Quishing: So schützen Sie sich vor der neuen Betrugsmasche

Eine Bedrohung, die weiter Fahrt aufnimmt: Quishing. Betrüger nutzen QR-Codes, um über Offline-Kanäle an sensible Daten zu gelangen. Erfahren Sie, wie diese Masche funktioniert und warum sie 206 noch relevanter geworden ist. Mit Tipps, wie Sie sich davor schützen können. 

Was ist Quishing? 

Phishing, wörtlich übersetzt „Passwortfischen“ (password fishing), ist vielen ein Begriff. Quishing hingegen ist eine Weiterentwicklung dieser Technik, bei der QR-Codes als Angriffsmittel eingesetzt werden. 

Cyberkriminelle möchten, dass Sie einen QR-Code scannen. Da der Link erst nach dem Scannen sichtbar wird, wird er oft von automatischen Sicherheitsscannern in E-Mails nicht erkannt. Dadurch landen betrügerische Nachrichten häufiger im Posteingang, statt im Spam-Ordner. 

Wie bei allen Phishing-Angriffen geht es den Kriminellen primär darum, Passwörter abzugreifen und für kriminelle Zwecke einzusetzen. 

Um Sie zu täuschen, nutzen die Absender gefälschte E-Mail-Adressen und leiten Sie auf eine nachgebaute Fake-Website – ähnlich wie bei herkömmlichen Phishing-Attacken, jedoch mit dem Unterschied, dass der QR-Code als „versteckter“ Link fungiert. Vorsicht also, welche Website sich nach einem QR-Scan öffnet. 

Eine weitere Masche ist auch oft ein Dokument oder eine Rechnung, die mithilfe des QR-Codes leicht heruntergeladen werden kann. Dahinter verbirgt sich jedoch ein mit Schadsoftware verseuchtes Dokument.  

Werden Sie ebenfalls hellhörig, wenn vertrauliche Daten wie Passwörter oder TANs abgefragt werden oder „dringender Handlungsbedarf“ besteht.

Wie stark nimmt Quishing zu?

Quishing ist längst kein Nischenphänomen mehr sondern entwickelt sich zu einem immer wichtigeren Bestandteil der Cybercrime-Landschaft. Laut dem ESET Threat Report H1 2026 enthielten im ersten Halbjahr 2026 rund 11 Prozent der erkannten Phishing-E-Mails einen QR-Code. Damit enthielt etwa jede neunte Phishing-Mail einen QR-Code.

Auch die Zahl der Angriffe nimmt rasant zu. Microsoft Threat Intelligence registrierte im ersten Quartal 2026 einen Anstieg der QR-Code-Phishing-Angriffe von 7,6 Millionen im Januar auf 18,7 Millionen im März – ein Zuwachs von 146 Prozent innerhalb des Quartals. 

Die Zahlen machen deutlich: Quishing ist längst kein Nischenphänomen mehr. Für Unternehmen bedeutet das: Die Wahrscheinlichkeit, dass Ihre Mitarbeiter mit einem Quishing-Versuch konfrontiert werden, steigt deutlich. 

Warum ist Quishing besonders gefährlich?  

Quishing ist besonders tricky. Dafür gibt es mehrere Gründe: 

• Einfache Erstellung: QR-Codes lassen sich leicht generieren und nutzen. Für Angreifer ist es ein Leichtes, schädliche Websites oder Dateien hinter einem seriös aussehenden und harmlos wirkenden QR-Code zu verbergen. 

• Wenig Bekanntheit: Während Phishing den meisten bereits ein Begriff ist, ist besonders in Unternehmen Quishing noch immer deutlich weniger bekannt. Das erhöht die Wahrscheinlichkeit, dass Mitarbeiter auf diese Betrugsmasche hereinfallen. 

• Schwer zu erkennen: Automatisierte Sicherheitssysteme haben es schwerer, bösartige QR-Codes zu erkennen. Da die schädlichen Links nicht direkt in der E-Mail sichtbar sind, sondern sich hinter einem in der E-Mail eingebetteten QR-Code „verstecken“, sind herkömmliche URL-Scan-Technologien oft wirkungslos. Besonders tückisch: Bei QR-Codes, die in PDF-Anhängen versteckt sind, bleibt laut aktuellen Sicherheitsanalysen ein Großteil beim ersten Scan durch gängige Antiviren-Programme vollständig unentdeckt.

Nicht mehr nur per E-Mail

Was 2024 noch überwiegend ein E-Mail-Phänomen war, hat sich 2026 spürbar ausgeweitet: Quishing-Versuche erreichen Mitarbeiter inzwischen auch per SMS und Messenger sowie ganz analog im öffentlichen Raum etwa über manipulierte Aufkleber auf Parkscheinautomaten, Plakaten oder Ladestationen. Der gemeinsame Nenner bleibt gleich: Ein schnell gescannter Code wirkt vertrauenswürdig, gerade weil man den eigentlichen Link vorher nicht sieht.

Wie können sich Unternehmen schützen? 

Um sich vor Quishing zu schützen, sind sowohl technische als auch menschliche Maßnahmen erforderlich.

1. Technische Schutzmaßnahmen: 

Auf technischer Ebene sollte eine Reihe von Sicherheitslösungen eingeführt werden. Dazu gehört bspw. die Einrichtung einer Multi-Faktor-Authentifizierung auf den Geräten der Mitarbeiter: Dies erschwert es Cyberkriminellen, auf persönliche und geschäftliche Konten zuzugreifen und Daten zu stehlen. 

Auf der menschlichen Ebene sollten Sie Ihre Mitarbeiter für die Gefahren sensibilisieren, die von QR-Codes ausgehen können. Dabei lohnt es sich zu betonen, dass QR-Codes ganz allgemein kein Garant für Legitimität sind. Unabhängig davon, ob sie per E-Mail, SMS oder auf einem Aufkleber daherkommen.

2. Mitarbeitersensibilisierung: 

Schulen Sie Ihre Mitarbeiter, um das Bewusstsein für die Risiken von QR-Codes zu schärfen. Betonen Sie, dass QR-Codes, ähnlich wie Links in E-Mails, kein Zeichen von Legitimität sind. Fördern Sie ein gesundes Misstrauen gegenüber unbekannten Quellen und verdächtigen Anfragen. 

Da Quishing im Wesentlichen eine Variante des Phishings ist, gelten auch hier die gleichen Vorsichtsmaßnahmen: 

• Gesundes Misstrauen: Vertrauen Sie nicht blind auf QR-Codes, vor allem, wenn sie von unbekannten Absendern stammen. 
• Absender überprüfen: Achten Sie auf die Absenderzeile und kontrollieren Sie fehlende Details oder verdächtige Abweichungen. 
• Keine Anhänge oder Links von unbekannten Absendern öffnen: Seien Sie vorsichtig bei Nachrichten, die unerwartete Anhänge oder Aufforderungen enthalten.

SoftEd Security Awareness: Verdachtsmomente erkennen und aktiv melden

Der Mensch als stärkste Verteidigungslinie