Quishing: 11 Prozent der Phishing-Mails enthalten laut ESET QR-Codes

Sicherheitsbehörden und Finanzinstitute warnen vor einer zunehmenden Verbreitung von Phishing-Kampagnen, bei denen gefälschte QR-Codes in Briefen oder E-Mails genutzt werden, um sensible Kundendaten abzugreifen.

Kriminelle machen sich dabei die weite Verbreitung der zweidimensionalen Barcodes zunutze. Das Verfahren, in Fachkreisen als Quishing bezeichnet, dient dazu, Login-Daten, Zahlungsdaten oder Krypto-Wallets zu kompromittieren und Schadsoftware zu verbreiten.

Täuschende Optik und Medienbruch erschweren Erkennung

Wie die Frankfurter EURO Kartensysteme GmbH in einem Bericht vom 4. November 2026 darlegte, verschleiern präparierte QR-Codes das tatsächliche Verlinkungsziel. Anders als bei klassischen Phishing-Nachrichten ist die Zieladresse nicht unmittelbar als verdächtige Webadresse im Text lesbar.

Wird der Code gescannt, führt er auf gefälschte Webseiten, die legitimen Login-Seiten täuschend ähnlich sehen. Auf diesen Seiten eingegebene Zugangsdaten, PINs oder Kreditkarteninformationen fließen direkt an die Betrüger ab.

Nach Angaben des Unternehmens tauchen die Fälschungen in unterschiedlichen Formen auf: in E-Mails wie etwa gefälschten Anmeldebestätigungen, Rechnungen oder Passwort-Rücksetzungen, im öffentlichen Raum durch überklebte Codes an Parkscheinautomaten, E-Ladesäulen, Speisekarten und Plakaten sowie auf dem Postweg in Flyern oder Schreiben im Namen von Behörden, Kreditinstituten und Paketdiensten.

ESET-Forscher Jonathan Ramos wies darauf hin, dass der QR-Code die Interaktion häufig von einem geschützten Arbeitsrechner auf ein oft schlechter abgesichertes Mobilgerät verlagere, was eine schnelle Prüfung des Links zusätzlich erschwere.

Da Betrugsmaschen wie Quishing gezielt die mobile Sicherheit aushebeln, ist ein fundierter Basisschutz für das Smartphone heute unerlässlich. Dieser kostenlose Ratgeber zeigt Ihnen 5 einfache Maßnahmen, mit denen Sie Ihr Gerät sofort effektiv gegen Hacker und Datenmissbrauch absichern. 5 Schutzmaßnahmen für Ihr Smartphone jetzt kostenlos entdecken

Internationale Fälle bei Banken und Behörden

Die Angriffsmethode tritt derzeit in mehreren Ländern auf. Im Oldenburger Land wurden gefälschte Briefe im Namen der Landessparkasse zu Oldenburg (LzO) verschickt, die Kunden unter Nutzung eines QR-Codes zur Bestätigung ihrer Daten aufforderten, wie aus einem Bericht vom 4. November 2026 hervorgeht.

LzO-Pressesprecher Andreas Renken verwies auf entsprechende Warnhinweise auf der Internetseite und im Online-Banking des Instituts. Polizeisprecher Jens Rodiek bestätigte, dass solche Versuche in der Region wiederholt verzeichnet werden.

In Frankreich warnte die Police nationale laut einem Bericht vom 3. November 2026 vor Schreiben, die den Auftritt der Steuerbehörde Direction générale des finances publiques imitieren. Ziel seien neben Steuer-Zugangsdaten auch Wiederherstellungsphrasen von Krypto-Wallets, mit denen Guthaben transferiert werden können.

In der Schweiz registrierte das Eidgenössische Amt für das Handelsregister gefälschte E-Mails, in denen Unternehmen unter Androhung von Verwaltungsmassnahmen und Löschungen zu einer kurzfristigen Aktualisierung aufgefordert werden. Die dabei abgefragten Unternehmens-, Kontakt- und Bankdaten eignen sich nach Behördenangaben für gezielte spätere Angriffe.

In der Schweiz registrierte das Eidgenössische Amt für das Handelsregister gefälschte E-Mails, in denen Unternehmen unter Androhung von Verwaltungsmassnahmen und Löschungen zu einer kurzfristigen Aktualisierung aufgefordert werden. Die dabei abgefragten Unternehmens-, Kontakt- und Bankdaten eignen sich nach Behördenangaben für gezielte spätere Angriffe.

Wer im digitalen Alltag Online-Banking oder WhatsApp nutzt, sollte die Risiken durch manipulierte Links und Apps nicht unterschätzen. Erfahren Sie in diesem gratis PDF-Ratgeber, wie Sie mit wenigen Handgriffen Sicherheitslücken schließen und Ihre Daten vor Kriminellen verbergen. Kostenlosen Sicherheits-Ratgeber für Android-Nutzer herunterladen

Zudem warnte die Nationalbank der Kirgisischen Republik in einem Bericht vom 5. November 2026 vor gefälschten Versorgungsrechnungen und Zahlungsaufforderungen mit Links und QR-Codes, die auf gefälschte Bezahldienste zielen.

Relevanz in weltweiten Bedrohungsanalysen

Die Dimension der Methode belegen Erhebungen des Sicherheitsunternehmens ESET im Threat Report für das erste Halbjahr 2026. Demnach enthielten rund 11 Prozent der in diesem Zeitraum analysierten Phishing-E-Mails QR-Codes. Damit stellte diese Masche die siebthäufigste per E-Mail verbreitete Kampagne dar.

Bei den weltweiten Detektionen entfielen im ersten Halbjahr 2026 19 Prozent auf die USA, 17 Prozent auf Spanien und 6 Prozent auf Mexiko, das zugleich die regionalen Erfassungen in Lateinamerika anführte. Zu den besonders oft imitierten Plattformen gehörte dort DocuSign.

Sicherheitsbehörden und IT-Experten raten dazu, Ziel-URLs vor dem Öffnen im Browser genau zu prüfen, codes auf Rechnungen und im öffentlichen Raum auf Überklebungen zu kontrollieren und Adressen im Zweifel manuell einzugeben. Verdächtige Nachrichten und manipulierte Codes sollten Betroffene umgehend den zuständigen Institutionen melden.