Quishing: QR-Generatoren sind beliebte Phishing-Ziele

Diese Erkenntnis macht aus dem Argument dieses Beitrags eine belegte Aussage statt einer Meinung. Quishing – Phishing per QR-Code – funktioniert, weil ein gedrucktes Quadrat mit bloßem Auge nicht lesbar ist. Es lässt sich aber *skalieren*, weil seriöse Unternehmen der Öffentlichkeit ein Jahrzehnt lang beigebracht haben, dass das Scannen einer unbekannten Kurzdomain normal ist.

Die Telemetrie von Unit 42 aus dem Februar 2026 erfasst im Durchschnitt mehr als 11.000 Erkennungen schädlicher QR-Codes pro Tag. Der Datenverkehr über QR-Kürzungsdienste stieg von der ersten Hälfte 2023 bis zur ersten Hälfte 2024 um 55 % und bis zur ersten Hälfte 2025 nochmals um 44 %. Sowohl FBI als auch FTC haben öffentliche Warnungen veröffentlicht: Das Internet Crime Complaint Center veröffentlichte PSA 220118 über Kriminelle, die Codes manipulieren, um Geld und Zugangsdaten zu stehlen, und warnte im Juli 2025 erneut vor unbestellten Paketen mit QR-Codes. Die FTC warnte außerdem, dass Betrüger eigene Aufkleber über legitime Codes kleben, und nannte ausdrücklich Parkscheinautomaten.

Warum lässt sich ein QR-Code vor dem Scannen nicht prüfen?

Menschen haben mit einigem Erfolg gelernt, einen Link vor dem Anklicken zu prüfen: mit dem Mauszeiger darüberfahren, die Domain lesen und nach Tippfehlern suchen. Diese Abwehr setzt voraus, dass die URL sichtbar ist.

Ein QR-Code hebelt sie aus. Das Ziel ist in einem Muster verschlüsselt, das kein Mensch mit bloßem Auge entschlüsseln kann. Es gibt kein Darüberfahren mit dem Mauszeiger. Man richtet eine Kamera auf ein Quadrat, und entweder öffnet sich etwas oder nicht. Der einzige mögliche Abwehrmoment ist die Vorschau, die manche Scanner zuerst anzeigen – und auf einem kleinen Bildschirm ist diese Vorschau unter Zeitdruck eine gekürzte Zeichenfolge, die die meisten nicht lesen.

Wie sehen die wichtigsten Angriffe aus?

Das NCSC nennt den E-Mail-Punkt ausdrücklich: Nicht alle Sicherheitstools scannen Bilder. Daher kann ein QR-Code, der auf eine schädliche Website verweist, Filter passieren, die denselben Link als Text erkannt hätten – und Nutzer scannen meist mit einem privaten Telefon, dem die Schutzmaßnahmen eines vom Arbeitgeber verwalteten Geräts fehlen. Unsere Seite zu WLAN-QR-Codes erklärt dieses Nutzlastformat; wenn man weiß, wie es aussieht, kann man einen Code prüfen.

Wie haben Weiterleitungen die letzte Abwehrmöglichkeit beseitigt?

Nehmen wir an, jedes seriöse Unternehmen würde statische Codes verwenden, die die eigene Domain enthalten. Eine Scanner-Vorschau würde restaurant-name.com/menu, cityparking.gov/pay oder yourbank.com/verify anzeigen. Das wäre erkennbar. Eine Vorschau mit x7q-cdn.click/8Hf2 würde dann offensichtlich falsch wirken, weil sie anders wäre als jeder legitime Code, den die betreffende Person je gescannt hätte.

So sieht die Welt aber nicht aus. Sehr viele legitime Codes – von Restaurants, Händlern, Museen, Verkehrsverbünden und sogar Behörden – werden über externe Kurzdomains aufgelöst, die der scannenden Person nichts sagen. Die Folge ist direkt: Eine unbekannte Domain in einer QR-Vorschau signalisiert inzwischen nichts mehr. Die Menschen wurden darauf trainiert, sie hunderte Male zu übersehen, ohne dass etwas passiert.

Unit 42 formuliert das Ergebnis eindeutig: „Selbst sicherheitsbewusste Menschen, die vor dem Scannen die URL-Vorschau prüfen, können das endgültige Ziel nicht feststellen, wenn ihnen verkürzte Links angezeigt werden.“ Die Weiterleitungsbranche hat Quishing nicht erfunden. Sie hat der Allgemeinheit das einzige Erkennungsmerkmal dagegen genommen – der Mechanismus wird unter Weiterleitungsübernahme beschrieben.

Drei weitere Folgen

• Verschleierung. Eine Weiterleitung kann verschiedenen Besuchern unterschiedliche Ziele liefern – einem Prüfer sichere Inhalte und einem Telefon in der Zielstadt die eigentliche Nutzlast. Ein statischer Code kann das nicht; seine Nutzlast ist festgelegt und für alle identisch.
• Verzögerte Aktivierung. Ein Code kann wochenlang auf eine harmlose Seite verweisen, eine Prüfung bestehen und danach umgeschaltet werden. Das ist dieselbe Änderbarkeit, die die Branche als Funktion verkauft.
• Reputationswäsche. Eine bekannte Kurzlink-Domain verleiht allem, worauf sie weiterleitet, einen Anschein von Legitimität.

Wie schützen Sie sich beim Scannen?

1. Lesen Sie die Domain in der Vorschau. Wenn Ihr Scanner keine anzeigt, verwenden Sie einen, der das tut. Das NCSC empfiehlt den in Ihrem Telefon integrierten Scanner statt einer App aus einem Store.
2. Behandeln Sie QR-Codes in unbestellter Post oder E-Mail als gefährlich. Seriöse Organisationen müssen nur selten verlangen, dass Sie zur Lösung eines dringenden Kontoproblems ein gedrucktes Quadrat scannen – genau darum geht es in den beiden FBI-Warnungen oben.
3. Prüfen Sie Aufkleber mit den Händen. Heben Sie eine Kante an. Ein Aufkleber auf einem anderen Aufkleber ist die häufigste Quishing-Methode und lässt sich ertasten.
4. Geben Sie niemals Zahlungsdaten auf einer Seite ein, die Sie durch Scannen erreicht haben. Rufen Sie den Dienst selbst auf, indem Sie die Adresse eingeben oder die App öffnen.
5. Dekodieren Sie den Code, wenn Sie unsicher sind, statt ihn zu scannen. Fotografieren Sie den Code und lesen Sie seine Nutzlast auf unserer Decoder-Seite, ohne etwas zu öffnen.

Was tun, wenn Sie bereits einen schädlichen Code gescannt haben?

Das Scannen allein gefährdet ein Telefon fast nie. Entscheidend ist, was danach passiert ist – richten Sie Ihre ersten Maßnahmen daran aus.

1. Wenn Sie nur eine Seite angesehen und geschlossen haben, ist sehr wahrscheinlich alles in Ordnung. Notieren Sie die Domain für den Fall, dass Sie sie melden müssen, und machen Sie weiter.
2. Wenn Sie ein Passwort eingegeben haben, ändern Sie es sofort auf der echten Website und überall dort, wo Sie es wiederverwendet haben. Aktivieren Sie dabei auch die Mehrfaktor-Authentifizierung.
3. Wenn Sie Kartendaten eingegeben haben, rufen Sie jetzt Ihre Bank an oder sperren Sie die Karte in Ihrer Banking-App, bevor Sie etwas anderes prüfen. Melden Sie eine betrügerische Seite, nicht einen strittigen Kauf.
4. Wenn Sie etwas installiert haben, deinstallieren Sie es und prüfen Sie anschließend die App-Berechtigungen sowie alle Geräteadministrator- oder Bedienungshilfen-Rechte, die es angefordert haben könnte. Diese Berechtigungen sind bei den meisten Fällen auf Mobilgeräten die eigentliche Nutzlast.
5. Wenn Sie über einen Code einem WLAN beigetreten sind, entfernen Sie das Netzwerk und gehen Sie davon aus, dass alles, was während der Verbindung darüber gesendet wurde, beobachtbar war.
6. Melden Sie den Vorfall. In den USA nimmt das FBI über IC3 Meldungen entgegen, die FTC Verbraucherbeschwerden; im Vereinigten Königreich ist Action Fraud zuständig. Wenn der Code als Aufkleber auf öffentlicher Infrastruktur angebracht war, informieren Sie auch den Betreiber der Fläche – eine Parkplatzbehörde kann einen Aufkleber nicht entfernen, von dem sie nichts weiß.

Was Sie nicht tun sollten: annehmen, dass Sie selbst schuld sind, weil Sie gescannt haben. FBI und FTC haben gerade deshalb öffentliche Warnungen herausgegeben, weil diese Codes absichtlich nicht von legitimen zu unterscheiden sind.

Wie schützen Sie Ihre Kunden als Unternehmen?

Wenn Sie QR-Codes drucken, entscheiden Ihre Maßnahmen darüber, ob Ihre Kunden sich überhaupt schützen können.

1. Verwenden Sie statische Codes mit Ihrer eigenen Domain. Dann zeigt die Vorschau Ihren Namen – das ist das einzige Prüfsignal, das beim Scannen verfügbar ist. Diese Änderung hat die größte Wirkung.
2. Drucken Sie die URL in lesbarer Form neben den Code. So erhalten Menschen eine Möglichkeit, die kein Scannen erfordert, und etwas zum Vergleichen.
3. Prüfen Sie Ihre gedruckten Codes regelmäßig. Aufgeklebte Überlagerungen funktionieren nur, solange niemand nachsieht.
4. Leiten Sie Kunden niemals über eine Domain weiter, die nicht Ihren Namen trägt. Das bringt ihnen bei, dass undurchsichtige Ziele in Ordnung sind, und macht es Ihnen unmöglich zu erklären, wie ein legitimer Code Ihres Unternehmens aussieht.

Hier gibt es eine nützliche Verbindung: Die Entscheidung, die Sie vor Abo-Geiselhaft schützt, schützt auch Ihre Kunden vor Phishing.

Erstellen Sie einen statischen Code, der Ihre eigene Domain in der Vorschau anzeigt: URL-QR-Code. Hintergrundinformationen: die Wahrheit über QR-Code-Betrug.