Quishing: so schützt du Team und Kunden vor QR-Betrug

Ein Teammitglied parkt beim Kundentermin in der Innenstadt, scannt den QR-Code am Parkautomaten, gibt die Kreditkartendaten ein, Ticket gelöst. Nur: Der Code war ein Aufkleber, die Bezahlseite eine Fälschung, und das Geld landete bei Kriminellen. Ein paar Tage später tauchen fremde Abbuchungen auf – und, weil dieselbe Person mit demselben Gerät auch Kundenzugänge verwaltet, die Frage, was die Angreifer sonst noch abgegriffen haben. Diese Masche heißt Quishing, und sie funktioniert, weil wir QR-Codes blind vertrauen.

Dieser Beitrag erklärt, wie Quishing abläuft, warum es Filter und Vorsicht aushebelt, an welchen Stellen es im deutschsprachigen Raum konkret auftritt – und warum Agenturen gleich doppelt betroffen sind: als Ziel und als diejenigen, die QR-Codes für ihre Kunden gestalten.

Quishing: QR-Code-Phishing, das Filter und Vorsicht austrickst

Quishing setzt sich aus „QR-Code“ und „Phishing“ zusammen. Statt eines anklickbaren Links transportiert die Betrugsnachricht einen QR-Code, der auf eine gefälschte Website führt – täuschend echt nachgebaut, meist mit dem Ziel, Zugangs-, Bank- oder Kreditkartendaten abzugreifen. Der Trick liegt im Medienwechsel. Ein QR-Code ist für den Menschen nicht lesbar: Du siehst dem schwarz-weißen Muster nicht an, wohin es dich schickt, bevor du es scannst. Und viele Smartphones öffnen die hinterlegte Adresse sofort, ohne sie vorher anzuzeigen, wie die Verbraucherzentrale erläutert.

Dazu kommt ein technischer Vorteil für die Angreifer. Klassische Phishing-Filter in E-Mail-Programmen prüfen Textlinks – ein als Bild eingebetteter QR-Code rutscht daran oft vorbei. Und die Prüfung der Zieladresse, die am Desktop Routine ist, fällt am Handy schwer: Auf dem kleinen Display lässt sich eine manipulierte Domain, etwa mit einem zusätzlichen Bindestrich vor der Endung, leicht übersehen. Zur Einordnung gehört aber auch Ehrlichkeit: Laut Verbraucherzentrale ist Quishing per E-Mail im Vergleich zum klassischen Link-Phishing bislang noch die seltenere Variante. Gefährlich wird es vor allem dort, wo der Code aus der physischen Welt kommt und Vertrauen genießt.

Wo Quishing im Alltag auftaucht

Die dokumentierten Fälle zeichnen ein klares Muster. Besonders betroffen sind Parkautomaten und Ladesäulen: Kriminelle kleben gefälschte QR-Codes über die echten. Der ADAC berichtete im Juni 2025 über professionell wirkende Aufkleber im Design des Anbieters Easypark – gefunden unter anderem in Bad Harzburg, Goslar, Celle und Hannover sowie in Köln und Dortmund. Easypark selbst stellt klar, auf seinen Schildern grundsätzlich keine selbstklebenden QR-Codes zu verwenden. Auch die Polizei warnt: In Frankfurt entdeckte sie laut hessenschau Ende 2024 überklebte Codes an Parkscheinautomaten, nachdem einem Autofahrer wiederholte Abbuchungen aufgefallen waren.

Die zweite große Spielwiese sind gefälschte Briefe und E-Mails. Die Verbraucherzentrale dokumentiert gefälschte Bankschreiben – etwa ein angebliches Commerzbank-Schreiben zur „photoTAN“ – die seit 2024 und bis ins Jahr 2026 hinein in Briefkästen landen, oft an Empfänger, die bei der genannten Bank gar kein Konto haben. Dazu kommen betrügerische Strafzettel mit QR-Code unter dem Scheibenwischer und gefälschte Plakate im Nahverkehr: Die Rheinbahn warnte im Dezember 2024 vor manipulierten Aushängen mit einem angeblichen Deutschlandticket-Gewinnspiel. Das Muster ist immer dasselbe – ein glaubwürdiger Kontext, ein QR-Code, eine überzeugende Fälschung dahinter.

Was die Masche gerade gefährlicher macht, ist der Einsatz von KI. Laut der BSI-Warnung von Anfang 2026 erzeugen Angreifer inzwischen Nachrichten, die Design und Tonfall echter Institute – etwa von Postbank, Advanzia oder Volksbanken – überzeugend nachahmen; das früher verräterische Merkmal „schlechtes Deutsch“ fällt damit weg. Anfang Februar 2026 wurde zudem ein Fall bekannt, in dem manipulierte QR-Codes genutzt wurden, um fremde Geräte unbemerkt mit dem Signal-Konto der Angreifer zu koppeln. Die Fälschungen werden also nicht nur häufiger, sondern auch schwerer zu erkennen.

Warum Agenturen doppelt betroffen sind

Für kleine Agenturen ist Quishing aus zwei Richtungen relevant, und die zweite wird fast immer übersehen.

Die erste ist die naheliegende: Dein Team ist ein lohnendes Ziel. Ihr arbeitet unter Zeitdruck, viel unterwegs, mit Smartphones, auf denen auch berufliche Zugänge liegen. Wer hier einmal auf einer gefälschten Login-Seite landet und Zugangsdaten eingibt, verschenkt unter Umständen den Schlüssel zu den Kundenprojekten – zu Hosting, WordPress-Installationen, Mail-Konten. Besonders tückisch: Ein abgegriffenes Passwort ist selten das Ende der Kette. Angreifer nutzen es, um sich weiter vorzuarbeiten, und selbst eine Zwei-Faktor-Absicherung ist kein Freifahrtschein, wie wir im Beitrag zum Session-Hijacking beschrieben haben. Quishing reiht sich damit in dieselbe Familie wie der ClickFix-Trick oder der Deepfake-Betrug ein: Angriffe, die nicht die Technik knacken, sondern den Menschen.

Die zweite Richtung betrifft deine Rolle als Gestalter. QR-Codes sind ein Standardelement geworden – auf Flyern, Plakaten, Verpackungen, Visitenkarten, Aufstellern und Speisekarten, die du für Kunden entwirfst. Genau diese gedruckten Codes sind angreifbar: Ein Code auf einem öffentlich zugänglichen Plakat oder Aufsteller lässt sich mit einem Aufkleber überdecken, wie die Parkautomaten-Fälle zeigen. Wenn du einen QR-Code so gestaltest, dass die Zieladresse für niemanden überprüfbar ist, machst du es Fälschern leichter – und dein Kunde trägt am Ende den Image-Schaden.

So gestaltest du QR-Codes, denen man vertrauen kann

Ein paar Entscheidungen im Design senken das Risiko spürbar. Drucke die Zieladresse immer als lesbaren Text neben den Code, damit Nutzer vergleichen können, wo sie landen sollen. Verwende eine eigene, zur Marke passende Domain statt eines anonymen Kurzlink-Dienstes – eine Adresse wie kunde.de/aktion schafft mehr Vertrauen und ist schwerer glaubwürdig zu fälschen als ein kryptischer Shortener. Verzichte darauf, sensible Aktionen wie Zahlungen oder Logins ausschließlich über einen QR-Code anzustoßen. Und wenn deine Agentur physische Touchpoints eines Kunden betreut, gehört die regelmäßige Sichtprüfung auf überklebte Codes in die Betreuung – so wie Städte ihre Parkautomaten kontrollieren.

So schützt du dein Team konkret

Die gute Nachricht: Das Erkennungsmerkmal ist einfach und trägt durch fast alle Varianten. Misstraue jedem QR-Code, der dich zu einer Eingabe von Zugangs-, Bank- oder Zahlungsdaten drängt – besonders, wenn er aus einer unerwarteten Nachricht oder von einer öffentlichen Oberfläche stammt. Banken und seriöse Dienste fordern dich nicht per Brief, Mail oder SMS auf, zur „Reaktivierung“ eines Verfahrens einen QR-Code zu scannen. Das BSI warnte Anfang 2026 vor einer neuen Quishing-Welle und riet grundsätzlich zu einer Zero-Trust-Haltung gegenüber solchen Aufforderungen.

Für den Alltag im Team haben sich einige Regeln bewährt. Stelle das Smartphone so ein, dass es nach dem Scan die Adresse zuerst anzeigt, statt sie sofort zu öffnen; prüfe diese Adresse dann auf ungewöhnliche Zeichen und falsche Domains. An Parkautomaten und Ladesäulen gilt die Faustregel von ADAC und Polizei: Lade die Park-App aus dem offiziellen App-Store statt über den Code am Gerät, zahle wenn möglich mit Karte oder bar direkt am Automaten, und löse überklebte Codes nicht aus. Bei verdächtigen Briefen rufst du den angeblichen Absender über eine selbst recherchierte Nummer an – niemals über eine im Schreiben abgedruckte. Und weil ein gestohlenes Passwort selten allein bleibt, lohnt sich der Unterbau: Ein zentraler Passwort-Manager für alle Kundenzugänge sorgt dafür, dass ein einzelner Fehler nicht gleich zum Totalschaden wird. Mimikama und die Verbraucherzentrale bündeln weitere aktuelle Fallbeispiele, wenn du dein Team mit konkreten Mustern sensibilisieren willst.

Fazit

Quishing ist kein neuer Zaubertrick, sondern altes Phishing in einem Gewand, dem wir zu bereitwillig vertrauen. Der QR-Code verbirgt sein Ziel, umgeht E-Mail-Filter und ist am Handy kaum zu prüfen – und genau deshalb funktioniert er an Parkautomaten, in gefälschten Bankbriefen und auf manipulierten Plakaten. Für Agenturen heißt das zweierlei: Schütze dein Team, das mit einem Scan Kundenzugänge aufs Spiel setzen kann, und gestalte die QR-Codes deiner Kunden so, dass man ihnen ansieht, wohin sie führen. Beides kostet wenig und erspart im Ernstfall genau den Schaden, der sich nachträglich am schwersten reparieren lässt: verlorenes Vertrauen.