Malte ZanderInhalt
Quishing ist Phishing per QR-Code. Der Code versteckt einen Link zu einer gefälschten Login-, Zahlungs- oder Prüfseite, und gescannt wird mit einem Smartphone, das keine Firmenfilter schützen. Lesen Sie die Domain, bevor Sie einen gescannten Link öffnen. Als Marke halten Sie jeden Code auf Ihrer eigenen Domain und drucken diese Domain daneben.
- Der Sicherheitsanbieter Mimecast fand im vierten Quartal 2025 655.673 einzigartige bösartige QR-Codes, 9 % weniger als die 716.306 im dritten Quartal (APWG).
- Zwischen Oktober 2024 und März 2025 zählte Mimecast mehr als 1,7 Millionen einzigartige bösartige QR-Codes, und im Schnitt enthielten 2,7 Millionen E-Mails pro Tag QR-Codes (APWG).
- Die US-Verbraucherschutzbehörde FTC warnt vor Betrügern, die QR-Codes an Parkautomaten überkleben, und vor Codes, die per SMS und E-Mail mit erfundenen Gründen verschickt werden (FTC).
Was ist Quishing?
Quishing, kurz für QR-Code-Phishing, ersetzt den anklickbaren Link durch einen QR-Code. Der Code führt zu einer Seite, die eine echte nachahmt, damit Menschen Zugangsdaten, Kartendaten oder persönliche Daten eingeben. Er kann auch zu einem Schadprogramm führen (FTC).
Für eine Marke ist der Code nur der Transportweg. Dahinter wartet dieselbe gefälschte Login-, Zahlungs- oder Prüfseite wie bei jedem anderen Fall von Markenmissbrauch.
Warum nutzen Kriminelle QR-Codes?
Weil ein QR-Code genau den Moment entfernt, in dem Menschen die Fälschung bemerken würden:
Der Link ist unsichtbar. Über ein gedrucktes Quadrat fährt niemand mit der Maus. Die Vorschau am Smartphone ist klein und wird oft übersprungen.
Das Gerät wechselt. Gescannt wird mit dem privaten Smartphone, außerhalb der Filter und Schutzmaßnahmen des Firmenlaptops, auf dem die Mail ankam.
Ein Bild ist schwerer zu prüfen als Text. Ein Code in einem Bild oder PDF fällt Filtern weniger auf als ein geschriebener Link.
Gewohnheit hilft den Tätern. Menschen scannen täglich Codes für Speisekarten, Parkgebühren, Tickets und Bordkarten (FTC).
Zeitdruck erledigt den Rest. Eine gescheiterte Zustellung, ein Problem mit dem Konto oder ein angeblich nötiger Passwortwechsel bringen Menschen dazu, zu scannen, bevor sie nachdenken.
Wo tauchen gefälschte QR-Codes auf?
Überall dort, wo Menschen ohnehin einen Code von Ihnen erwarten. Die Liste Ihrer eigenen QR-Kontaktpunkte ist deshalb die beste Karte dafür, wo Fälschungen auftauchen.
| Wo | Typischer Vorwand | Was hinter dem Code wartet |
|---|---|---|
| E-Mail oder PDF-Anhang | Konto bestätigen, Dokument unterschreiben | Eine Kopie Ihrer Login-Seite |
| Brief oder Rechnung | Offenen Betrag begleichen, Bankdaten aktualisieren | Eine gefälschte Zahlungsseite in Ihrem Namen |
| Aufkleber über einem echten Code an Parkautomaten, Plakaten oder Ladesäulen | Hier bezahlen | Eine gefälschte Zahlungsseite |
| SMS oder Paketbenachrichtigung | Zustellung neu planen | Eine gefälschte Sendungsverfolgung oder Zahlungsseite |
| Zertifikat oder amtliches Dokument | Zur Prüfung scannen | Eine gefälschte Prüfseite, die eine Fälschung bestätigt |
| Social-Media-Beitrag oder Anzeige | Gewinn oder Rabatt sichern | Eine Seite, die Daten oder Zahlungen abgreift |
Der Fall der Zertifikate ist besonders schwer zu erkennen, weil das gefälschte Dokument seinen eigenen Code zu seiner eigenen Fake-Prüfung mitbringt. Unser Leitfaden zu Zertifikatsbetrug erklärt, wie diese Seiten funktionieren.
Wie prüfen Sie einen QR-Code, bevor Sie ihm vertrauen?
Diese Schritte gelten für Ihr Team und gehören in Ihre Hinweise für Kunden:
Link in der Vorschau lesen, bevor Sie ihn öffnen. Die Domain ist der Teil direkt vor dem ersten einfachen Schrägstrich.
Domain von rechts lesen. Bei ihremarke.verify-login.com gehört die Seite zu verify-login.com, nicht zu Ihrer Marke.
Nie über einen gescannten Link anmelden oder bezahlen. Öffnen Sie stattdessen die App oder tippen Sie die bekannte Adresse ein.
Codes in unerwarteten Mails und SMS ignorieren, besonders wenn sie drängen. Kontaktieren Sie das Unternehmen über eine Nummer oder Website, die Sie bereits kennen (FTC).
Gedruckte Codes auf Aufkleber prüfen, die über das Original geklebt wurden.
Das Smartphone aktuell halten und Konten mit Multi-Faktor-Authentifizierung schützen.
Wie machen Marken ihre eigenen QR-Codes vertrauenswürdig?
Sie machen Ihre echten Codes leicht überprüfbar, damit Fälschungen auffallen:
Eigene Domain für jeden Code. Anonyme Linkverkürzer und Weiterleitungsdienste Dritter gewöhnen Menschen an fremde Adressen.
Domain neben den Code drucken, zum Beispiel: scannen oder ihremarke.de/pruefen eingeben.
Landing- und Prüfseiten auf der Hauptdomain halten, nicht auf einer neuen Domain je Kampagne.
Nach einem Scan nie direkt Zugangs- oder Zahlungsdaten abfragen, und das in Ihrer Kommunikation auch so sagen.
Signieren, was der Code bestätigt. Signierte digitale Nachweise lassen sich unabhängig von einer Website prüfen. Siehe signierte Nachweise oder PDF-Zertifikat.
Eine Stelle zum Melden anbieten für Codes, die verdächtig wirken.
Was tun Sie, wenn ein gefälschter QR-Code Ihren Namen nutzt?
Vollständige URL auslesen, mit allen Parametern, und den Code in seiner Umgebung fotografieren oder als Screenshot sichern.
Die Zielseite melden, bei Hoster, Registrar und Google Safe Browsing. Unser Leitfaden Phishing-Seite melden nennt alle Meldewege.
Bei gedruckten Codes den Betreiber informieren, etwa die Parkraumbewirtschaftung, und bei abgeflossenen Zahlungen die Polizei.
Kunden warnen, mit einem Bild Ihres echten Code-Designs und der echten Domain. Siehe Kunden warnen, ohne Panik auszulösen.
Neue Domains beobachten, die demselben Muster folgen.
Starten Sie den kostenlosen Fraud-Scan und erhalten Sie innerhalb von 48 Stunden einen Kurzreport zu Lookalike-Domains und kopierten Seiten.
Häufige Fragen
Ist das Scannen eines QR-Codes an sich gefährlich?
Der Scan zeigt nur einen Link. Gefährlich wird es, wenn Sie ihn öffnen und Daten eingeben, eine Zahlung freigeben oder etwas installieren. Lesen Sie die Domain, bevor Sie den Link öffnen.
Erkennen E-Mail-Filter Quishing?
Nicht zuverlässig. Der Link steckt in einem Bild, und gescannt wird mit einem Smartphone, das der Firmenfilter nicht schützt.
Sind QR-Codes auf Zertifikaten ein Sicherheitsmerkmal?
Nur, wenn sie zu einer Seite führen, der man vertrauen kann. Ein gefälschtes Zertifikat kann einen eigenen Code tragen, der auf eine gefälschte Prüfseite führt. Entscheidend ist die Domain hinter dem Code, nicht der Code.
Was unterscheidet Quishing von Smishing?
Smishing nutzt SMS, Quishing nutzt QR-Codes. Beides holt das Opfer aufs Smartphone, wo Links schwerer zu prüfen sind.
Quellen
APWG Phishing Activity Trends Report, Q4 2025, veröffentlicht am 18. Februar 2026
APWG Phishing Activity Trends Report, Q1 2025, veröffentlicht am 2. Juli 2025
FTC-Verbraucherwarnung zu schädlichen Links in QR-Codes, 6. Dezember 2023