Eine QR-Code-Phishing-Mail fordert Sie auf, einen Code zu scannen, meist um ein Konto „erneut zu verifizieren", ein Dokument zu unterschreiben oder ein Passwort zurückzusetzen. Angreifer nutzen QR-Codes, weil E-Mail-Filter den Link in einem Bild oft schwer auslesen können und weil Sie zum Scannen aufs Smartphone wechseln, wo gefälschte Anmeldeseiten schwerer zu erkennen sind.
Phishing gibt es, solange es E-Mails gibt, doch die Variante mit QR-Code, oft Quishing genannt, ist eine neuere Spielart. Statt eines blauen Links, über den Sie mit der Maus fahren können, sehen Sie ein quadratisches Bild. Dieser Ratgeber erklärt, warum Angreifer diese Methode mögen, wie solche E-Mails typischerweise aussehen und was Beschäftigte und Unternehmen tun können, um sich zu schützen.
Warum Angreifer QR-Codes in E-Mails einbauen
Aus Sicht von Kriminellen löst ein QR-Code gleich mehrere Probleme.
- Er versteckt den Link. Menschen können einen QR-Code nicht lesen und eine verdächtige Webadresse daher nicht auf einen Blick erkennen.
- Er kann Filter umgehen. Viele E-Mail-Sicherheitslösungen gleichen Textlinks mit Listen bekannter schädlicher Seiten ab. Ein Link in einem Bild ist schwerer zu prüfen, auch wenn moderne Tools zunehmend auch Bilder scannen.
- Er lockt Sie auf ein anderes Gerät. Sie lesen die E-Mail am Firmenlaptop mit Sicherheitsschutz, scannen aber mit dem privaten Handy, das womöglich schlechter geschützt ist.
- Kleine Bildschirme verbergen Details. Auf dem Smartphone ist die Adresszeile kurz, und eine gefälschte Anmeldeseite sieht der echten sehr ähnlich.
- Er wirkt modern und offiziell. Banken, Fluggesellschaften und Arbeitgeber nutzen QR-Codes, daher weckt ein Code in einer E-Mail nicht automatisch Misstrauen.
So sieht eine QR-Phishing-Mail aus
Die Mails unterscheiden sich, folgen aber meist bekannten Mustern. Typische Aufhänger:
- „Ihr Passwort läuft heute ab. Scannen Sie, um Ihr aktuelles Passwort zu behalten."
- „Die Multi-Faktor-Authentifizierung muss neu aktiviert werden. Scannen Sie mit Ihrem Smartphone."
- „Ein geteiltes Dokument wartet auf Sie. Zum Ansehen scannen."
- „Ihre Gehalts- oder Bonusdaten wurden aktualisiert."
- „Ein Paket oder eine Rechnung erfordert Ihre Bestätigung."
Typische Warnsignale:
- Zeitdruck: eine kurze Frist oder die Drohung, Ihr Konto werde gesperrt.
- Seltsamer Absender: Der Anzeigename lautet „IT-Support" oder trägt eine bekannte Marke, aber die E-Mail-Adresse passt nicht dazu.
- Wenig Text, großer Code: Die Nachricht besteht fast nur aus einem Bild mit QR-Code und einer kurzen Anweisung.
- Allgemeine Anrede statt Ihres Namens.
- Eine Anmeldeseite nach dem Scannen: Der Code führt zu einer Seite, die Ihre geschäftliche E-Mail-Adresse und Ihr Passwort oder einen Einmalcode verlangt.
Der letzte Punkt ist der wichtigste. Eine echte IT-Abteilung verlangt so gut wie nie, dass Sie sich über einen per E-Mail geschickten QR-Code anmelden.
Was tun, wenn Sie eine solche Mail erhalten?
Wenn Sie als Mitarbeiterin oder Mitarbeiter eine verdächtige E-Mail mit QR-Code bekommen:
- Scannen Sie ihn nicht mit Ihrem Smartphone.
- Leiten Sie die Mail nicht an Kollegen weiter, um zu fragen, ob sie echt ist, denn jemand könnte den Code scannen.
- Melden Sie sie über den Phishing-Melde-Button Ihres Unternehmens oder kontaktieren Sie die IT über einen bekannten Kanal.
- Prüfen Sie das Konto selbst. Erwähnt die Mail Ihr Passwort oder ein Dokument, öffnen Sie den Dienst direkt über die gewohnte Adresse oder App.
- Löschen Sie die Mail nach dem Melden, wenn der Prozess Ihres Unternehmens das vorsieht.
Haben Sie den Code bereits gescannt und Ihre Daten eingegeben, handeln Sie schnell. Ändern Sie Ihr Passwort, informieren Sie sofort die IT und folgen Sie den Schritten in unserem Ratgeber für den Fall, dass Sie einen schädlichen QR-Code gescannt haben.
Auch privat gelten dieselben Gewohnheiten. Wenn Sie wissen möchten, wohin ein Code führt, ohne ihn zu öffnen, hilft ein Scanner, der zuerst das Ziel anzeigt, etwa der Online QR-Scanner von QR-TH. So schauen Sie, bevor Sie klicken.
Wie Unternehmen ihre Mitarbeiter schützen
Kein einzelnes Tool stoppt jeden QR-Phishing-Versuch. Guter Schutz kombiniert Technik, Prozesse und Menschen.
E-Mail- und Sicherheitstools
- Setzen Sie E-Mail-Sicherheit ein, die QR-Codes in Bildern und Anhängen erkennt und die enthaltenen Links prüft
- Lassen Sie Linkprüfung und Safe-Browsing-Schutz auf Firmengeräten aktiv und, wo sinnvoll, auch auf verwalteten Smartphones
- Kennzeichnen Sie externe E-Mails deutlich, besonders solche mit intern klingenden Absendernamen
Starker Schutz bei der Anmeldung
- Verlangen Sie Multi-Faktor-Authentifizierung für alle Mitarbeiterkonten
- Bevorzugen Sie, wo möglich, phishing-resistente Verfahren wie Passkeys oder Sicherheitsschlüssel, denn Einmalcodes können Menschen auf einer gefälschten Seite trotzdem entlockt werden
- Empfehlen Sie Authenticator-Apps statt SMS. Unser Ratgeber zur Zwei-Faktor-Authentifizierung erklärt die Möglichkeiten.
- Überwachen Sie ungewöhnliche Anmeldungen, etwa aus neuen Ländern oder von neuen Geräten
Klare Abläufe
- Machen Sie bekannt, dass die IT niemals verlangt, sich über einen QR-Code in einer E-Mail anzumelden
- Bieten Sie einen einfachen Weg, verdächtige Nachrichten zu melden, und bedanken Sie sich bei allen, die ihn nutzen
- Halten Sie einen Plan bereit, um Passwörter schnell zurückzusetzen und Sitzungen zu beenden, wenn jemand einen Fehler meldet
Schulungen, die hängen bleiben
- Zeigen Sie in Schulungen realistische Beispiele für QR-Phishing-Mails
- Vermitteln Sie die einfache Frage: „Warum sollte man dafür einen QR-Code brauchen?"
- Führen Sie Phishing-Simulationen mit QR-Codes durch und geben Sie danach freundliches Feedback statt Schuldzuweisungen
Wer Fehler ohne Angst melden kann, meldet sie schneller, und das begrenzt den Schaden.
Seriöse QR-Codes in E-Mails
Nicht jeder QR-Code in einer E-Mail ist bösartig. Veranstaltungstickets, Bordkarten und manche Gerätekopplungen beim Login nutzen sie ganz legitim. Der Unterschied liegt meist im Kontext: Sie haben die E-Mail erwartet, sie bezieht sich auf etwas, das Sie selbst getan haben, und den Code zeigen Sie vor oder nutzen ihn in einer bekannten App, statt damit Ihr Passwort auf einer unbekannten Seite einzugeben.
Unternehmen, die echte QR-Codes verschicken, können helfen, indem sie erklären, wofür der Code dient, einen erkennbaren Link als Alternative danebensetzen und vertrauenswürdige Domains verwenden.
FAQ
Warum nutzen Phishing-Mails QR-Codes statt Links?
Weil der Link so vor Menschen und manchen Filtern verborgen bleibt und weil das Scannen das Opfer aufs Smartphone lockt, wo Sicherheitsfunktionen und optische Hinweise oft schwächer sind.
Kann mein E-Mail-Anbieter QR-Code-Phishing blockieren?
Viele E-Mail-Sicherheitsdienste durchsuchen Bilder inzwischen nach QR-Codes und prüfen die Links, doch keiner erkennt alles. Ihre eigene Vorsicht bleibt eine wichtige Schutzschicht.
Ist es sicher, einen QR-Code in einer E-Mail meiner Bank zu scannen?
Seien Sie vorsichtig. Banken fordern Sie nur selten auf, sich über einen QR-Code in einer E-Mail anzumelden. Öffnen Sie lieber die offizielle Banking-App oder tippen Sie die Adresse selbst ein.
Was soll ich tun, wenn ich nach dem Scannen mein Arbeitspasswort eingegeben habe?
Ändern Sie das Passwort sofort, informieren Sie Ihr IT- oder Sicherheitsteam und lassen Sie verdächtige Anmeldungen prüfen. Schnelligkeit macht hier einen echten Unterschied.
Erst hinsehen, dann öffnen
QR-Phishing funktioniert, wenn Menschen gedankenlos scannen. Machen Sie das Prüfen zur Gewohnheit: Kommt ein unerwarteter Code, nutzen Sie das Tool QR-Code online scannen von QR-TH, um zu sehen, wohin er führt, bevor Sie irgendetwas öffnen.