QR-Codes gehören inzwischen ganz selbstverständlich zu unserem Alltag. Wir scannen sie, um Speisekarten zu öffnen, Rechnungen zu bezahlen, Geräte einzurichten oder weiterführende Informationen abzurufen. Genau diese Gewohnheit machen Cyberkriminelle sich zunutze, indem sie so genanntes Quishing verwenden. Sie verstecken schädliche Internetadressen in manipulierten QR-Codes und versuchen Zugangsdaten, Zahlungsinformationen oder andere vertrauliche Daten zu stehlen. Wie du Quishing erkennen und dich davor schützen kannst, erfährst du in diesem Artikel.
Kurz erklärt
Quishing ist Phishing über einen QR-Code. Angreifer verstecken eine schädliche Internetadresse in der Grafik und führen das Opfer auf eine täuschend echte Anmeldeseite. Wer Quishing erkennen möchte, muss deshalb besonders auf den Zusammenhang, den Absender und die angezeigte Zieladresse achten.
📱
Gerätewechsel
Die E-Mail kommt am PC an, der QR-Code wird aber mit dem Smartphone geöffnet.
🔗
Link bleibt verborgen
Die tatsächliche Internetadresse ist im QR-Code zunächst nicht sichtbar.
⏱️
Künstlicher Zeitdruck
Angebliche Kontosperrungen sollen Dich zu schnellem Handeln bewegen.
Was ist Quishing?
Quishing ist eine besondere Variante des klassischen Phishings. Anstatt einen sichtbaren und anklickbaren Link direkt in einer E-Mail zu platzieren, verwenden die Angreifer einen QR-Code. Wird dieser Code mit einem Smartphone oder Tablet gescannt, öffnet sich eine Internetseite, die beispielsweise wie eine echte Microsoft-365-Anmeldung, eine Bankseite, ein Paketdienst oder ein bekanntes Kundenportal aussieht.
Auf dieser gefälschten Seite wird das Opfer anschließend dazu aufgefordert seine Zugangsdaten, Zahlungsinformationen oder persönliche Daten einzugeben. In anderen Fällen führt der QR-Code zu einer schädlichen Datei oder zu einer präparierten Internetseite, über welche Schadsoftware verbreitet werden soll.
Die grundlegende Methode ist nicht neu. Wie beim klassischen Phishing versuchen Cyberkriminelle Vertrauen aufzubauen, Zeitdruck zu erzeugen und Menschen zu einer unüberlegten Handlung zu bewegen. Neu ist vor allem die Art, wie der schädliche Link transportiert wird.
Diese QR-Codes kommen aber nicht nur per eMail oder Brief. Oft werden auch Plakate mit gefälschten Codes überklebt oder man finden sie in freier Wildbahn.
Ein QR-Code ist kein Beweis dafür, dass ein Link sicher ist. Er macht die Zieladresse zunächst lediglich unsichtbar.
Warum ist Quishing für Unternehmen besonders gefährlich?
Quishing ist für Unternehmen besonders problematisch, weil der QR-Code häufig auf einem anderen Gerät geöffnet wird, als die ursprüngliche Nachricht. Ein Mitarbeiter erhält beispielsweise eine E-Mail am geschäftlichen Computer, scannt den darin enthaltenen QR-Code aber mit seinem privaten Smartphone.
Dadurch verlässt der Angriff möglicherweise die geschützte IT-Umgebung des Unternehmens. Der geschäftliche Computer kann durch E-Mail-Sicherheit, Webfilter, Endpoint Protection und zentrale Richtlinien abgesichert sein. Auf einem privaten Smartphone greifen diese Schutzmaßnahmen jedoch häufig nicht.
⚠️ Typisches Risiko im Unternehmensalltag
Der QR-Code wird mit einem privaten Smartphone geöffnet. Die gefälschte Microsoft-365-Seite wird dadurch möglicherweise weder vom Unternehmensfilter, noch von der Endpoint-Security erkannt.
Besonders häufig verstecken Angreifer schädliche QR-Codes in PDF- oder Word-Dokumenten. Die grafische Darstellung soll dabei unter anderem klassische Prüfmechanismen umgehen, die vor allem sichtbare Links und Textbestandteile einer Nachricht analysieren.
So läuft ein Quishing-Angriff ab
01
Glaubwürdige Nachricht
Eine E-Mail warnt vor einer Kontosperrung, einem ablaufenden Passwort oder einem wichtigen Dokument.
02
QR-Code scannen
Der Empfänger wird aufgefordert, den QR-Code mit seinem Smartphone zu öffnen.
03
Gefälschte Anmeldung
Eine täuschend echte Seite fordert zur Eingabe von E-Mail-Adresse und Passwort auf.
04
Kontozugriff
Die gestohlenen Zugangsdaten werden für weitere Angriffe und betrügerische Nachrichten genutzt.
Quishing erkennen: Achte auf diese Warnzeichen
Ein QR-Code ist nicht automatisch gefährlich. Verdächtig wird er jedoch, wenn Du die Nachricht nicht erwartet hast oder zu einer schnellen Handlung gedrängt wirst. Je mehr der folgenden Warnzeichen zutreffen, desto vorsichtiger solltest Du sein.
- ⏱️ Die Nachricht fordert Dich zu sofortigem Handeln auf.
- 🔒 Dein Konto soll angeblich gesperrt oder eingeschränkt werden.
- 📲 Du sollst Dich über einen QR-Code bei Microsoft 365 anmelden.
- 📎 Der QR-Code befindet sich in einem unerwarteten PDF- oder Word-Dokument.
- ✉️ Absendername und tatsächliche Absenderadresse passen nicht zusammen.
- 🌐 Die angezeigte Zieladresse gehört nicht eindeutig zum genannten Anbieter.
- 🔔 Du sollst eine MFA-Anfrage bestätigen, die Du nicht selbst ausgelöst hast.
Quishing erkennen, bevor Du die Seite öffnest
Viele moderne Smartphones zeigen die erkannte Internetadresse zunächst als Vorschau an. Öffne die Seite nicht sofort, sondern lies die Adresse aufmerksam. Achte auf vertauschte Buchstaben, zusätzliche Begriffe, ungewöhnliche Domain-Endungen oder lange und unübersichtliche Adressen.
Eine gefälschte Microsoft-Seite kann beispielsweise das Wort „Microsoft“ in der Adresse enthalten, obwohl die eigentliche Domain einem unbekannten Anbieter gehört. Entscheidend ist nicht, welcher bekannte Markenname irgendwo in der Adresse auftaucht. Entscheidend ist, welche Domain tatsächlich aufgerufen wird.
Die sichere Alternative
Öffne Microsoft 365, deine Bank oder einen anderen Dienst nicht über einen unerwarteten QR-Code. Nutze stattdessen die bekannte App, ein gespeichertes Lesezeichen oder gib die vertraute Adresse selbst im Browser ein.
So können Unternehmen Quishing verhindern
Quishing lässt sich nicht mit einer einzigen Maßnahme vollständig verhindern. Ein zuverlässiger Schutz entsteht durch das Zusammenspiel aus technischer Absicherung, sicheren Anmeldeverfahren und regelmäßig geschulten Mitarbeitern.
🛡️
Technischer Schutz
E-Mail-Sicherheit, Endpoint Protection, Webfilter und verwaltete Mobilgeräte reduzieren das Risiko.
🔑
Sichere Anmeldung
MFA, Passkeys und FIDO2-Sicherheitsschlüssel erschweren den Missbrauch gestohlener Passwörter.
🎓
Security Awareness
Mitarbeiter müssen wissen, wie sie unerwartete QR-Codes prüfen und Verdachtsfälle melden.
Auch ein professioneller Passwortmanager kann das Risiko reduzieren. Auf einer gefälschten Domain werden gespeicherte Zugangsdaten normalerweise nicht automatisch ausgefüllt. Das ist ein wichtiger Warnhinweis. Mitarbeiter sollten Zugangsdaten deshalb nicht manuell eingeben, wenn der Passwortmanager die bekannte Anmeldeseite plötzlich nicht mehr erkennt.
Warum MFA weiterhin wichtig ist
Eine aktivierte Multi-Faktor-Authentifizierung bietet einen wichtigen zusätzlichen Schutz. Selbst wenn ein Passwort gestohlen wurde, benötigen Angreifer normalerweise noch einen zweiten Faktor. Geschäftliche Konten sollten deshalb niemals ausschließlich mit einem Benutzernamen und Passwort abgesichert werden.
MFA ist jedoch kein Grund, bei verdächtigen Anmeldeseiten unvorsichtig zu werden. Moderne Phishing-Angriffe versuchen, Benutzer nicht nur zur Eingabe des Passwortes, sondern auch zur Bestätigung einer Anmeldeanfrage zu bewegen.
Niemals unerwartete MFA-Anfragen bestätigen
Hast Du die Anmeldung nicht selbst gestartet, lehne die Anfrage ab und informiere die IT. Eine unerwartete Bestätigung kann Angreifern direkten Zugriff auf das Konto ermöglichen.
Was solltest Du nach einem verdächtigen QR-Code tun?
Das reine Scannen eines QR-Codes bedeutet nicht automatisch, dass ein Konto oder Gerät kompromittiert wurde. Entscheidend ist, welche Seite geöffnet wurde und welche weiteren Handlungen erfolgt sind.
Sofortmaßnahmen bei einem Verdachtsfall
- Verdächtige Internetseite sofort schließen.
- Keine Dateien herunterladen oder Apps installieren.
- Die zuständige IT oder den IT-Dienstleister informieren.
- Bei eingegebenen Zugangsdaten das Passwort über die echte Seite ändern.
- Aktive Sitzungen und ungewöhnliche Anmeldungen prüfen lassen.
- Bestätigte MFA-Anfragen oder installierte Apps ausdrücklich melden.
Versuche nicht einen möglichen Sicherheitsvorfall zu verheimlichen. Je früher die IT informiert wird, desto größer ist die Chance einen Missbrauch zu verhindern oder zumindest einzudämmen.
Quishing erkennen und Unternehmensdaten schützen
Quishing zeigt, wie flexibel Cyberkriminelle auf bestehende Sicherheitsmaßnahmen reagieren. Wenn Mitarbeiter gelernt haben verdächtige Links nicht anzuklicken, wird der Link einfach in einer Grafik versteckt. Das Ziel bleibt jedoch dasselbe: Zugangsdaten, Zahlungsinformationen oder vertrauliche Unternehmensdaten sollen gestohlen werden.
Wer Quishing erkennen kann und bei unerwarteten QR-Codes ruhig und aufmerksam bleibt, reduziert das Risiko bereits deutlich. Eine einfache Grundregel hilft dabei: Scanne keinen QR-Code, nur weil eine Nachricht behauptet, dass Du sofort handeln musst.
Wie gut ist Dein Unternehmen vor Quishing geschützt?
Arminius IT unterstützt kleine und mittlere Unternehmen dabei ihre IT-Sicherheit ganzheitlich zu verbessern. Dazu gehören zentrale Überwachung, Endpoint Protection, proaktiver IT-Support und verständliche Maßnahmen zur Security Awareness.
Gemeinsam prüfen wir welche technischen und organisatorischen Schutzmaßnahmen zu Deinem Unternehmen passen.
Häufige Fragen zu Quishing
Quishing ist eine Form des Phishings, bei der Angreifer schädliche Internetadressen in QR-Codes verstecken. Der Code führt häufig zu einer gefälschten Anmeldeseite. Auf dieser sollen Zugangsdaten oder andere vertrauliche Informationen gestohlen werden.
Quishing lässt sich unter anderem an unerwarteten QR-Codes, starkem Zeitdruck, angeblichen Kontosperrungen und ungewöhnlichen Absendern erkennen. Vor dem Öffnen sollte immer die angezeigte Zieladresse kontrolliert werden.
Das reine Scannen führt nicht automatisch zu einem erfolgreichen Angriff. Gefährlich wird es vor allem, wenn eine schädliche Seite geöffnet, Zugangsdaten eingegeben, eine Anmeldung bestätigt oder eine Datei heruntergeladen wird.
Multi-Faktor-Authentifizierung verbessert den Schutz eines Kontos deutlich, verhindert aber nicht jede Form des Phishings. Benutzer sollten niemals unerwartete MFA-Anfragen bestätigen und nach Möglichkeit phishing-resistente Anmeldeverfahren verwenden.
Ändere das Passwort sofort über die echte Internetseite des betroffenen Dienstes und informiere die zuständige IT. Zusätzlich sollten aktive Sitzungen, Anmeldeprotokolle und mögliche Änderungen am Konto überprüft werden.
Offizielle Informationen
Quellen und weiterführende Informationen
Die Informationen zur aktuellen Entwicklung von Quishing und zu den empfohlenen Schutzmaßnahmen basieren unter anderem auf Veröffentlichungen von Microsoft Threat Intelligence und dem Bundesamt für Sicherheit in der Informationstechnik.
- Microsoft Security Blog: Microsoft berichtet in seiner Analyse der E-Mail-Bedrohungslage im ersten Quartal 2026 über einen deutlichen Anstieg von QR-Code-Phishing. Die Zahl der erkannten Angriffe stieg von 7,6 Millionen im Januar auf 18,7 Millionen im März. PDF-Dateien waren dabei der häufigste Verbreitungsweg.
Microsoft: Email threat landscape – Q1 2026 trends and insights - Bundesamt für Sicherheit in der Informationstechnik: Das BSI empfiehlt Links in QR-Codes genauso sorgfältig zu kontrollieren, wie Links in E-Mails, SMS oder Suchergebnissen. Insbesondere die tatsächliche Zieladresse sollte vor dem Öffnen geprüft werden.
BSI: E-Mail-Sicherheit – Mythen im Faktencheck - BSI und Polizeiliche Kriminalprävention: Die gemeinsame Phishing-Checkliste enthält praktische Hinweise für den Umgang mit verdächtigen Nachrichten und mögliche Sofortmaßnahmen nach einem Phishing-Vorfall.
BSI und ProPK: Checkliste zum Thema Phishing
Hinweis: Externe Links öffnen sich in einem neuen Browser-Tab und führen zu den offiziellen Internetseiten der jeweiligen Herausgeber.
