einen Zugang nutzen können.

Wie schützen Sie Ihr Unternehmen vor Quishing?

Wirksamer Schutz vor Quishing setzt wie bei anderen Social-Engineering-Angriffen auf drei Ebenen:

Prozesse

• Klare Regel für Anmeldungen: Legen Sie fest und kommunizieren Sie, dass die IT niemals per QR-Code zur Anmeldung oder zur Einrichtung der Mehr-Faktor-Authentifizierung auffordert.
• Bankdaten nur auf bekanntem Weg ändern: Änderungen von Lieferanten-Bankverbindungen werden telefonisch über eine bekannte Nummer bestätigt, nie über einen Code in einem Schreiben.
• Einfacher Meldeweg: Ein fester Ansprechpartner oder ein Melde-Button sorgt dafür, dass Verdachtsfälle schnell ankommen.

Technik

• Mailfilter mit Bildanalyse: Prüfen Sie, ob Ihr Mailschutz QR-Codes in Bildern und PDF-Anhängen auslesen und bewerten kann.
• Dienstliche Smartphones absichern: Verwaltete Geräte mit Webschutz fangen bekannte Phishing-Seiten auch beim Scan ab.
• Phishing-resistente Anmeldung: Verfahren wie Passkeys oder Sicherheitsschlüssel nach FIDO2 lassen sich auf gefälschten Seiten nicht abgreifen.

Menschen

• Quishing in die Schulung aufnehmen: Eine Phishing-Schulung sollte QR-Codes ausdrücklich behandeln, mit echten Beispielen wie der angeblichen MFA-Erneuerung.
• Regelmäßig üben: Eine Phishing-Simulation trainiert das Prüfen von Absender, Anliegen und Zieladresse, also genau die Fragen, die auch bei einem QR-Code entscheiden.
• Gefährdete Rollen zuerst: Buchhaltung, Personalabteilung, Assistenz und Beschäftigte mit viel Außenkontakt erhalten besonders häufig solche Nachrichten.

Wie unterstützt reteach beim Schutz vor Quishing?

reteach ist eine deutsche Lernplattform (LMS) für den Mittelstand in der DACH-Region. Unternehmen erstellen, automatisieren und dokumentieren damit Pflichtschulungen, Unterweisungen und Onboarding revisionssicher. Zum Angebot gehören das reteach LMS, über 500 anpassbare E-Learning-Kurse, 59 interaktive Kurse als SCORM-Paket für bestehende Lernplattformen sowie reteach Phishing Awareness für automatisierte Phishing-Simulationen.

• Kurse zur Informationssicherheit: Die Informationssicherheit-Schulungen vermitteln, wie Phishing über verschiedene Kanäle funktioniert und wie Beschäftigte richtig reagieren, jeweils mit Wissenstest.
• Phishing-Simulationen: reteach Phishing Awareness verschickt realistische Phishing-Mails im Rhythmus 14-tägig oder monatlich und zeigt im Klick-Moment eine Aufklärungsseite.
• Nachweis: Abschlüsse und Auswertungen liefern einen auditfähigen Nachweisbeitrag, etwa für NIS2 oder ISO 27001.
• Flexibel einsetzbar: Phishing Awareness gibt es als eigenständige Komplettlösung und ebenso zusammen mit dem reteach LMS, datenschutzfreundlich gestaltet.

Fazit: Erst prüfen, dann scannen

Quishing funktioniert, weil QR-Codes vertraut wirken und der Angriff auf das Smartphone ausweicht, wo weniger Schutz greift. Die gute Nachricht: Die Warnsignale sind dieselben wie bei jeder Phishing-Mail. Ungewöhnliche Anfragen, Zeitdruck und eine unerwartete Datenabfrage verraten den Angriff, auch wenn der Link in einem Code versteckt ist.

Die nächsten Schritte:

1. Intern festlegen und bekannt machen, dass Anmeldungen nie per QR-Code aus einer Mail laufen.
2. Den Mailschutz auf die Analyse von QR-Codes in Bildern und PDFs prüfen.
3. Quishing als festen Bestandteil in die Sicherheitsschulung aufnehmen.
4. Den Meldeweg für verdächtige Codes und Nachrichten klar kommunizieren.

Häufig gestellte Fragen