Ein QR-Code auf einem Brief, einer Rechnung oder einem Parkautomaten ist schnell gescannt. Genau diese Bequemlichkeit nutzen Betrüger aus: Der Code führt auf eine nachgebaute Anmeldeseite oder zu einer angeblichen Zahlung. Wer dort Daten eingibt, übermittelt sie möglicherweise an Kriminelle. Diese Form des Phishings heißt Quishing.
Sie müssen deshalb nicht jeden QR-Code meiden. Entscheidend ist, die Aufforderung und das Ziel zu prüfen, bevor Sie sich anmelden, etwas installieren oder eine Zahlung freigeben. Dieser Ratgeber erklärt, wie Sie Quishing erkennen und was nach einem verdächtigen Scan zu tun ist.
Was ist Quishing?
Bei Quishing steckt der betrügerische Link in einem QR-Code. Das Muster selbst verrät Ihnen nicht, welche Internetadresse dahinterliegt. Häufig soll eine vertraut wirkende Nachricht zum Scannen verleiten. Erst auf dem Smartphone erscheint dann die gefälschte Website.
Das britische National Cyber Security Centre beschreibt zwei zusätzliche Probleme: Nicht jeder E-Mail-Schutz untersucht Links innerhalb von Bildern. Außerdem wechseln Beschäftigte beim Scannen häufig vom Arbeitsrechner auf ein privates Smartphone, auf dem andere Schutzmaßnahmen gelten. Ein QR-Code ist daher kein Beleg dafür, dass eine Nachricht bereits zuverlässig geprüft wurde. Quelle: NCSC zur Risikoeinordnung von QR-Codes.
Wo Ihnen QR-Code-Betrug begegnen kann
Briefe und Nachrichten mit angeblichem Handlungsbedarf
Die Verbraucherzentrale dokumentiert gefälschte Bankschreiben, die eine Aktualisierung des Online-Bankings verlangen. Auch vermeintliche Gewinnaktionen können dazu dienen, persönliche Angaben einzusammeln. Papier, ein bekanntes Logo und ein ordentliches Layout machen eine Aufforderung nicht automatisch echt. Prüfen Sie solche Anliegen unabhängig: etwa in der selbst geöffneten Banking-App oder über eine bereits bekannte Telefonnummer. Quelle: Verbraucherzentrale zu dokumentierten Quishing-Maschen.
Überklebte Codes an öffentlich zugänglichen Geräten
Das LKA Niedersachsen berichtete im November 2024 über gefälschte QR-Aufkleber auf Parkautomaten in Hannover. Die Codes führten zu einer nachgebauten Bezahlseite. Achten Sie deshalb auf zusätzliche Aufkleber und verdeckte Originalbeschriftung. Nutzen Sie bei Zweifeln eine bekannte Betreiber-App oder eine andere angebotene Zahlungsmöglichkeit. Der damalige Fall zeigt eine Methode; er ist keine Aussage über eine aktuelle Betrugswelle in Weimar. Quelle: LKA Niedersachsen zum Parkautomaten-Fall.
Quishing erkennen: eine Prüfung in fünf Schritten
- Anlass hinterfragen. Erwarten Sie diese Nachricht? Passt die verlangte Handlung dazu? Eine digitale Speisekarte und eine Aufforderung zur Kontofreischaltung verdienen unterschiedliche Aufmerksamkeit.
- Herkunft prüfen. Bei einem unbekannten Absender oder einem sichtbar überklebten Code sollten Sie einen anderen Weg zum Anbieter wählen. Ein professionell gedruckter Aufkleber allein beweist nichts.
- Linkvorschau ansehen. Nutzen Sie möglichst die eingebaute Kamera beziehungsweise den integrierten Scanner. Prüfen Sie, ob vor dem Öffnen eine Internetadresse angezeigt wird. Das Verhalten lässt sich mit einem eigenen, vertrauenswürdigen Code kennenlernen.
- Zieladresse vollständig lesen. Ein Markenname irgendwo in der Adresse reicht nicht. Verbergen ein Kurzlink oder eine abgeschnittene Anzeige das Ziel, ist die Prüfung noch nicht abgeschlossen.
- Vor der Eingabe stoppen. Fragen Sie sich: Warum braucht diese Seite mein Passwort, meine Kartendaten oder eine Freigabe? Im Zweifel öffnen Sie die bekannte App selbst und prüfen dort, ob das Anliegen überhaupt existiert.
Die Hinweise zum integrierten Scanner und zu den Risiken von QR-Mails erläutert das NCSC. Die kanadische Cybersicherheitsinitiative empfiehlt zudem, auf manipulierte Aufkleber und unnötige Datenabfragen zu achten sowie Apps über offizielle App-Stores zu beziehen. Quelle: Get Cyber Safe zur sicheren QR-Nutzung.
Ein einfaches Beispiel für die Adressprüfung
Die folgenden Adressen sind bewusst erfundene Beispiele: Bei konto.beispiel.invalid liegt „konto“ unter der Domain beispiel.invalid. Bei beispiel.invalid.anmeldung.invalid gehört die Adresse dagegen zu anmeldung.invalid. Der vertraute Text links kann also täuschen. Prüfen Sie nicht nur den Anfang der Adresse.
Auch https:// ist kein Echtheitssiegel: Es beschreibt eine verschlüsselte Verbindung und bestätigt nicht, dass die Website zum behaupteten Unternehmen gehört. Bei Unsicherheit müssen Sie keine Domainanalyse meistern. Der selbst gewählte Weg zur bekannten Website ist im Alltag oft einfacher.
QR-Code gescannt: Was sollten Sie jetzt tun?
Notieren Sie zuerst, was tatsächlich passiert ist. Wurde nur eine Vorschau angezeigt? Haben Sie eine Seite geöffnet, Daten eingetragen oder etwas installiert? Diese Unterscheidung hilft bei der weiteren Prüfung. Ein Scan allein beweist noch keine Kontoübernahme.
- Nur eine verdächtige Seite geöffnet: Schließen Sie die Seite. Geben Sie nichts ein und bestätigen Sie keine Downloads, Berechtigungen oder nachträglichen Freigabeaufforderungen.
- Zugangsdaten eingegeben: Öffnen Sie den betroffenen Dienst über einen vertrauenswürdigen Weg und ändern Sie das Passwort. Lassen Sie bei einem Geschäftskonto zusätzlich durch die IT prüfen, ob fremde Sitzungen oder Änderungen vorhanden sind.
- Kartendaten oder eine Zahlung freigegeben: Kontaktieren Sie umgehend Ihre Bank beziehungsweise den Kartenanbieter über dessen offizielle Kontaktdaten. Besprechen Sie Sperrung und weitere Schritte. Bewahren Sie Nachricht, Adresse und Zahlungsinformationen als Nachweise auf.
- Eine App installiert oder umfangreiche Zugriffe erlaubt: Nutzen Sie für sensible Anmeldungen zunächst ein anderes vertrauenswürdiges Gerät und lassen Sie das betroffene Gerät prüfen. Bei einem Firmengerät informieren Sie sofort den zuständigen IT-Ansprechpartner.
Für den Fall gestohlener Kartendaten empfiehlt das LKA Niedersachsen die schnelle Kontaktaufnahme zum Kartenanbieter und eine Anzeige. Die technische Reaktion sollte sich nach den tatsächlich betroffenen Konten und Geräten richten.
Was kleine Unternehmen organisatorisch verbessern können
Eine kurze interne Regel hilft: Neue Anmeldeverfahren, Zahlungsänderungen und ungewöhnliche Datenabfragen werden über einen bekannten zweiten Kontaktweg bestätigt. Legen Sie außerdem fest, wem Beschäftigte verdächtige Nachrichten melden können. Das sollte auch nach einem versehentlichen Klick ohne Vorwürfe möglich sein.
Technische Maßnahmen ergänzen diese Abläufe: aktuelle Geräte, geeigneter E-Mail-Schutz und zusätzliche Absicherung wichtiger Konten. Allein darauf zu hoffen, dass Beschäftigte jeden Betrugsversuch erkennen, reicht nicht. Das NCSC empfiehlt einen mehrschichtigen Schutz mit klaren Meldewegen und vorbereiteter Reaktion auf Vorfälle. Quelle: NCSC zum Phishing-Schutz in Organisationen.
Als praktische Übung können Sie im Team drei Fragen besprechen: Wo melden wir einen Verdacht? Wie erreichen wir unsere IT ohne das betroffene Postfach? Wer darf eine Zahlung stoppen? Dafür braucht es keine fingierte Angriffskampagne und keine Bloßstellung einzelner Mitarbeiter.
Fazit: Vor der Freigabe kurz innehalten
Ein QR-Code spart Tipparbeit, ersetzt aber keine Prüfung des Absenders. Nutzen Sie bei sensiblen Vorgängen den bekannten Zugang zum Anbieter und reagieren Sie zügig, wenn bereits Daten weitergegeben wurden. So wird aus einem unklaren Verdacht eine konkrete nächste Handlung.
Sie möchten Ihre Arbeitsplätze und Konten besser absichern oder einen verdächtigen Vorgang einordnen lassen? Ich unterstütze Sie mit IT-Service für Unternehmen und Privatkunden in Weimar und Umgebung dabei, passende Maßnahmen für Ihre Situation festzulegen.
