Mit dem Inkrafttreten des NIS-2-Umsetzungsgesetzes am 5. Dezember 2025 sind Unternehmen verpflichtet, erhebliche Sicherheitsvorfälle innerhalb von 24 Stunden an das Bundesamt für Sicherheit in der Informationstechnik (BSI) zu melden. Die Pflicht umfasst auch Angriffe mit manipulierten QR-Codes, das sogenannte Quishing. Der folgende Überblick fasst Fristen, Zuständigkeiten und erforderliche Angaben zusammen.

Drei Fristen: 24 Stunden, 72 Stunden, ein Monat

Nach den Vorgaben von NIS-2 muss die Erstmeldung eines erheblichen Sicherheitsvorfalls innerhalb von 24 Stunden beim BSI eingehen. Eine detaillierte Folgemeldung ist nach 72 Stunden fällig, der Abschlussbericht nach einem Monat.

Für betroffene Unternehmen stellen sich dabei mehrere Fragen: welches Formular zuständig ist, welche Angaben verpflichtend sind und welche technischen Details das BSI benötigt. Die folgenden Abschnitte fassen die Anforderungen zusammen.

Erforderliche Angaben einer Quishing-Meldung

Eine vollständige Meldung an das BSI umfasst neben der Beschreibung des Vorfalls mehrere technische und organisatorische Angaben:

Fristen nach NIS-2

Erstmeldung nach 24 Stunden, Folgemeldung nach 72 Stunden, Abschlussbericht nach einem Monat

Indicators of Compromise (IoC)

Phishing-URL, Domain sowie SHA-256-Hashes von Screenshots und Webarchiven

Sprache und Format

Meldungen in deutscher oder englischer Sprache; maschinenlesbare Formate wie JSON erleichtern die Weiterverarbeitung

Zuständiges Meldeportal

Meldeformular der Allianz für Cyber-Sicherheit auf der Website des BSI

Abgrenzung: CVD-Formular gilt nicht für Sicherheitsvorfälle

Bei der Meldung kommt es häufig zu Verwechslungen: Das CVD-Formular (Coordinated Vulnerability Disclosure) ist für Schwachstellenmeldungen vorgesehen, nicht für Sicherheitsvorfälle.

Quishing ist kein CVD-Fall

Quishing-Angriffe gelten als Sicherheitsvorfälle, nicht als Schwachstellenmeldungen. Verwenden Sie für die Meldung das Formular der 'Allianz für Cyber-Sicherheit', nicht das CVD-Formular.

Das zuständige Formular ist über die Website der Allianz für Cyber-Sicherheit erreichbar. Eine Meldung über das falsche Formular kann die Bearbeitung verzögern.

So melden Unternehmen einen Quishing-Vorfall

Dokumentieren Sie den Vorfall zunächst vollständig: Zeitpunkt der Entdeckung, betroffene Systeme, Phishing-URL sowie Screenshots oder Webarchive als Beweismittel. Halten Sie, falls bekannt, auch den Standort des manipulierten QR-Codes fest.

Reichen Sie die Erstmeldung anschließend innerhalb von 24 Stunden über das Meldeformular der Allianz für Cyber-Sicherheit ein. Ergänzende Angaben können Sie mit der Folgemeldung nach 72 Stunden nachreichen.

Checkliste: Technische Angaben für die Meldung

  • Vorfall-ID und Zeitstempel der Entdeckung
  • GPS-Koordinaten des QR-Code-Standorts (falls verfügbar)
  • SHA-256-Hashes von Screenshots und Webarchiven
  • Imitierte Marke und Konfidenz-Score der Erkennung
  • Dokumentation in TXT- und JSON-Format

BSI-Meldevorlage in QRTrust Enterprise

QRTrust Enterprise erstellt für erkannte Quishing-Vorfälle eine vorausgefüllte BSI-Meldevorlage mit Fristenübersicht, IoC-Dokumentation und Link zum Meldeformular der Allianz für Cyber-Sicherheit. Die Funktion steht Administratoren und Kunden im Portal zur Verfügung.

Demo vereinbaren

Über QRTrust

QRTrust ist die führende Plattform für QR-Code-Sicherheit in Deutschland. Mit fortschrittlicher KI-Technologie schützen wir Unternehmen und Verbraucher vor Quishing-Angriffen und unterstützen bei der NIS-2 Compliance.