Quishing: Die QR-Code-Welle erreicht Schweizer Posteingänge

Quishing, ein Kunstwort aus QR-Code und Phishing, gehört aktuell zu den am schnellsten wachsenden Betrugsmaschen im Posteingang. Statt eines klickbaren Links versteckt sich die schädliche Adresse in einem QR-Code, eingebettet als Bild in einer E-Mail oder auf einem gefälschten Brief. Wer den Code mit dem Smartphone scannt, landet auf einer Phishing-Seite, oft ausserhalb jeder Kontrolle durch die Firmen-IT.

Warum klassische Spam-Filter hier versagen

E-Mail-Sicherheitssysteme sind darauf trainiert, Text, Links und Anhänge zu analysieren. Ein QR-Code ist für solche Systeme zunächst nur ein Bild, die eigentliche schädliche URL liegt maschinell kodiert im Bildmuster und wird von textbasierten Filtern nicht automatisch ausgelesen. Zusätzlich verschiebt sich das Risiko auf das Smartphone: Wird der Code mit dem privaten oder dienstlichen Mobiltelefon gescannt, greifen die Schutzmechanismen des Firmennetzwerks oft gar nicht mehr, weil das Gerät ausserhalb der überwachten Infrastruktur agiert.

Die gängigen Maschen in der Schweiz

• Gefälschte QR-Rechnungen, die dem Layout echter Schweizer QR-Rechnungen nachempfunden sind, mit leicht abweichender Kontoverbindung oder einem Link zu einer gefälschten Zahlungsseite.
• Vermeintliche Paketbenachrichtigungen von Logistikunternehmen mit angeblich ausstehender Zollgebühr.
• Aufforderungen zur erneuten Registrierung der Multi-Faktor-Authentifizierung, oft mit Verweis auf eine angebliche Sicherheitswarnung.
• Im Firmenumfeld: in Besprechungsräumen oder auf Parkscheinautomaten aufgeklebte, manipulierte QR-Codes.

Woran Mitarbeitende einen gefälschten QR-Code erkennen

Ein gesundes Misstrauen gegenüber Dringlichkeit hilft am meisten: Nachrichten, die sofortiges Handeln verlangen, sind ein klassisches Warnsignal. Vor dem Scannen lohnt sich ein Blick auf Absender und Kontext, stimmt die Rechnung oder Sendung überhaupt mit einem tatsächlichen Vorgang überein. Und ganz wichtig: Nach dem Scannen zeigt das Smartphone die Ziel-URL meist vor dem eigentlichen Öffnen an, dieser Moment lohnt einen zweiten Blick, bevor man bestätigt.

Technische und organisatorische Gegenmassnahmen

Moderne Anti-Spam-Lösungen wie SpamTitan erkennen zunehmend auch bildbasierte Bedrohungen und können verdächtige QR-Inhalte markieren, bevor sie den Posteingang erreichen. Die zweite, mindestens ebenso wichtige Verteidigungslinie bleibt der Mensch: Awareness-Schulungen, die konkret auf aktuelle Maschen wie Quishing eingehen, senken das Risiko spürbar, weil sie den Moment vor dem Scannen zu einer bewussten Entscheidung machen statt zu einem Reflex.