Quishing: BSI warnt vor QR-Code-Phishing – Was KMU jetzt wissen müssen
Ein QR-Code auf dem Parkautomaten, in der E-Mail vom Lieferanten oder auf dem Paketzettel im Büro – wir scannen reflexartig und denken nicht nach. Genau darauf setzen Angreifer: Das BSI warnt vor einer Verfünffachung von QR-Code-Phishing-Angriffen. Die Methode heißt „Quishing“ und umgeht klassische Sicherheitsfilter fast vollständig.
Was ist Quishing?
Quishing ist eine Weiterentwicklung klassischer Phishing-Angriffe. Statt eines anklickbaren Links enthält die Nachricht einen QR-Code. Hinter dem Code verbirgt sich eine manipulierte URL, die auf eine gefälschte Login-Seite führt – zum Beispiel eine täuschend echte Kopie von Microsoft 365, der Hausbank oder des ERP-Systems. Gibt der Mitarbeiter seine Zugangsdaten ein, landen sie direkt beim Angreifer.
Der entscheidende Unterschied zum klassischen Phishing: E-Mail-Sicherheitslösungen analysieren Links im Text, können aber QR-Codes in der Regel nicht lesen. Für den Spamfilter ist ein QR-Code ein harmloses Bild. Die E-Mail passiert den Filter, und der Angriff landet im Posteingang.
BSI-Warnung Februar 2026: Dramatische Zunahme
Das Bundesamt für Sicherheit in der Informationstechnik hat am 19. Februar 2026 offiziell vor der dramatischen Zunahme von QR-Code-Betrug gewarnt. Laut BSI-Auswertungen haben sich Quishing-Angriffe im Vergleich zum Vorjahr verfünffacht. Die Behörde betont, dass viele Sicherheitsprogramme QR-Codes lediglich als Bilddaten behandeln und somit die darin codierten Phishing-URLs nicht erkennen.
Gleichzeitig warnt das BSI zusammen mit dem Verfassungsschutz seit August 2026 vor einer allgemeinen Eskalation der Bedrohungslage im Cyberraum – KI-gestützte Angriffsmethoden senken die Einstiegshürde für Angreifer weiter.
Die 5 häufigsten Quishing-Szenarien im Unternehmensalltag
| Szenario | Vorgehen der Angreifer | Typisches Ziel |
|---|---|---|
| Gefälschte Microsoft-365-Mail | E-Mail mit QR-Code: „Scannen Sie, um Ihr Konto zu verifizieren“ | Microsoft-365-Zugangsdaten aller Mitarbeiter |
| Manipulierter Parkscheinautomat | QR-Code-Aufkleber über dem echten Code an Parkautomaten, Ladesäulen oder Automaten | Zahlungsdaten von Außendienstmitarbeitern |
| Paketbenachrichtigung im Büro | Physischer Brief oder Paketzettel mit QR-Code: „Sendung verfolgen“ | Malware-Download auf das Diensthandy |
| Gefälschte Lieferantenrechnung | PDF-Rechnung mit QR-Code für „direkte Überweisung“ | Zahlungsbetrug über manipulierte IBAN |
| Physischer Aushang | QR-Code auf Plakaten, Flyern oder ausgedruckten Anweisungen im Gebäude | Login-Daten über Fake-Intranet-Seite |
Warum Quishing klassische Sicherheitsmaßnahmen umgeht
Herkömmliche E-Mail-Sicherheitssysteme wie SPF, DKIM und DMARC schützen gegen Absenderfälschung, analysieren aber keine eingebetteten Bilder. Ein QR-Code ist für den Mailserver nichts anderes als ein JPG oder PNG. Die darin codierte URL bleibt für den Filter unsichtbar.
Dazu kommt: 68 Prozent der Quishing-Angriffe zielen gezielt auf Mobilgeräte. Wer einen QR-Code mit dem Smartphone scannt, verlässt damit das geschützte Firmennetzwerk. Mobile Browser zeigen URLs oft gekürzt an, sodass eine Fake-Domain auf dem kleinen Bildschirm nicht auffällt. Und auf dem privaten Smartphone greifen die Sicherheitsrichtlinien des Unternehmens in der Regel gar nicht.
Warum Führungskräfte besonders im Visier stehen
Auswertungen zeigen: C-Level-Führungskräfte werden 40-mal häufiger mit Quishing attackiert als normale Mitarbeiter. Der Grund ist naheliegend – ihre Zugangsdaten öffnen den Zugang zu sensibleren Systemen, und eine kompromittierte CEO-E-Mail eignet sich hervorragend für nachgelagerte Angriffe wie CEO-Fraud.
Im KMU-Kontext ist das besonders gefährlich: Geschäftsführer haben häufig Admin-Rechte, nutzen dasselbe Passwort für mehrere Systeme und sind es gewohnt, schnell zu entscheiden – genau die Kombination, die Angreifer ausnutzen.
NIS2-Pflichten: Quishing-Schutz ist keine Kür
Das NIS2-Umsetzungsgesetz ist seit Dezember 2025 in Kraft und betrifft rund 29.500 Unternehmen in Deutschland. Quishing-Angriffe berühren mindestens drei der zehn vorgeschriebenen Risikomanagement-Bereiche nach § 30 BSIG:
| NIS2-Anforderung (§ 30 BSIG) | Relevanz für Quishing-Schutz |
|---|---|
| Nr. 7 – Schulungen zur Cybersicherheit | Mitarbeiter müssen Quishing-Szenarien kennen und üben. QR-Codes gehören in jede Phishing-Schulung. |
| Nr. 9 – Zugangskontrollen und Asset-Management | Multi-Faktor-Authentifizierung verhindert, dass gestohlene Zugangsdaten allein zum Systemzugang reichen. |
| Nr. 2 – Bewältigung von Sicherheitsvorfällen | Ein Incident-Response-Plan muss Phishing-Vorfälle über QR-Codes abdecken – inklusive kompromittierter Mobilgeräte. |
Die persönliche Haftung der Geschäftsführung unter NIS2 bedeutet: Wer ein bekanntes Risiko wie Quishing ignoriert, haftet im Schadensfall persönlich. Bußgelder bis 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes sind vorgesehen.
7 Schutzmaßnahmen gegen Quishing
Sofort umsetzbare Maßnahmen für den Mittelstand
- MFA auf allen Systemen aktivieren: Multi-Faktor-Authentifizierung ist der wichtigste Schutz. Selbst wenn Zugangsdaten über einen Quishing-Angriff abfließen, fehlt dem Angreifer der zweite Faktor. Phishing-resistentes MFA (FIDO2/Passkeys) bietet den stärksten Schutz.
- QR-Code-Awareness in Phishing-Schulungen aufnehmen: Die meisten Mitarbeiter kennen Text-Phishing, aber nicht Quishing. Zeigen Sie konkrete Beispiele: gefälschte Microsoft-Mails mit QR-Code, manipulierte Parkautomaten, physische Briefe. TSMONDO bietet Security-Awareness-Trainings mit aktuellen Quishing-Szenarien.
- URL vor dem Öffnen prüfen: Schulen Sie Mitarbeiter, nach dem Scannen eines QR-Codes die vollständige URL im Browser zu lesen, bevor sie die Seite öffnen. Verdächtige Domains (Tippfehler, ungewöhnliche Top-Level-Domains) sofort melden.
- E-Mail-Security ausrüsten: Moderne E-Mail-Gateways bieten inzwischen QR-Code-Scanning. Die Software liest den QR-Code im Bild aus und prüft die codierte URL gegen Blacklists. Fragen Sie Ihren Anbieter nach dieser Funktion.
- Mobile-Device-Management (MDM) einführen: Firmenhandys und BYOD-Geräte brauchen einen verwalteten Browser, der URLs gegen Phishing-Datenbanken prüft – auch beim QR-Code-Scan.
- Physische QR-Codes im Unternehmen schützen: Laminieren Sie eigene QR-Codes, damit sie nicht überklebt werden können. Prüfen Sie regelmäßig QR-Codes an Zugängen, Konferenzräumen und Kantinen auf Manipulation.
- Schwachstellenscan durchführen: Ein kompromittiertes Login ist nur so gefährlich wie die Systeme, die es öffnet. Regelmäßige Scans decken offene Angriffspunkte auf, bevor sie ausgenutzt werden.
Quishing erkennen: Warnsignale im Alltag
Darauf sollten Ihre Mitarbeiter achten
- Unaufgeforderte QR-Codes per E-Mail: Seriöse Unternehmen senden selten QR-Codes in E-Mails. Besonders verdächtig: „Scannen Sie diesen Code, um Ihr Konto zu verifizieren“.
- Dringlichkeit und Zeitdruck: „Ihr Konto wird in 24 Stunden gesperrt“ – künstlicher Zeitdruck ist ein klassisches Social-Engineering-Muster.
- Physische QR-Codes mit Aufklebern: Ein QR-Code-Aufkleber über einem bestehenden Code ist fast immer ein Angriff. Prüfen Sie, ob der Code fest aufgedruckt oder nur aufgeklebt ist.
- Unbekannte oder verkürzte URLs nach dem Scan: Die Zieladresse sollte zur erwarteten Organisation passen. URL-Shortener sind ein Warnsignal.
- Login-Aufforderung nach QR-Scan: Wenn Sie nach dem Scannen eines QR-Codes aufgefordert werden, sich einzuloggen, stoppen Sie sofort und prüfen Sie die URL manuell.
Fazit: QR-Codes sind kein Vertrauensbeweis
Quishing funktioniert, weil QR-Codes als harmlos gelten. Wir scannen sie ohne nachzudenken – am Parkautomaten, auf dem Paketzettel, in der E-Mail. Genau dieses Vertrauen nutzen Angreifer aus, und die Zahlen sprechen eine deutliche Sprache: Verfünffachung der Angriffe, 12 Prozent aller Phishing-Versuche über QR-Codes, Führungskräfte als bevorzugte Ziele.
Die gute Nachricht: Die wichtigsten Gegenmaßnahmen sind organisatorisch, nicht technisch. MFA einschalten, Mitarbeiter schulen, URL nach dem Scan prüfen – das lässt sich in jeder Firmengröße umsetzen. Wer unter NIS2 fällt, muss diese Maßnahmen ohnehin nachweisen. Wer nicht unter NIS2 fällt, schützt sich damit trotzdem vor einem realen und wachsenden Risiko.
Wie gut ist Ihr Unternehmen gegen Quishing geschützt?
TSMONDO prüft Ihre E-Mail-Sicherheit, schult Ihre Mitarbeiter gegen QR-Code-Phishing und härtet Ihre Systeme mit MFA und Schwachstellenscans – praxisnah, NIS2-konform und verständlich.
