Ein QR-Code wirkt wie das Harmloseste der Welt. Ein schwarz-weißes Quadrat, einmal mit dem Handy scannen, fertig. Genau diese Gutgläubigkeit nutzen Kriminelle inzwischen gezielt aus. Sie kleben eigene Codes über echte, verschicken gefälschte Briefe mit Zahlungsaufforderung oder hängen einen Code an eine täuschend echte Mail. Ein unbedachter Scan kann schon ausreichen, um einen Mitarbeiter auf eine gefälschte Betrugsseite zu locken. Gibt er dort seine Zugangsdaten ein, landen diese direkt bei den Angreifern. Die Masche hat einen eigenen Namen bekommen, man nennt sie Quishing.
Dieser Beitrag erklärt in klarer Sprache, was hinter QR-Code-Phishing steckt, mit welchen Tricks die Angreifer arbeiten und woran du eine Falle erkennst, bevor Schaden entsteht. Am Ende weißt du, worauf dein Team achten sollte und wie dir riomar aus Wiesbaden dabei hilft, deinen Betrieb vor QR-Code-Phishing zu schützen.
Was hinter QR-Code-Phishing steckt
Phishing kennst du vermutlich als gefälschte Mail, die auf eine nachgebaute Login-Seite lockt. QR-Code-Phishing ist die moderne Variante davon. Statt eines Links im Text bekommst du ein kleines Quadrat, das du mit dem Handy scannst. Der Code führt auf eine gefälschte Internetseite, die der echten zum Verwechseln ähnlich sieht. Dort sollst du dein Passwort oder deine Zahlungsdaten eingeben, die in Wahrheit bei den Angreifern landen. Der Fachbegriff Quishing setzt sich aus QR-Code und Phishing zusammen und meint immer dasselbe, nämlich Betrug über einen manipulierten oder gefälschten Code. Die Verbraucherzentrale beschreibt die Masche als Angriff, bei dem Kriminelle Codes so manipulieren, dass sie an sensible Daten wie Kreditkarteninformationen gelangen.¹
Der QR-Code hat dabei einen entscheidenden Vorteil für Betrüger. Du kannst mit bloßem Auge nicht erkennen, wohin er führt. Bei einem geschriebenen Link siehst du die Adresse und wirst vielleicht misstrauisch. Beim Quadrat siehst du nur Punkte und Striche, das Ziel bleibt bis zum Öffnen unsichtbar. Dazu laufen viele klassische Schutzmechanismen ins Leere. Mailfilter prüfen oft Links im Text, ein Code als Bild rutscht leichter durch. Geöffnet wird er dann meist auf dem privaten Handy, das gar nicht unter deiner Kontrolle steht. Damit erschwert die Masche gleich zwei verbreitete Schutzmechanismen.
Das Bundesamt für Sicherheit in der Informationstechnik zählt Phishing und Identitätsdiebstahl in seinem aktuellen Lagebericht zu den zentralen Bedrohungen für die digitale Sicherheit in Deutschland.² Der QR-Code ist dabei nur das jüngste Werkzeug der Angreifer.
Die typischen Maschen, die auch deinen Betrieb treffen
QR-Code-Phishing kommt in erstaunlich vielen Verkleidungen daher. Eine besonders dreiste Masche läuft über die Post. Dein Betrieb bekommt einen gefälschten Brief, der aussieht wie von der Hausbank, samt QR-Code und freundlicher Bitte, die Zugangsdaten zu bestätigen. Die Verbraucherzentrale weist ausdrücklich darauf hin, dass diese Briefvariante neu ist und viele Empfänger einem Brief mehr vertrauen als einer Mail.¹
Auch im Alltag draußen lauern die Codes. An Ladesäulen für E-Autos kleben Betrüger ihren eigenen Code über den echten, sodass die Bezahldaten bei ihnen landen. Gefälschte Strafzettel mit QR-Code wandern unter Scheibenwischer. Sogar Schreiben zum Ablesen von Strom und Wasser sind schon aufgetaucht.¹ Im Firmenumfeld ist die Mail die größte Gefahr. Dabei erhältst du beispielsweise einen angeblichen Hinweis, dass eine Sprachnachricht von Microsoft auf dich wartet oder dein Passwort bald abläuft. Ein Scan führt auf eine nachgebaute Anmeldeseite. Gibt der Mitarbeiter dort seine Zugangsdaten ein, können die Angreifer versuchen, seinen Firmenzugang zu übernehmen.
Häufig imitieren die Angreifer gefälschte Microsoft-Anmeldeseiten, da viele Betriebe mit solchen Konten arbeiten. Oft wirkt die Aufmachung professionell, mit echtem Logo, sauberem Deutsch und einem plausiblen Anlass. Gerade diese Seriosität sorgt dafür, dass selbst aufmerksame Mitarbeiter den Betrug übersehen. So vielfältig QR-Code-Phishing auch auftritt, das Ziel bleibt immer gleich. Die Angreifer wollen an einen Zugang oder an dein Geld.
Du willst wissen, ob dein Spam-Schutz solche gefälschten Mails bereits abfangen kann? Lass die Experten von riomar aus Wiesbaden deine Mail Security prüfen. Fordere jetzt deine kostenlose Ersteinschätzung an.
Warum QR-Code-Phishing auch für kleine Betriebe im Rhein-Main-Gebiet gefährlich ist
Viele Geschäftsführer denken, QR-Code-Phishing treffe nur große Konzerne. Die Zahlen sprechen dagegen. Laut der Bitkom-Studie Wirtschaftsschutz 2025, für die 1.002 Unternehmen ab zehn Mitarbeitern repräsentativ befragt wurden, waren rund 87 Prozent von Datendiebstahl, Spionage oder Sabotage betroffen. Von Phishing-Angriffen berichteten 22 Prozent der Unternehmen.³ Der Mittelstand steht dabei im Fokus, weil dort wertvolle Daten liegen und die Ressourcen für IT-Sicherheit oft knapper sind als in großen Konzernen.
Dazu kommt ein regionaler Aspekt. Im wirtschaftsstarken Rhein-Main-Gebiet sitzen viele Zulieferer, Kanzleien und Dienstleister mit sensiblen Daten dicht beieinander. Die Polizei in Südosthessen warnt ausdrücklich vor Betrugsversuchen durch Quishing mit gefälschten Bankanschreiben.⁴ Ein kleiner Betrieb kann zum Einfallstor für den größeren Kunden werden. Umso wichtiger ist es, Quishing früh zu erkennen und das eigene Team dafür wachsam zu machen.
So läuft ein QR-Code-Phishing-Angriff ab – ein typisches Szenario
Wie Quishing in der Praxis abläuft, lässt sich an einem typischen Verlauf gut nachvollziehen. Stell dir eine Steuerkanzlei vor, bei der mehrere Mandanten plötzlich seltsame Mails aus dem Haus bekommen. Ausgangspunkt ist eine unscheinbare Nachricht an eine Mitarbeiterin, angeblich von Microsoft, mit dem Hinweis auf eine wartende Sprachnachricht. Im Anhang steckt ein QR-Code.
Die Mitarbeiterin scannt den Code mit ihrem privaten Handy, landet auf einer perfekt nachgebauten Anmeldeseite und gibt dort ihre Firmenzugangsdaten ein. Keine Warnung, kein Alarm, weil der klassische Mailfilter das Bild mit dem Code oft durchlässt. Innerhalb weniger Stunden könnten die Angreifer über das gekaperte Postfach weitere Betrugsmails an die gesamte Mandantschaft verschicken.
In einem solchen Fall gilt es, den Zugang sofort zu sperren, die betroffenen Passwörter von einem sauberen Gerät aus zu ändern und eine zweite Anmeldebestätigung scharfzuschalten. Danach werden die Betroffenen über den Vorfall aufgeklärt. Eine zweite Sicherheitsebene hätte den gestohlenen Zugang für die Angreifer stark entwertet, weil das Passwort allein für die Anmeldung nicht mehr gereicht hätte. Holt sich der Betrieb in einem solchen Fall Unterstützung bei riomar, untersuchen wir das betroffene Konto, sichern die Zugänge ab und setzen gemeinsam mit dir geeignete Schutzmaßnahmen um. Das Szenario zeigt, wie schnell ein unbedachter Scan und die anschließende Eingabe von Zugangsdaten zu einem kritischen Sicherheitsvorfall führen können.
Woran du einen gefährlichen QR-Code erkennst
Zum Glück lässt sich QR-Code-Phishing an einigen klaren Warnzeichen erkennen. Stutzig machen sollte dich jede allgemeine Anrede wie „Sehr geehrte Kontoinhaberin”, wenn dein Name eigentlich bekannt sein müsste. Die Verbraucherzentrale nennt genau diese unpersönliche Ansprache als typisches Merkmal eines Betrugsversuchs.¹ Ebenso verdächtig ist jeder Druck, sofort handeln zu müssen, etwa weil ein Zugang angeblich in wenigen Stunden gesperrt werde.
Beim Code selbst hilft ein genauer Blick. Wirkt ein Aufkleber überklebt oder sitzt schief über einem anderen, ist Vorsicht geboten. Viele Handys zeigen vor dem Öffnen die Internetadresse an, auf die der Code führt. Nutze das. Passt die Adresse nicht zu dem Unternehmen, von dem die Nachricht angeblich stammt, oder weist sie eine ungewöhnliche Länderkennung auf, solltest du die Webseite nicht öffnen und den QR-Code zunächst überprüfen. Auch kurze, kryptische Adressen, deren Ziel du nicht erkennst, sind ein Alarmsignal. Wer diese Zeichen kennt, durchschaut die meisten Fälle, bevor er in die Falle tappt.
Was du tun solltest, wenn ein falscher Code gescannt wurde
Beim Verdacht auf QR-Code-Phishing ist jetzt ein kühler Kopf das Wichtigste. Hat ein Mitarbeiter einen verdächtigen Code gescannt und möglicherweise Zugangsdaten eingegeben, zählt jede Minute. Informiere sofort den IT-Verantwortlichen. Bei einem möglicherweise kompromittierten Firmenkonto sollten weitere Zugriffe schnellstmöglich unterbunden und aktive Sitzungen widerrufen werden. Anschließend müssen die betroffenen Zugangsdaten über ein vertrauenswürdiges Gerät geändert werden.
Betrifft der Vorfall Bankdaten, informiere sofort deine Bank über einen selbst recherchierten Kontaktweg, nicht über die Nummer aus der verdächtigen Nachricht.¹ Danach gehört die Sache in fachkundige Hände. Ein Spezialist prüft, ob Angreifer bereits Zugriff hatten, welche Daten betroffen sind und ob weitere Konten gefährdet sind. Sind personenbezogene Daten abgeflossen, kann eine Meldung an die Datenschutzbehörde nötig werden. Deshalb solltest du den Fall sauber dokumentieren, statt vorschnell alle Spuren zu beseitigen.
Genauso wichtig ist ein offener Umgang im Betrieb. Wer einen falschen Code gescannt hat, sollte sich sofort melden dürfen, ohne Angst vor Ärger. Je schneller ein Fall von QR-Code-Phishing bekannt wird, desto kleiner bleibt der Schaden. Ein Mitarbeiter, der aus Scham schweigt, verschafft den Angreifern wertvolle Zeit.
Dein Team soll im Ernstfall genau wissen, was zu tun ist? Die Experten von riomar führen professionelle Schulungen durch, um dein Team noch wachsamer zu machen.
Wie du deinen Betrieb dauerhaft schützt
Der beste Schutz gegen QR-Code-Phishing ist eine Mischung aus Technik und wachen Mitarbeitern. Eine der wichtigsten technischen Maßnahmen ist eine zweite Anmeldebestätigung, die sogenannte Zwei-Faktor-Authentifizierung. Selbst wenn ein Passwort gestohlen wird, nützt es den Angreifern ohne den zweiten Schritt in vielen Fällen wenig. Noch widerstandsfähiger sind Passkeys oder FIDO2-Sicherheitsschlüssel. Diese Verfahren sind an die echte Internetadresse gebunden und funktionieren auf einer gefälschten Seite deshalb gar nicht erst, wie Microsoft in seiner Dokumentation beschreibt.⁵ Dazu kommt ein moderner Schutz für deine Firmenmails, der auch Codes in Bildern prüft und viele verdächtige Nachrichten abfängt. Einen hundertprozentigen Filter gibt es dabei nicht, weshalb die Aufmerksamkeit der Mitarbeiter wichtig bleibt.
Hilfreich ist außerdem eine klare Trennung zwischen privaten und beruflichen Geräten. Mit Zugriffsregeln wie dem Conditional Access von Microsoft lässt sich festlegen, dass sich Firmenkonten nur von verwalteten Geräten aus anmelden.⁶ Ein auf dem privaten Handy gescannter QR-Code-Phishing-Versuch verliert dann einen großen Teil seiner Wirkung. Wichtig zu wissen ist, dass verwaltete Geräte nur mit den passenden Richtlinien schützen und ein QR-Code nicht automatisch jedes System umgeht. Erst im Zusammenspiel bauen diese Bausteine mehrere Hürden auf.
Mindestens genauso wichtig bleibt dein Team. Regelmäßige Sensibilisierung deiner Mitarbeiter ergänzt die technischen Schutzmaßnahmen. Dazu gehört eine einfache Linie. Prüfe bei Codes aus unerwarteten Briefen oder Mails zunächst Absender und Anlass. Kontrolliere vor dem Öffnen der Website außerdem die angezeigte Internetadresse. Die Verbraucherzentrale rät zusätzlich, die automatische Öffnen-Funktion für gescannte Inhalte abzuschalten, damit die Zieladresse vorher sichtbar wird.¹
So unterstützt dich riomar
Für die meisten kleinen und mittleren Betriebe ist dieser Rundumschutz allein kaum zu stemmen, weil im eigenen Team die Zeit und das Fachwissen fehlen. Als IT-Systemhaus aus Wiesbaden betreuen wir Unternehmen in der Region Rhein-Main, von Wiesbaden über Mainz bis Frankfurt und Rüsselsheim. Wir sorgen dafür, dass QR-Code-Phishing bei dir möglichst gar nicht erst durchkommt. Dafür richten wir eine zweite Anmeldebestätigung für deine Zugänge ein und setzen, wo sinnvoll, auch phishingresistente Passkeys ein. Wir verstärken den Schutz deiner Firmenmails und behalten verdächtige Anmeldeversuche im Blick. Über Zugriffsregeln legen wir fest, von welchen Geräten aus eine Anmeldung erlaubt ist.
Zusätzlich schulen wir dein Team, damit die typischen Fallen des QR-Code-Phishing gar nicht erst zuschnappen. Das läuft bei uns als Managed Service mit einer planbaren monatlichen Pauschale und einem festen Ansprechpartner, der deinen Betrieb kennt. Im Ernstfall stehen wir sofort bereit, statt dich mit einer anonymen Hotline allein zu lassen.
Dein nächster Schritt
QR-Code-Phishing lebt davon, dass ein Code harmlos aussieht und niemand genauer hinschaut. Je besser dein Team die Maschen kennt und je sauberer deine Technik aufgestellt ist, desto kleiner ist die Gefahr, dass ein einziger Scan teuer wird. Für Unternehmen in Wiesbaden, Frankfurt, Mainz und Rüsselsheim lässt sich dieser Schutz planbar und ohne eigenes Sicherheitsteam aufbauen. Du brauchst dafür keinen Expertenstatus. Du brauchst einen Partner, der hinschaut, während du dich um dein Geschäft kümmerst.
Warte nicht, bis ein falscher Scan teuer wird. Lass dich von den Experten von riomar beraten und sichere dir jetzt deine kostenlose Erstberatung zum Schutz vor QR-Code-Phishing.
Häufige Fragen zu Betrug mit QR-Codes im Unternehmen
Was passiert, wenn ein Mitarbeiter einen QR-Code aus einer unbekannten Mail scannt?
Dann kann er auf einer gefälschten Seite landen, die nach Passwörtern fragt. Diese Masche heißt QR-Code-Phishing, also Betrug über manipulierte QR-Codes. Gefährlich wird es vor allem, sobald dort Daten eingegeben werden.
Kann ich mir durch das Scannen eines QR-Codes einen Virus aufs Firmenhandy holen?
Direkt durch das Scannen in aller Regel nicht. Die größere Gefahr beim QR-Code-Phishing ist eine gefälschte Seite, die dich zur Eingabe von Zugangsdaten verleitet.
Woran erkenne ich, dass ein QR-Code gefälscht ist?
Achte auf überklebte Aufkleber, eine seltsame Internetadresse in der Vorschau oder eine unpersönliche Anrede. Solche Hinweise deuten oft auf QR-Code-Phishing hin, also auf Betrug mit manipulierten Codes.
Kann über einen QR-Code jemand an die Zugangsdaten meiner Firma kommen?
Ja, wenn ein Mitarbeiter auf einer gefälschten Anmeldeseite seine Daten eingibt. Beim QR-Code-Phishing führt ein manipulierter Code genau auf solche nachgebauten Seiten.
Reicht mein normaler Virenschutz gegen Betrug mit QR-Codes aus?
Nur bedingt, denn ein Virenscanner erkennt vor allem bekannte Schadprogramme. Gegen QR-Code-Phishing helfen zusätzlich eine zweite Anmeldebestätigung und ein geschultes Team.
Schützt Microsoft 365 automatisch vor betrügerischen Mails mit QR-Codes?
Nicht vollständig von allein. Microsoft 365 bringt Schutzfunktionen mit, gegen QR-Code-Phishing müssen sie aber richtig eingerichtet sein, etwa mit einer phishingresistenten Anmeldung.
Ein gefälschter Brief von meiner Bank mit QR-Code ist angekommen, was soll ich tun?
Scanne den Code nicht und gib keine Daten ein. Ein gefälschter Bankbrief mit Code ist ein typischer Fall von QR-Code-Phishing. Frag im Zweifel über eine selbst herausgesuchte Nummer bei deiner Bank nach.
Was kostet es mein Unternehmen, wenn jemand auf einen Betrug mit QR-Code hereinfällt?
Das hängt vom Schaden ab, von gesperrten Konten bis zu Datenabfluss und Ausfallzeit. QR-Code-Phishing kann teuer werden, weil Angreifer mit einem übernommenen Zugang weiteren Schaden anrichten können.
Wie bringe ich meinem Team bei, gefährliche QR-Codes zu erkennen?
Mit kurzen, regelmäßigen Schulungen und einer klaren Regel, Absender, Anlass und Internetadresse vor dem Öffnen zu prüfen. So lernt dein Team, QR-Code-Phishing zu durchschauen.
Wir sind ein kleiner Betrieb, sind wir für Betrüger mit QR-Codes überhaupt interessant?
Ja, denn Größe allein schützt nicht. Angreifer nutzen QR-Code-Phishing bei Betrieben jeder Größe, um an Zugänge und Kundendaten zu kommen.