QR-Code-Betrug (Quishing): gefälschte Codes erkennen

Ein QR-Code verbirgt sein Ziel hinter einem Quadratmuster — genau das macht ihn für Angreifer attraktiv. Phishing per QR-Code hat inzwischen einen eigenen Namen: Quishing. Dieser Beitrag zeigt die Maschen, die tatsächlich vorkommen, wie Sie einen Code prüfen, bevor Sie ihm vertrauen, und was Unternehmen für ihre eigenen gedruckten Codes tun sollten.

Was Quishing ist

Quishing ist gewöhnliches Phishing über einen anderen Kanal. Statt eines klickbaren Links erhalten Sie einen QR-Code — auf einem Aufkleber, einem Brief, einer Rechnung oder in einer E-Mail. Sie scannen, landen auf einer überzeugenden Kopie einer Login- oder Bezahlseite und geben Zugangsdaten oder Kartendaten heraus.

Drei Dinge machen die QR-Variante wirksam: Das Ziel ist mit dem Auge nicht lesbar. Gescannt wird am Handy, wo die Adresszeile kurz und leicht zu überlesen ist. Und ein Code in einer E-Mail rutscht oft an Filtern vorbei, die nur Textlinks prüfen.

Maschen, die wirklich vorkommen

• Aufkleber über dem echten Code. Am Parkautomaten, an der Ladesäule oder auf einem Plakat klebt ein fremder Code — bezahlt wird an den Betrüger.
• Gefälschte Rechnung. Ein Brief oder PDF bittet, per Scan zu bezahlen. Die Bankdaten gehören dem Angreifer.
• „Konto bestätigen“. Eine E-Mail behauptet, Postfach, Bankkonto oder Lieferung sei gesperrt, und verlangt einen Scan. Die Seite sammelt Passwort und Zwei-Faktor-Code.
• Benachrichtigung über nicht zugestellte Sendung. Eine Karte im Briefkasten bietet eine neue Zustellung an — gegen eine Kleinstgebühr, die die Kartendaten abgreift.
• Fremdes WLAN. Ein Code verbindet Sie mit einem Netzwerk, das der Angreifer kontrolliert.
• Gewinn oder Umfrage. Ein Code mit Belohnungsversprechen führt zu einem Datenformular oder einer App-Installation.

So prüfen Sie einen Code

1. Vorschau lesen. Aktuelle Handy-Kameras zeigen die Adresse vor dem Öffnen. Lesen Sie die ganze Domain: sichere-bank.example.com ist nicht example.com.
2. Den Aufkleber ansehen. Ein Code, der über einem anderen klebt, schief sitzt oder auf einer sonst unbedruckten Fläche prangt, ist verdächtig. Bei öffentlicher Infrastruktur: kurz mit dem Fingernagel prüfen.
3. Niemals Zugangsdaten auf einer Seite eingeben, die Sie per Scan erreicht haben. Rufen Sie die Seite selbst auf — Domain tippen, Lesezeichen oder offizielle App nutzen.
4. Zahlungsaufforderungen grundsätzlich misstrauen. Parkgebühren, Versorger und Behörden brauchen keinen Aufkleber, um Geld einzuziehen.
5. Dringlichkeit ignorieren. „Innerhalb von 24 Stunden, sonst Sperrung“ ist Druckmittel, keine Frist.
6. Auf Installationsaufforderungen achten. Eine Seite, die sofort ein Profil, Zertifikat oder eine APK will, ist keine Login-Seite.

Was Unternehmen tun sollten

Wenn Sie QR-Codes drucken, ist das Vertrauen Ihrer Kunden Teil Ihrer Infrastruktur. Konkret:

• Eine Domain drucken, die Kunden erkennen. Löst der Code auf Ihre eigene Kurzdomain auf, lässt sich das in der Vorschau prüfen — die Adresszeile wird zum Vertrauenssignal.
• Manipulation sichtbar machen. Laminieren, siegelnde Etiketten verwenden, den Code ins Layout integrieren statt aufzukleben, und stark frequentierte Orte regelmäßig kontrollieren.
• Dynamische Codes nutzen. Wird ein Code missbraucht oder kopiert, leiten Sie ihn in Sekunden um oder schalten ihn ab — statt Druckmaterial zurückzurufen.
• Statistiken beobachten. Plötzliche Ausschläge, eine ungewöhnliche Geräte- oder Browser-Verteilung oder Traffic lange nach Kampagnenende sind Anlass zum Nachsehen.
• Sensibles absichern. Für interne Dokumente oder begrenzte Aktionen sorgen Passwort, Ablaufdatum oder Scan-Limit dafür, dass ein geleakter Code nicht dauerhaft nutzbar bleibt.
• Erwartungen kommunizieren. „Dieser Code öffnet unsere Karte auf example.com — wir fragen nie per QR nach Zahlungen“ nimmt Betrügern die Vorlage.

Bei Enqre ist jeder Code dynamisch: Sie können ihn sofort umleiten oder deaktivieren, die Scan-Statistik zeigt Auffälligkeiten, und Passwort, Ablaufdatum und Scan-Limit stehen in den bezahlten Tarifen bereit.

Häufige Fragen

Kann ein QR-Code einen Virus enthalten?

Nicht für sich. Ein QR-Code ist nur codierter Text, meist ein Link. Das Risiko liegt vollständig im Ziel und in dem, was Sie dort tun — die Sicherheitsfrage betrifft immer die Zielseite, nicht das Muster.

Ist das Scannen einer Speisekarte sicher?

In der Regel ja, mit denselben Prüfungen: Domain in der Vorschau lesen — und misstrauisch werden, wenn ein Menü-Code erst Login oder Zahlung verlangt, bevor er Essen zeigt.

Wie prüfe ich einen QR-Link, ohne ihn zu öffnen?

Kamera-Vorschau nutzen und die Domain lesen. Für mehr Sicherheit die Domain selbst im Browser eintippen statt zu tippen — oder den Link vorab in einem seriösen URL-Reputationsdienst prüfen.

Was tun, wenn ich schon gescannt habe?

Passwort eingegeben: sofort auf der echten Seite ändern und aktive Sitzungen beenden. Kartendaten eingegeben: Bank kontaktieren. Etwas installiert: entfernen und das Gerät prüfen lassen.