Wenn ein QR-Code zum Problem wird: Quishing

6. Aug.
3 Min. Lesezeit

Aktualisiert: 7. Aug.

Ein QR-Code unterstützt uns in vielen Fällen. Das ist das kleine schwarz-weiße Muster, das uns in Sekunden zu einer Speisekarte, einer Webseite oder einer Bezahlfunktion bringt. Wir haben uns daran gewöhnt, es einfach mit dem Handy zu scannen. Ohne groß nachzudenken – der Spieltrieb lebt! Doch genau diese Gewohnheit machen sich inzwischen auch Betrüger zunutze: „Quishing“.

Artikel vom 6. August 2026

Autor: Andreas Paersch, Computerhilfe am Balaton

Was versteht man unter „Quishing“?

„Quishing oder QR-Phishing ist eine Art von Cybersicherheitsbedrohung, bei der Angreifer QR-Codes erstellen, um Opfer zum Besuch oder Herunterladen böswilliger Inhalte umzuleiten.“

Quelle: https://www.cloudflare.com/de-de/learning/security/what-is-quishing

Wo lauern die Gefahren von falschen QR-Codes?

Ein QR-Code sieht immer gleich harmlos aus. Man sieht ihm nicht an, wohin er tatsächlich führt:

Sie erhalten einen Brief, der aussieht, als käme er von Ihrer Bank. Darin steht, Sie müssten dringend etwas bestätigen. Ein QR-Code soll angeblich direkt zur richtigen Seite führen.
Sie stehen an einem Parkautomaten, an dem ein QR-Code klebt, der das Bezahlen erleichtern soll. Sie scannen ihn – und landen auf einer Seite, die der echten Bezahlseite täuschend ähnlich sieht. Weil der QR-Code von einem Betrüger überklebt worden ist.
Bei Online-Käufen oder Kleinanzeigen schickt ein angeblicher Käufer einen QR-Code für die Zahlung. Wer ihn scannt und dort Daten eingibt, gibt diese möglicherweise direkt an Betrüger weiter.

Das zentrale Problem von allen Beispielen: wir kennen QR Codes von vielen Gelegenheiten (Speisekarten, Parkautomaten, Touristische Hinweise,...), haben Vertrauen und bringen es überhaupt nicht mit einer böswilligen Absicht in Verbindung

Wie kann ich mich gegen Quishing absichern?

Die weniger gute Nachricht:

Es wird leider immer Menschen geben, die genügend kriminelle Energie besitzen und Möglichkeiten wie Quishing nutzen, um an das Geld fremder Leute zu kommen.

Und laut susQR verbreitet sich Quishing mittlerweile auf drei Kanälen:

E-Mails mit gefälschter Multifaktor-Authentifizierung (MFA) - Registrierung oder Microsoft-365-Ködern, die QR-Codes inzwischen in PDF-Anhängen verstecken
SMS-Texte mit gefälschten Verkehrsstrafzetteln, Mautgebühren und Gerichtsbußen, die Spamfilter für SMS umgehen
Sticker-Overlays auf Parkuhren, Speisekarten und E-Ladesäulen.

Quelle https://susqr.com/quishing

Die gute Nachricht:

Wir Verbraucher sollten über diese Möglichkeiten wie Quishing wissen und deshalb noch mehr unseren Blick schärfen. Ein QR-Code ist lediglich eine Abkürzung, damit ich nicht zeitaufwändig eine Internetadresse in den Browser tippen muss. Es ist kein Vertrauensbeweis, sondern nur eine Hilfe der Bedienung. Doch wenn nach dem Scannen plötzlich eine Seite erscheint, auf der Bankdaten, Passwörter oder persönliche Informationen verlangt werden, ist ein Stopp erforderlich inklusive dem „Hochfahren“ der Aufmerksamkeit auf volle Leistung. Fragen Sie sich:

Habe ich diesen Vorgang überhaupt erwartet?
Warum soll ich jetzt plötzlich Daten eingeben?
Könnte ich die Internetseite auch direkt über die mir bekannte Adresse aufrufen?

Bei physischen QR-Codes (Restaurant, Parkuhr etc.) lohnt sich ein Blick auf mögliche Aufkleber-Manipulationen, und die Ziel-Domain sollte vor jeder Eingabe von Daten sorgfältig geprüft werden.

Sie wollen "automatisch" informiert werden, wenn wir wieder einen neuen Tipp aus der Computerhilfe veröffentlichen?

Dann tragen Sie sich doch zu unserem >> Newsletter ein!

Internetadressen direkt im Browser aufrufen

Banken, Behörden oder Zahlungsdienste – immer wieder erreichen uns E-Mails, Kurznachrichten und sogar Briefe mit QR-Code. Und man neigt dazu, gleich hektisch zu werden, wenn man in der Nachricht die entsprechenden besorgniserregenden Signale „aufleuchten“ wie beispielsweise:

„Sofort bestätigen“
„Ihr Konto wird gesperrt.“
„Letzte Möglichkeit.“

Jetzt nicht hektisch reagieren! Denn gerade viele Betrugsversuche setzen gezielt auf Zeitdruck! Bremsen, rechts raus fahren und nachdenken! Wir haben uns angewöhnt, Links in E-Mails nicht anzuklicken und immer auf die bereits bekannte Webseite direkt zu gehen. Und dies ganz besonders von Nachrichten von Banken & Co bis hin zum Versanddienstleister.

Sollte man jetzt jeden QR-Code meiden?

Nein. QR-Codes bleiben praktisch und werden auch weiterhin sinnvoll eingesetzt. Es geht nicht darum, Angst vor Technik zu haben, sondern eine wichtige Gewohnheit zur liebgewonnenen Routine zu entwickeln: erst schauen, dann klicken. Diese paar Sekunden können viel Ärger ersparen!