DEUTSCHLAND / LONDON (IT BOLTWISE) – Quishing-Angriffe treffen zunehmend mobile Nutzer: Kriminelle kombinieren gefälschte QR-Codes mit Phishing-Seiten, um Passwörter, Bankdaten oder Schadsoftware zu erbeuten. Behörden berichten von stark steigenden Fallzahlen, während Sicherheitsfirmen neue Angriffsmuster beobachten, die Zwei-Faktor-Absicherungen aushebeln. Der Artikel ordnet ein, warum die Täter dank KI glaubwürdigere Ziele bauen können und welche Schutzmaßnahmen im Alltag wirklich greifen.
Quishing ist für viele Nutzer noch ein Begriff, der irgendwo zwischen „verdächtigem Link“ und „QR-Code als neutraler Einstieg“ schwebt. In der Praxis wird daraus jedoch längst eine hochskalierte Betrugskampagne gegen mobile Endgeräte: Gefälschte QR-Codes leiten auf täuschend echte Webseiten um, die sich wie legitime Zahlungs- oder Login-Portale anfühlen. Während klassische Phishing-Mails lange dominierten, steigt der Druck nun über den öffentlichen Raum und über E-Mail-Kampagnen gleichzeitig. Für Unternehmen ist das besonders relevant, weil Angriffe zunehmend auf schnelle Handlungen abzielen—etwa das spontane Scannen an Parkautomaten oder Ladesäulen—und damit Nutzer-Entscheidungen in Sekundenbruchteilen ausnutzen.
Die Kernidee bleibt dabei simpel, aber wirkungsvoll: Der QR-Code fungiert als „Trigger“, der die anfällige Stelle im Ablauf verlagert. Statt auf eine E-Mail mit Link zu klicken, scannen Nutzer den Code mit der Kamera-App, woraufhin die Ziel-URL automatisch im Browser aufgerufen wird. Täter manipulieren den QR-Code physisch, beispielsweise indem sie Aufkleber über Originale kleben, oder digital, indem sie QR-Codes in Nachrichten einbetten. Sobald der Browser eine scheinbar vertraute Domain anzeigt, beginnt der eigentliche Angriff: Das Setup zielt typischerweise auf das Abgreifen von Anmeldedaten, die Manipulation von Zahlungsströmen oder die Vorbereitung weiterer kompromittierender Schritte über Schadsoftware.
Technisch betrachtet verschiebt Quishing die Sicherheitsannahmen von „E-Mail ist der Angriffsvektor“ zu „QR-Scanning ist ein vertrauenswürdiger Interaktionspunkt“. Genau dort verlieren viele Organisationen und Nutzer traditionelle Schutzmechanismen aus dem Blick. Mobile Browser und QR-Scanner bieten zwar teilweise Vorschauen, doch in realen Angriffsketten zählt, ob der Nutzer die Zieladresse wirklich prüft, bevor die Seite geladen wird. Hinzu kommt, dass KI-gestützte Tools die Gestaltung von Phishing-Seiten deutlich konsistenter machen: Layout, Copywriting und Redirect-Ketten lassen sich schneller an Zielgruppen anpassen. Damit wird die Prüfung für Menschen schwerer—und die Angriffe werden im Vergleich zu früheren Wellen skalierbarer.
Die Zahlen verdeutlichen die Größenordnung der Verschiebung. Laut den berichteten Ermittlungs- und Risikoeinschätzungen seien Angriffe auf Mobilgeräte in kurzer Zeit um 196% gestiegen und erreichten damit ein Volumen von rund 1,24 Millionen Vorfällen. Das ist mehr als eine Momentaufnahme: Wenn 60% der E-Mails mit QR-Codes als Spam eingestuft werden und die Dunkelziffer höher ausfällt, bedeutet das, dass weite Teile der Kampagnen unentdeckt bleiben. Experten betonen daher, dass sich Quishing nicht nur nach „wie oft wird gescannt?“ beurteilen lässt, sondern auch nach „wie oft werden die Opfer wirklich aktiv“. Gerade im Unternehmensumfeld steigt die Wahrscheinlichkeit, dass kompromittierte Zugangsdaten später für weitere Angriffe genutzt werden.
Auch geografisch und taktisch entwickelt sich das Muster weiter. Aus Asien werden Fälle beschrieben, in denen UPI-nahe Bezahlprozesse missbraucht werden: Opfer scannen einen QR-Code in der Hoffnung auf eine Zahlung, autorisieren aber ungewollt Transaktionen an Angreifer. In Malaysia berichten Sicherheitsfirmen zudem über „Authentication-in-the-Middle“-Ansätze, die Zwei-Faktor-Authentifizierung in Echtzeit gefährden, indem sie Login-Daten während der Interaktion abfangen. Parallel dazu warnte das FBI vor der Kampagne „Kali365“, die gezielt Microsoft-365-Konten angreift. Für Unternehmen ist das eine klare Wettbewerbs- und Abwehrwarnung zugleich: Während Identity-Provider und Security Suites stärker werden, passen Angreifer ihren Fokus auf bekannte Plattformen und deren Login-Workflows an.
In der Vergangenheit zeigte sich, dass Betrugsmaschen oft in Wellen kommen und sich an den jeweils „bequemsten“ Kanälen ausrichten. QR-Codes waren zunächst vor allem für Marketing und schnelle Zugriffe bekannt; Sicherheitsprozesse waren dagegen häufig nicht in gleicher Tiefe ausgebaut wie bei klassischen Links. Daraus entstand die Angriffsoberfläche, die Quishing heute nutzt: Ein QR-Code sieht für viele Nutzer wie ein neutraler Verweis aus, obwohl er wie ein Link funktioniert und damit eine klare Sicherheitsentscheidung erzwingt. Der Schritt von „jemand hängt einen schlechten Link in eine E-Mail“ zu „jemand platziert ein täuschend echtes Code-Objekt an der physischen Welt“ ist genau das, was diese Masche für Mobilnutzer so gefährlich macht.
Als Gegenmittel nennen Behörden und Sicherheitscommunity vor allem das konsequente Überprüfen der Ziel-URL. Praktisch heißt das: Nach dem Scannen muss die angezeigte Webadresse sichtbar kontrolliert werden, bevor die Seite bestätigt oder geladen wird. Ebenso werden Hinweise zum Erkennen manipulierten Materials genannt—etwa schiefe Aufkleber über Originalcodes. Moderne Sicherheitssoftware wird dabei als weiterer Layer empfohlen, weil sie QR-Ziele vor dem Öffnen analysieren kann. Und falls dennoch etwas schiefgeht, wird schnelle Schadbegrenzung priorisiert: Flugmodus einschalten, betroffene Bank oder den Dienst informieren und umgehend Anzeige erstatten. In Deutschland ergänzen Notfall- und Sperrprozesse wie 116 116 diese Kette, indem sie die Zeit bis zur Kontosicherung verkürzen.
Für Unternehmen verschiebt sich damit die Priorität von „Awareness-Schulung als Einmalmaßnahme“ zu „Design von sicheren Identitäts- und Interaktionsflüssen“. Hier kommt Passkey-Technologie ins Spiel: Passwortlose Anmeldungen können Phishing stark reduzieren, weil Angreifer keine klassischen Passwortwerte mehr einfach ausnutzen können. Stattdessen werden kryptografische Schritte zwischen Gerät und Dienst genutzt, die nicht ohne weiteres in eine beliebige Phishing-Webseite übertragbar sind. Das beantwortet eine zentrale Schwachstelle: Wenn KI-gestützte Kampagnen immer bessere, glaubwürdige Phishing-Seiten erzeugen, wird das menschliche Erkennen unsicherer. Passkeys senken die Angriffsqualität, selbst wenn eine Zielseite optisch überzeugend wirkt.
Blickt man in die Zukunft, ist mit weiteren Anpassungen zu rechnen. Wenn KI die Erstellung von täuschend echten Zielen beschleunigt und QR-Codes als „Ein-Tipp-Trigger“ dienen, werden Angreifer wahrscheinlich stärker auf regionale Bezahl- und Login-Varianten setzen und dabei zunehmend Echtzeit-Techniken integrieren. Branchenbefürchtungen zeigen außerdem, dass kleine und mittelständische Betriebe besonders verwundbar sind, weil Ressourcen für Security-Härtung und Monitoring oft fehlen. Der wichtigste Ausblick für IT- und Security-Leader lautet daher: Quishing muss in Mobile-Policy, Browser-Schutz, Identity-Strategie und Incident-Playbooks gemeinsam gedacht werden. Wer die „goldene Stunde“ organisatorisch vorbereitet, gewinnt nicht nur Zeit—sondern reduziert die Wahrscheinlichkeit, dass gestohlene Credentials in die nächste Angriffsphase weiterverwendet werden.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Quishing-Betrug auf dem Smartphone: KI treibt QR-Code-Phishing um 196% nach vorn" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Quishing-Betrug auf dem Smartphone: KI treibt QR-Code-Phishing um 196% nach vorn" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Quishing-Betrug auf dem Smartphone: KI treibt QR-Code-Phishing um 196% nach vorn« bei Google Deutschland suchen, bei Bing oder Google News!