QR-Code-Phishing erkennen: Wie Quishing Ihr Unternehmen über gefälschte QR-Codes angreift

Eine Mitarbeiterin bekommt eine E-Mail: Ihr Microsoft-365-Passwort laufe ab, zur Verlängerung bitte den QR-Code mit dem Handy scannen. Die Mail sieht echt aus, das Logo stimmt, der Ton ist sachlich. Sie scannt den Code, landet auf einer Login-Seite, die aussieht wie immer, und gibt Passwort und Bestätigungscode ein. Zwei Stunden später verschickt ihr Konto Phishing-Mails an alle Kontakte.

Durch den E-Mail-Filter ist diese Nachricht gekommen, weil sie keinen anklickbaren Link enthielt, sondern nur ein Bild. Gescannt wurde auf dem privaten Smartphone, das keine Firewall und kein Firmen-Schutzprogramm kennt. Das ist Quishing, und es trifft 2026 gezielt kleine und mittlere Unternehmen.

Was ist Quishing (QR-Code-Phishing)?

Quishing ist Phishing über einen QR-Code statt über einen klassischen Link. Der Code enthält eine versteckte Internetadresse. Wer ihn mit dem Smartphone scannt, wird auf eine gefälschte Seite geleitet, die Zugangsdaten, Bankdaten oder Bestätigungscodes abgreift. Der Begriff setzt sich aus QR-Code und Phishing zusammen.

Der entscheidende Unterschied zum gewöhnlichen Phishing liegt in der Tarnung. Bei einer normalen Phishing-Mail steht ein Link im Text, den sowohl ein Filter als auch ein aufmerksamer Mensch prüfen kann. Beim Quishing ist der Link in einem Bild versteckt. Das Bild trägt keine lesbare Adresse, es trägt ein Muster aus schwarzen und weißen Quadraten, das erst die Handykamera in eine URL übersetzt.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beschreibt Quishing als Angriff, bei dem Kriminelle bösartige Adressen in QR-Codes verstecken und mit, so die Formulierung, perfekt formulierten Nachrichten kombinieren, die typische Warnsignale ausschalten. Gezielt angesprochen werden Smartphone-Nutzer, weil der Scan dort die üblichen Schutzmechanismen umgeht.

Quelle: BSI: Einfach Cybersicher, KI-gestützte QR-Code-Betrügereien (Quishing)Stand: 2026-10-19.

Warum Quishing Ihren E-Mail-Filter umgeht

Quishing umgeht klassische E-Mail-Filter, weil ein QR-Code technisch ein Bild ist und keine lesbare URL. Viele Filter prüfen Texte, Anhänge und anklickbare Links, nicht aber die Adresse, die in einem Bildmuster steckt. So landet die Nachricht im Postfach, als wäre sie harmlos. Der eigentliche Angriff passiert erst nach dem Scan.

Dazu kommt ein zweiter, oft übersehener Punkt: der Medienbruch. Die E-Mail kommt auf dem Firmen-Rechner an, der durch Filter, Defender und Firewall geschützt ist. Gescannt wird aber mit dem Handy, und häufig mit dem privaten. Damit verlässt der Vorgang die überwachte Firmentechnik komplett. Auf dem privaten Smartphone gibt es keinen URL-Scanner des Unternehmens, keine Conditional-Access-Protokollierung und keine zentrale Warnung.

Angreifer verstecken den Code zusätzlich gern in PDF-Anhängen oder eingebetteten Bildern, um Filter weiter zu erschweren. Eine Auswertung des Sicherheitsanbieters Barracuda ergab, dass ein großer Teil der schädlichen PDF-Dokumente QR-Codes enthält, die auf Phishing-Seiten führen. Das klassische Bild der Phishing-Mail mit verdächtigem Link greift hier nicht mehr.

Wie stark ist die Bedrohung 2026?

Die Zahlen zeigen 2026 einen deutlichen Sprung. Microsoft registrierte allein im ersten Quartal 2026 einen Anstieg der QR-Code-Phishing-Versuche von 7,6 Millionen im Januar auf 18,7 Millionen im März, ein Plus von 146 Prozent. Damit war QR-Code-Phishing laut Microsoft der am schnellsten wachsende Angriffsvektor zum Quartalsende.

Quelle: Microsoft Security Blog: Email threat landscape, Q1 2026 trends and insightsStand: 2026-10-19.

Auch der Anteil an allen Phishing-Mails wächst. Laut dem ESET Threat Report für das erste Halbjahr 2026 steckte in rund 11 Prozent aller Phishing-E-Mails ein bösartiger QR-Code. Vor wenigen Jahren lag dieser Anteil noch im Bereich von unter einem Prozent. Quishing ist damit vom Randphänomen zu einer der relevantesten Betrugsmaschen geworden.

Quelle: ESET Threat Report H1 2026Stand: 2026-10-19. Anteil QR-Code-Phishing an allen Phishing-Mails.

Das BSI warnt ausdrücklich, dass KI die Qualität dieser Angriffe erhöht. Die früher typischen Warnsignale, also schlechtes Deutsch und holprige Formulierungen, fallen weg. Moderne KI-Modelle erzeugen Nachrichten, die Design und Ton bekannter Institutionen wie Banken oder Paketdiensten täuschend echt imitieren.

Quelle: BSI: Spam, Phishing & Co

Typische Quishing-Maschen im Mittelstand

Quishing trifft Unternehmen über zwei Wege: digital per E-Mail oder PDF und physisch über manipulierte Aufkleber in der realen Welt. Die Masche ist immer gleich aufgebaut. Ein plausibler Anlass, ein QR-Code, eine gefälschte Seite, die nach Zugangsdaten oder einer Zahlung fragt. Die Kenntnis der Muster ist die erste Verteidigungslinie.

Gefälschte Microsoft-365- oder IT-Meldungen. Die Klassiker im Betrieb: Das Passwort laufe ab, die Mailbox sei voll, ein geteiltes Dokument wartet. Scannen Sie den Code, um sich anzumelden. Die Zielseite ist eine Kopie der Microsoft-Anmeldung und greift Firmen-Zugangsdaten ab.

Bank- und Rechnungs-Phishing. Angebliche Nachrichten der Hausbank oder Mahnungen mit QR-Code zur, angeblich, schnellen Bestätigung. Besonders gefährlich in Kombination mit Business Email Compromise, wenn Angreifer eine echte Korrespondenz mitlesen und im richtigen Moment eine gefälschte Zahlungsaufforderung einschieben.

Paketdienst- und Behörden-Maschen. Gefälschte Benachrichtigungskarten im Briefkasten oder E-Mails, man müsse Zollgebühren zahlen oder einen Liefertermin neu wählen. Verbraucherzentralen berichten von nachgemachten Benachrichtigungskarten bekannter Paketdienste mit QR-Code.

Überklebte QR-Codes in der realen Welt. Auf Parkautomaten, Ladesäulen, Restaurant-Tischen oder Aushängen kleben Betrüger eigene Codes über die echten. Wer scannt und, etwa fürs Parken, bezahlt, überweist an Kriminelle. Das trifft auch Außendienst und mobile Mitarbeitende mit dem Firmenhandy.

Woran Sie und Ihre Mitarbeitenden Quishing erkennen

Quishing erkennt man nicht am QR-Code selbst, sondern am Kontext drumherum. Dieselben Muster wie bei jedem Phishing gelten: ein unerwarteter Anlass, künstlicher Zeitdruck, die Aufforderung, sich außerhalb des gewohnten Wegs anzumelden oder zu zahlen. Der QR-Code ist nur die technische Verpackung, die den Filter umgeht.

Entscheidend ist der Blick auf die Adresse nach dem Scan, bevor irgendetwas eingegeben wird. Die meisten Smartphones zeigen die Ziel-URL als Vorschau an, bevor die Seite öffnet. Passt die Domain nicht exakt zum erwarteten Anbieter, wird nichts eingegeben. Eine Seite, die aussieht wie der Microsoft-Login, aber auf einer fremden Domain liegt, ist eine Fälschung.

1. 1
   Anlass hinterfragen
   Habe ich diese Nachricht erwartet? Angebliche Passwort-Abläufe, Paketgebühren oder Bankbestätigungen per QR-Code sind klassische Köder. Zeitdruck und Dringlichkeit sind Warnsignale, kein Grund zur Eile.
2. 2
   Quelle des Codes prüfen
   Stammt der Code aus einer vertrauenswürdigen Quelle? Bei Codes in der realen Welt prüfen, ob ein Aufkleber über das Original geklebt wurde. Bei E-Mails und PDFs gilt besondere Vorsicht bei unerwarteten Absendern.
3. 3
   URL-Vorschau lesen
   Nach dem Scan zeigt das Handy die Zieladresse an. Lesen Sie die Domain genau: Passt sie exakt zum erwarteten Anbieter? Tippfehler-Domains und fremde Endungen sind Fälschungen. Die Seite noch nicht öffnen, wenn etwas nicht stimmt.
4. 4
   Im Zweifel manuell eingeben
   Statt zu scannen, die bekannte Webadresse des Anbieters selbst in den Browser tippen oder die offizielle App nutzen. So umgehen Sie den manipulierten Code vollständig.
5. 5
   Keine Zugangsdaten auf Verdacht eingeben
   Niemals Passwort, Bankdaten oder MFA-Code auf einer Seite eingeben, die über einen gescannten Code erreicht wurde, wenn der kleinste Zweifel besteht. Lieber einmal zu oft bei der IT nachfragen.

Quelle: BSI: Empfehlungen gegen Quishing, QR-Codes hinterfragen und URLs prüfenStand: 2026-10-19.

Warum Technik allein nicht reicht

Technischer Schutz ist wichtig, aber er greift bei Quishing nur begrenzt, weil der entscheidende Schritt auf einem Gerät außerhalb der Firmentechnik passiert. Der QR-Code kommt durch den Filter, weil er ein Bild ist. Gescannt wird auf dem Handy. Eingegeben werden die Daten auf einer sauber gebauten Fälschung. An keiner Stelle greift ein klassischer Link-Scanner zuverlässig.

Das heißt nicht, dass Technik überflüssig ist. Im Gegenteil: Ein mehrschichtiger Schutz reduziert die Angriffsfläche erheblich. Moderne E-Mail-Sicherheit kann QR-Codes aus Bildern und Anhängen auslesen und die versteckte URL prüfen. Eine saubere E-Mail-Authentifizierung mit SPF, DKIM und DMARC erschwert das Fälschen von Absendern. Und Mehrfaktor-Authentifizierung sorgt dafür, dass ein gestohlenes Passwort allein oft nicht ausreicht.

Aber auch MFA ist kein Allheilmittel. Fortgeschrittene Quishing-Seiten schalten sich per Echtzeit-Weiterleitung zwischen Nutzer und echten Dienst (Adversary-in-the-Middle) und fangen so auch den eingegebenen MFA-Code ab. Deutlich stärker sind phishing-resistente Verfahren wie FIDO2-Hardwareschlüssel oder Passkeys sowie Conditional-Access-Regeln, die Anmeldungen von unbekannten oder nicht verwalteten Geräten blockieren.

Mobiles Arbeiten: Der blinde Fleck Firmenhandy

Quishing zielt bewusst auf das Smartphone, und damit auf den am schlechtesten geschützten Teil vieler Betriebe. Wer im Außendienst, im Homeoffice oder an mehreren Standorten arbeitet, nutzt das Handy für Mails, Scans und Logins. Ohne zentrale Verwaltung dieser Geräte fehlt dem Unternehmen jede Kontrolle genau dort, wo der Angriff landet.

Der Schlüssel ist ein verwaltetes mobiles Gerät. Mit Mobile Device Management (zum Beispiel Microsoft Intune) lassen sich Firmen-Smartphones zentral absichern: aktuelle Updates erzwingen, Schutzprogramme ausrollen, Firmen- und Privatdaten trennen und im Verlustfall das Konto sperren. Das verhindert zwar nicht den Scan, verkleinert aber die Folgen eines erfolgreichen Angriffs deutlich.

Besonders heikel ist die Mischung aus privatem Gerät und dienstlicher Nutzung. Wenn Mitarbeitende Firmen-Mails auf dem ungesicherten Privathandy abrufen und dort QR-Codes scannen, läuft der kritische Moment komplett an der IT vorbei. Eine klare IT-Nutzungsrichtlinie und die saubere Anbindung für Homeoffice und mobiles Arbeiten regeln, welche Geräte für welche Zugriffe erlaubt sind.

Mitarbeitende schulen: Das wirksamste Gegenmittel

Weil Technik den entscheidenden Schritt nicht abfängt, sind geschulte Mitarbeitende der stärkste Schutz gegen Quishing. Sie müssen das Muster kennen, wissen, wie sie einen Code vor dem Scan prüfen, und sich trauen, im Verdachtsfall ohne Angst vor Konsequenzen zu melden. Eine einmalige Pflichtschulung pro Jahr reicht dafür nicht.

Wirksam sind kurze, regelmäßige Lernimpulse mit konkreten, aktuellen Beispielen. Ein Zehn-Minuten-Training alle paar Wochen, das eine echte Quishing-Masche zeigt, prägt sich besser ein als eine zweistündige Jahresveranstaltung. Simulierte Phishing-Tests, die auch QR-Code-Szenarien enthalten, machen sichtbar, wie anfällig der Betrieb ist, und senken die Klickrate über die Zeit nachweislich.

Entscheidend ist die Kultur dahinter. Wer einen verdächtigen Code gemeldet hat, hat das Richtige getan, auch wenn er am Ende harmlos war. Wo Fehler bestraft werden, meldet niemand den versehentlichen Scan, und genau diese Verzögerung macht aus einem kleinen Vorfall einen großen Schaden. Die Grundlagen dazu finden Sie in unserem Beitrag zu Phishing-Awareness im Betrieb. Quishing ist dieselbe Masche, nur über einen anderen Kanal.

Was ein sinnvoller Schutz kostet

Der Schutz gegen Quishing besteht aus Bausteinen, die zum Teil in Ihren Lizenzen bereits enthalten sind, und aus Organisation, die fast nichts kostet. Entscheidend ist nicht ein einzelnes teures Produkt, sondern das Zusammenspiel aus moderner E-Mail-Sicherheit, verwalteten Geräten, phishing-resistenter Anmeldung und geschulter Belegschaft. Die folgenden Werte sind grobe Orientierung.

Für viele Betriebe ist der größte Hebel kostenneutral: die Conditional-Access- und MFA-Funktionen, die in Microsoft 365 Business Premium ohnehin enthalten sind, sauber zu konfigurieren. Welche Schutzfunktionen in welchem Plan stecken, zeigt unser Überblick zum passenden Microsoft-365-Plan.

Vorbereitet für den Ernstfall

Trotz aller Vorsorge kann ein Scan passieren und ein Passwort abhandenkommen. Dann zählt die Geschwindigkeit der Reaktion. Je früher ein Vorfall gemeldet wird, desto mehr Optionen bleiben: Passwort ändern, aktive Sitzungen beenden, das Konto sperren, prüfen, ob von dort bereits weitere Mails versendet wurden. Minuten entscheiden, nicht Stunden.

Deshalb gehört Quishing in Ihren IT-Notfallplan. Jede und jeder im Betrieb sollte wissen: Wen rufe ich an, wenn ich auf einer verdächtigen Seite Daten eingegeben habe? Der Meldeweg muss einfach und direkt sein, mit einer klaren Telefonnummer, nicht mit einer E-Mail an ein Postfach, das vielleicht erst morgen gelesen wird.

Wenn über eine Quishing-Seite personenbezogene Daten abgeflossen sind, etwa aus einem übernommenen E-Mail-Konto, kann zusätzlich eine Meldepflicht nach DSGVO greifen. Eine Verletzung des Schutzes personenbezogener Daten ist der zuständigen Aufsichtsbehörde grundsätzlich innerhalb von 72 Stunden zu melden. Im Zweifel binden Sie frühzeitig Ihren Datenschutzbeauftragten ein.

Quelle: Verordnung (EU) 2016/679 (DSGVO)Zur 72-Stunden-Meldefrist bei Datenschutzverletzungen, Art. 33 DSGVO. Stand: 2026-10-19.

Fazit: Ein QR-Code ist ein unsichtbarer Link

Quishing funktioniert, weil es zwei Lücken gleichzeitig ausnutzt: Der QR-Code umgeht den E-Mail-Filter, und der Scan passiert auf dem Handy außerhalb der überwachten Firmentechnik. Die Zahlen für 2026 zeigen, dass das keine Randerscheinung mehr ist, sondern eine der am schnellsten wachsenden Betrugsmaschen. KI macht die begleitenden Nachrichten dabei nahezu perfekt.

Der Schutz ist kein einzelnes Produkt, sondern ein Zusammenspiel: moderne E-Mail-Sicherheit, die auch QR-Codes prüft, verwaltete Firmen-Smartphones, phishing-resistente Anmeldung mit Conditional Access und, als wichtigste Schicht, Mitarbeitende, die das Muster kennen. Der eine Satz, der am meisten bewirkt, ist einfach: Ein QR-Code ist ein unsichtbarer Link und verdient dieselbe Skepsis.

ITCC unterstützt kleine und mittlere Unternehmen dabei, die E-Mail-Sicherheit und MFA in Microsoft 365 sauber einzurichten, Firmen-Smartphones zentral abzusichern und Conditional-Access-Regeln aufzusetzen, die gestohlene Zugangsdaten wertlos machen. Dazu sensibilisieren wir Ihre Belegschaft für genau diese Maschen. Wenn Sie wissen möchten, wo Ihr Betrieb heute steht und welche zwei, drei Schritte den größten Unterschied machen, sprechen Sie uns an.