Quishing (QR-Code-Phishing): Ein umfassender Schutzleitfaden

Häufige Methoden

• • Physischer QR-Code-Austausch: Betrüger drucken Aufkleber mit bösartigen QR-Codes und kleben sie über legitime Codes auf Parkuhren, Restaurant-Zahlungsterminals, Ladestationen für Elektrofahrzeuge und Paketlabels, um Zahlungen auf ihre eigenen Konten umzuleiten.
• • E-Mail-basierte Quishing-Kampagnen: Angreifer versenden professionell aussehende E-Mails, angeblich von IT-Abteilungen, HR oder Finanzinstituten, mit QR-Codes für dringende Passwort-Zurückstellungen, Multi-Faktor-Authentifizierungseinrichtung oder Rechnungszahlungen, die zu Credential-Harvesting-Seiten führen.
• • Gefälschte Verwarnungen: Kriminelle platzieren betrügerische Verwarnungen an Windschutzscheiben mit QR-Codes, die angeblich schnelle Zahlungsoptionen anbieten, aber tatsächlich Kreditkarteninformationen und persönliche Daten beim Scannen stehlen.
• • Kryptowährungs-Investitions-Köder: Betrüger verteilen QR-Codes über soziale Medien und Messaging-Apps und behaupten, Zugang zu exklusiven Kryptowährungs-Investitionsmöglichkeiten zu bieten, stehlen aber tatsächlich digitale Geldbörsen der Opfer beim Scannen.
• • Paketlieferungs-Betrügereien: Betrüger versenden SMS oder E-Mails mit QR-Codes, die angeblich Paketlieferungen umplanen oder Zollgebühren bezahlen, führen aber zu gefälschten Postserviceseiten, die Zahlungskartendaten erfassen.
• • Restaurant-Menü- und Zahlungs-Betrügereien: Angreifer erstellen gefälschte QR-Codes für digitale Menüs oder Tischservice-Zahlungen in Restaurants und leiten Gäste auf Look-alike-Seiten weiter, die Kreditkartendaten stehlen, wenn Kunden ihre Rechnungen bezahlen möchten.

So erkennen Sie es

• URL-Vorschau-Unstimmigkeit: Überprüfen Sie vor dem Öffnen des Links, ob Ihr Telefon eine Vorschau-URL anzeigt, die nicht mit dem erwarteten Ziel übereinstimmt (z. B. ein Parkuhren-QR-Code, der eine persönliche Website-URL anstelle der offiziellen Stadt-Domain zeigt).
• Anzeichen physischer Manipulationen: Suchen Sie nach Aufklebern über ursprünglichen QR-Codes, falsch ausgerichteter Druckfläche, unterschiedlicher Papierqualität oder Codes, die nachträglich hinzugefügt anstatt als professionell gedruckter Teil des Originalmaterials erscheinen.
• Anfragen zur dringenden Aktion: Seien Sie misstrauisch gegenüber QR-Codes, die von bedrohender Sprache wie "Konto wird in 24 Stunden gesperrt", "dringende Sicherheitsaktualisierung erforderlich" oder "zahlen Sie innerhalb von 2 Stunden, um Strafen zu vermeiden" begleitet werden, da legitime Dienste selten solche Drucktaktiken einsetzen.
• Generische oder unpersönliche Kommunikation: E-Mails oder Nachrichten mit QR-Codes, die Ihren tatsächlichen Namen nicht verwenden, auf vage Kontoprobleme verweisen oder spezifische Details über Ihre Beziehung zum angeblichen Absender fehlen, sind wahrscheinlich Betrügereien.
• Unerwartete Authentifizierungsanfragen: Wenn Sie unaufgefordert QR-Codes erhalten, die Multi-Faktor-Authentifizierung einrichten, Kontodaten überprüfen oder Identität bestätigen sollen, ohne dass Sie einen solchen Prozess eingeleitet haben, ist dies ein großes Warnsignal.
• Zahlungsempfänger-Inkonsistenz: Wenn ein QR-Code zu einer Zahlungsseite führt, überprüfen Sie den Namen des Empfängers, Geschäftsdetails und Zahlungsanbieter, um sicherzustellen, dass sie den Erwartungen entsprechen—Betrüger verwenden oft persönliche Konten oder unbekannte Zahlungsplattformen anstelle etablierter Handelsdienste.

So schützen Sie sich

• Installieren Sie einen QR-Scanner mit URL-Vorschau: Verwenden Sie QR-Code-Reader-Apps, die die vollständige Ziel-URL anzeigen, bevor sie geöffnet wird, und überprüfen Sie immer, dass die Domain der legitimen Organisation entspricht (achten Sie auf subtile Tippfehler wie "micros0ft.de" mit einer Null anstelle eines "o").
• Geben Sie offizielle URLs manuell ein: Scannen Sie statt QR-Codes für sensible Aktionen wie Banking, Passwort-Zurückstellung oder Zahlungen lieber die offizielle Website, indem Sie die URL direkt in Ihrem Browser eingeben oder gespeicherte Lesezeichen verwenden.
• Überprüfen Sie physische QR-Codes vor dem Scannen: Untersuchen Sie Parkuhren, Zahlungsterminals und Produktverpackungen auf Anzeichen von Manipulationen—legitime QR-Codes sollten als Teil des Originalmaterials gedruckt sein, nicht über Aufkleber oder separate Etiketten hinzugefügt.
• Aktivieren Sie Zwei-Faktor-Authentifizierung auf allen Konten: Selbst wenn Betrüger Ihre Anmeldedaten durch Quishing erhalten, verhindert ordnungsgemäße 2FA mit Authenticator-Apps (nicht SMS) den Zugriff ohne den sekundären Bestätigungscode.
• Kontaktieren Sie Organisationen über offizielle Kanäle: Wenn Sie einen QR-Code erhalten, der dringende Maßnahmen fordert, kontaktieren Sie die Organisation unabhängig über Telefonnummern oder Websites aus offiziellen Quellen, nicht über Informationen in der verdächtigen Nachricht.
• Verwenden Sie Mobile-Security-Software: Installieren Sie seriöse Mobile-Security-Apps, die bösartige Websites erkennen und blockieren können, selbst wenn sie über QR-Codes aufgerufen werden, und bieten so zusätzlichen Schutz gegen Credential-Diebstahl und Malware.

Reale Beispiele

Wo melden — Deutschland

Offizielle Stellen in Ihrer Region zum Melden dieses Betrugs.