Quishing: Wie QR-Code-Phishing funktioniert und wie Sie sich schützen

Quishing ist Phishing über einen QR-Code. Der Code kann in einer E-Mail, einem Dokument, auf einem Aufkleber oder in einem Chat erscheinen und auf eine gefälschte Anmeldeseite führen. Für den Schutz ist keine pauschale Wachstumsquote nötig: Entscheidend ist, dass der Code das Ziel für Menschen zunächst verdeckt und den Vorgang häufig vom verwalteten Rechner auf ein Smartphone verlagert.

Warum der Gerätewechsel relevant ist

Textlinks lassen sich vor dem Öffnen vergleichen und von E-Mail-Filtern untersuchen. Bei QR-Codes muss die Zieladresse erst dekodiert werden. Wird dafür ein privates Mobilgerät genutzt, greifen unter Umständen andere Webfilter, Kontrollen und Meldewege als auf dem Firmenrechner.

Das bedeutet nicht, dass QR-Codes klassische Filter immer umgehen oder jedes Mobilgerät ungeschützt ist. Moderne Sicherheitslösungen können QR-Codes erkennen; verwaltete Geräte können ebenfalls Richtlinien und Schutzfunktionen haben. Unternehmen sollten deshalb ihre tatsächliche Konfiguration prüfen, statt sich auf Produktversprechen zu verlassen.

Typische Szenarien

• Eine angebliche Konto- oder MFA-Aktualisierung fordert zum Scan und anschließenden Login auf.
• Eine Rechnung enthält einen QR-Code zu einer manipulierten Zahlungsseite.
• Ein Aufkleber überdeckt einen legitimen Code an einem öffentlich zugänglichen Ort.
• Ein Code in einem internen Chat wirkt durch den vertrauten Kontext glaubwürdig.

Die Zielseite kann Zugangsdaten, Zahlungsinformationen oder Berechtigungen abfragen. Ein Scan allein kompromittiert nicht zwangsläufig das gesamte Unternehmensnetz. Der Schaden hängt davon ab, welche Handlung folgt, welche Schutzmaßnahmen greifen und welche Rechte das betroffene Konto besitzt.

Schutzmaßnahmen für KMU

1. Zieladresse vor dem Öffnen prüfen: Scanner sollten die URL anzeigen. Verkürzte, falsch geschriebene oder unerwartete Domains sind ein Warnsignal.
2. Logins nicht über unerwartete Codes starten: Den bekannten Dienst direkt über App, Lesezeichen oder selbst eingegebene Adresse öffnen.
3. QR-Codes in Schulungen aufnehmen: Übungen sollten E-Mail, Ausdrucke und reale Geschäftsvorgänge berücksichtigen.
4. Mobilgeräte einbeziehen: Updates, Bildschirmsperre, Geräteverwaltung und der Umgang mit privaten Geräten müssen geregelt sein.
5. Phishing-resistente Anmeldung prüfen: Origin-gebundene Verfahren wie FIDO2-Passkeys können das Abgreifen von Zugangsdaten erschweren. Sie beseitigen jedoch nicht Risiken durch kompromittierte Geräte, Session-Diebstahl oder unsichere Kontowiederherstellung.
6. Meldeweg vereinfachen: Mitarbeitende müssen einen verdächtigen Code oder eine verdächtige Seite schnell melden können.

Geschäftsprozesse sind die zweite Verteidigungslinie

Wenn ein QR-Code zu einer Zahlung, Bankverbindungsänderung oder Freigabe führt, sollte der Vorgang über einen unabhängigen Kanal bestätigt werden. Das gilt auch dann, wenn die Nachricht von einem bekannten Konto stammt. Ein kompromittiertes Postfach kann legitime Kommunikationswege missbrauchen.

Die Regeln gehören in den Incident-Response-Plan und in die allgemeine E-Mail-Sicherheitsstrategie. Bei einem Verdacht sollten Zugangsdaten geändert, aktive Sitzungen geprüft und betroffene Konten sowie Endgeräte untersucht werden.

Fazit

Ein QR-Code sollte wie ein verdeckter Link behandelt werden. Sichtbare Zieladresse, direkter Aufruf des bekannten Dienstes, starke Authentisierung und belastbare Freigabeprozesse reduzieren das Risiko. Keine einzelne App oder Schulung kann Quishing vollständig verhindern. Eine IT-Sicherheitsberatung kann E-Mail-, Mobilgeräte- und Identitätskontrollen gemeinsam bewerten.