Zum Hauptinhalt springen
← Blog

IT-Sicherheit

Der Link steckt jetzt in einem Bild

Ein QR-Code ist für die meisten Sicherheitsfilter unsichtbar — sie prüfen Links, keine Bilder. Genau das macht ihn zum wachsenden Einfallstor: wie Quishing abläuft, warum das private Handy zum blinden Fleck wird, und was tatsächlich dagegen hilft.

Ein QR-Code ist für so gut wie jeden E-Mail-Filter unsichtbar. Linkprüfung, URL-Umschreibung, Sandbox-Analyse — all das untersucht Text und Hyperlinks. Ein QR-Code ist keines von beidem. Er ist ein Bild, und das Ziel, auf das er zeigt, wird erst sichtbar, wenn ihn jemand mit der Handykamera scannt. Genau diese Lücke nutzt Quishing — Phishing per QR-Code — aus, und sie wird gerade deutlich breiter genutzt als noch vor einem Jahr.

Wie der Angriff abläuft

Der Code kommt per E-Mail als vermeintliche Rechnung, als Aufkleber auf einem Parkschein oder als Poster, in vielen Fällen einfach über eine echte Vorlage geklebt. Gescannt wird meist mit dem privaten Smartphone — und genau damit verlässt der gesamte Vorgang den Bereich, den die Firmen-IT sieht. Die Zielseite verhält sich wie ein normales Anmeldeformular, meist eine nachgebaute Microsoft-365- oder Banking-Seite. Was dort eingegeben wird, geht direkt an die Angreifer.

Warum klassische E-Mail-Sicherheit hier blind ist

Ein Link lässt sich vor dem Klicken prüfen — durch Hovern, durch eine automatische Umschreibung, durch eine Sandbox, die ihn vorab öffnet. Ein QR-Code verrät sein Ziel nicht, bevor er decodiert wurde, und viele Sicherheitsprodukte scannen Bilder schlicht nicht auf enthaltene Links. Der Code selbst kann dabei beschädigt oder überklebt sein und funktioniert trotzdem: Die zugrunde liegende Kodierung verträgt einen erheblichen Fehleranteil, ohne unlesbar zu werden — ein technisches Detail, das Angreifer sich gezielt zunutze machen, wenn sie einen fremden Aufkleber über einen echten Code kleben.

Warum das private Handy die eigentliche Lücke ist

Auf einem privaten Smartphone läuft in aller Regel keine Firmen-Mailsicherheit, kein verwalteter Browser, kein Netzwerk-Monitoring. Der Scan passiert über das private Mobilfunknetz, außerhalb jeder Überwachung, die die IT sonst hätte. Eingegebene Zugangsdaten sind bei den Angreifern, lange bevor irgendjemandem ein verdächtiger Link aufgefallen wäre — weil es diesen Link im herkömmlichen Sinn nie gab.

Wie das in Österreich konkret aussieht

Watchlist Internet, die offizielle österreichische Stelle für Konsumentenbetrug, dokumentiert bereits mehrere Varianten:

  • Anruf, WhatsApp, dann ein QR-Code

    Eine gefälschte Kampagne gegen Kund:innen der Erste Bank kombinierte einen Anruf, eine WhatsApp-Nachricht und einen QR-Code, der angeblich zur Konto-Reaktivierung diente — tatsächlich zur Kontoübernahme führte.

  • Die gefälschte Post-Rechnung

    Eine E-Mail mit einer angeblichen Rechnung der Österreichischen Post enthält einen QR-Code zur "Zahlungsbestätigung", der auf eine Betrugsseite führt.

  • Die E-Mail vom vermeintlichen Lieferanten

    Ein QR-Code in einer E-Mail, die aussieht wie die eines bekannten Lieferanten, führt auf eine nachgebaute Anmeldeseite — genau die Konstellation, die eine Buchhaltung im Alltag am ehesten trifft.

Einen Link kann man prüfen, bevor man klickt. Ein QR-Code verrät sein Ziel erst, wenn es zu spät ist.

Was tatsächlich hilft

  1. URL prüfen, nicht dem Scan vertrauen

    Nach dem Scannen zeigt jedes Smartphone die Zieladresse an, bevor die Seite öffnet. Diesen einen Blick nimmt sich kaum jemand, entscheidet aber, ob Daten bei der echten oder einer gefälschten Seite landen.

  2. Nur die eingebaute Kamera verwenden

    Watchlist Internet warnt ausdrücklich vor zusätzlichen QR-Scanner-Apps aus dem App Store — ein Teil davon ist selbst Schadsoftware oder verstecktes Abo. Die Kamera-App des Telefons reicht für jeden legitimen QR-Code aus.

  3. Physische Codes auf Manipulation prüfen

    Ein Aufkleber, der über einem anderen Code klebt oder nicht zur restlichen Beschriftung passt, ist ein Warnsignal — bei Parkscheinautomaten ebenso wie bei Rechnungen im Briefkasten.

  4. Private Geräte mit Firmenzugriff verwalten

    Wo private Smartphones auf Firmenmail oder Microsoft 365 zugreifen, schließt eine Mobile-Device-Verwaltung einen Teil der Lücke — der Zugriff lässt sich dann an Sicherheitsauflagen binden, die ein unverwaltetes Gerät nicht erfüllt.

  5. Phishingresistente Anmeldung einsetzen

    Ein abgegriffenes Passwort allein nützt wenig, wenn die Anmeldung zusätzlich einen Passkey oder Sicherheitsschlüssel verlangt — dazu mehr im Beitrag über Passkeys.

Die technische Erkennung von QR-Codes in E-Mails gehört inzwischen zum Funktionsumfang moderner Security-Gateways und damit zu dem, was Protect an Schutzschichten über Manage legt. Genauso wichtig ist die zweite Hälfte: Mitarbeitende, die einen QR-Code in einer Rechnung genauso hinterfragen wie einen Link — das ist der Teil, den keine Software allein übernimmt. Wenn Sie nicht wissen, ob Ihre private-Geräte-Regelung diese Lücke bereits schließt: Das klärt ein kurzes Gespräch.

Quellen

Häufige Fragen

Was dazu am häufigsten gefragt wird

Reicht es, verdächtige Links in E-Mails zu blockieren?

Nein. Ein QR-Code enthält keinen Text-Link, sondern ein Bild — klassische Filter, die Hyperlinks prüfen, sehen ihn schlicht nicht. Wirksam sind nur Security-Gateways, die Bilder gezielt auf eingebettete QR-Codes hin decodieren.

Ist das private Handy wirklich das Problem?

Ja, in den meisten dokumentierten Fällen. Ohne Firmen-Mailsicherheit, verwalteten Browser und Netzwerk-Monitoring läuft der gesamte Vorgang außerhalb dessen, was die IT sehen kann — bis jemand von sich aus meldet, dass etwas nicht gestimmt hat.

Was tun, wenn schon Zugangsdaten eingegeben wurden?

Passwort sofort ändern, aktive Sitzungen beenden — ein gestohlenes Passwort allein reicht sonst weiter aus — und die IT informieren, damit Anmeldeprotokolle auf ungewöhnliche Zugriffe geprüft werden.

Gibt es E-Mail-Filter, die QR-Codes tatsächlich erkennen?

Ja. Mehrere moderne Security-Gateways decodieren QR-Codes in Bildern und Anhängen und prüfen die dahinterliegende Adresse, bevor die Mail zugestellt wird — ein Funktionsumfang, der noch vor wenigen Jahren nicht Standard war.