Wie man Quishing- oder QR-Code-Betrug verhindert

Kann man durch das Scannen eines QR-Codes gehackt werden?

Wenn Sie die gesamte Bedrohungslandschaft rund um QR-Codes verstehen, können Sie Gefahren erkennen, bevor Sie zum Opfer werden. Hier sind die häufigsten Angriffsmuster im Jahr 2025.

Der Trick mit den gefälschten Aufklebern

Die am weitesten verbreitete physische Methode besteht darin, gefälschte QR-Code-Aufkleber direkt über legitime Codes zu kleben – auf Parkuhren, Restauranttischen, Verkehrsschildern oder Verkaufsdisplays. Man glaubt, einen Kartenlink zu öffnen oder an einem Zahlungsterminal zu bezahlen. In Wirklichkeit gelangen die Kartendaten direkt auf das gefälschte Portal eines Betrügers. Eine kurze physische Überprüfung – ob der Code flach aufliegt oder so aussieht, als wäre er überklebt – kann einen vor dieser Masche vollständig bewahren.

Quishing per E-Mail und Office-Tools

Da Menschen QR-Codes in der Regel mit ihrem Smartphone scannen, umgehen die eingebetteten URLs Desktop-Sicherheitstools wie Firewalls und URL-Blocker für Endgeräte. Das macht QR-Code-Hacking per E-Mail besonders effektiv. Die Nachricht sieht aus, als stamme sie von Microsoft, Ihrer Bank oder der IT-Abteilung Ihres Unternehmens – komplett mit Logos und professioneller Formatierung.

Beachtliche 27 % dieser Quishing-Angriffe nutzen gefälschte Warnmeldungen zur Multi-Faktor-Authentifizierung: „Ihre Sitzung ist abgelaufen – scannen Sie den Code, um sich erneut zu verifizieren." Diese Dringlichkeit soll Sie davon abhalten, zweimal nachzudenken.

In Dokumenten und physischer Post versteckte QR-Codes

Dies ist eine der am häufigsten übersehenen Gefahren beim Scannen von QR-Codes: Allein Mitte 2024 wurden eine halbe Million Phishing-E-Mails mit in PDF-Anhängen eingebetteten QR-Codes entdeckt. Das Dokument sieht legitim aus – eine Rechnung, eine Leistungsabrechnung, eine Lieferbenachrichtigung – und der darin enthaltene QR-Code scheint eine praktische Abkürzung zu sein. Die FTC hat zudem einen Anstieg von Betrugsfällen per Post gemeldet, bei denen QR-Code-Malware-Links auf gefälschten Lieferscheinen oder Stromrechnungen gedruckt sind.

KI-gestützte Quishing-Kampagnen

Die neueste und besorgniserregendste Entwicklung bei Quishing-Cybersicherheitsbedrohungen sind KI-generierte Phishing-Seiten, die von echten kaum zu unterscheiden sind. Angreifer können nun innerhalb von Minuten eine überzeugende gefälschte Buchungs- oder PayPal Anmeldeseite erstellen, die auf ein bestimmtes Ziel zugeschnitten ist und über realistische Markenelemente sowie personalisierte Texte verfügt. Dies hat die Prävention von QR-Code-Betrug sowohl für Einzelpersonen als auch für Organisationen erheblich erschwert.

Doch die Bedrohung geht weit über gefälschte Anmeldeseiten hinaus. KI wird mittlerweile in jeder Phase der Angriffskette eingesetzt – von der Zielauswahl über die Zustellung bis hin zur Umgehung von Sicherheitsmaßnahmen.

• Hyper-personalisierte Lockangebote. Herkömmliches Phishing stützte sich auf generische Köder – „Ihr Konto wurde gesperrt". KI-gestützte Kampagnen greifen auf öffentlich zugängliche Daten zurück: Ihren Arbeitgeber, Ihre Stadt, Ihre jüngsten Einkäufe. Das Ergebnis ist ein QR-Code-Betrug, der sich anfühlt, als wäre er speziell für Sie geschrieben worden – denn in gewisser Weise war er das auch. Eine gefälschte Rechnung von einem Ihnen bekannten Lieferanten. Ein Benachrichtigungszettel über eine „verpasste Lieferung", der mit Ihrer tatsächlichen Adresse übereinstimmt. Genau dieser Grad an Spezifität macht es so schwer, modernes Quishing-Phishing auf den ersten Blick zu entlarven.
• Verstärkung durch Stimme und Deepfakes. Bei Angriffen mit höherem Wert – die typischerweise auf Mitarbeiter in der Finanz- oder Personalabteilung abzielen – gehen dem bösartigen QR-Code nun KI-generierte Telefonanrufe oder Deepfake-Videonachrichten voraus. Der Anruf schafft Vertrauen („Hallo, hier ist der IT-Support – Sie erhalten in Kürze einen Bestätigungscode"), und der QR-Code trifft kurz darauf per E-Mail oder SMS ein. Wenn das Ziel den Code scannt, ist es bereits darauf vorbereitet, den Anweisungen zu folgen.
• Automatisierte Infrastruktur in großem Maßstab. Was früher technisches Fachwissen erforderte – gefälschte Domains, SSL-Zertifikate, nachgemachte Websites – kann nun automatisch generiert und rotiert werden. Angreifer stellen Hunderte von kurzlebigen Phishing-Seiten gleichzeitig bereit und wechseln die Domains schnell genug, um Blocklisten immer einen Schritt voraus zu sein. Deshalb haben traditionelle URL-basierte Sicherheitstools Schwierigkeiten: Bis eine Domain markiert wird, ist sie bereits ersetzt worden.
• In das Design integrierte Umgehung. KI-Modelle, die auf Sicherheitserkennungsmustern trainiert wurden, können nun QR-Codes und Landingpages generieren, die speziell darauf ausgelegt sind, Filter nicht auszulösen. Sie ahmen die visuelle Struktur legitimer Seiten originalgetreu nach – korrekte Schriftstärken, authentisch wirkende Formularfelder, realistische Fehlermeldungen bei Eingabe falscher Anmeldedaten (ein klassischer Trick, um mehrere Passwortversuche zu sammeln).

Die praktische Konsequenz ist klar: Die visuellen und kontextuellen Hinweise, die früher halfen, einen Betrug zu erkennen, werden unzuverlässig. Skepsis gegenüber der Quelle – nicht nur gegenüber dem Erscheinungsbild – ist nun der wichtigere Filter.