QR-Code Betrug Quishing: Wenn der Scan zur Falle wird

Ein Aufkleber am Parkautomaten. Ein kleines schwarz-weißes Quadrat auf der Rechnung. Ein Code in einer freundlichen E-Mail, angeblich von Ihrer Bank. Sieht harmlos aus. Ist es oft nicht.

Denn hinter dem Muster kann eine Falle stecken. Sie scannen, Ihr Handy öffnet eine Seite, die aussieht wie Ihr Bank-Login oder Ihr Microsoft-Konto. Sie tippen Ihre Daten ein. Und reichen sie einem Fremden über den Tisch.

Die Masche hat einen Namen: Quishing. Das ist QR-Code plus Phishing – also gefälschte Nachrichten, die Zugangsdaten oder Geld abgreifen. Klingt nach Spielerei. Für Betriebe ist es ein wachsendes Problem.

Das Perfide daran? Der Trick funktioniert gerade deshalb, weil QR-Codes so praktisch geworden sind.

Was Quishing eigentlich ist

Klassisches Phishing kennen Sie: eine E-Mail, die so tut, als käme sie vom Finanzamt, vom Paketdienst oder vom Cloud-Anbieter. Sie sollen auf einen Link klicken und irgendwo Ihre Daten eingeben. Bei Quishing steckt dieser Link nicht mehr als lesbarer Text in der Nachricht. Er steckt im QR-Code – und damit unsichtbar.

Aufgetaucht sind solche Codes inzwischen an vielen Stellen:

• Als Aufkleber, die über echte Codes geklebt werden – am Parkautomaten, an der Ladesäule, auf Plakaten.
• In E-Mails nach dem Muster »Ihr Postfach ist voll, hier scannen«.
• Auf gefälschten Rechnungen und Mahnungen, die zum »bequemen« Bezahlen auffordern.
• In Briefen, angeblich von Behörden, Banken oder Paketdiensten.

Der Umschlag wechselt. Das Ziel bleibt gleich: Ihre Login-Daten oder Ihr Geld.

Warum die Masche so gut funktioniert

Warum fällt jemand darauf herein? Weil er nichts Dummes tut – sondern etwas völlig Alltägliches. Drei Dinge spielen den Betrügern dabei in die Hände:

• Das Ziel ist unlesbar. Einen Link im Text können Sie prüfen, bevor Sie klicken. Beim QR-Code sehen Sie nur ein Muster. Wohin es führt, merken Sie erst, wenn das Handy die Seite längst geöffnet hat.
• Das Handy genießt einen Vertrauensbonus. Am privaten Smartphone sind viele weniger wachsam als am Firmen-Rechner. Oft fehlt dort auch jeder Schutz, den Sie im Büro selbstverständlich hätten.
• Der Kontext passt scheinbar. Am Parkautomaten erwarten Sie eine Park-App. Bei einer Rechnung erwarten Sie eine Zahlung. Der Betrüger muss nur die Erwartung bedienen, die ohnehin schon da ist.

Wie Quishing im Betrieb aussieht

Grau ist alle Theorie. Deshalb ein paar Situationen, die in jedem kleinen Betrieb vorkommen können – und das Signal, an dem die Sache kippt:

Ein Muster zieht sich durch: Der Code will Geld oder einen Login. Genau da lohnt sich das Innehalten.

Schutz beginnt im Kopf, nicht in der Technik

Die gute Nachricht: Gegen Quishing hilft kein teures Gerät, sondern ein Reflex. Wer bei einem QR-Code kurz nachdenkt, hat den halben Angriff schon abgewehrt. Ein paar Faustregeln, die Sie und Ihr Team im Alltag tragen:

• Führt ein Code zu Geld oder Login, erst einmal innehalten. Eile ist die Lieblingswaffe der Betrüger.
• Sitzt ein Aufkleber schief, klebt er über etwas oder wirkt frisch angebracht – Finger weg.
• Eine App, die Sie kennen, öffnen Sie direkt. Nicht über einen fremden Code.
• Rechnungen zahlen Sie über den Weg, den Sie mit dem Anbieter ohnehin nutzen. Der Code auf dem Papier ist keine Verpflichtung.
• Im Zweifel gilt die einfachste Regel überhaupt: nicht scannen.

Das ist bewusst kein technisches Rezept. Denn die meisten Quishing-Angriffe scheitern nicht an einer Firewall, sondern an einem Menschen, der einmal kurz stutzt. Wie dieses Stutzen zum Reflex wird, statt Zufall zu bleiben – dabei helfe ich Ihrem Team.

Wann Sie sich darüber keine grauen Haare machen müssen

Jetzt die ehrliche Kehrseite. Nicht jeder Betrieb muss Quishing zur Chefsache machen.

Wenn Sie im Alltag kaum QR-Codes nutzen, keine Zahlungen darüber abwickeln und ein kleines, aufmerksames Team haben, ist Ihr Risiko überschaubar. Dann brauchen Sie kein Schulungsprogramm, sondern nur den einen Reflex von oben. Ich verkaufe Ihnen kein Angst-Szenario, das an Ihrer Wirklichkeit vorbeigeht.

Anders sieht es aus, sobald viele Hände im Spiel sind – mehrere Mitarbeiter, Firmen-Handys, laufende Zahlungen, Zugriff auf sensible Daten in Kanzlei, Praxis oder Verein. Dann ist der eine Reflex zu wenig, und ein wachsames Team wird zum Teil Ihrer Sicherheit.

Wie Quishing in Ihren Schutz passt

Quishing ist kein Einzelfall, den man kurz abhakt. Es ist eine Spielart von Phishing – und die gehört in denselben Topf wie gefälschte E-Mails, geklaute Passwörter und der eine Klick, den jemand später bereut. Ein Netzwerk, das mitdenkt und Phishing früh abfängt, nimmt hier viel Druck aus dem Alltag.

Genauso wichtig ist der Plan für den Fall, dass es doch passiert. Wer vorher weiß, was nach einem Vorfall zu tun ist, verliert im Ernstfall keine wertvollen Stunden. Und wer immer noch glaubt, der eigene Betrieb sei zu klein, um interessant zu sein, sitzt der gefährlichsten Annahme überhaupt auf.

Ich schaue mir an, wo QR-Codes bei Ihnen wirklich vorkommen, sensibilisiere Ihr Team für die Masche und sorge dafür, dass ein verdächtiger Scan zur ruhigen Rückfrage wird – nicht zum Schaden. Das Erstgespräch kostet Sie nichts, und Sie gehen ohne Verpflichtung wieder heraus. Laufende IT-Betreuung gibt es danach ab 149 Euro im Monat, wenn Sie möchten.

Bringen Sie ruhig den Code mit, der Sie stutzig gemacht hat. Dann schauen wir gemeinsam, was dahintersteckt.