Was ist Quishing? QR-Code-Phishing erklärt

Quishing ist Phishing über QR-Codes. Das Wort kombiniert „QR-Code" und „Phishing". Statt eines Textlinks scannen Sie einen QR-Code — und landen auf einer gefälschten Website, die Ihre Daten stiehlt. Der besondere Trick: Das Betrugslink ist im QR-Code versteckt und nicht direkt sichtbar.

Warum sind QR-Codes für Betrüger so attraktiv?

Bei einer normalen URL können Sie zumindest die Adresse lesen. Bei einem QR-Code sehen Sie ohne Scanner nicht, wohin er führt. Das macht QR-Codes zum idealen Tarninstrument für Betrüger. Außerdem scannen die meisten Menschen QR-Codes ohne nachzudenken — sie sind aus dem Alltag nicht mehr wegzudenken.

Wie funktioniert ein Quishing-Angriff?

1. Der Betrüger erstellt einen QR-Code, der auf eine gefälschte Website verlinkt.
2. Der QR-Code wird per E-Mail, Flyer, Poster, Aufkleber oder SMS verbreitet.
3. Sie scannen den Code — Ihr Smartphone öffnet automatisch die gefälschte Seite.
4. Die Seite sieht legitim aus und fordert Sie zur Eingabe von Daten auf.

Wo begegnet Ihnen Quishing in Deutschland?

• E-Mails: Statt eines klickbaren Links zeigt eine Phishing-E-Mail einen QR-Code (um E-Mail-Filter zu umgehen).
• Parkscheinautomaten: Ein gefälschter QR-Aufkleber wird über den echten Bezahl-QR-Code geklebt.
• Restaurants und Cafés: Gefälschte Tischaufsteller statt der echten Speisekarte.
• Pakete und Lieferscheine: Ein QR-Code in einer Paketbestätigung führt zu einer Fake-Zollgebühr-Seite.
• Öffentliche Plätze: Plakate mit QR-Codes für angebliche Gewinnspiele oder staatliche Leistungen.

Quishing-QR-Codes erkennen

• Prüfen Sie den QR-Code mit einem Scanner, der die URL anzeigt, bevor Sie sie öffnen (z.B. die Kamera-App zeigt oft eine Vorschau).
• Achten Sie auf Aufkleber über originalen QR-Codes — fühlen Sie, ob der Code aufgeklebt wurde.
• Überprüfen Sie, ob der Link nach dem Scannen zur erwarteten Domain führt.
• Seien Sie misstrauisch bei QR-Codes in E-Mails von unbekannten Absendern.
• Kopieren Sie den gescannten Link und prüfen Sie ihn mit 2check.click, bevor Sie ihn öffnen.

Was tun nach dem Scannen eines verdächtigen QR-Codes?

• Seite noch nicht geöffnet: Kopieren Sie die URL und prüfen Sie sie mit 2check.click.
• Seite geöffnet, keine Daten eingegeben: Schließen Sie die Seite sofort.
• Daten eingegeben: Handeln Sie wie bei einem Phishing-Klick — Passwort ändern, Bank informieren.

QR-Code-Link prüfen

Scannen Sie den QR-Code mit Ihrer Kamera, kopieren Sie den Link und fügen Sie ihn in 2check.click ein — bevor Sie ihn öffnen.

Zum 2check.click Analysator

Häufig gestellte Fragen

Kann ich einen QR-Code-Betrug am Aussehen des Codes erkennen?

Nicht zuverlässig. Gefälschte QR-Codes sehen genauso aus wie echte. Prüfen Sie immer das Ziel, nachdem Sie gescannt haben.

Warum verwenden Betrüger QR-Codes in E-Mails?

QR-Codes umgehen oft E-Mail-Sicherheitsfilter, die Links prüfen. Eine Bildatei mit einem QR-Code wird von vielen Filtern nicht als Phishing erkannt.

Ist der QR-Code in Restaurants sicher?

Normalerweise ja. Aber in Gegenden mit hoher Betrugsaktivität wurden schon gefälschte Aufkleber beobachtet. Schauen Sie, ob der Code auf einer Oberfläche klebt statt direkt auf dem Tisch gedruckt zu sein.

Was ist der Unterschied zu Smishing?

Smishing ist Phishing per SMS-Text. Quishing nutzt QR-Codes als Transportmittel — häufig in E-Mails oder auf Aufklebern.