Quishing ist die Kombination aus QR-Code und Phishing. Angreifer verstecken bösartige Links in QR-Codes, die sie per E-Mail, auf gefälschten Parktickets oder als Aufkleber auf legitimen QR-Codes platzieren. Das Perfide: Die meisten Menschen scannen QR-Codes automatisch, ohne nachzudenken. In der Schweiz sind wir durch Twint, QR-Rechnungen und digitale Parktickets besonders anfällig, weil wir QR-Codes als sicher und praktisch wahrnehmen. E-Mail-Sicherheitssysteme können QR-Codes nicht lesen und blockieren sie daher nicht. Für Angreifer ist das ein offenes Scheunentor: Sie versenden E-Mails mit harmlosen Texten und einem QR-Code, der angeblich zu einer Rechnung, einem Pakettracking oder einer Sicherheitswarnung führt. Der Scan erfolgt auf dem Smartphone, das oft weniger geschützt ist als der Arbeitscomputer.
Ein QR-Code ist schwarz-weiss und sagt dir nichts über sein Ziel. Aber der Kontext verrät viel. Prüfe immer, ob du den QR-Code erwartet hast. Wenn eine E-Mail unerwartet kommt oder dich zur Eile drängt ("Dein Konto wird in 24 Stunden gesperrt"), ist Vorsicht geboten. Achte auf die Absender-Adresse: Kommt die angebliche Rechnung von einer Gratis-E-Mail-Adresse oder einer merkwürdigen Domain? Legitime Schweizer Unternehmen versenden Rechnungen von erkennbaren Domains. Wenn ein QR-Code auf einem physischen Objekt klebt (Parkuhr, Plakat, Tisch im Restaurant), prüfe ob er nachträglich aufgeklebt wurde. Betrüger kleben oft ihre eigenen QR-Codes über die echten. Wenn der Aufkleber sich ablösen lässt oder Ränder sichtbar sind, ist das ein Warnsignal.
Angreifer nutzen lokale Gewohnheiten aus. Ein beliebter Trick: Gefälschte QR-Rechnungen. Du erhältst eine E-Mail mit einem QR-Code, der angeblich eine offene Rechnung von Swisscom, der Krankenkasse oder der Steuerverwaltung darstellt. Der Scan führt zu einer gefälschten Login-Seite. Zweites Szenario: Parkticket-Betrug. Kriminelle kleben gefälschte QR-Codes auf Parkuhren. Du scannst, wirst auf eine Bezahlseite geleitet und gibst Kreditkartendaten ein. Das Geld fliesst direkt an die Betrüger. Drittes Szenario: Angebliche Sicherheitswarnungen von Microsoft, Google oder deiner Bank. Die E-Mail enthält einen QR-Code für "Zwei-Faktor-Authentifizierung" oder "Kontobestätigung". Nach dem Scan gibst du deine Login-Daten auf einer Phishing-Seite ein. Diese Szenarien funktionieren, weil sie unsere Alltagsroutinen imitieren.
Erste Regel: Nutze eine QR-Code-Scanner-App mit URL-Vorschau. Die Standard-Kamera-App von iOS und Android zeigt dir die Ziel-URL oft erst nach dem Öffnen oder gar nicht. Apps wie Kaspersky QR Scanner oder die Open-Source-App Privacy Friendly QR Scanner zeigen dir die URL vor dem Öffnen. Zweite Regel: Prüfe die URL genau. Achte auf Rechtschreibfehler (swiisscom.ch statt swisscom.ch), ungewöhnliche Domains (swisscom-rechnung.tk) oder verdächtig lange URLs mit vielen Parametern. Dritte Regel: Gib nie sensible Daten auf einer Seite ein, die du per QR-Code erreicht hast. Öffne stattdessen die offizielle App oder Website manuell. Wenn deine Bank dich wirklich kontaktieren muss, kannst du dich direkt im E-Banking anmelden. Vierte Regel: Aktiviere Zwei-Faktor-Authentifizierung überall wo möglich. Selbst wenn Angreifer dein Passwort stehlen, brauchen sie den zweiten Faktor. Nutze dafür Apps wie Google Authenticator oder Authy, keine SMS.
Wenn dein Unternehmen QR-Codes nutzt, übernimm Verantwortung für deren Sicherheit. Erstens: Nutze URL-Shortener mit eigener Domain. Statt bit.ly oder tinyurl.com solltest du qr.deinefirma.ch verwenden. Das schafft Vertrauen und macht Fälschungen schwerer. Zweitens: Kommuniziere klar, wann und wie du QR-Codes einsetzt. Wenn Kunden wissen, dass sie von dir nur QR-Codes auf Rechnungen erhalten (nie in E-Mails), erkennen sie Betrugsversuche leichter. Drittens: Schule deine Mitarbeitenden. Zeige konkrete Beispiele von Quishing-E-Mails und erkläre, warum QR-Codes riskant sind. Viertens: Implementiere E-Mail-Security-Lösungen, die QR-Codes extrahieren und analysieren können. Tools wie Barracuda Email Protection oder Proofpoint erkennen verdächtige QR-Codes in E-Mails. Fünftens: Wenn ihr physische QR-Codes nutzt (Plakate, Visitenkarten, Produktverpackungen), macht regelmässige Kontrollen ob sie überklebt wurden.
Du kannst QR-Codes weiterhin nutzen, ohne dich unnötigen Risiken auszusetzen. Hier eine konkrete Checkliste für den Alltag. Bevor du scannst: Hast du diesen QR-Code erwartet? Kommt er von einer vertrauenswürdigen Quelle? Wenn es ein physischer QR-Code ist: Sieht er original aus oder wurde er nachträglich angebracht? Während du scannst: Nutze eine App mit URL-Vorschau. Prüfe die angezeigte URL bevor du sie öffnest. Achte auf HTTPS (das kleine Schloss-Symbol). Nach dem Scan: Wenn die Seite nach Login-Daten, Kreditkarteninformationen oder persönlichen Daten fragt, stopp. Öffne die offizielle Website oder App manuell. Wenn du dir unsicher bist, scanne nicht. Ruf stattdessen beim Unternehmen an oder besuche die Website direkt. Diese zusätzlichen 30 Sekunden können dich vor Datenverlust oder finanziellem Schaden bewahren.
Wenn du einen verdächtigen QR-Code gescannt und Daten eingegeben hast, handle schnell. Erstens: Ändere sofort alle Passwörter der betroffenen Konten. Nutze dafür einen anderen Computer oder ein anderes Gerät als das, mit dem du den QR-Code gescannt hast. Zweitens: Informiere deine Bank, wenn du Kreditkartendaten eingegeben hast. Lass die Karte sperren und neue Karten ausstellen. Prüfe deine Kontoauszüge auf verdächtige Transaktionen. Drittens: Aktiviere oder erneuere die Zwei-Faktor-Authentifizierung auf allen betroffenen Konten. Viertens: Melde den Vorfall bei der Polizei (online unter cybercrime.admin.ch) und beim betroffenen Unternehmen. Fünftens: Prüfe ob deine E-Mail-Adresse in Datenlecks auftaucht auf haveibeenpwned.com. Sechstens: Scanne dein Gerät mit einem aktuellen Antivirenprogramm. Manche Quishing-Angriffe installieren Malware.
QR-Codes sind nicht per se gefährlich, aber sie brauchen dieselbe Vorsicht wie Links in E-Mails. Nutze eine Scanner-App mit URL-Vorschau, prüfe den Kontext bevor du scannst und gib nie sensible Daten auf Seiten ein, die du per QR-Code erreicht hast. Wenn du unsicher bist, öffne die offizielle Website oder App manuell. Unternehmen sollten klare Richtlinien kommunizieren, wann und wie sie QR-Codes einsetzen. Physische QR-Codes regelmässig kontrollieren, ob sie überklebt wurden. Bei Verdacht auf Betrug: Passwörter ändern, Bank informieren, Vorfall melden. Mit diesen Massnahmen bleiben QR-Codes das, was sie sein sollen: eine praktische Abkürzung, kein Sicherheitsrisiko.
Druckfertige Cybersecurity-Checklisten und Notfallpläne: gratis, sofort verwendbar.
Vorlagen herunterladen →