Mit der steigenden Verbreitung von QR-Codes nimmt eine abgewandelte Form des Phishings stetig zu: das sogenannte Quishing. Kriminelle manipulieren dabei QR-Codes, um sensible Daten abzugreifen oder Schadsoftware zu verbreiten. Die Gefahr liegt im Verborgenen: Während sich klassische Phishing-Mails teilweise an verdächtigen Webadressen erkennen lassen, verschleiern die präparierten QR-Codes das tatsächliche Ziel der Verlinkung.
Wo Fälschungen auftauchen können:
- In E-Mails: Als angebliche Bestätigung für Anmeldungen, Passwort-Rücksetzungen oder Rechnungen.
- Im öffentlichen Raum: Durch Überkleben von echten QR-Codes auf Parkscheinautomaten, Ladesäulen für E-Fahrzeuge, Speisekarten oder Plakaten.
- In Briefen und Flyern: Als vermeintliche Benachrichtigung von Kreditinstituten, Behörden oder Paketdiensten.
Wird ein schädlicher QR-Code gescannt, leitet er auf eine gefälschte Website, die der echten Login-Seite eines bekannten Anbieters täuschend ähnlich sieht. Gibt man dort Anmeldedaten, PINs oder Kreditkartendaten ein, landen diese bei den Kriminellen.
Schutz vor Quishing-Angriffen:
- Vor dem Öffnen des Links im Smartphone-Browser immer die angezeigte Webadresse sorgfältig kontrollieren. Passt die Domain exakt zum angegebenen Anbieter?
- Im öffentlichen Raum prüfen, ob ein Sticker über den ursprünglichen QR-Code geklebt wurde.
- Sensible Daten oder Logins nicht unüberlegt nach dem Scannen eingeben. Im Zweifel die offizielle Adresse direkt im Browser aufrufen.
- Bietet eine QR-Code-Weiterleitung den Download einer Datei oder App außerhalb offizieller Stores an, den Vorgang sofort abbrechen.
- Wo möglich, die Zwei-Faktor-Authentifizierung aktivieren, um Zugänge zusätzlich abzusichern.
