BERLIN / LONDON (IT BOLTWISE) – Das Bundeskriminalamt warnt vor Quishing: Kriminelle manipulieren QR-Codes oder ersetzen sie in Nachrichten, damit Opfer auf gefälschte Webseiten mit Bankdaten-Eingaben gelangen. Besonders riskant ist das Verhalten moderner Smartphones, die nach dem Scan Zielseiten teils automatisch öffnen. Ergänzend warnen Behörden auch vor gefälschten QR-Codes an stationären Geräten wie Parkscheinautomaten. Für Unternehmen bedeutet das: Awareness allein reicht nicht, es braucht klare Prüfmechanismen und einen Notfallplan.
Das Wort „Quishing“ steht inzwischen stellvertretend für eine Entwicklung, die viele IT-Sicherheitsverantwortliche aus Phishing-Szenarien kennen, aber in einem neuen Bedienmuster auftritt: Statt auf einen Link zu klicken, scannt man einen QR-Code. Genau das macht die Masche so gefährlich. Wer den Code scannt, landet häufig auf einer täuschend echten, aber gefälschten Webseite, auf der Bankdaten oder Passwörter abgefragt werden. Das Bundeskriminalamt (BKA) beschreibt zudem, dass Angreifer QR-Codes gezielt austauschen oder in betrügerische Nachrichten einbetten, wodurch die Einstiegshürde sinkt und die Trefferquote steigt.
Technisch betrachtet basiert Quishing auf zwei Hebeln: Erstens wird das QR-Scanning als „vertrauenswürdige“ Nutzeraktion eingebettet, obwohl der QR-Inhalt letztlich nur eine Datenzeile ist, die jede beliebige URL transportieren kann. Zweitens verschärfen Mobilgeräte das Problem, weil sie nach dem Scan die Zielseite teils automatisch öffnen. Damit reduziert sich die Zeit, in der Nutzer eine URL-Überprüfung durchführen könnten. Für Unternehmen entsteht dadurch ein zusätzlicher UX- und Prozessdruck: Sicherheitsmaßnahmen müssen im Alltag funktionieren, bevor ein Browser-Tab geöffnet ist oder bevor Eingaben erfolgen.
Der Markt zeigt, dass ähnliche Angriffsflächen bereits bei klassischen Phishing-Wellen und bei „Link-Manipulation“ adressiert werden, doch QR-spezifische Varianten erhöhen die Komplexität. Sicherheitsanbieter setzen deshalb verstärkt auf webbasierte Schutzmechanismen wie URL-Reputation, Browser-Sandboxing und enterpriseweite Richtlinien, die den Zugriff auf verdächtige Ziele bremsen. Ein Wettbewerbskontext ist hier hilfreich: Während sich Microsoft-Defender-Ansätze oft auf Endgeräte- und Web-Schutz konzentrieren und Google-Mechanismen im Browser-Ökosystem verankert sind, bleibt die Kernlücke bei Quishing häufig die anfängliche Vertrauensannahme rund um den QR-Code. Gerade deshalb sollten Unternehmen nicht nur Technik deployen, sondern auch klare Verhaltensregeln in Trainings und Ticket-Workflows verankern.
Historisch ist QR-Phishing keine völlig neue Idee, aber die Verbreitung von QR-Codes in Alltagsprozessen hat die Angriffsfläche stark vergrößert. In frühen Phishing-Varianten wurde häufig per Textnachricht oder E-Mail gearbeitet; heute lässt sich der Einstieg stärker „nahe am Gerät“ platzieren, etwa über Aushänge, Rechnungen oder Fahrzeug- und Parkkontexte. Die Behörden nennen dabei nicht nur den digitalen Raum: So wurde auch vor manipulierten QR-Codes an Parkscheinautomaten gewarnt. Kriminelle kleben originale Bezahlinformationen mit eigenen Aufklebern über und lenken Nutzer anschließend auf gefälschte Webseiten um. Das verdeutlicht: Quishing ist nicht auf Banking beschränkt, sondern kann jede Zahlungs- und Authentifikationsstrecke treffen.
In Interviews und Stellungnahmen betonen die Behörden die Dringlichkeit, vor allem wegen des Zusammenspiels aus technischer Automatikkette und psychologischem Druck. Das BKA verweist darauf, dass das automatische Öffnen von Zielseiten „die Reaktionszeit der Nutzer enorm verkürzt“; zugleich wird die Entscheidungsfähigkeit durch zeitkritische Formulierungen reduziert, etwa mit Hinweisen, ein Zugang laufe bald ab oder es müsse sofort gehandelt werden. Der Grundton ist damit wie bei vielen Phishing-Kampagnen: weniger Zeit für Prüfung, mehr Zeitdruck im Kopf. Ergänzend rät die Europäische Zentralbank in ihren Sicherheitsorientierungen zur Skepsis bei Nachrichten, die Nutzer zur schnellen Scan-Aktion drängen. Für Unternehmen heißt das: Awareness-Trainings sollten explizit Druckmuster und „Dringlichkeitsrhetorik“ behandeln.
Für die Praxis braucht es einen Maßnahmenkatalog, der sowohl präventiv als auch operativ funktioniert. Besonders wirksam ist aus Security-Sicht eine Kombination aus „Check vor Eingabe“ und „Stoppschalter im Browser“. Konkret empfehlen die Behörden, QR-Codes nicht aus Neugier zu scannen, die angezeigte Webadresse vor dem Öffnen genau zu prüfen und keine Passwörter oder Bankdaten auf Seiten einzugeben, die nur über einen QR-Code erreichbar sind. Ergänzend wird empfohlen, offizielle App-Stores für relevante Apps direkt zu nutzen, statt Links oder Codes zu folgen. Damit wird das Risiko reduziert, dass sich ein einzelner Klickfehler sofort in eine Dateneingabe verwandelt.
Noch wichtiger wird Quishing im Incident-Fall: Wenn Nutzer auf eine verdächtige Seite geleitet werden, sollte der Vorgang sofort abgebrochen und nicht „bis zum Ende“ ausgeführt werden. Da sich gefälschte Webseiten laut Behörden fortlaufend verbessern, ist die URL-Prüfung nicht nur eine Einmalaufgabe, sondern ein wiederholbarer Sicherheitsstandard. Für die IT- und Security-Teams empfiehlt sich zusätzlich, klare Meldelogiken zu etablieren: Welche Kontaktstelle ist zuständig, wie werden Screenshots oder Zieladressen gesichert, und wie wird die Reichweite im Unternehmen eingegrenzt, falls ein Code in der Organisation auftaucht? Hier können auch SIEM- und EDR-Teams unterstützen, etwa indem sie ungewöhnliche Eingabeversuche oder Zielaufrufe korrelieren.
Der Ausblick ist eindeutig: QR-Codes bleiben als Interaktionsmedium im Unternehmens- und Behördenalltag präsent, und damit bleibt Quishing eine realistische Bedrohungsklasse. Unternehmen sollten Quishing deshalb in ihre Sicherheitsprogramme aufnehmen, ähnlich wie sie Social-Engineering-Varianten bereits als Daueraufgabe behandeln. Eine sinnvolle Roadmap besteht aus der Verknüpfung von Schulung, technischen Schutzschichten und nachvollziehbarer Incident-Response. Wer zudem QR-basiertes Payment oder QR-basierte Prozesse einführt, sollte diese Schnittstellen mit „sicheren Pfaden“ gestalten, beispielsweise durch klar erkennbare Integritätsmerkmale und restriktive Weiterleitungslogik. In der nächsten Stufe dürften Angreifer noch stärker automatisierte Umleitungen und noch bessere Kopien von Eingabemasken nutzen—weshalb sich Resilienz in Prozessen und nicht nur in Awareness entscheiden wird.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Quishing-Betrug: BKA warnt vor manipulierten QR-Codes im Banking" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Quishing-Betrug: BKA warnt vor manipulierten QR-Codes im Banking" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Quishing-Betrug: BKA warnt vor manipulierten QR-Codes im Banking« bei Google Deutschland suchen, bei Bing oder Google News!