QR-Codes in Phishing-E-Mails

QR-Codes in Phishing-E-Mails sind ein schnell wachsender Trick: Angreifer betten ein scanbares Bild statt eines klickbaren Links ein, damit ihre Nachricht an E-Mail-Filtern vorbeischlüpft und dich auf ein privates Handy mit schwächerem Schutz lockt. Sobald du weißt, warum sie das tun, werden die Warnsignale leicht zu erkennen. 🐾

Seit Jahren ist E-Mail-Sicherheit ein Wettrüsten um Links. Filter wurden gut darin, eine Nachricht zu lesen, jede URL herauszuziehen und mit Listen bekannter Schadseiten zu vergleichen. Angreifer reagierten mit einem cleveren Kniff: Sie verstecken den Link in einem QR-Code. Plötzlich ist die gefährliche Adresse kein Text mehr, den ein Filter lesen kann — sie ist ein Bild. Deshalb hat sich Quishing so aggressiv in den Posteingang verlagert.

Warum würde ein Angreifer einen QR-Code in eine E-Mail packen?

Es wirkt fast widersinnig — du liest die E-Mail an einem Computer, der Links anklicken kann, warum also einen Code schicken, den du mit dem Handy scannen musst? Es gibt drei bewusste Gründe.

1. Um E-Mail-Sicherheitsfilter zu umgehen

Die meisten E-Mail-Gateways scannen den Text und die Links einer Nachricht. Ein QR-Code ist ein eingebettetes Bild, also gibt es im Text keinen Link, den der Filter analysieren könnte. Das bösartige Ziel steckt in den Pixeln codiert, unsichtbar für Werkzeuge, die zum Lesen von Wörtern gebaut sind. Die Phishing-E-Mail landet sauber aussehend im Posteingang. Das größere Muster behandeln wir in Was ist Quishing?

2. Um dich von einem geschützten PC auf ein ungeschütztes Handy zu bringen

Das ist der wichtigste Grund am Arbeitsplatz. Dein Arbeitscomputer hat wahrscheinlich ernsthafte Abwehrmaßnahmen: URL-Filterung, Endpunktschutz, einen verwalteten Browser, Warnungen bei verdächtigen Seiten. Dein privates Handy hat davon meist nichts. Indem er dich zwingt, den Code mit dem Handy zu scannen, führt der Angreifer dich um jede Unternehmensabsicherung herum und bringt dich auf die bösartige Seite, während deine Wachsamkeit — und die deines Geräts — heruntergefahren ist.

Der QR-Code in einer Phishing-E-Mail ist eine Brücke. Er trägt dich vom verteidigten Computer weg und auf das Handy in deiner Tasche, wo dieselbe Falle eine weitaus bessere Chance hat zu funktionieren.

3. Um das Vertrauen in Codes auszunutzen

Uns wurde antrainiert, dass das Scannen eines Codes etwas Normales und Sicheres ist, das wir Dutzende Male pro Woche tun. Angreifer borgen sich dieses Vertrauen und verkleiden den Code als Routinehandlung: Konto bestätigen, ein Dokument prüfen, deine Multi-Faktor-Authentifizierung zurücksetzen.

Als was geben sich diese Phishing-E-Mails üblicherweise aus?

Die Aufmachung ist darauf ausgelegt, alltäglich und leicht dringlich zu wirken:

Vorwand	Wohin der Code wirklich führt
„Deine MFA-Einrichtung läuft ab — erneut scannen, um den Zugang zu behalten"	Eine gefälschte Anmeldeseite, die dein Passwort und deinen MFA-Code abgreift
„Du hast eine zurückgehaltene/sichere Nachricht"	Ein nachgeahmter E-Mail-Login
„Prüfe dieses geteilte Dokument"	Eine Zugangsdaten-Falle für Cloud-Speicher
„Personalabteilung: Bestätige die neue Richtlinie"	Ein Klon des Firmenportals
„Aktualisierung von Gehaltsabrechnung/Leistungen erforderlich"	Eine Seite, die Login und persönliche Daten erfasst

Beachte den roten Faden: Jede stupst dich an, dich anzumelden. Das ist die Nutzlast — deine Zugangsdaten. Wohin der Code dich schickt und wie du diese Adresse liest, ist das Thema von QR-Codes und bösartige URLs.

Was sind die Warnsignale in einer QR-Code-Phishing-E-Mail?

Diese Nachrichten verraten sich, wenn du die Anzeichen kennst:

Ein QR-Code, wo ein normaler Link genügen würde. Wenn eine E-Mail will, dass du einen Code scannst, um dich irgendwo anzumelden, wo du sonst einfach klicken würdest, frag dich warum. Die wahrscheinlichste Antwort ist Filterumgehung.
Druck, dein Handy zu benutzen. Formulierungen wie „mit deinem Mobilgerät scannen" verraten den PC-zu-Handy-Kniff.
Dringlichkeit und Konsequenzen. „Der Zugang wird in 24 Stunden gesperrt" ist künstlich erzeugter Druck.
Ein als Bild eingebetteter Code mit wenig sonstigem Inhalt, oder eine Nachricht, die überwiegend aus einer großen Grafik besteht (eine weitere Möglichkeit, Textfilter zu umgehen).
Merkwürdigkeiten beim Absender. Ein Anzeigename, der „IT-Support" lautet, aber eine Adresse, die nicht zur echten Domain deiner Organisation passt.
Allgemeine Anreden und kleine Ungereimtheiten bei Logos oder Wortwahl.

Wie soll ich auf einen verdächtigen Code in einer E-Mail reagieren?

Deine sichersten Optionen, der Reihe nach:

Scanne ihn nicht. Wenn die E-Mail unerwartet kommt oder Druck macht, ist allein das schon Grund genug, innezuhalten.
Prüfe über einen bekannten Kanal. Wenn sie angeblich von der IT, deiner Bank oder einem Kollegen stammt, kontaktiere sie über Daten, die du bereits hast — nicht über irgendetwas in der E-Mail.
Geh direkt hin. Wenn du dich wirklich irgendwo anmelden musst, öffne die offizielle App oder tippe die dir bekannte Webadresse in deinen Browser. Erreiche eine Anmeldeseite niemals, indem du einen Code aus einer E-Mail scannst.
Wenn du ihn prüfen musst, sieh dir den Link vorher an. Ein Scanner, mit dem du einen Code sicher scannen und das wahre Ziel zuerst sehen kannst, bedeutet, dass du die Domain lesen kannst, ohne direkt auf der Seite zu landen.
Melde ihn. Leite ihn an dein Sicherheitsteam weiter oder nutze den Phishing-melden-Knopf deines Mail-Programms, damit Filter und Kollegen geschützt werden. Siehe Wie man einen bösartigen QR-Code meldet.

Warum Filter das nicht vollständig für dich lösen können

Sicherheitsteams holen auf — manche Gateways rendern und lesen inzwischen QR-Bilder, und manche markieren E-Mails, die Codes enthalten. Aber die Erkennung ist unvollkommen, Bilder lassen sich verschleiern, und ständig tauchen neue Tricks auf. Das heißt, der Mensch an der Tastatur bleibt die zuverlässigste Verteidigungslinie. Die beruhigende Kehrseite ist, dass diese menschliche Verteidigung einfach ist: Ein QR-Code, der dich zur Anmeldung auffordert und per E-Mail ankommt, sollte fast immer als feindselig behandelt werden, bis das Gegenteil bewiesen ist.

Ein schneller Plausibilitätstest

Bevor du einen Code in einer E-Mail scannst, frag dich: Würde diese Organisation mich wirklich bitten, einen Code zu scannen, um mich anzumelden? Banken, Arbeitgeber und große Dienste tun das überwiegend nicht. Wenn die Antwort „wahrscheinlich nicht" lautet, vertraue diesem Instinkt. Für eine umfassendere Routine, die du auf jeden Code anwenden kannst, ist unsere Sicherheits-Checkliste für QR-Codes ein guter Begleiter. Und wenn du selbst Codes an andere senden musst, kannst du einen kostenlosen QR-Code erstellen, der transparent auf deinen echten Link verweist.

Häufig gestellte Fragen

Warum verwenden Phishing-E-Mails QR-Codes statt Links?

Weil ein QR-Code ein Bild ist, können viele E-Mail-Filter die versteckte Adresse nicht so lesen wie einen Textlink, sodass die Nachricht durchrutscht. Codes schieben dich außerdem auf ein privates Handy, dem meist die Sicherheitsvorkehrungen eines Arbeitscomputers fehlen.

Ist es sicher, einen QR-Code aus einer Arbeits-E-Mail zu scannen?

Behandle ihn mit Misstrauen, besonders wenn er dich zur Anmeldung auffordert oder dringlich wirkt. Wenn du wirklich auf einen Dienst zugreifen musst, öffne dessen offizielle App oder tippe die bekannte Website selbst ein, statt zu scannen. Im Zweifel prüfe zuerst mit deinem IT-Team.

Wie können Angreifer mit einem Code an der E-Mail-Sicherheit vorbeikommen?

Standardfilter analysieren den Text und die Links in einer Nachricht. Ein QR-Code trägt seine bösartige URL in den Pixeln eines Bildes, also gibt es keinen lesbaren Link, den der Filter prüfen könnte, und die E-Mail kann die Kontrolle passieren.

Was ist der PC-zu-Handy-Kniff?

Es ist die Taktik, mit einem QR-Code ein Opfer von einem gut verteidigten Bürocomputer auf ein privates Handy mit schwächerem Schutz zu bringen. Das Handy öffnet die bösartige Seite eher ohne Warnungen, sodass der Angriff häufiger gelingt.

Was soll ich tun, wenn ich einen gescannt und mein Passwort eingegeben habe?

Ändere dieses Passwort sofort, und überall, wo du es wiederverwendet hast, aktiviere dann die Multi-Faktor-Authentifizierung. Benachrichtige dein IT- oder Sicherheitsteam, damit es Konten und andere Mitarbeiter schützen kann, und achte auf ungewöhnliche Anmeldeaktivitäten.