Quishing ist Phishing per QR-Code: Kriminelle verstecken eine betrügerische Internetadresse in einem Code, den Sie scannen, statt sie Ihnen als Link in einer E-Mail unterzujubeln. Das Wort setzt sich aus „QR-Code“ und „Phishing“ zusammen. Der Code führt auf eine gefälschte Webseite oder soll Schadsoftware nachladen.
- Quishing nutzt QR-Codes, um Sie auf gefälschte Webseiten zu locken, die echten Portalen ähneln.
- Die Adresse im QR-Code ist vor dem Scan nicht sichtbar, deshalb bemerken Nutzer und Spam-Filter die Gefahr seltener als bei einem Textlink.
- Überklebte Codes an Ladesäulen, Parkautomaten und Mietfahrzeugen sind ein verbreiteter physischer Angriffsweg.
- Im Schadensfall zählt die Reihenfolge: Karten sperren, Passwörter ändern, Anzeige erstatten, Konto prüfen.
Was unterscheidet Quishing von klassischem Phishing?
Bei Quishing liegt die betrügerische Adresse in einem Bild versteckt, nicht in lesbarem Text. Das macht die Masche schwerer zu erkennen als eine E-Mail mit verdächtigem Link, weil weder Auge noch viele Schutzprogramme den Inhalt vor dem Scannen prüfen können.
Der entscheidende technische Unterschied
Ein Link in einer E-Mail lässt sich lesen, bevor man ihn anklickt. Ein QR-Code verweigert genau das: Der in ihm enthaltene Link ist nicht unmittelbar einsehbar, erst nach dem Scannen zeigt das Handy eine Adresse an. Herkömmliche Antivirenprogramme filtern schädliche Links in E-Mails automatisch, doch in QR-Codes versteckte Webadressen werden von Schutzprogrammen oft nicht erkannt. In E-Mails stufen Spam-Filter Codes zudem oft als harmlose Bilder ein, die ein Textfilter nicht als schädlichen Link erkennt. Ein klassischer Phishing-Link lässt sich mit etwas Erfahrung auf den ersten Blick einordnen, ein QR-Code dagegen bleibt bis zum Scan ein Blindgang.
Hinzu kommt ein technisches Detail bei der Anzeige: Manche Kamera-Apps oder QR-Code-Scanner-Apps öffnen die im Code hinterlegte Adresse automatisch, ohne dass Sie vorher bestätigen müssen. Moderne Scanner zeigen oft nur eine Kurzversion des Links an, was eine gefälschte Adresse zusätzlich tarnt. Zeigt Ihre Kamera-App die Adresse nicht vor dem Öffnen an, rät die Verbraucherzentrale zu einer seriösen App, die das tut. Wählen Sie sie sorgfältig aus, denn kostenlose Scanner-Apps von Drittanbietern können Sicherheitslücken haben.
Smishing: die verwandte Masche per SMS
Smishing setzt sich aus SMS und Phishing zusammen und funktioniert nach demselben Prinzip wie Quishing, nur über Kurznachrichten statt über einen Code. Typische Beispiele sind SMS zu einer angeblichen neuen Voicemail oder einer vermeintlichen Drittanbietersperre. Beide Maschen zeigen: Kriminelle verlagern Phishing dorthin, wo klassische Filter schwächer greifen.
Wo platzieren Kriminelle gefälschte QR-Codes?
Quishing taucht sowohl digital in E-Mails und auf Flyern als auch physisch auf Aufklebern im Alltag auf. Kriminelle suchen gezielt Orte, an denen Menschen routiniert und ohne lange nachzudenken mit dem Smartphone scannen, bezahlen oder Informationen abrufen.
Digitale Angriffswege
Manipulierte QR-Codes landen in Phishing-E-Mails, auf Flyern und auf gefälschten Gewinnspielkarten. Cyberkriminelle erstellen die passenden Codes dafür meist selbst, mit kostenlosen Online-Generatoren.
Physisches Überkleben im Alltag
Besonders tückisch ist das Überkleben echter Codes: Ein Aufkleber mit gefälschtem QR-Code wird einfach über den Original-Code geklebt, etwa an einer Ladesäule, einem Parkscheinautomaten oder einem Mietfahrzeug beziehungsweise E-Scooter, der damit angeblich freigeschaltet wird. Auch Plakate in Bussen und Bahnen sind betroffen. Gefälschte Plakate können aus zwei zusammengeklebten DIN-A4-Seiten bestehen statt aus einem Großformat. An Ladesäulen täuscht der manipulierte Sticker eine Bezahl- oder Freischaltseite für den Ladevorgang vor.
Gefälschte Post und Strafzettel
Auch der Briefkasten ist ein Angriffsweg: Gefälschte Benachrichtigungskarten mit QR-Code fordern vermeintliche Zoll- oder Zustellgebühren, und manipulierte Strafzettel mit QR-Code werden an Autos befestigt. Auch gefälschte Briefe, etwa angeblich von der Bank, zu Steuerbescheiden oder Gerichtsverfahren, enthalten solche Codes. Solche Briefe haben oft keine persönliche Anrede, etwa „Sehr geehrte Kontoinhaberin, sehr geehrter Kontoinhaber“.
Wie erkennen Sie einen betrügerischen QR-Code vor dem Scannen?
Ein überklebter Code verrät sich oft durch fühlbare Ränder oder eine Oberfläche, die neuer wirkt als die Umgebung. Nehmen Sie sich vor dem Scannen kurz Zeit, den Code und seinen Standort anzusehen, statt reflexhaft die Kamera draufzuhalten.
Ein überklebter QR-Code mit fühlbaren Rändern ist ein klares Warnsignal. Fahren Sie bei Codes an Automaten, Ladesäulen oder Fahrzeugen kurz mit dem Finger über die Oberfläche, bevor Sie scannen. Wo möglich, tippen Sie die Adresse des Anbieters selbst ein, statt den Code zu scannen.
Den Scan-Flow prüfen
Seriöse Zahlungsdienste zeigen nach dem Scan zuerst Tarif- oder Produktinformationen an, bevor überhaupt Bezahldaten abgefragt werden. Landen Sie sofort auf einer Seite, die direkt nach Kartennummer oder Zugangsdaten fragt, ohne vorher zu erklären, wofür, ist das ein Warnzeichen. Brechen Sie auch ab, wenn die Seite keine sichere HTTPS-Verbindung nutzt oder fehlerhaft wirkt, etwa „ae“ statt „ä“ schreibt. HTTPS allein beweist aber nicht, dass eine Seite echt ist.
Die angezeigte Adresse lesen, ohne sie zu öffnen
Bevor Sie einen Link öffnen, der nach dem Scannen erscheint, lesen Sie die Adresse genau. Weil moderne Scanner oft nur eine Kurzversion anzeigen, lohnt sich ein zweiter Blick, ob die Schreibweise zur erwarteten Seite passt, etwa „beispiel.de-123.com“ statt „beispiel.de/123“. Die zweite Adresse führt zu einer Unterseite von beispiel.de, die erste zu einer ganz anderen Domain namens de-123.com. Achten Sie auch auf Buchstabendreher und Sonderzeichen. So zeigen die gängigen Systeme die Adresse an, Stand: September 2026:
- iPhone: App „Kamera“ im Fotomodus öffnen, den Code in den Kamerarahmen halten, der Link erscheint unten auf dem Bildschirm. Erst lesen, dann entscheiden. Alternativ das Steuerelement „Code scannen“ im Kontrollzentrum nutzen.
- Google Pixel: In den Kamera-Einstellungen prüfen, ob „Scannen via Kamera“ aktiviert ist, der Link wird dann unter dem Code angezeigt. Alternativ die Schnelleinstellung „QR-Code scannen“ oder Google Lens verwenden.
- Samsung Galaxy: In der Kamera-App unten „Foto“ wählen und auf den Code richten. Klappt es nicht, in den Kamera-Einstellungen den Schalter einschalten, der etwa „QR-Codes scannen“ heißt.
Lesen Sie die angezeigte Adresse in der Vorschau, tippen Sie sie aber erst an, wenn Sie das Ziel eindeutig einordnen können. Zeigt der Scanner nur eine gekürzte Adresse, prüfen Sie, ob sich die vollständige anzeigen lässt, denn nur daran sehen Sie, wohin der Link führt. Im Zweifel öffnen Sie den Link nicht.
| Merkmal | Unauffällig | Eher Warnsignal |
|---|---|---|
| Oberfläche des Codes | Fest aufgedruckt, kein Sticker | Fühlbarer Rand, wirkt aufgeklebt |
| Ablauf nach dem Scan | Erst Info, dann Zahlungsseite | Sofort Abfrage von Karten- oder Zugangsdaten |
| Angezeigte Adresse | Bekannte, korrekt geschriebene Domain | Abweichende Schreibweise wie beispiel.de-123.com |
| Anbringung | Code ist Teil des Aufdrucks am Gerät oder Schild | Aufkleber über oder neben einem anderen Code |
Eine unauffällige Tabellenspalte heißt nicht, dass ein Code echt ist: Auch ein sauber gedrucktes Plakat oder ein gefälschter Brief kann einen falschen Code tragen. Im Zweifel scannen Sie nicht und nutzen einen anderen Weg, etwa die offizielle App des Anbieters.
Wie das Scannen auf den einzelnen Geräten funktioniert, steht im Beitrag zum Scannen von QR-Codes. Auch bei alltäglichen Codes, etwa für die digitale Speisekarte, gilt: Adresse vor dem Öffnen lesen. Welche Arten von QR-Codes es gibt und was sie beim Scannen auslösen können, erklärt ein eigener Beitrag. Diese Vorsicht gilt auch dort, wo ein QR-Code harmlos wirkt, etwa beim WLAN-Zugang für Gäste in einem Café oder Hotel: Ein unbekannter Code an einem fremden Aufsteller verdient denselben prüfenden Blick wie jeder andere.
Was passiert beim Scan und wie schützen Sie sich?
Nach dem Scan landen Sie meist auf einer Webseite, die einem bekannten Portal täuschend ähnlich sieht und dort Zugangsdaten oder Zahlungsinformationen abfragt. Manche gefälschten Codes sollen außerdem Schadsoftware auf das Gerät bringen.
Technischer Grundschutz
Halten Sie das Betriebssystem Ihres Smartphones aktuell, das schließt bekannte Sicherheitslücken. Vor einer gefälschten Seite, auf der Sie selbst Daten eingeben, schützt ein Update allerdings nicht. Dort hilft nur der Blick auf die Adresse.
Verhalten vor dem Klick
Schon der Klick auf die angezeigte Vorschau eines Links kann ausreichen, um Opfer eines Angriffs mit Schadsoftware zu werden. Öffnen Sie deshalb keinen Link aus einem Scan, dessen Herkunft Sie nicht einordnen können, auch wenn die Seite auf den ersten Blick seriös wirkt. Gewöhnen Sie sich an, bei jedem fremden Code kurz innezuhalten und sich zu fragen, wer ihn dort angebracht hat und warum gerade an dieser Stelle.
Was tun, wenn Sie bereits auf Quishing hereingefallen sind?
Handeln Sie in dieser Reihenfolge: Karten sperren, Passwörter ändern, Anzeige erstatten, Konto prüfen. Je schneller Sie reagieren, desto eher lässt sich finanzieller Schaden begrenzen.
Haben Sie auf der gefälschten Seite Karten- oder Kontodaten eingegeben, sperren Sie Debit- oder Kreditkarten umgehend über Ihre Bank oder den Sperr-Notruf 116 116. Kontaktieren Sie zusätzlich sofort Ihre Bank, um weitere Schritte abzustimmen.
Ändern Sie zuerst das Passwort des E-Mail-Kontos, danach von Online-Banking und Zahlungsdiensten. Das E-Mail-Konto steht vorn, weil darüber oft weitere Zugänge zurückgesetzt werden können.
Erstatten Sie Anzeige bei der örtlichen Polizei oder über die Online-Wache Ihres Bundeslandes. Dabei lässt sich auch eine KUNO-Meldung veranlassen, die Ihre Debitkarte für das SEPA-Lastschriftverfahren sperrt. Verdächtige E-Mails können Sie an die Verbraucherzentrale NRW weiterleiten: phishing@verbraucherzentrale.nrw.
Kontrollieren Sie Ihr Konto auf unbekannte SEPA-Lastschriften. Solche Lastschriften lassen sich direkt im Online-Banking stornieren.
Die aktuellen Warnungen im Phishing-Radar der Verbraucherzentrale zeigen laufend neue Varianten von Quishing und Smishing und sind eine gute Anlaufstelle, um aktuelle Maschen wiederzuerkennen.