QR-Code-Phishing: Quishing-Anstieg um 25% laut Report 2026

Sicherheitsdienstleister melden einen drastischen Anstieg von sogenannten Quishing-Angriffen – mit KI-Unterstützung und neuen Methoden, die selbst Multi-Faktor-Authentifizierung aushebeln.

Der Hoxhunt-Report 2026 verzeichnet einen Zuwachs von 25 Prozent im Vergleich zum Vorjahr. Auch Microsoft Defender schlägt Alarm: Der Anteil von Quishing-Kampagnen an allen Phishing-Aktivitäten stieg von 10 auf 30 Prozent.

Die Medienbruch-Lücke

Das Gefahrenpotenzial von QR-Codes liegt in der Medienbruch-Taktik. Nutzer scannen die Codes häufig mit ihren privaten oder geschäftlichen Mobilgeräten – und verlassen damit die kontrollierte Netzwerksicherheit ihrer Workstations. So umgehen Angreifer etablierte Schutzwälle und die Multi-Faktor-Authentifizierung effizient.

Inzwischen machen QR-Codes rund 11 Prozent des gesamten Phishing-E-Mail-Volumens aus.

M365 im Visier

Besonders Microsoft-365-Umgebungen sind betroffen. Ein seit April 2026 aktiver Akteur namens Pink kombiniert Vishing (Voice Phishing) mit manipulierten Webseiten, um die Passkey-Registrierung von Nutzern zu kapern. Die Opfer landen auf gefälschten Entra-Seiten, auf denen Angreifer eigene FIDO2-Schlüssel im Konto hinterlegen.

Die Datenexfiltration erfolgt oft innerhalb von 72 Stunden nach der Kompromittierung. Betroffen sind vor allem Technologie, Gesundheitswesen sowie die Automobil- und Luftfahrtindustrie.

Phishing als Dienstleistung

Der Hoxhunt-Report 2026 verzeichnet einen Anstieg von 25 Prozent bei QR-Code-Phishing – und KI-optimierte Kampagnen erreichen Klickraten von bis zu 54 Prozent. Bevor Ihre Konkurrenz die Medienbruch-Lücke ausnutzt, sollten Sie jetzt handeln. Jetzt kostenlosen Quishing-Schutz-Report anfordern

Die Einstiegshürden für Cyberkriminelle sinken rasant. Ein neuer Dienst namens Forg365 kombiniert Gerätecode-Phishing mit Adversary-in-the-Middle-Angriffen (AitM) und nutzt KI-generierte Köder. Für monatliche Gebühren erhalten Käufer Zugriff auf Dashboards und Browsererweiterungen für dauerhaften Zugriff auf kompromittierte Sitzungen.

KI-gestütztes Phishing ist deutlich effektiver. Während klassische Phishing-Mails eine Klickrate von etwa 12 Prozent erzielen, erreichen KI-optimierte Kampagnen Quoten von bis zu 54 Prozent. Mit PromptSpy wurde zudem die erste Android-Malware identifiziert, die generative KI nutzt, um Angriffe zu automatisieren.

Sparkassen und DKB im Visier

Aktuelle Betrugswellen zielen massiv auf Kunden deutscher Finanzinstitute. Im Kontext der Umstellung von S-ID-Check auf S-pushTAN erhalten Sparkassen-Kunden gefälschte Nachrichten zur Identitätsbestätigung per Link. Auch DKB-Kunden sind betroffen: In E-Mails heißt es, die App-Registrierung laufe Mitte Juli 2026 ab, um Nutzer zur Preisgabe von Zugangsdaten auf Phishing-Seiten zu bewegen.

Der Discounter Lidl meldete einen Datendiebstahl bei einem IT-Dienstleister. Zwischen Januar und Juni 2026 wurden Stammdaten wie Namen, E-Mails und Telefonnummern sowie Bestelldaten entwendet. Das Unternehmen warnte seine Kunden explizit vor nachfolgenden Phishing-Versuchen.

Was Unternehmen tun können

Microsoft-365-Umgebungen sind das Hauptziel: Der Anteil von Quishing-Kampagnen stieg von 10 auf 30 Prozent. Ein aktueller Akteur namens Pink kombiniert Vishing mit manipulierten Webseiten, um FIDO2-Registrierungen zu kapern. Schützen Sie Ihre M365-Umgebung mit einer Schritt-für-Schritt-Anleitung. M365-Quishing-Schutz jetzt sichern

Sicherheitsexperten empfehlen, die Authentifizierung per Gerätecode zu blockieren und verstärkt auf FIDO2-basierte Verfahren zu setzen. QR-Codes sollten mit der gleichen Skepsis behandelt werden wie unbekannte Hyperlinks.

Juristisch bleibt die Abgrenzung zwischen autorisierten und nicht autorisierten Zahlungen entscheidend. Bei Betrugsfällen im Online-Banking sind Finanzinstitute grundsätzlich zur Erstattung verpflichtet – sofern der Kunde nicht grob fahrlässig gehandelt hat. Die Rechtsprechung zeigt sich verbraucherfreundlich: Ein Oberlandesgericht entschied, dass Banken unter Umständen selbst bei Fahrlässigkeit teilweise haften müssen. Fachanwälte raten Betroffenen, im Schadensfall sämtliche Kommunikationsdaten und Transaktions-IDs zu sichern.

de | wirtschaft | 69763125 |