Überarbeitet am 08.10.2026: neu ausgerichtet auf Unternehmen, Abschnitt „Was tun, wenn jemand gescannt hat?“ und Quellen ergänzt. Am 12.10.2026 die Reihenfolge der ersten Schritte geschärft.
Du stehst am Parkautomaten. Kein Kleingeld, Kartenzahlung geht nicht. Dann siehst du ihn: einen QR-Code. Schnell scannen, bezahlen, fertig. Genau mit diesem Moment rechnen Betrüger – am Parkautomaten, aber auch im Postfach deiner Mitarbeitenden. Hier erfährst du, wie die Masche funktioniert, woran dein Team sie erkennt und was zu tun ist, wenn doch jemand gescannt hat.
Was ist Quishing?
Quishing ist Phishing mit QR-Codes. Der Code führt auf eine gefälschte Seite, die zum Beispiel Passwörter, Bankdaten oder Kartendaten abfragt. Der Name setzt sich aus „QR-Code“ und „Phishing“ zusammen.
Die Masche ist nicht neu, aber sie wird ausgefeilter. Das BSI weist im April 2026 darauf hin, dass Kriminelle QR-Codes mit gut formulierten, KI-gestützten Nachrichten kombinieren. Die üblichen Warnzeichen wie holprige Sprache fallen damit weg.
Am Parkautomaten sieht das so aus: Ein Aufkleber mit einem falschen Code klebt über dem echten oder daneben. Wer scannt, landet auf einer Seite, die einem bekannten Bezahldienst täuschend ähnlich sieht. Das Geld ist weg, ein Parkschein entsteht nicht – und der Strafzettel kommt trotzdem.
Warum ist Quishing für Unternehmen gefährlich?
Weil der QR-Code die Schutzmaßnahmen deiner Firmen-IT umgeht. Der Link steckt in einem Bild, das viele Filter nicht prüfen, und gescannt wird mit dem Handy – oft dem privaten, ohne Firmenschutz.
Drei Dinge machen die Masche im Betrieb so wirksam:
- Der Filter sieht nur ein Bild: Links in E-Mails werden oft automatisch geprüft. Ein QR-Code wird als Bild erfasst, der Link darin häufig nicht, wie die Polizeiliche Kriminalprävention erklärt.
- Das Handy steht außerhalb: Der Laptop im Büro ist geschützt, das Smartphone in der Hosentasche oft nicht. Auf dem kleinen Bildschirm ist die Adresse zudem schwer zu prüfen.
- Der Druck ist echt: „Konto gesperrt“, „Zahlung fällig“, „Anmeldung läuft ab“ – wer unter Zeitdruck steht, prüft weniger.
Das Ziel der Angreifer ist im Unternehmen meist nicht das Parkgeld, sondern das Firmenkonto: der Zugang zu E-Mail, Cloud oder Buchhaltung. Mit einem gestohlenen Passwort lassen sich weitere, glaubwürdige Nachrichten an Kunden und Kollegen verschicken.
Wo begegnet deinem Team Quishing?
Überall dort, wo ein QR-Code glaubwürdig wirkt: in E-Mails und PDF-Anhängen, in Briefen, an Parkautomaten und Ladesäulen auf Dienstfahrten und auf Aushängen.
- E-Mail: angebliche Bank-E-Mails, Rechnungen mit Bezahlcode im PDF, Aufforderungen zur Anmeldung oder ein „Dokument zum Unterschreiben“ – mit einem QR-Code statt eines Links.
- Briefe: Die Verbraucherzentrale berichtet von gefälschten Bankbriefen, die per QR-Code zum „Aktualisieren“ des Onlinebankings auffordern. Briefe an die Firmenadresse wirken oft noch glaubwürdiger.
- Parkautomat und Ladesäule: überklebte Codes, besonders gefährlich bei Fahrten mit der Firmenkarte.
- Falsche Strafzettel: Zettel unter dem Scheibenwischer mit Bezahlcode – auch am Dienstwagen.
Gemeinsam ist allen Fällen: Der Code verlangt, dass du dich anmeldest oder bezahlst. Genau dann ist Vorsicht angesagt.
Woran erkennt dein Team die Masche?
An drei Fragen: Woher kommt der Code? Wohin führt er? Und was will die Seite von mir? Wer vor dem Antippen kurz innehält, erkennt die meisten Fälschungen.
- Aufkleber statt Aufdruck: Ein Code, der über der Beschriftung klebt, ist ein Warnzeichen.
- Adresse prüfen: Eine Kamera-App, die die Adresse vor dem Öffnen zeigt, hilft. Schon kleine Abweichungen im Namen oder ein Bindestrich nach „.de“ verraten die Fälschung.
- Unerwartete Anmeldung: Ein QR-Code in einer E-Mail, der zur Anmeldung führt, ist fast immer verdächtig.
- Rückfrage auf anderem Weg: Bei Briefen und E-Mails die bekannte Nummer des Absenders nutzen, nicht die aus dem Schreiben.
- Lieber der Umweg: Im Zweifel die offizielle App öffnen oder die Adresse von Hand eingeben.
Was tun, wenn jemand gescannt hat?
Schnell handeln und nicht schämen: Seite schließen, sofort die IT informieren, das Passwort auf einem anderen Gerät ändern und die Karte sperren lassen, wenn Zahlungsdaten eingegeben wurden. Je früher, desto kleiner der Schaden.
- Seite schließen und nichts weiter eingeben, keine Datei öffnen.
- Sofort die IT informieren, damit sie Anmeldungen prüft, offene Sitzungen beendet und die Zwei-Faktor-Anmeldung kontrolliert.
- Passwort ändern – über ein anderes, sauberes Gerät. Hat die Person dasselbe Passwort auch anderswo genutzt, dort ebenfalls.
- Karte oder Konto sperren, wenn Zahlungsdaten eingegeben wurden: über die Bank oder den Sperr-Notruf 116 116.
- Beweise sichern – Foto des Codes, Bildschirmfoto der Seite – und Anzeige bei der Polizei erstatten.
Wichtig für dich als Geschäftsführer: Wer meldet, hat richtig gehandelt. Mitarbeitende, die Ärger fürchten, schweigen – und dann wird aus einem Klick ein Vorfall. Sag deinem Team deshalb ausdrücklich, dass eine schnelle Meldung immer willkommen ist.
Läuft danach im Netzwerk etwas Merkwürdiges, etwa verschlüsselte Dateien, unbekannte Programme oder Geräte, die sich seltsam verhalten, gelten die Schritte auf der Seite Soforthilfe bei Cyberangriff und IT-Ausfall. Dort steht auch, wen du außerhalb unserer Servicezeit (Mo–Fr 8–17 Uhr, +49 531 180 540 80) erreichst.
Wie schulst du dein Team ohne Angstmache?
Kurz, regelmäßig und mit echten Beispielen. Zeig deinem Team, wie Quishing aussieht, gib eine einfache Regel mit und mach das Melden so leicht wie möglich.
Drei Dinge bringen dein Team weiter als jede Hochglanzschulung:
- Eine Regel, die jeder behält: „Für Anmeldung und Zahlung nutzen wir keinen QR-Code aus E-Mails oder von Aufklebern.“
- Ein Meldeweg in zehn Sekunden: eine feste E-Mail-Adresse oder ein Knopf im Postfach, kein Formular.
- Beispiele aus dem Alltag: zehn Minuten in der Teambesprechung mit einem echten Fall schlagen eine Stunde Folien.
Verzichte auf Panik. Wer Angst hat, klickt nicht weniger, sondern meldet weniger. Ziel ist ein Team, das kurz innehält und im Zweifel nachfragt.
Was kannst du technisch tun?
Ganz verhindern kann Technik Quishing nicht, aber sie nimmt den Angreifern viel von ihrem Erfolg. Am wichtigsten sind eine Anmeldung, die sich nicht abfischen lässt, verwaltete Firmenhandys und ein E-Mail-Schutz, der QR-Codes erkennt.
- Fälschungssichere Anmeldung: Passkeys oder Sicherheitsschlüssel funktionieren nur auf der echten Adresse. Eine gefälschte Seite bekommt damit nichts Brauchbares.
- Firmenhandys verwalten: Mit einer Geräteverwaltung gelten Schutzfunktionen auch auf dem Smartphone.
- E-Mail-Schutz prüfen: Frag deinen Dienstleister, ob dein Filter QR-Codes in Bildern und PDFs auswertet.
- Ungewöhnliche Anmeldungen sehen: Warnungen bei Anmeldungen aus fremden Ländern oder von neuen Geräten.
Klingt nach deinem Betrieb?
Du willst, dass sich jemand um deine Rechner kümmert und Angriffe früh auffallen? Auf der Seite zum IT-Betrieb stellst du dir aus Bausteinen zusammen, was du brauchst – und siehst, was die Betreuung deiner Arbeitsplätze kostet.
Häufige Fragen
Ist das Scannen allein schon gefährlich?
Meist beginnt der Schaden erst, wenn jemand auf der Zielseite Daten eingibt oder eine Datei öffnet. Schließ die Seite deshalb sofort, wenn sie dir komisch vorkommt, und melde den Code trotzdem deiner IT.
Woran erkenne ich einen echten QR-Code am Parkautomaten?
Echte Codes sind meist direkt aufgedruckt. Ein Aufkleber über der Beschriftung ist ein Warnzeichen. Im Zweifel bezahlst du mit der offiziellen App oder am Automaten selbst und gibst die Zonennummer von Hand ein.
Soll ich QR-Codes in E-Mails grundsätzlich verbieten?
Ein Verbot hält selten. Besser ist eine klare Regel: Für Anmeldungen und Zahlungen wird kein QR-Code aus einer E-Mail genutzt. Dazu ein einfacher Meldeweg, damit verdächtige Nachrichten schnell bei der IT landen.
Hilft eine Zwei-Faktor-Anmeldung gegen Quishing?
Die Zwei-Faktor-Anmeldung macht es Angreifern deutlich schwerer, aber nicht unmöglich. Manche Fälschungsseiten fragen den zweiten Faktor gleich mit ab. Am besten schützen Anmeldeverfahren, die an die echte Adresse gebunden sind, etwa Passkeys oder Sicherheitsschlüssel.
Quellen
Geschrieben von
Marcel Hofmann
Geschäftsführer der GEFIM · Zuständig für: Informationssicherheit und externer ISB
Die Inhalte dieser Website dienen der allgemeinen Information und ersetzen keine Rechtsberatung im Einzelfall. GEFIM ist ein Beratungsunternehmen für Informationssicherheit und keine Rechtsanwaltskanzlei.