Vertrautheit mag in der Cybersicherheitswelt zu Selbstgefälligkeit führen, was durchaus gefährlich sein kann. So verhält es sich beispielsweise mit QR-Codes, die mittlerweile ein alltäglicher Anblick auf Speisekarten, Laternenpfählen und Parkuhren sind – und in den letzten Jahren zunehmend auch in E-Mails auftauchen. Die Herausforderung besteht darin, dass sie sich hervorragend dazu eignen, bösartige Links zu tarnen. Sie umgehen damit einige herkömmliche Sicherheitsfilter in Unternehmen und verlagern die Interaktion von einem Unternehmenscomputer auf ein privates Smartphone mit weniger Sicherheitskontrollen.
Angreifer werden weiterhin experimentieren und neue Wege entwickeln, um einer Entdeckung zu entgehen. Dazu gehören auch neue „Quishing“-Techniken, um ahnungslose Mitarbeiter in die Falle zu locken. Hier erfahren Sie, was Sie wissen müssen, um Ihr Unternehmen zu schützen.
Warum ist Quishing so gefährlich?
QR-Code ist die Abkürzung für „Quick Response“ und bezeichnet einen zweidimensionalen Barcode, der URLs, Zahlungsdaten, Kontaktinformationen und andere Daten kodieren kann. Er hilft Anwendern, schnell von A nach B zu gelangen: zumeist auf eine Website oder eine App. Sie sind aus mehreren Gründen für Angreifer attraktiv. Ihre weit verbreitete Nutzung, die durch die Nachfrage nach kontaktlosen Interaktionen während der Pandemie noch beschleunigt wurde, hat das Scannen von QR-Codes zu einem ganz normalen Bestandteil des Alltags gemacht. Das bedeutet, dass wir heute eher dazu neigen, unser Smartphone zu zücken, um sie zu scannen, als noch vor einigen Jahren.
Außerdem lassen sie sich nahtlos in Phishing-Abläufe integrieren. Man muss lediglich den bösartigen Link oder Anhang durch einen QR-Code ersetzen. Und sie lassen sich in Sekundenschnelle erstellen. Tatsächlich verfügen viele Phishing-Kits über einen eigenen QR-Code-Generator. Vor allem aber führen sie das Opfer aus einer relativ gut geschützten Unternehmensumgebung auf ein potenziell nicht verwaltetes mobiles Gerät und umgehen so die Sicherheitsmaßnahmen auf Unternehmensniveau.
Ein wichtiger Vorteil für den Angreifer ist die Verschleierung. Das Ziel ist in einem visuellen Muster verschlüsselt und wird nicht als lesbarer Text angezeigt. Dadurch werden die dahinter verborgenen bösartigen URLs so getarnt, dass einige herkömmliche E-Mail-Filter sie nicht extrahieren und überprüfen können. Manchmal werden sie zusätzlich verschleiert, indem sie in PDF- oder JPEG-Anhänge eingebettet werden. Und somit mit größerer Wahrscheinlichkeit in den Posteingängen Ihrer Mitarbeiter landen. Wenn dies geschieht, fällt es Ihren Mitarbeitern möglicherweise schwer, eine echte Nachricht von einer bösartigen zu unterscheiden. In der Regel gibt es nicht viel Text, der auf Tipp- oder Grammatikfehler analysiert werden könnte. Und da der Link praktisch in einem visuellen Muster verschlüsselt ist, ist er für das menschliche Auge unsichtbar.
Wird der Quishing-Angriff in Verbindung mit einer vertrauenswürdigen Marke eingesetzt – etwa einer E-Mail von DocuSign oder einem Update von Microsoft –, nutzt er ähnliche Social-Engineering-Taktiken wie klassische Phishing-Nachrichten. Vertrauenswürdige Markenzeichen geben dem Opfer die Gewissheit, dass es den Link anklicken kann. Und durch den Vorwand wird oft ein Gefühl der Dringlichkeit erzeugt. Bösartige QR-Codes sind häufig in Benachrichtigungen eingebettet, die Nutzer dazu auffordern, ihr Konto zu sichern oder sich anzumelden, um ihre Daten zu bestätigen.
Tatsächlich waren laut dem ESET-Threat Report HJ1 2026 in nicht weniger als 11 Prozent aller Phishing-E-Mails in der ersten Jahreshälfte bösartige QR-Codes eingebettet. „ESET verfolgt Quishing-E-Mails unter dem Erkennungsnamen QRCode/Phishing. Diese Erkennung erfolgt über eine spezielle Ebene des ESET-E-Mail-Scanners, die QR-Codes in den allermeisten Dateitypen identifiziert und die darin enthaltenen URLs entschlüsselt. Die extrahierten URLs werden mithilfe der ESET-Engines für Anti-Phishing, Anti-Malware und Anti-Spam gescannt. Schädliche URLs werden blockiert und die zugehörigen E-Mails markiert oder gelöscht“, heißt es in dem Bericht.
Angreifer entwickeln immer neue Methoden
Wie bei jedem Trend in der Bedrohungslandschaft verfeinern böswillige Akteure ihre Vorgehensweisen kontinuierlich, um eine maximale Wirkung zu erzielen. Quishing-Angriffe werden nicht nur dazu genutzt, Malware zu installieren und Anmeldedaten zu stehlen, sondern auch, um MFA-Token zu erbeuten. Sicherheitsforscher haben sie zudem in Angriffen beobachtet, die darauf abzielen:
- die Sicherheitsmaßnahmen von App-Stores durch direkte App-Downloads zu umgehen, bei denen Malware als legitime Apps getarnt ist
- den Nutzer nicht auf eine bösartige Website oder Phishing-Seite weiterzuleiten, sondern direkt mit einer legitimen Social-Media-, Zahlungs- oder anderen App zu verknüpfen. Dies könnte in verschiedenen Szenarien genutzt werden, wie zum Beispiel:
- Kontoübernahme, bei der das Opfer dazu veranlasst wird, den Angreifer in seinem Konto zu authentifizieren
- Finanzbetrug, bei dem das Opfer zu einer Zahlungs-App mit vorausgefüllten Empfängerangaben weitergeleitet wird
- Kontakt-/Kalender-Poisoning, bei dem bösartige Meeting-Links oder neue Kontaktdaten in Utility-Apps eingebettet sind und Nutzer beim Anklicken auf Phishing-Seiten umgeleitet werden
- Schädliches WLAN, bei dem das Opfer automatisch mit dem betrügerischen Zugangspunkt eines Angreifers verbunden wird
- Verschleierung von Sicherheitstools durch den Einsatz von QR-Code-Kürzern, die lange, bösartige Webadressen in kurze Links umwandeln und diese in QR-Codes einbetten
Selbst staatlich geförderte APT-Gruppen nutzen Quishing als Teil ihrer Vorgehensweise. In einer FBI-Meldung vom Januar 2026 wurde davor gewarnt, dass die nordkoreanische Gruppe „Kimsuky“ Thinktanks, akademische Einrichtungen sowie US-amerikanische und ausländische Regierungsstellen mit eingebetteten QR-Codes in Spear-Phishing-E-Mails ins Visier nahm. Die Köder waren vielfältig. In den betreffenden E-Mails wurde unter anderem behauptet, dass das Scannen des Codes die Nutzer zu Fragebögen, Registrierungsseiten und sicheren Laufwerken führen würde.
So schützen Sie Ihr Unternehmen vor QR-Phishing
Glücklicherweise kann eine gut abgestimmte Kombination aus Maßnahmen in den Bereichen Personal, Prozesse und Technologie dazu beitragen, das Quishing-Risiko für Ihr Unternehmen erheblich zu verringern.
Beginnen Sie bei den Mitarbeitern. Integrieren Sie das Thema „Quishing“ in Schulungen zur Sensibilisierung der Nutzer und in Simulationsübungen. Ermutigen Sie die Mitarbeiter, das Scannen von QR-Codes in unaufgeforderten E-Mails zu vermeiden und verdächtige Vorfälle zu melden. Wenn sie glauben, dass die E-Mail aus einer vertrauenswürdigen Quelle stammt, sollten sie sich bei dem Absender vergewissern: und zwar mithilfe von Kontaktdaten, die nicht aus der E-Mail selbst stammen.
Als Nächstes sollten Sie technische Kontrollmaßnahmen in Betracht ziehen, darunter E-Mail-Sicherheitslösungen von einem renommierten Anbieter, um das Risiko zu minimieren, dass Quishing-E-Mails in den Posteingängen der Nutzer landen. Installieren Sie eine mobile Sicherheitslösung auf den Geräten der Mitarbeiter, um den Zugriff auf bösartige Websites und andere Bedrohungen zu blockieren. Verlangen Sie außerdem eine phishing-resistente Multi-Faktor-Authentifizierung (MFA) für alle sensiblen Konten, damit Angreifer selbst dann, wenn Nutzer hereingelegt werden, keinen Zugang zu den Unternehmenssystemen erlangen können. Tools zur Verwaltung mobiler Geräte (MDM) können Ihnen dabei helfen, sicherzustellen, dass alle Geräte gemäß den Unternehmensrichtlinien geschützt sind.
Reduzieren Sie die Angriffsfläche, setzen Sie das Prinzip der geringsten Berechtigungen und den Just-in-Time-Zugriff durch. Halten Sie alle mobilen Betriebssysteme und Unternehmenssoftware auf dem neuesten Stand, einschließlich Ihrer Sicherheitstools. Führen Sie zudem eine kontinuierliche Überwachung auf verdächtige Aktivitäten durch. Üben Sie Pläne zur Reaktion auf Vorfälle für den Fall eines Worst-Case-Szenarios.
Keine Neuheit mehr
QR-Codes haben sich von einer Art Neuheit zu einem alltäglichen Anblick in Unternehmen entwickelt. Das Gleiche gilt für „Quishing“. Vertrautheit muss nicht zwangsläufig zu Nachlässigkeit führen. Genauso wie sich die Mitarbeiter daran gewöhnt haben, bei herkömmlichem Phishing per E-Mail und SMS misstrauisch zu sein, können sie darin geschult werden, die Warnzeichen eines möglichen Quishing-Versuchs zu erkennen. Unter den richtigen Umständen kann Vertrautheit die Sicherheit erhöhen.
