QR-Code-Betrug: Was ist Quishing?

Quishing ist QR-Code-Phishing: ein Betrug, bei dem der Köder ein scanbares Quadrat statt eines anklickbaren Links ist. Der Code sieht harmlos aus, trägt dich aber klammheimlich auf eine gefälschte Anmeldeseite, eine unechte Zahlungsaufforderung oder einen bösartigen Download. Zu verstehen, wie Quishing funktioniert, ist der erste Schritt, um es abzuschütteln. 🐾

Phishing ist den Menschen schon immer dorthin gefolgt, wo sie lesen. Es zog von der Briefpost zur E-Mail, dann zu Textnachrichten, und nun hat es einen neuen Trick gelernt: das Ziel in einem QR-Code zu verstecken. Weil ein Code bloß ein Bild ist, sind die meisten Warnzeichen, die wir uns antrainiert haben — ein seltsamer Link, eine falsch geschriebene Domain — bis zum Moment des Scannens unsichtbar. Packen wir genau aus, was Quishing ist, warum es an Abwehrmaßnahmen vorbeischlüpft, die gewöhnliches Phishing abfangen, und wie du einen Schritt voraus bleibst.

Was bedeutet "Quishing" eigentlich?

Das Wort ist eine Mischung aus "QR" und "Phishing". Bei einem Quishing-Angriff kodiert ein Krimineller einen Link zu einer bösartigen Website in einen QR-Code und platziert diesen Code dann irgendwo, wo ein Opfer ihm vertraut: eine E-Mail, die aussieht, als käme sie von der IT, ein Flyer an einer Wand, ein Aufkleber auf einem Parkautomaten oder ein Brief über eine "unbezahlte" Rechnung. Scannt das Opfer, öffnet sein Handy die Seite des Angreifers — oft eine überzeugende Kopie eines echten Anmeldebildschirms — und jeder Benutzername, jedes Passwort oder jede Kartennummer, die es eintippt, geht direkt an den Kriminellen.

Das Entscheidende, das man festhalten muss: Der QR-Code selbst tut nichts Cleveres. Er ist ein Behälter für Text, meist eine Webadresse. Die Gefahr liegt vollständig darin, wohin diese Adresse führt. Diese Idee vertiefen wir in kann ein QR-Code dein Handy hacken?

Wie läuft ein Quishing-Angriff ab?

Das meiste Quishing folgt einem einfachen, wiederholbaren Skript:

Der Köder. Du erhältst oder triffst auf einen QR-Code mit einem plausiblen Grund, ihn zu scannen — "verifiziere dein Konto", "bezahle fürs Parken", "sieh die Speisekarte an", "setze deine MFA zurück".
Der Scan. Du richtest deine Handykamera auf den Code. Er dekodiert eine URL und bietet an, sie zu öffnen.
Die täuschend echte Seite. Der Link öffnet eine Seite, aufgemacht wie ein Dienst, den du kennst: dein E-Mail-Anbieter, deine Bank, ein Lieferdienst, das Anmeldeportal deines Arbeitgebers.
Die Ernte. Du gibst Zugangsdaten oder Zahlungsinformationen ein, im Glauben, dich normal anzumelden. Der Angreifer fängt sie in Echtzeit ab.
Die Ausnutzung. Mit deinen Daten leert der Kriminelle ein Konto, tätigt Käufe oder nutzt deine Anmeldung, um in ein Firmennetzwerk einzudringen.

Ein Quishing-Code ist keine Zauberei. Er ist ein Wegweiser, der auf eine Falle zeigt — und der ganze Betrug hängt davon ab, dass du das Schild nicht prüfst, bevor du ihm folgst.

Warum schlüpft Quishing an Filtern vorbei, die E-Mail-Phishing abfangen?

Gewöhnliche Phishing-E-Mails werden abgefangen, weil Sicherheitssysteme sehr gut im Lesen von Text sind. Sie durchsuchen den Text einer Nachricht, extrahieren jeden Link und gleichen diese Links mit Sperrlisten bekannt-schlechter Domains ab. Ein QR-Code besiegt das auf wunderbar einfache Weise: Für einen Text-Scanner ist er bloß ein Bild. Es gibt keinen anklickbaren Link zum Prüfen — nur ein Bild schwarz-weißer Quadrate.

Deshalb betten Kriminelle zunehmend einen Code als Bild in eine Phishing-E-Mail ein. Die Nachricht segelt durch Filter, die denselben Link in Klartext markiert hätten. Wir gehen tiefer auf diese Taktik in QR-Codes in Phishing-E-Mails ein.

Der Wechsel vom PC zum Handy

Es gibt einen zweiten, subtileren Grund, warum Angreifer QR-Codes am Arbeitsplatz lieben: Sie bewegen das Opfer von einem verwalteten, gut verteidigten Bürocomputer zu einem privaten Handy. Dein Arbeits-Laptop hat vielleicht URL-Filterung, Endpunktschutz und einen abgeriegelten Browser. Dein Handy, in Eile zwischen Meetings gescannt, hat meist nichts von dieser Firmenrüstung. Indem der Angreifer einen Code auf den Bildschirm setzt, reicht er dem Opfer einen Weg, direkt um die Abwehr des Unternehmens herumzugehen.

Wo begegnen Menschen Quishing?

Quishing gedeiht überall dort, wo ein Code gewöhnlich wirkt:

E-Mail und interne Nachrichten — gefälschte MFA-Zurücksetzungen, "dein Postfach ist voll", Benachrichtigungen über geteilte Dokumente.
Öffentliche Aufkleber — Codes über die echten geklebt, auf Parkautomaten, E-Auto-Ladesäulen und Restauranttischen. Siehe gefälschte Parkautomaten-QR-Codes.
Physische Post — Briefe über "unbezahlte Mautgebühren", verpasste Zustellungen oder Steuererstattungen, jeweils mit einem Code zum "Lösen".
Plakate und Flyer — Veranstaltungs- oder Spendencodes, die auf Seiten umleiten, die Spenden abgreifen.
Über legitime Beschilderung geklebt — ein Thema, das wir in wie Angreifer legitime QR-Codes überkleben behandeln.

Was sind die Warnzeichen eines Quishing-Codes?

Mit etwas gesunder Skepsis erkennst du die meisten Quishing-Versuche:

Warnsignal	Warum es wichtig ist
Dringlichkeit ("handle binnen 24 Stunden")	Druck hält dich davon ab, das Ziel zu prüfen
Ein Code, wo du einen normalen Link erwartest	Oft ein bewusster Zug, um Filter zu umgehen
Ein Aufkleber, der aufgeklebt oder schief wirkt	Könnte einen echten Code verdecken
Die Seite fragt nach Passwort oder Zahlung	Legitime Abläufe beginnen selten mit einem zufälligen Scan
Die Domain sieht fast-aber-nicht-ganz richtig aus	Nachgeahmte Domains sind das klassische Phishing-Merkmal

Wie schütze ich mich vor Quishing?

Die mit Abstand wirksamste Gewohnheit ist, den Link in der Vorschau zu prüfen, bevor du ihn öffnest. Die meisten modernen Handykameras zeigen die dekodierte URL an, bevor sie sie laden — lies diese Adresse und frage dich, ob sie wirklich zu der Organisation gehört, die du erwartest. Ein Werkzeug, das dir zuerst das echte Ziel zeigt, wie die Art, wie du mit QR Puppy einen Code sicher scannen kannst, verwandelt einen unsichtbaren Link in einen, den du tatsächlich beurteilen kannst.

Darüber hinaus:

Gib nie Zugangsdaten oder Kartendaten ein auf einer Seite, die du durch das Scannen eines unerwarteten Codes erreicht hast. Öffne stattdessen die App oder tippe die bekannte Website-Adresse selbst.
Misstraue Dringlichkeit. Echte Organisationen sperren dein Konto nicht, weil du zehn Minuten gebraucht hast, um eine Nachricht über einen anderen Kanal zu prüfen.
Prüfe die Domain genau auf Nachahmungen und Kürzungsdienste, wie in QR-Codes und bösartige URLs behandelt.
Halte das Betriebssystem deines Handys aktuell, damit selbst dann, wenn du auf einer feindlichen Seite landest, bekannte Browser-Exploits gepatcht sind.
Geh unsere QR-Code-Sicherheitscheckliste durch, wann immer sich ein Code auch nur leicht seltsam anfühlt.

Ist Quishing wirklich so verbreitet?

QR-Codes sind heute überall — auf Speisekarten, Verpackungen, im Nahverkehr und in der Werbung — und genau diese Allgegenwart macht Quishing lebensfähig. Wenn das Scannen eines Codes ein normaler, alltäglicher Akt ist, sticht ein bösartiger nicht heraus. Die gute Nachricht: Die Verteidigung ist genauso alltäglich — ein kurzes Innehalten, um das Ziel zu lesen, entschärft fast jeden Versuch. Du brauchst keine spezielle Software und kein technisches Können, nur die Gewohnheit, vor dem Sprung hinzuschauen.

Häufig gestellte Fragen

Ist Quishing etwas anderes als gewöhnliches Phishing?

Das Ziel ist identisch — dich dazu zu bringen, Zugangsdaten, Geld oder Zugang herzugeben. Der Zustellweg unterscheidet sich: Quishing verwendet einen QR-Code statt eines sichtbaren Links, was das Ziel bis zum Scan verbirgt und der Nachricht hilft, textbasierte E-Mail-Filter zu umgehen.

Kann mir schon das Scannen eines Quishing-Codes schaden?

Das Scannen allein dekodiert in der Regel nur einen Link und bietet an, ihn zu öffnen. Der Schaden entsteht durch den Besuch der bösartigen Seite und das anschließende Eingeben von Informationen oder Herunterladen von etwas. Deshalb ist die Vorschau der URL und das Nicht-Handeln eine so wirksame Verteidigung.

Warum setzen Angreifer QR-Codes in E-Mails?

Weil ein Code ein Bild ist, kein Text, können viele E-Mail-Sicherheitsfilter den verborgenen Link nicht lesen und lassen die Nachricht durch. Codes schubsen Opfer außerdem von einem geschützten Arbeitscomputer auf ein weniger verteidigtes privates Handy.

Wie prüfe ich, wohin ein QR-Code führt, bevor ich ihn öffne?

Die meisten Handykameras zeigen die dekodierte URL an, bevor sie sie laden — lies sie sorgfältig. Ein Scanner, der zuerst das echte Ziel offenbart, lässt dich die Domain auf Nachahmungen und Kürzungsdienste prüfen, bevor du je durchtippst.

Was soll ich tun, wenn ich bereits Daten auf einer Quishing-Seite eingegeben habe?

Ändere das Passwort für dieses Konto sofort und überall, wo du es wiederverwendet hast, aktiviere die Mehr-Faktor-Authentifizierung und achte auf verdächtige Aktivität. Waren Kartendaten beteiligt, kontaktiere deine Bank. Melde es dann, wie in unserem Leitfaden zum Melden bösartiger QR-Codes beschrieben.