Gefälschte QR-Codes: Quishing wird zur Alltagsfalle

QR-Codes sind praktisch und deshalb überall: auf der Speisekarte, am Parkautomaten, im Brief der Bank. Genau diese Selbstverständlichkeit machen sich Betrüger zunutze. Sie leiten dich mit einem gefälschten Code auf eine nachgebaute Seite, die Zugangsdaten oder Zahlungen abgreift. Die Masche hat einen eigenen Namen bekommen: „Quishing”, ein Kunstwort aus QR-Code und Phishing. Neu ist nicht das Ziel, sondern nur der Weg dorthin.

Warum ausgerechnet QR-Codes

Ein QR-Code verbirgt sein Ziel. Bei einem Link in einer E-Mail kannst du wenigstens die Adresse lesen, bevor du klickst. Beim QR-Code siehst du nur ein Muster und vertraust darauf, dass es dich an die richtige Stelle bringt. Dazu kommt: Du scannst ihn meist mit dem Handy, oft unterwegs und nebenbei. Auf dem kleinen Display ist eine gefälschte Adresse schwerer zu prüfen, und Sicherheitsfilter greifen seltener als am Rechner. Für Betrüger ist der Code deshalb ein bequemer Umweg an deiner Vorsicht vorbei.

Wo dir manipulierte Codes begegnen

Die Masche taucht in ganz alltäglichen Situationen auf:

• Aufkleber im öffentlichen Raum. Über den echten Code am Parkautomaten oder am E-Ladepunkt klebt ein zweiter, der zu einer gefälschten Bezahlseite führt.
• Briefe und Rechnungen. Ein seriös wirkendes Schreiben, angeblich von Bank, Finanzamt oder einem Dienstleister, drängt dich, einen Code zu scannen und dich anzumelden.
• E-Mails mit Code statt Link. Der QR-Code steckt als Bild in der Nachricht. So umgeht er Link-Prüfungen, die einen klassischen Phishing-Link geblockt hätten.
• Aushänge und Flyer. Gefälschte Gewinnspiele oder Umfragen locken mit einem schnellen Scan.

So durchschaust du die Falle

Die gute Nachricht: Die bekannten Phishing-Regeln gelten unverändert, du wendest sie nur eine Stufe früher an, nämlich schon vor dem Scannen.

• Prüfe die Adresse nach dem Scan. Dein Handy zeigt die Zieladresse an, bevor es sie öffnet. Lies sie in Ruhe und öffne sie nur, wenn sie wirklich passt.
• Miss dem Aufkleber Misstrauen bei. Wirkt ein Code aufgeklebt, überklebt oder schief, lass die Finger davon und nutze die offizielle App oder Kasse.
• Gib niemals Zugangsdaten auf einer Seite ein, die du über einen Code erreicht hast. Ruf den Dienst stattdessen über ein Lesezeichen oder die selbst eingetippte Adresse auf.
• Lass dich nicht drängen. Dringlichkeit ist bei QR-Codes dasselbe Warnsignal wie in jeder Betrugsmail.

Für Betriebe: der Rechnungs-QR als Einfallstor

Im Unternehmen zielt Quishing oft auf die Buchhaltung: eine täuschend echte Rechnung mit QR-Code, ein angeblicher Login zum Lieferantenportal. Weil Mitarbeitende solche Codes im Alltag ständig scannen, sitzt die Hemmschwelle niedrig. Klare Regeln helfen, etwa Zahlungen nur über bekannte Portale freizugeben und Codes aus unerwarteten Schreiben grundsätzlich zu ignorieren. Wer das Team gezielt für diese und ähnliche Maschen sensibilisieren möchte, findet passende IT-Security-Awareness-Schulungen bei cmt.de.

Der beste Schutz wirkt ohne dein Urteil

Weil das Auge sich täuschen lässt, sind Maßnahmen am stärksten, die gar nicht erst auf deine Aufmerksamkeit angewiesen sind. Ein Passwort-Manager füllt Zugangsdaten nur auf der echten Adresse aus, nicht auf einer nachgebauten. Und Passkeys funktionieren auf gefälschten Seiten grundsätzlich nicht: Passkeys erklärt. Wie du Betrugsversuche in allen Formen zuverlässig erkennst, zeigt dir Phishing erkennen. Der QR-Code ist am Ende nur eine neue Verpackung für eine alte Masche.