Ein QR-Code ist für so gut wie jeden E-Mail-Filter unsichtbar. Linkprüfung, URL-Umschreibung, Sandbox-Analyse — all das untersucht Text und Hyperlinks. Ein QR-Code ist keines von beidem. Er ist ein Bild, und das Ziel, auf das er zeigt, wird erst sichtbar, wenn ihn jemand mit der Handykamera scannt. Genau diese Lücke nutzt Quishing — Phishing per QR-Code — aus, und sie wird gerade deutlich breiter genutzt als noch vor einem Jahr.
Wie der Angriff abläuft
Der Code kommt per E-Mail als vermeintliche Rechnung, als Aufkleber auf einem Parkschein oder als Poster, in vielen Fällen einfach über eine echte Vorlage geklebt. Gescannt wird meist mit dem privaten Smartphone — und genau damit verlässt der gesamte Vorgang den Bereich, den die Firmen-IT sieht. Die Zielseite verhält sich wie ein normales Anmeldeformular, meist eine nachgebaute Microsoft-365- oder Banking-Seite. Was dort eingegeben wird, geht direkt an die Angreifer.
Warum klassische E-Mail-Sicherheit hier blind ist
Ein Link lässt sich vor dem Klicken prüfen — durch Hovern, durch eine automatische Umschreibung, durch eine Sandbox, die ihn vorab öffnet. Ein QR-Code verrät sein Ziel nicht, bevor er decodiert wurde, und viele Sicherheitsprodukte scannen Bilder schlicht nicht auf enthaltene Links. Der Code selbst kann dabei beschädigt oder überklebt sein und funktioniert trotzdem: Die zugrunde liegende Kodierung verträgt einen erheblichen Fehleranteil, ohne unlesbar zu werden — ein technisches Detail, das Angreifer sich gezielt zunutze machen, wenn sie einen fremden Aufkleber über einen echten Code kleben.
Warum das private Handy die eigentliche Lücke ist
Auf einem privaten Smartphone läuft in aller Regel keine Firmen-Mailsicherheit, kein verwalteter Browser, kein Netzwerk-Monitoring. Der Scan passiert über das private Mobilfunknetz, außerhalb jeder Überwachung, die die IT sonst hätte. Eingegebene Zugangsdaten sind bei den Angreifern, lange bevor irgendjemandem ein verdächtiger Link aufgefallen wäre — weil es diesen Link im herkömmlichen Sinn nie gab.
Wie das in Österreich konkret aussieht
Watchlist Internet, die offizielle österreichische Stelle für Konsumentenbetrug, dokumentiert bereits mehrere Varianten:
Anruf, WhatsApp, dann ein QR-Code
Eine gefälschte Kampagne gegen Kund:innen der Erste Bank kombinierte einen Anruf, eine WhatsApp-Nachricht und einen QR-Code, der angeblich zur Konto-Reaktivierung diente — tatsächlich zur Kontoübernahme führte.
Die gefälschte Post-Rechnung
Eine E-Mail mit einer angeblichen Rechnung der Österreichischen Post enthält einen QR-Code zur "Zahlungsbestätigung", der auf eine Betrugsseite führt.
Die E-Mail vom vermeintlichen Lieferanten
Ein QR-Code in einer E-Mail, die aussieht wie die eines bekannten Lieferanten, führt auf eine nachgebaute Anmeldeseite — genau die Konstellation, die eine Buchhaltung im Alltag am ehesten trifft.
Einen Link kann man prüfen, bevor man klickt. Ein QR-Code verrät sein Ziel erst, wenn es zu spät ist.
Was tatsächlich hilft
URL prüfen, nicht dem Scan vertrauen
Nach dem Scannen zeigt jedes Smartphone die Zieladresse an, bevor die Seite öffnet. Diesen einen Blick nimmt sich kaum jemand, entscheidet aber, ob Daten bei der echten oder einer gefälschten Seite landen.
Nur die eingebaute Kamera verwenden
Watchlist Internet warnt ausdrücklich vor zusätzlichen QR-Scanner-Apps aus dem App Store — ein Teil davon ist selbst Schadsoftware oder verstecktes Abo. Die Kamera-App des Telefons reicht für jeden legitimen QR-Code aus.
Physische Codes auf Manipulation prüfen
Ein Aufkleber, der über einem anderen Code klebt oder nicht zur restlichen Beschriftung passt, ist ein Warnsignal — bei Parkscheinautomaten ebenso wie bei Rechnungen im Briefkasten.
Private Geräte mit Firmenzugriff verwalten
Wo private Smartphones auf Firmenmail oder Microsoft 365 zugreifen, schließt eine Mobile-Device-Verwaltung einen Teil der Lücke — der Zugriff lässt sich dann an Sicherheitsauflagen binden, die ein unverwaltetes Gerät nicht erfüllt.
Phishingresistente Anmeldung einsetzen
Ein abgegriffenes Passwort allein nützt wenig, wenn die Anmeldung zusätzlich einen Passkey oder Sicherheitsschlüssel verlangt — dazu mehr im Beitrag über Passkeys.
Die technische Erkennung von QR-Codes in E-Mails gehört inzwischen zum Funktionsumfang moderner Security-Gateways und damit zu dem, was Protect an Schutzschichten über Manage legt. Genauso wichtig ist die zweite Hälfte: Mitarbeitende, die einen QR-Code in einer Rechnung genauso hinterfragen wie einen Link — das ist der Teil, den keine Software allein übernimmt. Wenn Sie nicht wissen, ob Ihre private-Geräte-Regelung diese Lücke bereits schließt: Das klärt ein kurzes Gespräch.