QR-Codes gehören längst zum Alltag, sie ersetzen Menükarten, führen zu Bezahlseiten oder ermöglichen den schnellen Zugriff auf Informationen. Doch während das schwarz-weiße Muster einfach wirkt, bleibt sein Inhalt verborgen, bis das Smartphone ihn entschlüsselt. Genau diese Unsichtbarkeit macht QR-Codes anfällig für Manipulationen.
Immer häufiger nutzen Betrüger sie, um ahnungslose Nutzer auf gefälschte Webseiten zu leiten oder Schadsoftware zu verbreiten. Phishing über QR-Codes, auch Quishing genannt, verbindet den Komfort moderner Technik mit dem Risiko digitaler Täuschung. Manipulierte Codes kleben auf Automaten, Plakaten oder tauchen in E-Mails auf, häufig kaum zu erkennen. Dadurch verschwimmen die Grenzen zwischen echtem Service und Betrug. Die Zahlen zeigen, wie schnell sich das Problem entwickelt: Allein im ersten Quartal 2026 stieg die Zahl der erfassten Quishing-Fälle von 7,6 auf 18,7 Millionen, und das BSI warnte im Februar wie im April vor Angriffswellen gegen Kunden deutscher Banken.
Wie funktioniert QR-Phishing (Quishing)?
Ein QR-Code speichert meist nichts weiter als eine einfache Zeichenfolge, oft einen Link, manchmal auch eine Weiterleitung auf eine App oder ein Formular. Erst beim Scannen mit dem Smartphone wird sichtbar, wohin der Code tatsächlich führt. Diese Verzögerung zwischen Handlung und Einsicht schafft eine besondere Angriffsfläche. Zwar blenden die Kamera-Apps von iOS und Android die Zieladresse als Banner ein, bevor sie die Seite öffnen. Doch dieser Hinweis ist klein, oft abgeschnitten und verschwindet nach wenigen Sekunden, weshalb ihn im Alltag kaum jemand liest. Während klassische Phishing-Mails also bereits vor dem Klick verdächtige Hinweise liefern können, muss man beim QR-Code aktiv hinsehen wollen.
Angreifer nutzen diese Lücke gezielt aus. Sie kleben gefälschte Sticker über echte Codes, drucken manipulierte Varianten auf Plakate oder legen Flyer mit veränderten Links aus. Auch in E-Mails oder Messengern kursieren immer häufiger QR-Grafiken, die auf täuschend echte Zahlungsseiten führen. Ziel solcher Angriffe ist meist der Diebstahl sensibler Daten, von Login-Informationen über Bankzugänge bis hin zu persönlichen Identifikationsmerkmalen. Manchmal steckt dahinter auch Malware, wobei der Scan allein noch nichts installiert. Erst wenn der Nutzer eine Datei bestätigt oder eine App aus unbekannter Quelle zulässt, gelangt sie aufs Gerät.
Warum Sicherheitsfilter bei QR-Codes versagen
Der Siegeszug des Quishings hat einen technisch banalen Grund. Ein QR-Code ist ein Bild und kein Link. Spamfilter, URL-Scanner und die Sicherheitsgateways in Unternehmen prüfen jedoch Adressen im Text einer Nachricht, und genau die fehlt hier. Die gesamte Schutzschicht greift damit ins Leere, obwohl die Nachricht die Zieladresse mitliefert. Deshalb landen QR-Mails im Posteingang, während dieselbe Adresse als klickbarer Link längst geblockt worden wäre.
Hinzu kommt ein zweiter Effekt, den Fachleute als Mobile Scanning Gap bezeichnen. Der Angriff wandert vom kontrollierten Firmenrechner auf das private Smartphone, denn gescannt wird nun einmal mit der Handykamera. Auf diesem Gerät fehlen Unternehmensfilter, Schutzsoftware und Protokollierung vollständig. Die IT-Abteilung sieht den Vorfall deshalb häufig gar nicht, selbst wenn er mitten im Arbeitsalltag stattfindet.
Was ein QR-Code außer Links noch enthalten kann
Wer nur an Webadressen denkt, unterschätzt die Bandbreite. Ein QR-Code kann ebenso WLAN-Zugangsdaten übertragen und das Smartphone unbemerkt in ein fremdes Netz einbuchen, eine Telefonnummer wählen, eine SMS vorbereiten oder einen Kalendereintrag anlegen. Besonders folgenreich ist der sogenannte EPC-QR-Code, besser bekannt als Girocode. Er füllt in der Banking-App Empfänger, IBAN und Betrag einer Überweisung automatisch aus, sodass nur noch die Bestätigung fehlt. Genau hier verkürzt sich der Weg vom Scan zum Geldverlust auf einen einzigen Fingertipp.
Ein weiteres Detail erklärt, warum Manipulationen so schwer auffallen. QR-Codes enthalten eine Fehlerkorrektur, die je nach Stufe bis zu rund 30 Prozent beschädigter Fläche ausgleicht. Deshalb funktionieren Codes mit eingebettetem Firmenlogo, deshalb lesen verkratzte Aufkleber zuverlässig weiter und deshalb bleibt auch ein teilweise überklebter Code oft noch scannbar. Das bloße Aussehen taugt damit kaum als Prüfkriterium, weil ein Code selbst dann sauber liest, wenn er sichtbar beschädigt ist.
Die häufigsten Erkennungsmerkmale
Ein Blick auf die Umgebung lohnt sich, bevor ein QR-Code gescannt wird. Auffällig sind Codes, die an ungewöhnlichen Stellen kleben oder offensichtlich über alte Aufkleber gesetzt wurden. Auch eine fehlende Beschriftung, unsaubere Kanten oder ein leichter Versatz können Hinweise auf Manipulation sein. Besonders wenn der Code nicht zur Umgebung passt, etwa auf einem Automaten ohne Hinweis auf den Betreiber, sollte Skepsis aufkommen. Kleine Druckfehler, matte Oberflächen oder eine leicht andere Papierstruktur verraten oft Fälschungen. Bei QR-Codes in E-Mails, PDF-Anhängen oder Chatnachrichten hilft all das allerdings nicht weiter, denn dort gibt es weder Kanten noch Papier.
| ! | Adressen mit xn-- am Anfang – dort verstecken sich getarnte Sonderzeichen, die echte Namen imitieren. |
| ! | Kurz-URL-Dienste – sie verschleiern das eigentliche Ziel vollständig. |
| ! | Sofortige Aufforderung zur Eingabe von Passwort, TAN oder Zahlungsdaten – hier hilft nur Abbruch. |
Nach dem Scannen liefert die Vorschau in der Kamera-App erste Anhaltspunkte, sofern man sie bewusst liest. Entscheidend ist dabei eine einfache Regel: Die eigentliche Domain steht immer unmittelbar vor dem ersten Schrägstrich. Bei einer Adresse wie sparkasse.de.login-service.xyz/konto heißt der Betreiber also login-service.xyz und nicht Sparkasse. Misstrauisch machen sollten außerdem Kurz-URL-Dienste sowie Adressen, die mit xn-- beginnen, weil sich dort getarnte Sonderzeichen verstecken. Kein Sicherheitsmerkmal ist dagegen die Verschlüsselung: Nahezu alle Phishing-Seiten nutzen inzwischen HTTPS, weil Zertifikate kostenlos und in Minuten zu haben sind. Das Schloss-Symbol belegt nur, dass niemand mitliest, nicht aber, wer am anderen Ende sitzt.
Ein klassisches Warnsignal verliert gerade ebenfalls an Wert. Früher verrieten sich Betrugsnachrichten durch holprige Formulierungen und schiefe Logos, doch das BSI weist darauf hin, dass Quishing-Kampagnen inzwischen KI-generiert und sprachlich fehlerfrei sind. Wird direkt zur Eingabe von Daten, Passwörtern oder Zahlungsinformationen aufgefordert, hilft deshalb nur Abbruch statt Neugier. Selbst harmlose Download-Hinweise oder vermeintliche App-Updates können schädlich sein.
Typische Gefahrenquellen
Im öffentlichen Raum tauchen QR-Codes inzwischen an nahezu jedem Ort auf, an Parkautomaten, Ladesäulen, Werbetafeln oder Restauranttischen. Diese alltägliche Präsenz schafft Vertrauen, das Täter gezielt ausnutzen. Oft überkleben sie echte Codes mit eigenen Stickern, deren Druckbild täuschend ähnlich aussieht. So führen vermeintlich offizielle Links plötzlich zu gefälschten Zahlungsseiten oder manipulierten Formularen. In manchen Städten tauchten sogar QR-Codes auf „Strafzetteln“ auf, die angeblich Bußgelder einziehen sollten. Der Betrug wirkt überzeugend, weil der Kontext – der Automat, der Zettel, das Logo – die Echtheit stützt. Wer an Automaten ohnehin lieber die offizielle App aus dem Store nutzt, umgeht diese Masche vollständig.
Auch im digitalen Umfeld verbergen sich solche Täuschungen. In E-Mails, PDF-Dateien oder Chat-Nachrichten erscheinen QR-Codes als scheinbar bequeme Abkürzung. Dahinter stecken oft verkürzte Links, die den eigentlichen Zielort verschleiern, oder automatische Weiterleitungen, die direkt auf Login-Seiten führen. In sozialen Netzwerken kursieren zudem Posts mit QR-Codes, die Gratisaktionen oder Gewinnspiele versprechen. Besonders tückisch sind Codes, die den Nutzer in eine Banking- oder Bezahl-App schicken, weil dort jede weitere Warnung fehlt und die Bestätigung als Routine durchgeht.
Technische und organisatorische Schutzmaßnahmen
Die vorinstallierte Kamera-App ist für die meisten Menschen die sicherste Wahl. Sie zeigt die Zieladresse an, öffnet nichts ungefragt und sammelt keine Daten. Viele kostenlose Scanner-Apps aus den Stores arbeiten dagegen werbefinanziert, fordern weitreichende Berechtigungen und springen teilweise ohne Rückfrage in den Browser. Wer dennoch eine zusätzliche App einsetzt, sollte darauf achten, dass sie die Adresse vor dem Öffnen anzeigt und vor bekannten Betrugsdomänen warnt. Ebenso hilfreich ist es, automatische Aktionen wie Sofort-Downloads oder App-Starts zu deaktivieren. So bleibt die Kontrolle beim Nutzer und nicht bei einem Algorithmus, der blind Befehle ausführt.
| SMS-TAN | ✗ unsicher – der Code lässt sich in Echtzeit weiterleiten, zusätzlich per SIM-Swapping abfangen. |
| App-Code / Push | ⚠ schwach – auch die Bestätigung wird vom Angreifer durchgereicht, das Sitzungs-Cookie danach abgegriffen. |
| Passkey / FIDO2 | ✓ phishing-resistent – kryptografisch an die echte Domain gebunden, funktioniert auf einer gefälschten Seite schlicht nicht. |
| ✓ Codes gravieren oder unter Folie anbringen · regelmäßig sichtprüfen | ✓ Eigene kurze Domain statt fremdem Kürzungsdienst · abtippbare Adresse danebensetzen |
Doch Technik allein genügt nicht. Regelmäßige Updates von Betriebssystem und Sicherheitssoftware schließen Lücken, bevor sie ausgenutzt werden. Besonders auf Mobilgeräten schützt das vor Angriffen, die über infizierte Websites laufen. Entscheidend ist außerdem, was nach einem erfolgreichen Login-Diebstahl passiert. Moderne Phishing-Seiten schalten sich als Zwischenstation in die Anmeldung und fangen das fertige Sitzungs-Cookie ab, weshalb SMS-TAN und App-Codes den Zugriff nicht mehr verhindern. Phishing-resistent sind allein Passkeys beziehungsweise FIDO2-Sicherheitsschlüssel, weil sie an die echte Domain gebunden bleiben und auf einer gefälschten Seite schlicht nicht funktionieren.
Parallel dazu braucht es Aufklärung, in Schulen, Betrieben oder Behörden. Nur wer versteht, wie Phishing über QR-Codes funktioniert, kann sich im Alltag richtig verhalten. Forschungsteams arbeiten inzwischen an Verfahren, die verdächtige Muster automatisch erkennen, etwa mit maschinellem Lernen. Wer selbst QR-Codes ausbringt, trägt zudem einen Teil der Verantwortung. Gastronomie, Kommunen, Vereine und Ladesäulenbetreiber sollten ihre Codes gravieren oder unter Folie anbringen, sie regelmäßig sichtprüfen, eine eigene kurze Domain statt eines fremden Kürzungsdienstes verwenden und immer eine abtippbare Adresse danebensetzen.
Das richtige Verhalten im Verdachtsfall
Kein Schutzsystem bleibt fehlerfrei. Selbst die beste Software erkennt nicht jeden manipulierten QR-Code, weil das Risiko im Unsichtbaren liegt. Betrüger perfektionieren ihre Methoden, verwenden täuschend echte Designs und nutzen vertraute Orte, um Skepsis zu senken. Diese Unsichtbarkeit macht die Kontrolle schwierig, vor allem, wenn Vertrauen und Routine zusammenwirken. Vorsicht bleibt daher der bessere Weg als blinder Glaube an Technik.
Tritt dennoch ein Verdacht auf, hilft vor allem Ruhe. Der Scanvorgang sollte sofort gestoppt und die Webseite nicht geöffnet werden. Die verdächtige Seite ein zweites Mal aufzurufen, bringt dabei nichts. Wer nachsehen will, tippt stattdessen die bekannte offizielle Adresse des Anbieters selbst in den Browser. Wurden bereits Daten eingegeben, zählt jede Minute: zuerst Karte und Konto über die Bank oder den Sperr-Notruf 116 116 sperren lassen, danach die betroffenen Passwörter auf einem anderen Gerät ändern. Zeigt das Gerät ungewöhnliches Verhalten oder öffnen sich unbekannte Apps, empfiehlt sich eine gründliche Sicherheitsprüfung. Anzeige erstatten lässt sich anschließend bei der Polizei, auch online über die Wachen der Länder, und eine Meldung an das Phishing-Radar der Verbraucherzentrale hilft, neue Maschen schneller bekannt zu machen.
Offen bleibt für viele Betroffene die Frage nach dem Geld. Bei einer Zahlung, die der Kunde nie freigegeben hat, muss die Bank den Betrag grundsätzlich erstatten. Wurde die Überweisung dagegen nach der Täuschung selbst bestätigt oder wurden TAN und Zugangsdaten grob fahrlässig preisgegeben, verschiebt sich die Verantwortung zulasten des Kunden. Weil diese Abgrenzung im Einzelfall strittig ist, lohnt sich eine schriftliche Reklamation bei der Bank und bei größeren Summen anwaltlicher Rat.
Fazit zur QR-Code-Sicherheit
QR-Codes vereinfachen vieles im Alltag, vom Restaurantbesuch bis zum Ticketkauf. Doch gerade dieser Komfort schafft Raum für Täuschung. Die kleinen Quadrate tragen mehr Risiko, als ihr schlichtes Muster vermuten lässt. Ein kurzer Scan genügt, um auf einer fremden Login-Seite zu landen oder persönliche Daten preiszugeben. Deshalb bleibt Wachsamkeit kein Ausdruck von Misstrauen, sondern von digitaler Mündigkeit. Eine bewusst genutzte Kamera-App, aktuelle Software, ein Passkey statt SMS-Code und ein kurzer Blick auf die Adresse bieten mehr Schutz als jede spontane Entscheidung. Technische Schutzschichten schaffen Sicherheit, aber sie ersetzen kein aufmerksames Verhalten. Am Ende zählt das Zusammenspiel aus Wissen und Vorsicht.