Quishing: QR-Code-Phishing erkennen und im Betrieb abwehren

Quishing ist Phishing mit einem QR-Code statt eines Links. Der Code führt auf eine nachgebaute Anmelde- oder Zahlungsseite, und weil er mit dem Handy gescannt wird, landet das Opfer auf einem Gerät, das weder den Mailfilter noch den Virenschutz der Firma hat. Der Begriff setzt sich aus „QR-Code“ und „Phishing“ zusammen, so beschreiben es das Bundeskriminalamt und die Watchlist Internet.

Ein QR-Code ist kein Sicherheitsmerkmal, sondern ein Link, den man nicht lesen kann. Dass er auf einem Brief mit Logo steht oder ordentlich auf einen Automaten geklebt ist, sagt über sein Ziel nichts.

Wo Quishing gerade auftaucht#

Die Warnungen der letzten Monate zeigen vier Wege, alle belegt:

• Per Mail. Microsoft zählte im ersten Quartal 2026 einen Anstieg der QR-Code-Phishing-Mails von 7,6 Millionen im Jänner auf 18,7 Millionen im März, plus 146 %. Der Code steckte meist in einem PDF-Anhang, im März bei 70 % der Fälle (Microsoft Threat Intelligence, 30.04.2026). Die Watchlist Internet dokumentierte schon im Jänner 2024 eine Mail im Namen von PayLife: Die App sei gesperrt, man solle zum Entsperren den QR-Code scannen. Er führte auf my.paylife-online.info statt auf my.paylife.at (Watchlist Internet, 22.01.2024).
• Per Brief. Ende September 2026 warnten mehrere deutsche Industrie- und Handelskammern vor Briefen im Namen einer „IHK-Servicezentrale“: Unternehmensdaten seien zu aktualisieren, sonst drohten Bußgeld und Löschung aus dem Handelsregister. Über den QR-Code öffnete sich ein Formular samt Bankverbindung, danach rief eine angebliche Hausbank an (IHK Nordschwarzwald). Gefälschte Bankbriefe mit QR-Code meldet die Verbraucherzentrale seit August 2024, zuletzt Mitte 2026 mit verschiedenen Banken als Absender.
• Auf Automaten und Ladesäulen. Das Landeskriminalamt Steiermark warnte im Februar 2025 vor Aufklebern mit „Scannen und Bezahlen“ auf Parkscheinautomaten, Fälle gab es auch in anderen Bundesländern (ORF Steiermark, 27.02.2025). Überklebte Codes an E-Ladesäulen nennt die Watchlist Internet in ihrem Quishing-Beitrag vom 09.10.2026.
• Als gefälschte Rechnung. Im März 2026 beschrieb die Watchlist Internet gefälschte Post-Rechnungen bei Käufen auf Kleinanzeigen-Plattformen: Der QR-Code führte auf eine Zahlungsseite, die Kartendaten abgriff (Watchlist Internet, 31.03.2026).

Das Bundeskriminalamt und die Oesterreichische Nationalbank haben am 16.06.2026 gemeinsam vor der Masche gewarnt (Bundeskriminalamt). Gezielte Fälle aus Tiroler Betrieben sind darin nicht beschrieben, und hier werden auch keine erfunden.

Warum Mailfilter QR-Codes schlechter sehen#

Ein Mailfilter prüft Links: Er liest die Adresse aus dem Text, vergleicht sie mit Sperrlisten, öffnet sie im Zweifel in einer Sandbox. Ein QR-Code ist für ihn zunächst ein Bild. Microsoft schreibt, die Angreifer nutzten so die Grenzen textbasierter Scan-Engines aus und leiteten die Opfer auf Phishing-Seiten auf nicht verwaltete Mobilgeräte um (Microsoft). Das BSI beschreibt denselben Effekt: Der Code gilt als harmlose Bilddatei und kommt an Schutzmaßnahmen vorbei (BSI, 01.04.2026).

Moderne Filter lesen QR-Codes inzwischen aus. Microsoft Defender for Office 365 kennt im Threat Explorer und in den Echtzeiterkennungen den Filterwert „QR code“ für URLs, die aus QR-Codes gewonnen wurden (Microsoft Learn). Das hilft gegen den Code im Mailtext. Gegen den Code auf Papier hilft kein Filter, und das Handy, mit dem gescannt wird, ist in kleinen Betrieben meist ein privates.

Woran man einen falschen QR-Code erkennt#

So sieht eine typische Quishing-Mail im Betrieb aus, nachgestellt mit Beispielnamen:

From: "IT-Sicherheit" <security-notice@m365-verify.example>
To: buchhaltung@beispiel-tischlerei.example
Subject: Ihre Anmeldung läuft heute ab
Anhang: Sicherheitsupdate.pdf

Ihre Multi-Faktor-Anmeldung muss erneuert werden.
Scannen Sie den QR-Code im Anhang mit Ihrem Mobiltelefon.
Ohne Bestätigung wird Ihr Postfach in 24 Stunden gesperrt.

Die Warnsignale, die Bundeskriminalamt, Watchlist Internet und BSI übereinstimmend nennen:

• Druck und Drohung. „Sofort scannen“, „Zugang läuft ab“, „Konto wird gesperrt“, Bußgeld oder Löschung.
• Ein QR-Code, wo keiner hingehört. Eine Bank, Microsoft oder die Kammer brauchen keinen Code, um dich zur Anmeldung zu bringen. Du weißt, wo die Anmeldeseite ist.
• Ein Aufkleber über dem Original. Mit dem Fingernagel über den Rand fahren: Klebt etwas auf dem Druck, ist es nicht vom Betreiber.
• Eine Adresse, die fast stimmt. paylife-online.info statt paylife.at. Die Verbraucherzentrale beschreibt einen Bankbrief, dessen Ziel mit commerzbank.de- begann, also mit einem Bindestrich statt eines Schrägstrichs nach der echten Domain.
• Die Seite fragt nach Passwort, PIN, TAN oder Kartennummer oder will eine App installieren.

Wie du die Adresse vor dem Öffnen prüfst#

Die Kamera-Apps zeigen den Inhalt zuerst an und öffnen ihn erst auf Tippen. Apple schreibt, man halte das Gerät so, dass der Code im Bild ist, und tippe dann auf den Link (Apple), Google beschreibt beim Pixel eine „Blase oder einen Link“ auf dem Bildschirm (Google). Genau dieser Moment ist die Prüfung. Der Weg dauert zehn Sekunden.

1. Code scannen, nicht tippen. Die eingeblendete Adresse lesen. Ist sie gekürzt, länger hinsehen oder gar nicht öffnen.
2. Die Domain finden. Maßgeblich ist der Teil direkt vor dem ersten einzelnen Schrägstrich, nicht der Anfang. login.microsoftonline.com.sicher-anmelden.example/ gehört sicher-anmelden.example.
3. Mit dem Erwarteten vergleichen. Eine Parkgebühr der Stadt hat die Domain der Stadt oder des bekannten Parkanbieters. Weicht sie ab, nicht öffnen.
4. Im Zweifel nicht öffnen, sondern selbst eintippen. Bank, Microsoft, Hoster oder Kammer über das eigene Lesezeichen aufrufen und dort nachsehen. Das empfehlen BSI und Verbraucherzentrale gleichermaßen.
5. Automatisches Öffnen abschalten, falls eine Scanner-App Links sofort öffnet. Die eingebauten Kamera-Apps von iPhone und Pixel öffnen nach ihren Hilfeseiten erst auf Tippen.

Eine Seite, die ein QR-Code geöffnet hat, bekommt kein Passwort. Das ist die einzige Regel, die auch dann hält, wenn die Adresse täuschend echt aussieht.

Was tun, wenn du schon gescannt und etwas eingegeben hast?#

Nur gescannt und die Seite gleich geschlossen: In der Regel ist nichts passiert. Die Watchlist Internet rät dann, die Seite zu schließen. Hast du etwas eingegeben, kommt es darauf an, was.

1. Zahlungsdaten eingegeben: sofort die Bank anrufen und die Karte sperren lassen. Außerhalb der Öffnungszeiten nimmt der österreichische Sperrnotruf die Sperre der Bankomatkarte an, 0800 204 88 00, aus dem Ausland +43 1 204 88 00 (oesterreich.gv.at). Bei Kreditkarten gilt die Nummer auf der Rückseite oder in der App des Kartenanbieters.
2. Ein Firmenkonto eingegeben, etwa Microsoft 365: sofort den Admin informieren. Der sperrt das Konto, widerruft alle Sitzungen und setzt dann das Passwort. Die Reihenfolge und die Befehle stehen in Microsoft-365-Konto gehackt. Ein neues Passwort allein wirft einen Angreifer nicht hinaus, der schon eine Sitzung hat.
3. MFA-Methoden prüfen. Unter mysignins.microsoft.com → Sicherheitsinformationen steht jede registrierte Methode. Ein Telefon oder eine Authenticator-App, die du nicht kennst, wird gelöscht. Ein Angreifer, der einmal drin war, richtet sich gern eine eigene ein.
4. Dasselbe Passwort woanders ändern. Wer es mehrfach verwendet, hat es jetzt überall verloren.
5. Beweise sichern. Foto des Codes oder Briefs, die Mail mit vollständigem Nachrichtenkopf, Uhrzeit, eingegebene Daten. Die Polizei braucht das für die Anzeige, die Bank für einen Rückruf der Zahlung.
6. Anzeige erstatten und melden, siehe unten.

Wurde über das Konto auf Kundendaten zugegriffen, ist das eine Datenschutzverletzung mit 72-Stunden-Frist nach Art. 33 DSGVO. Wie man das einschätzt, steht im Beitrag zum gehackten Microsoft-365-Konto und im Notfallplan unter Cyberangriff: was tun?.

Wie sich ein Betrieb schützt#

Gegen Quishing hilft wenig Technik und viel Regel. Die Reihenfolge nach Wirkung:

1. Die Regel aufschreiben und sagen: „Ein QR-Code aus einer Mail oder einem Brief führt nie zu einer Anmeldung. Wer dort nach einem Passwort gefragt wird, schließt die Seite und meldet sich bei mir.“ Ein Satz, den jeder behalten kann. Die Bank, Microsoft oder die Kammer, die dich wirklich erreichen wollen, tun das ohne Code.
2. Phishing-resistente Anmeldung einführen. Ein Passwort plus SMS-Code lässt sich auf einer nachgebauten Seite abgreifen oder in Echtzeit weiterreichen, schreibt Microsoft. Ein Passkey nicht: Er ist an die echte Domain gebunden und funktioniert laut Microsoft nur auf der Website oder in der App, für die er erstellt wurde (Microsoft Learn, Passkeys). In Microsoft 365 schaltet ein Administrator ihn unter Entra ID → Authentication methods → Policies → Passkey (FIDO2) frei, Passkeys in Microsoft Authenticator brauchen Android 14 oder iOS 17 (Microsoft Learn, Stand 12.10.2026). Microsoft empfiehlt im Quartalsbericht genau das: passwortlose Anmeldung mit Windows Hello, FIDO-Schlüsseln oder Microsoft Authenticator.
3. Einen Meldeweg festlegen. Wer eine verdächtige Mail oder einen Brief bekommt, schickt sie an eine Person, die entscheidet. Schnell gemeldet ist besser als still gelöscht, weil die Kollegen dieselbe Mail im Postfach haben.
4. Zahlungen per Rückruf bestätigen. Der IHK-Fall endete mit einem Anruf der „Hausbank“. Wie die Rückrufregel aussieht, steht in CEO-Fraud erkennen und abwehren.
5. Die eigene Domain absichern. Quishing-Mails kommen oft mit einem vertrauten Anzeigenamen und fremder Adresse, manchmal mit gefälschter eigener. Wie man das erkennt, steht in E-Mail-Spoofing, ob SPF, DKIM und DMARC stehen, zeigt der E-Mail-Check ohne Anmeldung.

Ein Sonderfall verdient einen Satz: Microsoft nennt die geräteübergreifende Passkey-Anmeldung „via QR code“ selbst als regulären Weg. Dieser Code erscheint aber im Browser, in dem du die Anmeldung gerade selbst begonnen hast, nie in einer Mail und nie auf Papier.

Wo du in Österreich meldest#

• Polizei. Anzeige bei jeder Dienststelle. Hinweise nimmt die Meldestelle für Internetkriminalität des Bundeskriminalamts unter against-cybercrime@bmi.gv.at entgegen (Bundeskriminalamt).
• Watchlist Internet. Das Meldeformular für Phishing-Nachrichten nimmt Mails, SMS und Fotos von Briefen an, bis zu drei Dateien. Wird ein Fall veröffentlicht, sind persönliche Daten anonymisiert, und er warnt andere.
• Bank. Bei jeder Eingabe von Konto- oder Kartendaten, auch wenn noch nichts abgebucht wurde.
• Betreiber des Automaten oder der Ladesäule. Ein überklebter Code bleibt sonst kleben. Die Nummer steht auf dem Gerät, nicht auf dem Aufkleber.

Alle Anlaufstellen mit Nummern stehen auf der Security-Seite unter „Wenn es schon passiert ist“.

Was nicht hilft#

Einen QR-Scanner aus dem App-Store, der „sicher“ verspricht. Die eingebauten Kamera-Apps zeigen die Adresse bereits an. Eine zusätzliche App bekommt Kamerazugriff und liest jeden Code mit.

Auf das Schloss im Browser achten. Auch Phishing-Seiten haben HTTPS. Das Schloss sagt, dass die Verbindung verschlüsselt ist, nicht, mit wem.

Nur auf den Absender schauen. Ein Brief hat keinen prüfbaren Absender, und ein Aufkleber auch nicht. Bei Quishing ist die Adresse hinter dem Code das Einzige, was sich prüfen lässt.

Den Code zur Probe öffnen. Auch ohne Eingabe kann die Seite einen Download anstoßen, und wer den Code aus einer Mail öffnet, bestätigt dem Absender womöglich, dass die Adresse gelesen wird.

Prüfliste#

• [ ] Steht der QR-Code an einer Stelle, wo ein Code Sinn ergibt, und klebt er nicht über dem Druck?
• [ ] Erzeugt die Nachricht Druck mit Frist, Sperre oder Bußgeld?
• [ ] Zeigt die Kamera eine Adresse, deren Domain zum Absender gehört?
• [ ] Fragt die Seite nach Passwort, PIN, TAN oder Kartennummer? Dann schließen.
• [ ] Gibt es im Betrieb die Regel „QR aus Mail oder Brief = nie Anmeldung“, und kennt sie jeder?
• [ ] Sind Passkeys für die Microsoft- oder Google-Konten eingerichtet?
• [ ] Ist klar, an wen eine verdächtige Mail oder ein Brief geht?
• [ ] Liegen Bank-Sperrnummer und against-cybercrime@bmi.gv.at dort, wo man sie im Ernstfall findet?

Häufige Fragen#

Stand 25.10.2026. Alle Quellen an diesem Tag abgerufen. Menüpfade in Microsoft Entra ID nach der englischen Oberfläche, vor dem Befolgen im eigenen Mandanten abgleichen.