Quishing: Wie QR-Code-Phishing Ihre E-Mail-Filter umgeht — und was hilft

Inhalt in Kürze

• Quishing ist Phishing per QR-Code: Der Schadlink steckt im Bild, nicht im Text — Ihr Spamfilter prüft aber Text und URLs, kein QR-Bild. Genau deshalb rutscht die Mail durch.
• Kaspersky meldete für August bis November 2025 eine Verfünffachung erkannter schädlicher QR-Codes in E-Mails (von rund 47.000 auf 250.000). Das BSI führt Quishing im Lagebericht als eigene Phishing-Kategorie.
• Der gefährliche Bruch: Der Scan wandert vom verwalteten PC aufs unverwaltete Privathandy — ohne Mail-Gateway, ohne Firmenschutz, ohne Logging. Für Ihre IT bleibt der Angriff unsichtbar.
• Wirksam ist nur die Kombination aus QR-Scanning im Mail-Gateway, Conditional Access in Entra ID, phishing-resistenter MFA (Passkeys/FIDO2) und kurzer Mitarbeiter-Sensibilisierung.

Ein Mitarbeiter bekommt eine Mail, die aussieht wie eine ganz normale Nachricht aus der Personalabteilung. Im Text steht nur ein freundlicher Hinweis und ein QR-Code, der angeblich zum neuen Schichtplan führt. Der Spamfilter hat nichts beanstandet, denn er prüft Links, keine Bilder. Der Mitarbeiter zückt sein Privathandy, scannt den Code und landet auf einer Login-Seite, die exakt aussieht wie Microsoft 365. Genau hier setzt Quishing an: Der Schadlink steckt im QR-Bild, der Scan wandert auf ein Gerät, das Ihre IT gar nicht kontrolliert.

Was ist Quishing und warum ist Quishing gerade jetzt ein KMU-Problem?

Quishing ist Phishing mit QR-Codes: Der schädliche Link steckt nicht als Text, sondern als QR-Code in einem Bild. Der Begriff mischt „QR-Code” (kurz für Quick Response) und „Phishing”. Statt auf einen Link zu klicken, scannt das Opfer den Code mit dem Handy — und landet auf einer gefälschten Website, meist einem nachgebauten Anmeldefenster, in das es seine Anmeldedaten eingeben soll. Genau das macht die Betrugsmasche so unauffällig: Ein QR-Code wirkt wie ein legitimer, harmloser Service-Code.

Das ist kein Nischenthema mehr. Cyberkriminelle nutzen die enorme Beliebtheit von QR-Codes inzwischen gezielt als Kanal für ihre Angriffe. Kaspersky meldete für den Zeitraum August bis November 2025 einen Anstieg erkannter bösartiger QR-Codes in E-Mails von 46.969 auf 249.723 — eine Verfünffachung in nur vier Monaten, mit dem stärksten Sprung im November (Kaspersky-Auswertung bei datensicherheit.de, Einordnung bei it-daily). Das BSI führt Quishing in seinem Lagebericht inzwischen als eigene Phishing-Kategorie (BSI: Phishing-Webseiten im Lagebericht).

Der Unterschied zum klassischen Mail-Phishing ist klein, aber entscheidend: Beim normalen Phishing klicken Sie am PC auf einen sichtbaren Link. Beim Quishing scannen Sie ein Bild mit dem Handy. Damit verlässt der Angriff den geschützten Firmenrechner — und das ist der eigentliche Trick.

Wie funktioniert Quishing technisch?

Im Kern besteht ein Quishing-Angriff aus drei Schritten. Erstens bettet der Betrüger einen QR-Code in eine E-Mail, ein PDF oder einen Aufkleber ein. Dabei kommen häufig dynamische QR-Codes zum Einsatz: Anders als statische QR-Codes lässt sich ihr Ziel nachträglich umleiten, sodass derselbe Code erst harmlos und später betrügerisch wirkt — ein Grund, warum sich betrügerische QR-Codes so schwer erkennen lassen. Zweitens scannt das Opfer den Code mit dem Smartphone und wird auf eine gefälschte Webseite geleitet. Drittens soll es dort sensible Daten wie Anmeldedaten eingeben. Das eigentliche Ziel sind also Ihre Zugangsdaten — der QR-Code ist nur der Transportweg.

So funktioniert Quishing zuverlässig, weil das Scannen von QR-Codes für die meisten Menschen längst Alltag ist und kaum jemand die Risiken von QR-Codes mitdenkt. Wer einen QR-Code scannt, sieht vorher nicht, ob er auf eine echte oder eine bösartige Adresse führt — gefälschte Webseiten führen oft erst nach dem Scan zum nachgebauten Login. Um sich vor Quishing zu schützen, hilft die einfache Faustregel: Vor dem Scannen des QR-Codes kurz innehalten und die angezeigte Ziel-URL prüfen, bevor man einen unbekannten oder unerwünschten QR-Code öffnet.

Warum der QR-Code Ihre technische Abwehr aushebelt

Der zentrale Grund, warum Quishing durchrutscht: Spam- und Link-Filter scannen Text und URLs einer Nachricht — den Inhalt eines Bildes prüfen die meisten nicht. Der QR-Code wird als PNG oder JPG eingebunden, häufig sogar in einem PDF-Anhang versteckt. Genau das erschwert die Erkennung zusätzlich.

Dazu kommt der menschliche Faktor. Das BSI weist darauf hin, dass das menschliche Auge den Inhalt eines QR-Codes nicht lesen kann und die meisten QR-Code-Reader die zugrunde liegende URL nur gekürzt anzeigen — der Nutzer erkennt die echte Weiterleitung also gar nicht. Auf einem kleinen Handy-Display fällt eine Tippfehler-Domain wie „micros0ft-login.de” praktisch niemandem auf. Manipulierte QR-Codes sind dadurch schwer zu erkennen, weil legitime und gefälschte QR-Codes für das Auge identisch aussehen.

Warum E-Mail-Filter und klassische Schutzsoftware bei dieser Masche so oft versagen, lässt sich gut nebeneinanderstellen:

Die typischen Quishing-Szenarien im Geschäftsalltag

In der Praxis sehen wir bei unseren Kunden in Hamburg und Norddeutschland vor allem drei Varianten, mit denen Cyberkriminellen QR-Codes für Phishing-Angriffe verwenden. Die gefährlichste zielt direkt auf Microsoft-365-Konten: Der QR-Code führt auf eine perfekt nachgebaute Anmeldeseite. Ziel ist nicht nur das Passwort, sondern auch der Session-Token. Bei einem sogenannten Adversary-in-the-Middle-Angriff (AitM) wird dieser Token live weitergereicht — damit lässt sich sogar klassische Multi-Faktor-Authentifizierung umgehen. Genau deshalb reicht ein SMS-Code als zweiter Faktor heute nicht mehr aus, wie wir im Beitrag warum SMS-Codes 2026 fahrlässig sind ausführlich erklären.

Daneben laufen die altbekannten Maschen weiter, nur eben per QR: Betrüger versenden gefälschte Paketbenachrichtigungen mit Code für eine angebliche Zollgebühr, manipulierte Rechnungs-PDFs mit Bezahl-QR, gefälschte Strafzettel mit Bezahl-Code sowie Aufkleber an Parkautomaten und Ladesäulen. In allen Fällen ist das Ziel dasselbe: persönliche Daten oder Anmeldedaten abzugreifen, indem das Opfer sie auf einer gefälschten Website eingibt. Die Polizei warnt explizit vor Quishing-Aufklebern, die echte Codes an Parkscheinautomaten überkleben und auf Fake-Seiten führen — Antiviren-Programme können diese Links oft nicht automatisch prüfen (Polizei-Beratung: Was ist Quishing?). In Niedersachsen tauchten solche Aufkleber an Parkautomaten 2024 erstmals und 2025 erneut auf (Polizei-Prävention: falsche QR-Codes an Parkautomaten). Was viele unterschätzen: Diese Offline-Maschen treffen auch Firmenhandys und Dienstwagen — der Schaden landet dann schnell auf einem Gerät, auf dem auch Ihre Geschäftsmails liegen.

Ob Sie 5 oder 500 Mitarbeiter haben — einem KI-gesteuerten Massenangriff ist das völlig egal. Die verschlüsseln Sie automatisiert, einfach weil sie können. Deshalb braucht heute jedes Unternehmen einen Grundschutz.

Jens HagelGeschäftsführer, hagel IT-Services GmbH

Warum ist Quishing so gefährlich? Das Privathandy als Einfallstor

Der Kern des Problems ist nicht der QR-Code, sondern wohin er führt: aufs private Smartphone. Bei „Bring Your Own Device” landet der Scan auf einem Gerät ohne Mobile Device Management, ohne Mail-Gateway, ohne Endpoint-Schutz. Genau diese Schwachstelle macht Quishing so wirksam — und ist der Grund, warum Quishing so gefährlich ist. Das Scannen eines QR-Codes mit dem Privathandy umgeht in einem einzigen Schritt nahezu jede technische Schutzschicht, die im Firmennetz greift.

Dazu kommt: Mobile Browser zeigen URLs verkürzt an, gefälschte Domains fallen kaum auf. Und weil das Handy nicht im Firmen-Logging auftaucht, bleibt der Vorfall unsichtbar — bis die ersten Phishing-Mails über das gekaperte Konto an Ihre eigenen Kunden gehen.

Die meisten Menschen sind in der Regel neugierig oder haben bestimmte Ängste und bauen manchmal zu schnell Vertrauen auf.

Philip KraatzGeschäftsführer, hagel IT-Services GmbH

Genau auf diese menschliche Neugier setzt Quishing — ein QR-Code wirkt harmlos, fast spielerisch. Niemand misstraut einem Code, den man einfach nur scannt. Wer die Grundmuster dahinter kennt, ist deutlich besser geschützt; eine kompakte Einführung dazu finden Sie in unserem Beitrag Phishing erkennen und Social Engineering abwehren.

Technische Abwehr, die wirklich greift

Quishing lässt sich nicht mit einer einzigen Maßnahme stoppen — es braucht drei Ebenen, die ineinandergreifen. So gehen wir bei unseren Managed-IT-Kunden vor:

1. Mail-Ebene: QR-Code-Scanning im Gateway. Ein Mail-Gateway, das QR-Codes und Anhänge decodiert und die dahinterliegende URL gegen Bedrohungslisten prüft — inklusive PDF- und Bild-Analyse, nicht nur Text-Scan.
2. Identitäts-Ebene: Conditional Access. In Entra ID erzwingen Sie Geräte-Compliance: Ein Login von einem unbekannten, unverwalteten Gerät wird blockiert oder zusätzlich abgesichert. Der gestohlene Zugang nützt dem Angreifer dann nichts.
3. Phishing-resistente MFA. Passkeys oder FIDO2 statt SMS-Code. Diese Verfahren sind an die echte Domain gebunden — eine gefälschte Login-Seite kann den Faktor nicht abgreifen, selbst bei einem AitM-Angriff.
4. Session-Schutz. Kurze Token-Lebensdauer und automatischer Sitzungs-Widerruf bei verdächtigem Verhalten begrenzen den Schaden, falls doch ein Token gestohlen wird.

Phishing-resistente MFA ist dabei der größte Hebel. Während ein SMS-Code oder eine App-Bestätigung in Echtzeit weitergereicht werden kann, scheitert ein Passkey an der falschen Domain — er funktioniert schlicht nur auf der echten Microsoft-Seite. Wie der Umstieg konkret abläuft, beschreiben wir in unserem Leitfaden zur Passkeys-Migration in Microsoft 365. Und weil die Mail nach wie vor das Haupteinfallstor ist, lohnt der Blick auf die Grundlagen der E-Mail-Sicherheit für Unternehmen.

Schutz vor Quishing: der menschliche Faktor als billigste Schutzschicht

Technik allein reicht nicht. Die wirksamste und günstigste Regel ist eine klare Ansage an alle Mitarbeiter: keine geschäftlichen Logins über privat gescannte QR-Codes. Punkt. Wer einen QR-Code aus einer Mail scannen will, prüft vorher die angezeigte URL — und gibt im Zweifel nie Zugangsdaten ein. Seien Sie vorsichtig: Cyberkriminelle verschicken ihre QR-Codes nicht nur per E-Mail, sondern auch über Textnachrichten und Aufkleber im öffentlichen Raum.

• QR-Codes in E-Mails grundsätzlich misstrauen. Auch wenn der Absender bekannt wirkt — gerade dann. Angreifer fälschen mit ihren QR-Codes auch gefälschte E-Mail-Adressen, die echt aussehen.
• Vor dem Öffnen die Ziel-URL prüfen. Wer einen QR-Code scannen will, sieht in den meisten Handy-Kameras die URL kurz, bevor sie öffnet — diese Sekunde entscheidet.
• Keine Logins über gescannte Codes. Microsoft-365-Anmeldungen nur über das gewohnte Lesezeichen oder die App — niemals über einen QR-Code zu scannen, der per Mail kam.
• Niedrigschwelliger Meldeweg. Eine verdächtige Mail muss mit einem Klick an die IT gemeldet werden können — ohne Angst vor Ärger.

Die Verbindung von QR-Codes und Phishing ist als neue Betrugsmasche so erfolgreich, weil sie unsere alltägliche Nutzung von QR-Codes ausnutzt. Genau deshalb gehört das Thema in jede Sensibilisierung. Betrüger setzen ihre QR-Codes gezielt dort ein, wo Menschen sie ohne Nachdenken scannen, und Angreifer platzieren manipulierte QR-Codes inzwischen sogar im öffentlichen Raum. Wer sich vor Quishing schützen will, muss diese Erwartungshaltung durchbrechen.

Eine kurze, regelmäßige Sensibilisierung mit echten Quishing-Beispielen wirkt nachhaltiger als jede Hochglanz-Schulung. Konkrete Ansätze für kleine Teams haben wir in der kostenlosen Security-Awareness-Schulung für kleine Teams zusammengetragen. Wie KI das Phishing-Niveau aktuell anhebt, lesen Sie ergänzend in Phishing 2.0: Wie KI die Gefahr vergrößert.

Aus der Praxis

Was Quishing so tückisch macht, ist der Zeitverlust: Bis ein Vorfall auffällt, hat der Angreifer das Konto oft schon eine Weile in der Hand. Genau deshalb beginnt unsere Zusammenarbeit nicht mit Technik, sondern mit einer ehrlichen Bestandsaufnahme — wo stehen Sie, was muss zuerst passieren.

Wir starten jede Zusammenarbeit mit einer Cyber-Risikoanalyse gemeinsam mit der Geschäftsführung. Nicht um Angst zu machen, sondern um ehrlich zu sehen, wo Sie stehen — und was als Erstes passieren muss.

Jens HagelGeschäftsführer, hagel IT-Services GmbH

Wie real die Folgen eines erfolgreichen Angriffs sind, weiß jeder, den es einmal getroffen hat:

Wenn der Verdacht besteht, dass ein Mitarbeiter einen schädlichen QR-Code gescannt hat, zählt jede Minute: betroffenes Konto sofort sperren, alle aktiven Sitzungen zurückziehen, Passwort und MFA neu aufsetzen, OAuth-Freigaben prüfen und entziehen, Vorfall dokumentieren. Genau dieses schnelle, geordnete Reagieren ist Teil unserer Cybersecurity-Betreuung in Hamburg — und gehört bei Managed IT Services zum Standard, statt erst im Ernstfall organisiert zu werden.

Ihr nächster Schritt

Quishing-Angriffe sind kein Sonderfall mehr, sondern ein wachsender Standardangriff — und Ihr Spamfilter allein wird ihn nicht aufhalten. Sich davor zu schützen heißt nicht, jeden QR-Code zu meiden, sondern gefälschte QR-Codes und gefälschte Websites zuverlässig zu entschärfen, bevor jemand dort persönliche Informationen eingibt. Der entscheidende Hebel liegt bei Identität und Geräten: Wer Conditional Access sauber gesetzt hat und phishing-resistente MFA nutzt, nimmt der Masche fast die gesamte Wirkung. Ob das bei Ihnen schon greift, ist in einem kurzen Check geklärt — für Unternehmen in Hamburg, Bremen, Kiel und Lübeck. Mehr zu unserem Heimatmarkt finden Sie unter IT-Systemhaus Hamburg, einen Gesamtüberblick gibt die Startseite von hagel IT. Eine Checkliste für die wichtigsten Sofortmaßnahmen liefert unsere Cybersicherheits-Checkliste für KMU.