KÖLN / LONDON (IT BOLTWISE) – Quishing-Angriffe nutzen manipulierte QR-Codes als Brücke in Richtung Kontozugriff und Zahlungsbetrug. Branchenbeobachter melden eine rasante Zunahme: In vier Jahren stiegen die Fälle auf etwa 18 Millionen weltweit. Gleichzeitig erhöhen Android und iOS den Schutz, doch Sicherheitsforscher warnen vor neuen Angriffsflächen, etwa durch automatisierte QR-Verarbeitung. Für Unternehmen wird zudem deutlich, dass Identitätsrisiken jenseits von Benutzernormen besonders teuer werden können.
Quishing wirkt auf den ersten Blick wie ein Nebenthema des klassischen QR-Booms: Ein Scan, ein Klick, schon landet man angeblich auf einer Zahlungs- oder Sicherheitsseite. Dass daraus inzwischen ein massenhaftes Betrugsmuster geworden ist, liegt an der Unauffälligkeit der Technik. Angreifer kleben manipulierte Codes über legitime QR-Aufkleber – etwa an Parkautomaten oder in Gaststätten – und umgehen so viele Filter, die eher E-Mail-Text und Domains bewerten. Laut aktuellen Branchenzahlen steigt die Zahl der Quishing-Fälle in wenigen Jahren deutlich an; allein der Effekt auf die mobile Klickrate ist immens, weil der Nutzer aktiv den Link “ausführt”.
Technisch betrachtet ist Quishing ein hybrider Angriff: Der QR-Code selbst ist nur der Transportmechanismus, dahinter steckt eine Phishing-Kette, die auf Identitätsdaten und Zahlungsautorisierungen zielt. Im Kern werden Eingaben so gestaltet, dass typische Nutzerprüfungen fehlschlagen – etwa durch vertraute Designs, konsistente Sprache und scheinbar plausibles Timing. Der Angriff profitiert besonders, wenn das Zielgerät beim Öffnen der Zielseite keine zusätzliche Kontextprüfung macht oder wenn der Nutzer die Linkvorschau nicht interpretiert. Damit verschiebt sich der Schwerpunkt von “E-Mail ist verdächtig” hin zu “Scan ist selbstverständlich” – und genau hier entsteht ein neues, systemisches Risiko für Mobile-First-Organisationen.
Die Professionalisierung wird dabei von KI-getriebener Automatisierung beschleunigt. Wo früher Kampagnen stärker manuell erstellt und fehleranfälliger waren, werden heute nach Branchenberichten große Mengen schädlicher Nachrichten täglich produziert – design- und sprachlich so angepasst, dass sie echte Mitteilungen imitieren. Gleichzeitig steigt die Skalierung in der Ausspielung: Statt weniger zielgenauer Versuche werden breite Streuungen gefahren, die durch maschinelles Feintuning die Trefferwahrscheinlichkeit erhöhen. Ein weiterer Faktor ist die Arbeitsteiligkeit in der Untergrundökonomie: Quishing-Operationen liefern häufig den “Einstieg”, während andere Gruppen die Monetarisierung über Kontenübernahme oder betrügerische Zahlungsflüsse übernehmen. Genau diese Verzahnung erschwert es, nur mit Einzelmaßnahmen gegenzusteuern.
Im Markt reagieren Anbieter und OS-Ökosysteme mit harten Sicherheitshebeln. Android setzt laut angekündigten Details bei Android 17 auf eine Diebstahlerkennungssperre (Theft Detection Lock) sowie verbesserte Betrugserkennungs-Algorithmen, was besonders relevant ist, wenn Angreifer Geräteumgebungen missbrauchen oder nach der Erstinfektion weiter eskalieren. Apple wiederum schließt mit iOS 26.5 mehrere Sicherheitslücken, und die Einführung von Post-Quanten-Kryptografie (PQ3) für TLS, VPN und SSH zielt darauf, Datenpfade auch gegen spätere, quantenbasierte Bedrohungen abzusichern. Experten weisen jedoch darauf hin, dass zusätzliche Schutzschichten auch neue Interaktionspunkte erzeugen können – etwa beim automatisierten Umgang mit QR-Inhalten, der Nutzerpfade verkürzt und so die Angriffsoberfläche verschiebt.
Doch für Entscheider zählt nicht nur der Endgeräteschutz, sondern auch der Unternehmenskontext. Identitätsdiebstahl bleibt eine der teuersten Folgen, weil er unabhängig vom konkreten Angriffsweg greift: Wer Geräte-, Konten- oder API-Zugriffe kompromittiert, kann Daten exfiltrieren, Zahlungen anstoßen oder Konfigurationen verändern. Berichte aus der Security-Branche zeigen, dass ein großer Teil der Unternehmen bereits von identitätsbezogenen Vorfällen betroffen war und dass die Wiederherstellung im Schnitt in Millionenhöhe liegen kann. Besonders kritisch ist das Management nicht-menschlicher Identitäten (NHIs) wie API-Schlüssel oder Dienstkonten: Wenn diese Rechte zu weit gefasst sind oder schlecht überwacht werden, reichen wenige Minuten Fehlkonfiguration für einen langfristigen Schaden.
Hier zeigt sich ein historischer Lerntrend: Sicherheitsmodelle, die früher vor allem auf Nutzerverhalten setzten, wurden durch automatisierte und KI-gestützte Angriffe überrollt. Schon in früheren Wellen – bei Phishing, Credential Stuffing oder Banking-Trojanern – hat sich wiederholt, dass “Awareness” allein nicht skaliert, sobald Angreifer die Einstiegshürde senken und die Ausführung beschleunigen. Die aktuellen Entwicklungen verstärken diesen Effekt, weil Quishing-Vektoren auf Geräte-UX aufsetzen. Gleichzeitig nimmt die Vielfalt klassischer mobiler Bedrohungen zu: Berichte nennen deutliche Anstiege bei Banking-Trojaner-Infektionen und weisen auf Kampagnen hin, die über manipulierte Apps im Ökosystem verteilt werden. Das verschiebt die Prioritäten in Richtung besserer Signalgebung auf mehreren Ebenen: OS, Browser, App-Store-Schutz und Identity Governance.
Für die Praxis empfiehlt sich ein Sicherheitsansatz, der “Risikominimierung vor Ausführung” priorisiert. Vor dem Scannen sollten Nutzer die Linkvorschau prüfen und idealerweise die Standard-Kamera-App des jeweiligen Betriebssystems verwenden, weil diese Mechanismen zur Betrugserkennung und zum sicheren UI-Flow typischerweise besser integriert. Drittanbieter-Scanner können zwar Komfort bieten, aber sie bringen oft weniger kontextsensitive Prüfungen mit. Bei physischen Codes ist zusätzlich der Blick auf Klebespuren und nachträgliche Overlays entscheidend: Ein Aufkleber auf dem Original ist häufig bereits die eigentliche Schwachstelle. Wie ein Mobil-Sicherheitsforscher in einem aktuellen Fachgespräch formulierte: “QR ist nur ein Display; die echte Frage ist, welche Vertrauenskette das Gerät nach dem Scan aufbaut.”
Über den technischen Alltag hinaus wächst in Deutschland zudem der regulatorische Rahmen für digitale Identitäten. Das Digital-Identitäts-Gesetz (DIdG) bildet die Grundlage für die European Digital Identity Wallet (EUDI-Wallet), die am 2. Januar 2027 starten soll. Der wichtigste Baustein ist “Selective Disclosure”: Nutzer geben nur die absolut notwendigen Attribute frei – etwa die Volljährigkeit ohne das exakte Geburtsdatum. Das kann gerade im Umfeld von Betrugsszenarien helfen, weil nicht jede Interaktion automatisch eine vollständige Identitätsauskunft erfordert. Gleichzeitig bleibt die Umsetzung anspruchsvoll: Wenn Wallet-Flows zu bequem wirken oder QR-basierte Übergaben zu stark automatisiert sind, entstehen neue Angriffswege, etwa über Social Engineering rund um “scheinbar autorisierte” Scans.
Auch Microsofts Plan, SMS-Authentifizierung zunehmend durch Passkeys abzulösen, passt in dieses Bild: Passkeys reduzieren die Angriffsfläche für einfache Interzeptions- und Weiterleitungsmanöver und verlagern Authentifizierung hin zu kryptografisch robusteren Mustern. Gerade im Zusammenspiel mit Post-Quanten-Vorbereitungen auf Transportebene zeigt sich eine strategische Linie: Sicherheit soll nicht nur heute, sondern auch “in der Zeit danach” funktionieren. Für Unternehmen bedeutet das, dass Roadmaps nicht nur OS-Updates umfassen dürfen, sondern auch Identitätsarchitektur, Schlüsselrotation, Monitoring und Incident-Prozesse. Wer jetzt auf Mehrschicht-Schutz setzt, reduziert das Risiko, dass Quishing als bevorzugte Methode für Identitätsdiebstahl und Finanzbetrug weiter dominiert – insbesondere solange mobile Klickraten und UX-Downstream-Prozesse schneller sind als die menschliche Kontrolle.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Quishing-Angriffe explodieren: Manipulierte QR-Codes treffen 18 Millionen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Quishing-Angriffe explodieren: Manipulierte QR-Codes treffen 18 Millionen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Quishing-Angriffe explodieren: Manipulierte QR-Codes treffen 18 Millionen« bei Google Deutschland suchen, bei Bing oder Google News!