Was ist Quishing? QR-Code-Phishing erklärt — Der ultimative Guide 2026

Quishing ist ein Kunstwort aus „QR-Code” und „Phishing”. Es bezeichnet Phishing-Angriffe, bei denen Kriminelle bösartige QR-Codes nutzen, um Opfer auf gefälschte Websites zu locken, Zugangsdaten oder TANs zu stehlen oder Schadsoftware zu verbreiten.

Sehr gefährlich. Im ersten Quartal 2026 stiegen Quishing-Versuche weltweit um über 600 %. Polizei und BSI haben in Deutschland Dutzende Wellen dokumentiert — von Berlin über Dortmund bis Tauberbischofsheim. Im Unternehmenskontext liegt der durchschnittliche Schaden pro Vorfall bei über einer Million Euro.

Typische Warnzeichen: ein QR-Code an einer Stelle, an der vorher keiner war (überklebt); ein unerwarteter Brief mit QR-Code von Bank, Behörde oder Versicherung; Druck zur Eile („sofort handeln”) nach dem Scan; und URLs, die nach dem Scan nicht zum erwarteten Anbieter passen (Tippfehler-Domains, fremde Top-Level-Domains, IP-Adressen statt Domain).

Phishing nutzt klassische Kanäle wie E-Mail oder gefälschte Webseiten. Quishing transportiert den Phishing-Link in einem QR-Code. Der zentrale Unterschied: Spam-Filter und Mail-Gateways können den Code nicht prüfen (er ist ein Bild), und auch Menschen können die Ziel-URL vor dem Scan nicht sehen.

Nein. QR-Codes selbst sind eine sichere Technologie. Unsicher wird es, sobald jemand die URL nicht prüft, bevor er die Seite öffnet. Mit einem Prüfer wie QRTrust, der den Link gegen aktuelle Phishing-Datenbanken (PhishTank, Google Safe Browsing) und KI-Modelle abgleicht, sind QR-Codes wieder sicher nutzbar.

Sechs Maßnahmen: 1) Scanner-App mit URL-Vorschau nutzen — niemals automatisch öffnen. 2) Auf Tipp-Fehler in Domains achten (z. B. „spark-asse.de” statt „sparkasse.de”). 3) QR-Codes von Banken oder Behörden grundsätzlich ignorieren — diese kommunizieren über andere Wege. 4) Überklebte QR-Codes nie scannen. 5) Bei Brief-Quishing die Institution unter der offiziell recherchierten Nummer kontaktieren. 6) Eine spezialisierte App wie QRTrust verwenden.

Nicht in Panik geraten. Solange keine Daten eingegeben wurden, ist das Risiko gering. Wenn doch: sofort betroffene Passwörter ändern, Online-Banking über Sperr-Notruf 116 116 sperren lassen, Bank unter der offiziellen Servicenummer anrufen und Anzeige bei der Polizei erstatten. Vorfall mit Screenshots dokumentieren.

In Deutschland an: Verbraucherzentrale (verbraucherzentrale.de), die Polizei (Online-Wache des jeweiligen Bundeslands), das BSI (über die Meldestelle des BSI bzw. die Allianz für Cybersicherheit) und bei Bank-Quishing direkt an die betroffene Bank (z. B. phishing@deutsche-bank.de). Wir bei QRTrust nehmen Meldungen ebenfalls auf und führen sie unserer Bedrohungsdatenbank zu.

Ja. Ein Unternehmen sollte drei Ebenen kombinieren: 1) Awareness-Training (Quishing-Phishing-Simulationen). 2) Eine technische QR-Code-Prüfung — z. B. QRTrust Enterprise auf Firmen-Smartphones und in Mail-Gateways. 3) Eine Meldevorlage für NIS-2-konforme Incident Reports an das BSI. Wir bieten ein integriertes Paket für Behörden und KRITIS-Betreiber.

Top-Köder in Deutschland: 1) Parkautomaten („Easy Park”-Klone). 2) E-Ladesäulen (Bezahlseiten). 3) Bankbriefe (TAN-/photoTAN-Aktualisierung). 4) DHL- und Paketdienst-Aufkleber. 5) Strafzettel auf Auto-Scheibenwischern. 6) Restaurant-Speisekarten. 7) WhatsApp-Web-Kopplung (Ghost Pairing).

Ja. Quishing ist in Deutschland nach §263 StGB (Betrug), §202a StGB (Ausspähen von Daten) und §263a StGB (Computerbetrug) strafbar — je nach Tatbestand mit Freiheitsstrafe bis zu fünf Jahren. Beim Inverkehrbringen gefälschter QR-Codes greifen zusätzlich §269 StGB (Fälschung beweiserheblicher Daten) und §202c StGB (Vorbereiten von Ausspähen).

QRTrust scannt jeden QR-Code und gleicht die Ziel-URL in Echtzeit gegen PhishTank (1 Mio.+ Phishing-URLs), Google Safe Browsing, unsere eigene KI-gestützte Klassifizierung und einen URL-Redirect-Resolver ab. Verdächtige Seiten werden blockiert, bevor sie öffnen. Die App ist DSGVO-konform, läuft auf EU-Servern und ist für Privatnutzer kostenlos.