QRLJacking bezeichnet eine Angriffstechnik, bei der Angreifer den QR-Code-basierten Anmeldeprozess eines Dienstes manipulieren, um sich vom Opfer unwissentlich eine Sitzung in dessen Konto best\u00e4tigen zu lassen. Auf einer gef\u00e4lschten Login-Seite zeigt der Angreifer einen QR-Code an, den der Zieldienst f\u00fcr eine vom Angreifer gestartete Anmeldung ausgestellt hat; scannt das Opfer diesen Code mit der eigenen App, best\u00e4tigt es dabei unbeabsichtigt die Sitzung des Angreifers<\/strong>. Die Technik richtet sich gegen Dienste, die QR-Codes als Authentifizierungsmethode einsetzen, etwa Messaging-Dienste oder Web-Logins mit mobiler Best\u00e4tigung. Eine klassische Passwort-Phishing-Seite wird dabei nicht ben\u00f6tigt; im Kern geht es laut OWASP darum, das Opfer zum Scannen des angezeigten QR-Codes zu bewegen. Weil der Angreifer selbst \u00fcber einen g\u00fcltigen, vom Zieldienst ausgestellten QR-Code verf\u00fcgt, wirkt die gef\u00e4lschte Seite auf den ersten Blick funktional identisch zur echten Anmeldeseite.<\/p>\n Setzt ein Versicherer einen QR-Code-basierten Anmeldeprozess f\u00fcr Mitarbeiter oder Kunden ein, kann ein manipulierter QR-Code nach dem Scan eine Sitzung des Angreifers im Konto des Nutzers freigeben. Der Angreifer erh\u00e4lt dadurch laut OWASP die Kontrolle \u00fcber dieses Konto, solange die Sitzung nicht separat durch zus\u00e4tzliche Best\u00e4tigungsschritte abgesichert ist<\/strong>.<\/p>\n QRLJacking nutzt aus, dass QR-Code-Login-Systeme eine Sitzung an das Scannen eines Codes statt an eine Passworteingabe koppeln. Der Angreifer ruft zun\u00e4chst selbst die regul\u00e4re Login-Seite des Zieldienstes auf und erh\u00e4lt dadurch einen eigenen, g\u00fcltigen QR-Code; diesen bettet er anschlie\u00dfend in eine nachgebaute, optisch identische Login-Seite ein. Da gut umgesetzte QR-Logins nur befristet g\u00fcltige Codes ausgeben, erneuert der Angreifer den Code auf der nachgebauten Seite laut OWASP regelm\u00e4\u00dfig per Skript. Weil der Code technisch echt und lediglich falsch zugeordnet ist, k\u00f6nnen Sicherheitsmechanismen, die nur auf gef\u00e4lschte Inhalte pr\u00fcfen<\/strong>, den Angriff \u00fcbersehen.<\/p>\n Bringt der Angreifer das Opfer per Social Engineering dazu, die nachgebaute Seite zu \u00f6ffnen und den eingebetteten Code mit der eigenen App zu scannen, best\u00e4tigt das Opfer damit unwissentlich die Sitzung des Angreifers auf dem echten Dienst. Ab diesem Moment agiert der Angreifer in der best\u00e4tigten Sitzung im Konto des Opfers, ein klassisches Session Hijacking<\/strong>. Ein zus\u00e4tzlicher Best\u00e4tigungsschritt auf einem zweiten, unabh\u00e4ngigen Kanal kann diese automatische Best\u00e4tigung durchbrechen.<\/p>\n KI-generiert<\/em><\/p>\n","protected":false},"featured_media":0,"template":"","glossary_intl_topic":[393,396,398],"class_list":["post-33694","glossary_intl","type-glossary_intl","status-publish","hentry","glossary_intl_topic-cybersecurity","glossary_intl_topic-angriffe-bedrohungen","glossary_intl_topic-social-engineering"],"acf":{"card_description":"QRLJacking verschafft Angreifern per manipuliertem Login-QR-Code eine Sitzung im Konto des Nutzers, sobald dieser den Code scannt.","nav_theme":"Angriffe & Bedrohungen","nav_subtheme":"Social Engineering","dataset_version":"","term_inline":"","term_plural":false,"heading_overrides":null,"synonyms":[{"value":"QR Code Session Hijacking"}],"lead_definition":"QRLJacking ist eine Angriffstechnik, bei der Angreifer den QR-Code-basierten Anmeldeprozess eines Dienstes manipulieren, sodass ein Opfer beim Scannen eines pr\u00e4parierten Codes unbeabsichtigt eine Sitzung der Angreifer in seinem Konto best\u00e4tigt.","at_a_glance":[{"bullet":"Betroffen sind Dienste, die QR-Codes als Anmeldemethode f\u00fcr mobile Best\u00e4tigung nutzen, etwa Messaging-Apps."},{"bullet":"Der Angriff kommt ohne klassisches Passwort-Phishing aus; im Kern geht es laut OWASP darum, das Opfer zum Scannen des vom Angreifer angezeigten QR-Codes zu bewegen."},{"bullet":"\u00dcber eine vom Opfer best\u00e4tigte Sitzung erlangen Angreifer laut OWASP die Kontrolle \u00fcber dessen Konto."}],"intro_answer":"","steps_answer":"","steps":null,"examples":[{"example":"Ein Angreifer erstellt eine gef\u00e4lschte Web-Login-Seite eines Messaging-Dienstes, zeigt dort den QR-Code an, den der Dienst f\u00fcr die vom Angreifer gestartete Anmeldung ausgestellt hat, und bringt das Opfer per Social Engineering dazu, diesen zu scannen, wodurch die Sitzung des Angreifers autorisiert wird."},{"example":"Bei einem QRLJacking-Angriff auf einen Unternehmens-SSO-Dienst kann der Angreifer nach dem Scan durch einen Mitarbeiter in einer von diesem best\u00e4tigten Web-Sitzung agieren (Session Hijacking)."},{"example":"Der Angreifer verschickt den Link zur nachgebauten Login-Seite \u00fcber eine Phishing-Nachricht, sodass das Opfer den pr\u00e4parierten QR-Code f\u00fcr eine gewohnte Anmeldung h\u00e4lt und ihn ohne weitere Pr\u00fcfung scannt."},{"example":"Nutzt ein Versicherer f\u00fcr Mitarbeiter einen QR-Code-Login f\u00fcr interne Systeme, k\u00f6nnte ein manipulierter Code in einer nachgebauten Anmeldeseite dem Angreifer eine Sitzung im Konto eines Mitarbeiters verschaffen, sobald dieser den Code scannt."}],"misconception":[{"myth":"Ein Irrtum ist die Annahme, QRLJacking erfordere wie klassisches Phishing die Preisgabe eines Passworts durch das Opfer.","reality":"Tats\u00e4chlich f\u00fchrt das Scannen des pr\u00e4parierten Codes laut OWASP direkt zum Session Hijacking; QRLJacking hebelt damit das QR-Login aus, das laut OWASP als Single-Sign-On- und Zwei-Faktor-Ebene vorgestellt wurde."}],"faq":[{"q":"Wie unterscheidet sich QRLJacking von klassischem QR-Code-Phishing?","a":"Klassisches QR-Code-Phishing leitet Opfer \u00fcber einen pr\u00e4parierten Code auf eine gef\u00e4lschte Seite, die dort aktiv Zugangsdaten wie Passw\u00f6rter abfragt. QRLJacking zielt dagegen auf den QR-Login-Prozess selbst: Das Opfer best\u00e4tigt beim Scannen unwissentlich eine bereits laufende Sitzung des Angreifers auf dem echten Dienst, was zum Session Hijacking f\u00fchrt."},{"q":"Woran erkennt man eine manipulierte Login-Seite mit QR-Code?","a":"Warnzeichen sind eine Domain, die nicht exakt der offiziellen Adresse des Dienstes entspricht, ein per Link oder Nachricht statt \u00fcber die regul\u00e4re Login-Oberfl\u00e4che zugestellter QR-Code sowie eine Sitzungsbest\u00e4tigung, die kurz nach dem Scan eine unbekannte Anmeldung von einem fremden Ger\u00e4t oder Standort meldet."}],"compare_answer":"","compare":null,"variants":null,"signals_answer":"","signals":null,"protect_answer":"","prevent":null,"incident":null,"related_terms":[33649,33642,33663],"pillar_link":null,"sources":[{"publisher":"","name":"Qrljacking","url":"https:\/\/owasp.org\/www-community\/attacks\/Qrljacking","doc_type":"","group":"used"},{"publisher":"","name":"Session hijacking attack","url":"https:\/\/owasp.org\/www-community\/attacks\/Session_hijacking_attack","doc_type":"","group":"further"},{"publisher":"","name":"QR-Code \u2013 Wikipedia","url":"https:\/\/de.wikipedia.org\/wiki\/QR-Code","doc_type":"","group":"further"}],"reviewer":{"name":"Jakub Nov\u00e1k","qualification":"System Engineer \u2013 Endpoint Security & Infrastruktur, msg life Slovakia","date":"2026-10-03"},"disclaimer":"Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts- oder Sicherheitsberatung. Genannte Vorschriften und Empfehlungen geben den Stand zum Zeitpunkt der Ver\u00f6ffentlichung wieder."},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\tWie funktioniert QRLJacking?<\/h2>\n
Woran erkenne ich QRLJacking?<\/h2>\n
\n\n
\n \nSignal<\/th>\n Woran erkennbar<\/th>\n<\/tr>\n<\/thead>\n \n QR-Code auf einer nicht-offiziellen Domain<\/td>\n Die Login-Seite mit dem QR-Code liegt auf einer Domain, die nicht exakt der offiziellen Adresse des Dienstes entspricht.<\/td>\n<\/tr>\n \n Unerwartete Sitzungsbest\u00e4tigung nach dem Scannen<\/td>\n Nach dem Scannen kann die App eine neue Anmeldung von einem unbekannten Ger\u00e4t oder Standort melden.<\/td>\n<\/tr>\n \n Aufforderung zum Scannen au\u00dferhalb des gewohnten Ablaufs<\/td>\n Der QR-Code wird \u00fcber einen Link oder eine Nachricht statt \u00fcber die regul\u00e4re Login-Oberfl\u00e4che des Dienstes pr\u00e4sentiert.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n Schutz im Ernstfall<\/h2>\n
Vorbeugen<\/h3>\n
\n
Was tun im Ernstfall<\/h3>\n
\n