{"id":33649,"date":"2026-10-22T17:10:44","date_gmt":"2026-10-22T15:10:44","guid":{"rendered":"https:\/\/msg-life.sk\/glossary\/quishing\/"},"modified":"2026-10-26T14:36:43","modified_gmt":"2026-10-26T13:36:43","slug":"quishing","status":"publish","type":"glossary_intl","link":"https:\/\/msg-life.sk\/de\/glossar\/cybersecurity\/angriffe-bedrohungen\/quishing\/","title":{"rendered":"Quishing"},"content":{"rendered":"

Was ist Quishing?<\/h2>\n

Quishing nutzt aus, dass QR-Codes aus Bezahl-, Anmelde- und Ticketprozessen bekannt sind und deshalb seltener hinterfragt werden als ein Link im Nachrichtentext. Klassische Filter k\u00f6nnen QR-Codes in Bilddateien \u00fcbersehen<\/strong>, weil die Ziel-URL nicht als normaler Hyperlink vorliegt; moderne Systeme wie Microsoft Defender for Office 365 analysieren QR-Codes jedoch gezielt und blockieren entsprechende Phishing-Nachrichten. Die verk\u00fcrzte Adressanzeige mobiler Browser erschwert zus\u00e4tzlich das Erkennen von Tippfehlerdomains, die auf einem Desktop-Bildschirm eher auffallen. Als Betrugsmasche reicht Quishing \u00fcber E-Mails hinaus in den \u00f6ffentlichen Raum \u2013 etwa als Aufkleber an Parkautomaten, Lades\u00e4ulen oder auf Aush\u00e4ngen. Smishing und Vishing verlagern denselben T\u00e4uschungsaufbau auf SMS und Telefon; Spear-Phishing beschreibt dagegen die gezielte Auswahl der Opfer, nicht den Zustellweg.<\/p>\n

Mitarbeiter von Versicherungen und Finanzdienstleistern sind f\u00fcr diese Masche ein lohnendes Ziel, weil sie Zugang zu Kundendaten, Policen und Auszahlungsprozessen haben. Ein erbeuteter Portalzugang erlaubt Angreifern nicht nur Einblick in Vertragsdaten, sondern auch die \u00c4nderung hinterlegter Bankverbindungen in einem laufenden Schadenfall<\/strong>. Der eigentliche Schaden zeigt sich weniger auf dem scannenden Ger\u00e4t selbst als vielmehr in den nachgelagerten Fachverfahren, in denen die \u00fcbernommene Identit\u00e4t weiterwirkt. Sicherheitsteams behandeln Quishing deshalb als Zugangs- und Awareness-Thema und nicht als reines E-Mail-Problem.<\/p>\n

Wie funktioniert Quishing?<\/h2>\n

Quishing nutzt eine Eigenschaft des QR-Codes aus: Er ist nichts anderes als eine grafisch codierte Adresse, und das Ziel ist vor dem Scan nicht lesbar<\/strong>. Der Angreifer erzeugt einen Code auf eine von ihm kontrollierte Adresse und bringt ihn dorthin, wo ein Code erwartet wird \u2013 als Aufkleber \u00fcber einen echten Code oder als Bild in einer Nachricht im Layout einer bekannten Organisation.<\/p>\n

Nach dem Scan \u00f6ffnet die Kamera-App die Adresse im Browser des Ger\u00e4ts. Beim Aufruf \u00fcber ein privates Smartphone greifen zentrale Schutzmechanismen des Unternehmens nur, sofern das Ger\u00e4t verwaltet wird oder der Zugriff \u00fcber eine Unternehmensverbindung l\u00e4uft. Die Zielseite bildet eine Anmeldung oder ein Bezahlformular nach und \u00fcbernimmt die eingegebenen Daten. Ein zwischengeschalteter Kurzlink verbirgt dabei die eigentliche Domain<\/strong>, bis der Nutzer die aufgel\u00f6ste Adresse ausdr\u00fccklich anzeigen l\u00e4sst. Weil der Scan das Ger\u00e4t wechselt, endet die Spur f\u00fcr die Unternehmens-IT am Rand des eigenen Netzes: Zwischen der Nachricht auf dem Arbeitsplatz und der Eingabe auf dem Telefon fehlt ein Protokoll, das beide Schritte verbindet.<\/p>\n

Quishing vs. Phishing-Mail<\/h2>\n\n\n\n\n\n\n\n\n
Merkmal<\/th>\nQuishing<\/th>\nPhishing-Mail<\/th>\n<\/tr>\n<\/thead>\n
Tr\u00e4ger des Ziels<\/td>\nQR-Code als Bild in der Nachricht oder als Aufdruck vor Ort<\/td>\nHyperlink im Nachrichtentext<\/td>\n<\/tr>\n
Pr\u00fcfbarkeit vor dem Klick<\/td>\nZiel erst nach dem Scan sichtbar<\/td>\nZiel-URL l\u00e4sst sich vorab anzeigen<\/td>\n<\/tr>\n
Ger\u00e4t<\/td>\nwechselt auf das Smartphone, sobald der Code mit der Kamera gescannt wird<\/td>\nbleibt auf dem Ger\u00e4t, auf dem die Nachricht ge\u00f6ffnet wurde<\/td>\n<\/tr>\n
Angriffsfl\u00e4che au\u00dferhalb der Mail<\/td>\nAufkleber im \u00f6ffentlichen Raum, Aush\u00e4nge, Postsendungen<\/td>\nan den Nachrichtenkanal gebunden<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Woran erkenne ich Quishing?<\/h2>\n\n\n\n\n\n\n\n\n\n
Signal<\/th>\nWas sich pr\u00fcfen l\u00e4sst<\/th>\n<\/tr>\n<\/thead>\n
Aufgeklebter Code auf einem Terminal oder Automaten<\/td>\nKante und Untergrund ansehen: ein Aufkleber \u00fcber dem Aufdruck ist ein Ausschlussgrund<\/td>\n<\/tr>\n
QR-Code in einer E-Mail statt eines Links<\/td>\nDen Vorgang \u00fcber das bekannte Portal \u00f6ffnen statt \u00fcber den Code aus der Nachricht<\/td>\n<\/tr>\n
Anmeldeaufforderung direkt nach dem Scan<\/td>\nDie Domain in der Adresszeile vollst\u00e4ndig aufklappen und mit der bekannten Adresse vergleichen<\/td>\n<\/tr>\n
Kurzlink als aufgel\u00f6ste Adresse<\/td>\nDie Aufl\u00f6sung anzeigen lassen; ohne sichtbare Zieldomain nicht fortfahren<\/td>\n<\/tr>\n
Zahlungsaufforderung im Beh\u00f6rden- oder Versichererlayout<\/td>\nVorgangsnummer und Bankverbindung \u00fcber den offiziellen Kanal best\u00e4tigen lassen<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Schutz im Ernstfall<\/h2>\n

Vorbeugen<\/h3>\n
    \n
  • Die Ziel-URL eines QR-Codes vor dem \u00d6ffnen pr\u00fcfen und bekannte Dienste \u00fcber die selbst eingegebene Adresse aufrufen<\/li>\n
  • Dienstliche Konten mit phishing-resistenten Verfahren wie Passkeys statt mit Einmalcodes absichern<\/li>\n
  • QR-Codes nur aus vertrauensw\u00fcrdigen Quellen scannen<\/li>\n<\/ul>\n

    Was tun im Ernstfall<\/h3>\n
      \n
    • Bei eingegebenen Zugangsdaten Sitzungen beenden und Passwort \u00e4ndern, bei Zahlungsdaten die Karte \u00fcber die Bank sperren lassen<\/li>\n
    • Vorfall an die interne Stelle melden, auch wenn der Scan auf einem privaten Ger\u00e4t stattgefunden hat<\/li>\n
    • Manipulierten Aufkleber im \u00f6ffentlichen Raum zus\u00e4tzlich dem Betreiber des Terminals melden, damit der Code entfernt wird<\/li>\n
    • Screenshot der Zielseite aufbewahren, um Domain und Zeitpunkt sp\u00e4ter belegen zu k\u00f6nnen<\/li>\n<\/ul>\n

      KI-generiert<\/em><\/p>\n","protected":false},"featured_media":0,"template":"","glossary_intl_topic":[393,396,397],"class_list":["post-33649","glossary_intl","type-glossary_intl","status-publish","hentry","glossary_intl_topic-cybersecurity","glossary_intl_topic-angriffe-bedrohungen","glossary_intl_topic-phishing-simulation"],"acf":{"card_description":"Quishing ist Phishing \u00fcber manipulierte QR-Codes anstelle eines sichtbaren Links.","nav_theme":"Angriffe & Bedrohungen","nav_subtheme":"Phishing & Simulation","dataset_version":"","term_inline":"","term_plural":false,"heading_overrides":null,"synonyms":[{"value":"QR-Code-Phishing"}],"lead_definition":"Quishing beschreibt eine Phishing-Variante, bei der Angreifer manipulierte QR-Codes anstelle eines Links einsetzen, um Opfer nach dem Scannen auf gef\u00e4lschte Websites umzuleiten und dort Zugangsdaten, Zahlungsinformationen oder andere sensible Daten abzugreifen.","at_a_glance":[{"bullet":"Der Begriff ist ein Kofferwort aus QR-Code und Phishing und bezeichnet damit den Zustellweg des Angriffs, nicht dessen Ziel."},{"bullet":"Ein QR-Code wird mit der Smartphone-Kamera gescannt und verlagert den Vorgang auf ein Ger\u00e4t au\u00dferhalb der Unternehmensfilter und des Endpunktschutzes."},{"bullet":"Als Gegenma\u00dfnahme gilt die Anzeige der Zieladresse vor dem \u00d6ffnen, bei Kurzlinks samt deren Aufl\u00f6sung; erg\u00e4nzend wirkt Multi-Faktor-Authentifizierung, gegen abgegriffene Sitzungen in phishing-resistenter Form wie FIDO2, sowie ein klarer Meldeweg f\u00fcr verd\u00e4chtige Codes."}],"intro_answer":"","steps_answer":"","steps":null,"examples":[{"example":"Lades\u00e4ule f\u00fcr Elektrofahrzeuge: Angreifer \u00fcberkleben den echten QR-Code am Bezahlterminal mit einem eigenen Aufkleber; der Scan f\u00fchrt auf ein nachgebautes Bezahlportal, das Kreditkartennummer, Ablaufdatum und Kartenpr\u00fcfnummer abfragt, ohne die Zahlung tats\u00e4chlich auszuf\u00fchren."},{"example":"QR-Code statt Link in der Firmen-E-Mail: Eine angebliche Mitteilung der IT-Abteilung fordert zur erneuten Anmeldung bei Microsoft 365 auf und stellt daf\u00fcr einen QR-Code bereit. Der E-Mail-Filter meldet keinen verd\u00e4chtigen Link, weil der Code als Bild eingebettet ist; die nachgebaute Anmeldeseite \u00f6ffnet sich auf dem privaten Smartphone, und die eingegebenen Zugangsdaten landen beim Angreifer."},{"example":"Gef\u00e4lschter Strafzettel am Fahrzeug: T\u00e4ter verteilen Zahlungsaufforderungen im Beh\u00f6rdenlayout mit aufgedrucktem QR-Code, der auf eine nachgebaute Bezahlseite f\u00fchrt, die statt des Bu\u00dfgelds die Kreditkartendaten des Fahrzeughalters abgreift."},{"example":"Gef\u00e4lschtes Schreiben zur Beitragsanpassung: Versicherungskunden erhalten Post im Layout ihres Versicherers mit einem QR-Code zur angeblichen Best\u00e4tigung der Bankverbindung. Die verlinkte Seite sammelt IBAN und Ausweisdaten, mit denen T\u00e4ter anschlie\u00dfend gegen\u00fcber dem Versicherer eine \u00c4nderung des Auszahlungskontos veranlassen."}],"misconception":[{"myth":"Ein QR-Code kann das Smartphone beim Scannen infizieren.","reality":"Der Code selbst enth\u00e4lt nur eine Adresse und f\u00fchrt keinen Programmcode aus. Das Risiko entsteht erst auf der Zielseite \u2013 durch eine nachgebaute Eingabemaske oder, sofern eine Sicherheitsl\u00fccke im Browser besteht, durch deren Ausnutzung beim Aufruf."}],"faq":null,"compare_answer":"","compare":null,"variants":[{"title":"Klon-Website","inline_description":"Klon-Website ist eine Nachbildung einer echten Webseite, die Besucher t\u00e4uschen und Eingaben abgreifen soll.","description":"Angreifer kopieren Aufbau und Aussehen eines bekannten Angebots und leiten Opfer auf diese Kopie. Im Zusammenhang mit Quishing f\u00fchrt ein manipulierter QR-Code h\u00e4ufig auf eine solche Seite.","source":"","key":""},{"title":"QR-Code-Angriff","inline_description":"QR-Code-Angriff ist ein Angriff, bei dem ein manipulierter oder gef\u00e4lschter QR-Code als Einstieg dient.","description":"Der Begriff ist weiter gefasst als Quishing, weil er neben Phishing auch andere Ziele wie Schadsoftware-Downloads einschlie\u00dft. Quishing ist damit eine Unterart dieser Angriffe.","source":"","key":""},{"title":"QR-Code-Phishing","inline_description":"QR-Code-Phishing ist eine andere Bezeichnung f\u00fcr Quishing, also Phishing \u00fcber manipulierte QR-Codes.","description":"Der ausgeschriebene Begriff beschreibt dasselbe Vorgehen: Statt eines Links enth\u00e4lt die Nachricht einen QR-Code, der auf eine Phishing-Seite f\u00fchrt. Die Kurzform Quishing setzt sich aus QR und Phishing zusammen.","source":"","key":""},{"title":"Quishing-as-a-Service","inline_description":"Quishing-as-a-Service ist ein als Dienstleistung angebotener Dienst, mit dem sich Quishing-Angriffe durchf\u00fchren lassen.","description":"Kriminelle stellen vorbereitete QR-Codes, Seiten und Infrastruktur bereit, sodass auch T\u00e4ter ohne eigene technische Kenntnisse Kampagnen starten k\u00f6nnen. Das Modell folgt dem Prinzip anderer Cybercrime-as-a-Service-Angebote.","source":"","key":""},{"title":"Quishing-Kampagne","inline_description":"Quishing-Kampagne ist eine geplante, oft breit gestreute Serie von Quishing-Angriffen mit gemeinsamem Ziel.","description":"Die QR-Codes werden in vielen Nachrichten, Aush\u00e4ngen oder Dokumenten verteilt, die einem einheitlichen Muster folgen. Der Begriff bezeichnet den organisierten Einsatz, nicht eine einzelne Nachricht.","source":"","key":""}],"signals_answer":"","signals":null,"protect_answer":"","prevent":null,"incident":null,"related_terms":[33642,33637,33644,33636,33653,33694],"pillar_link":null,"sources":[{"publisher":"","name":"How Microsoft Defender for Office 365 innovated to address QR code phishing attacks","url":"https:\/\/www.microsoft.com\/en-us\/security\/blog\/2024\/11\/04\/how-microsoft-defender-for-office-365-innovated-to-address-qr-code-phishing-attacks\/","doc_type":"2024","group":"used"},{"publisher":"","name":"KI-gest\u00fctzte QR-Code-Betr\u00fcgereien","url":"https:\/\/www.bsi.bund.de\/DE\/Service-Navi\/Abonnements\/Newsletter\/Buerger-CERT-Abos\/Newsletter-Einfach-Cybersicher\/Einfach_Cybersicher_260401\/_documents\/Basics_3_Quishing.html","doc_type":"2026","group":"used"},{"publisher":"","name":"Wie sicher und einfach sind Verfahren der Zwei-Faktor-Authentisierung?","url":"https:\/\/www.bsi.bund.de\/DE\/Themen\/Verbraucherinnen-und-Verbraucher\/Informationen-und-Empfehlungen\/Cyber-Sicherheitsempfehlungen\/Accountschutz\/Zwei-Faktor-Authentisierung\/Bewertung-2FA-Verfahren\/bewertung-2fa-verfahren_node.html","doc_type":"","group":"used"}],"reviewer":{"name":"Jakub Nov\u00e1k","qualification":"System Engineer \u2013 Endpoint Security & Infrastruktur, msg life Slovakia","date":"2026-09-27"},"disclaimer":"Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts- oder Sicherheitsberatung. Genannte Vorschriften und Empfehlungen geben den Stand zum Zeitpunkt der Ver\u00f6ffentlichung wieder."},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t