QR-Codes im Alltag: praktisch, aber nicht risikolos
QR-Codes begegnen uns überall: am Parkscheinautomaten, auf Rechnungen, in Behördenbriefen oder auf Restauranttischen. Das Scannen dauert eine Sekunde, der Schaden durch einen gefälschten Code kann dagegen erheblich sein. Genau das machen sich Cyberkriminelle zunutze.
Die Methode hat einen Namen: Quishing, abgeleitet aus „QR“ und „Phishing“. Und sie nimmt zu. Wer heute einen QR-Code scannt, ohne die Ziel-URL zu prüfen, riskiert, auf eine täuschend echt aussehende Phishing-Seite zu landen.
Wie die Angriffe konkret aussehen
Der Angriff ist technisch simpel, aber wirkungsvoll. Angreifer drucken einen manipulierten QR-Code als Aufkleber aus und kleben ihn über den echten Code, zum Beispiel an öffentlichen Parkautomaten oder Infotafeln. Kaum jemand prüft, ob der Code original ist.
Gefährlicher sind gefälschte Schreiben, die aussehen wie offizielle Behördenpost. Ein QR-Code auf einem vermeintlichen Finanzamtsschreiben führt dann nicht zur echten Steuerbehörde, sondern auf eine Seite, die Zugangsdaten, Zahlungsinformationen oder persönliche Daten abgreift.
Für Unternehmen ist das besonders heikel. Mitarbeitende scannen im Arbeitsalltag zahlreiche Codes, oft ohne nachzudenken. Ein einziger falscher Klick kann Zugangsdaten kompromittieren oder Schadsoftware in das Firmennetz einschleusen.
Was Sie konkret tun sollten
Die wichtigste Regel: Schauen Sie nach dem Scannen immer zuerst auf die URL, bevor Sie auf „Öffnen“ oder „Weiter“ tippen. Viele Smartphones zeigen die Zieladresse an, bevor der Browser startet. Nutzen Sie diesen Moment.
Achten Sie auf folgende Warnsignale:
- Die URL wirkt kryptisch, enthält zufällige Zeichenketten oder ist offensichtlich falsch geschrieben.
- Das Schreiben oder der Aushang, auf dem der Code steht, macht einen improvisierten oder ungewohnten Eindruck.
- Am Automaten oder Aushang ist ein Aufkleber sichtbar, der nicht zum Rest des Geräts oder Schilds passt.
- Sie werden sofort nach dem Öffnen zur Eingabe sensibler Daten aufgefordert.
Im Zweifel: Abbrechen. Daten können immer auch auf anderem Weg übermittelt werden. Kein seriöser Anbieter, keine Behörde und kein Parkbetreiber erwartet, dass Sie unter Zeitdruck handeln.
Besonders wachsam an öffentlichen Orten
Parkscheinautomaten, Stadtmöbel, Messen oder Konferenzen sind beliebte Ziele. Dort lassen sich Aufkleber leicht anbringen, ohne dass es jemandem auffällt. Wer regelmäßig unterwegs ist, sollte diese Skepsis zur Gewohnheit machen.
Im beruflichen Kontext empfiehlt sich zusätzlich eine klare Kommunikation im Team: Was tun, wenn ein verdächtiger QR-Code aufgetaucht ist? Wo wird es gemeldet? Solche Prozesse fehlen in vielen Unternehmen noch.
Technischer Schutz als zweite Verteidigungslinie
Neben dem gesunden Menschenverstand braucht es auch technische Maßnahmen. Mobile Device Management, sichere Browser-Konfigurationen und URL-Filterung auf Unternehmensgeräten können verhindern, dass Mitarbeitende überhaupt auf bekannte Phishing-Domains gelangen.
Unternehmen, die ihre IT professionell absichern wollen, sind mit einem durchdachten Cybersecurity-Konzept deutlich besser aufgestellt. IT-Commander unterstützt KMU dabei, genau solche Schutzmaßnahmen in die bestehende IT-Infrastruktur zu integrieren, von der Endpoint-Absicherung über Awareness-Schulungen für Mitarbeitende bis hin zu reaktionsschnellem IT-Support, wenn doch einmal etwas passiert.
Quishing ist kein abstraktes Problem für Konzerne. Es trifft kleine und mittelständische Unternehmen genauso, oft sogar härter, weil die internen Ressourcen zur schnellen Reaktion fehlen. Wer das ernst nimmt, handelt jetzt.