SicherheitWas ist Quishing? QR-Code-Phishing erklärt — Definition, Fälle und Schutz 2026

Quishing ist ein Kunstwort aus „QR-Code” und „Phishing”. Es bezeichnet Phishing-Angriffe, bei denen Kriminelle bösartige QR-Codes nutzen, um Opfer auf gefälschte Websites zu locken, Zugangsdaten oder TANs zu stehlen oder Schadsoftware zu verbreiten.

Im ersten Quartal 2026 stiegen Quishing-Versuche nach Branchenangaben weltweit um über 600 %. Polizei und BSI dokumentierten in Deutschland Dutzende Fallserien — unter anderem in Berlin, Dortmund und Tauberbischofsheim. In Unternehmen liegt der durchschnittliche Schaden pro Vorfall laut Keepnet bei über einer Million Euro.

Typische Warnzeichen sind: ein QR-Code an einer Stelle, an der vorher keiner war (überklebt); ein unerwarteter Brief mit QR-Code von Bank, Behörde oder Versicherung; Zeitdruck („sofort handeln”) nach dem Scan; sowie URLs, die nach dem Scan nicht zum erwarteten Anbieter passen (Tippfehler-Domains, fremde Top-Level-Domains, IP-Adressen statt Domain).

Phishing nutzt klassische Kanäle wie E-Mail oder gefälschte Webseiten. Quishing transportiert den Phishing-Link in einem QR-Code. Der zentrale Unterschied: Spam-Filter und Mail-Gateways können den Code nicht prüfen, weil er ein Bild ist — und auch Menschen können die Ziel-URL vor dem Scan nicht sehen.

Nein. QR-Codes selbst gelten als sichere Technologie. Riskant wird das Scannen, wenn die Ziel-URL vor dem Öffnen nicht geprüft wird. Prüf-Apps gleichen den Link mit aktuellen Phishing-Datenbanken wie PhishTank oder Google Safe Browsing ab und verringern das Risiko.

Sechs Maßnahmen: 1) Nutzen Sie eine Scanner-App mit URL-Vorschau und öffnen Sie Links nicht automatisch. 2) Achten Sie auf Tippfehler in Domains (z. B. „spark-asse.de” statt „sparkasse.de”). 3) Ignorieren Sie QR-Codes von Banken oder Behörden — diese kommunizieren über andere Wege. 4) Scannen Sie überklebte QR-Codes nicht. 5) Kontaktieren Sie bei Brief-Quishing die Institution unter einer offiziell recherchierten Nummer. 6) Verwenden Sie eine spezialisierte Prüf-App.

Solange keine Daten eingegeben wurden, ist das Risiko gering. Andernfalls: Ändern Sie betroffene Passwörter, lassen Sie das Online-Banking über den Sperr-Notruf 116 116 sperren, rufen Sie Ihre Bank unter der offiziellen Servicenummer an und erstatten Sie Anzeige bei der Polizei. Dokumentieren Sie den Vorfall mit Screenshots.

In Deutschland an: die Verbraucherzentrale (verbraucherzentrale.de), die Polizei (Online-Wache des jeweiligen Bundeslands), das BSI (über die Meldestelle des BSI bzw. die Allianz für Cybersicherheit) und bei Bank-Quishing direkt an die betroffene Bank (z. B. phishing@deutsche-bank.de).

Ja. Fachleute empfehlen drei Ebenen: 1) Awareness-Trainings mit Quishing- und Phishing-Simulationen. 2) Eine technische QR-Code-Prüfung auf Firmen-Smartphones und in Mail-Gateways. 3) Meldevorlagen für NIS-2-konforme Incident Reports an das BSI.

Häufige Köder in Deutschland: 1) Parkautomaten („Easy Park”-Klone). 2) E-Ladesäulen (Bezahlseiten). 3) Bankbriefe (TAN-/photoTAN-Aktualisierung). 4) DHL- und Paketdienst-Aufkleber. 5) Strafzettel an Auto-Scheibenwischern. 6) Restaurant-Speisekarten. 7) WhatsApp-Web-Kopplung (Ghost Pairing).

Ja. Quishing ist in Deutschland nach §263 StGB (Betrug), §202a StGB (Ausspähen von Daten) und §263a StGB (Computerbetrug) strafbar — je nach Tatbestand mit Freiheitsstrafe bis zu fünf Jahren. Beim Inverkehrbringen gefälschter QR-Codes greifen zusätzlich §269 StGB (Fälschung beweiserheblicher Daten) und §202c StGB (Vorbereiten von Ausspähen).

QRTrust scannt QR-Codes und gleicht die Ziel-URL in Echtzeit mit PhishTank (1 Mio.+ Phishing-URLs), Google Safe Browsing, einer KI-gestützten Klassifizierung und einem URL-Redirect-Resolver ab. Als verdächtig eingestufte Seiten werden blockiert, bevor sie öffnen. Die App ist nach Anbieterangaben DSGVO-konform, läuft auf EU-Servern und ist für Privatnutzer kostenlos.