Hannover, November 2024. Jemand klebt einen Aufkleber auf einen Parkautomaten. Was folgt, sieht man heute in ganz Deutschland.
Professionell gestaltet. EasyPark-Logo, rosa Rahmen, korrekte Farben. Wer sein Auto abstellt und den QR-Code scannt, landet auf easypark.live – einer Seite, die laut LKA Niedersachsen „nahezu identisch zur Originalseite gestaltet" ist. Parkzone, Kennzeichen, Parkzeit – alles wie gewohnt. Dann: Kreditkartendaten eingeben. Was der Nutzer kauft: nichts. Was der Angreifer bekommt: Kartennummer, Ablaufdatum, Prüfziffer.
Das ist die Consumer-Version des Angriffs. Die, die jeder versteht, weil jeder schon mal einen Parkautomaten benutzt hat. Was die wenigsten wissen: dieselbe Technik – QR-Code als Täuschungsvektor – ist längst in Unternehmensinfrastrukturen angekommen. Im PDF-Anhang einer HR-E-Mail. Im Konferenzraum-Schild für das Gäste-WLAN. In einer vermeintlichen Teams-Einladung. Und in der Hand eines nordkoreanischen Geheimdienstes, der Think Tanks und Regierungsstellen angreift.
Quishing – QR-Code-basiertes Phishing – ist kein Randthema. Es ist der Phishing-Angriff, den E-Mail-Security-Filter strukturell nicht erkennen können: kein klickbarer Link, kein verdächtiger Anhang, kein Payload im E-Mail-Body. Nur ein Bild.
Der Angriff, den euer E-Mail-Filter nicht sieht
Quishing ist Phishing mit QR-Codes. Das Ziel ist dasselbe: das Opfer auf eine gefälschte Seite bringen, um Credentials, Zahlungsdaten oder andere sensible Informationen zu stehlen. Was sich unterscheidet: der Kanal. Und dieser Unterschied ist sicherheitstechnisch fundamental.
Ein klassischer Phishing-Link in einer E-Mail kann gefiltert werden. E-Mail-Security-Gateways scannen URLs, prüfen Domains, sandboxen verdächtige Links, rewrite Hyperlinks für nachgelagerte Prüfung. Das ist der Stand der Technik – und er funktioniert zunehmend gut. Quishing umgeht all das aus einem einfachen Grund: der QR-Code ist ein Bild, kein Link. Im E-Mail-Body steht keine URL. Im Anhang ist keine ausführbare Datei. Es gibt nichts, worauf ein klassischer Filter anspringen könnte.
Dazu kommt ein zweiter struktureller Vorteil für Angreifer: der Gerätewechsel. Ein Phishing-Link in einer E-Mail wird auf dem Corporate Device geöffnet – dem Laptop mit EDR, Netzwerkfilter, Proxy und Webfiltering. Ein QR-Code wird mit dem Smartphone gescannt. Das Smartphone ist in den meisten Unternehmen ein persönliches Gerät: kein MDM, kein Webfilter, keine EDR-Integration, keine Netzwerküberwachung. Die URL öffnet sich in einem Browser ohne jede Unternehmenskontrolle.
Das FBI formuliert es direkt: Quishing ist ein MFA-resistenter Angriffsvektor. Nicht weil MFA nicht funktioniert – sondern weil das Smartphone, auf dem der Code gescannt wird, außerhalb des MFA-geschützten Perimeters liegt. Session-Tokens können auf dem mobilen Browser gestohlen werden, bevor MFA überhaupt eine Rolle spielt.
Physisch, digital, hybrid: Wo QR-Codes zur Waffe werden
Physisch: Der Aufkleber
Das EasyPark-Szenario ist das sichtbarste – aber nicht das einzige physische Quishing-Szenario. Überall wo QR-Codes physisch angebracht sind und von Menschen gescannt werden, kann ein Aufkleber mit einem gefälschten Code draufgeklebt werden: Ladesäulen für E-Autos, Restaurant-Tische, Hotel-Check-in-Stationen, Museumsführer, Veranstaltungsbeschilderung. Die Angriffsfläche ist jeder öffentliche QR-Code.
Im Unternehmenskontext bedeutet das: Konferenzraum-Schilder für das Gäste-WLAN, Drucker-Bedienanleitungen, Empfangsbereiche mit QR-Code für Besucherregistrierung, Whiteboards mit Meeting-Links. Wer kurz in ein Bürogebäude kommt – als vermeintlicher Wartungstechniker, als Lieferant, als Besucher – und einen Aufkleber platziert, hat einen physischen Quishing-Angriff gestartet, der möglicherweise wochenlang unentdeckt bleibt.
Digital: Der QR-Code im PDF-Anhang
Die digitalste Form des Quishing-Angriffs ist gleichzeitig die, die in Unternehmen am meisten unterschätzt wird. Barracuda-Forscher detektierten in einem Zeitraum von drei Monaten über eine halbe Million Phishing-E-Mails, in denen QR-Codes in PDF-Dokumente eingebettet waren – nicht direkt in die E-Mail, sondern im Anhang. Der Grund: ein PDF-Anhang wirkt harmloser als ein eingebettetes Bild, und die URL im QR-Code wird von keinem E-Mail-Gateway automatisch extrahiert und geprüft.
Die Social-Engineering-Aufhänger sind immer dieselben, weil sie immer funktionieren: Gehaltsabrechnung, offene Benefits-Formulare, Steuerbelege, Sicherheitshinweise zu Passwörtern, Compliance-Bestätigungen, Meeting-Einladungen. Sophos wurde selbst Ziel solcher Kampagnen – die E-Mails verwendeten Betreffzeilen wie „2024 financial plans", „benefits open enrollment" und „dividend payout".
Hybrid: Physischer Aufkleber trifft digitales Ziel
Die gefährlichste Kombination: ein physischer QR-Code in einem Unternehmenskontext, der auf eine Credential-Harvesting-Seite für Corporate-Logins führt. Beispiel: ein Aufkleber im Konferenzraum mit dem Text „Microsoft 365 Login für Gastzugang – QR-Code scannen". Die Seite dahinter sieht aus wie der Microsoft-Login. Wer seine Unternehmens-Credentials eingibt, hat gerade seinen Account kompromittiert – auf seinem privaten Smartphone, außerhalb jeder Corporate-Überwachung, ohne einen einzigen Alarm ausgelöst zu haben.
| Angriffsfläche | Kontext | Ziel | Erkennbarkeit für Nutzer | Risiko |
|---|---|---|---|---|
| Aufkleber auf physischen Geräten | Parkautomaten, Ladesäulen, Konferenzräume | Zahlungsdaten, Credentials | Gering – professionell gestaltet | HOCH |
| QR-Code in E-Mail (direkt) | Gefälschte HR-, IT-, Compliance-E-Mails | Corporate Credentials, MFA-Bypass | Gering – kein Hover-Effekt möglich | HOCH |
| QR-Code in PDF-Anhang | Gehaltsabrechnungen, Steuerbelege, Formulare | Credentials, Zahlungsdaten | Sehr gering – PDF wirkt vertrauenswürdig | KRITISCH |
| Physischer Code in Unternehmensräumen | Konferenzraum-WLAN, Empfang, Drucker | Corporate Credentials, Netzwerkzugang | Sehr gering – erwartet und vertraut | KRITISCH |
| Spear-Quishing gegen Führungsebene | Personalisierte E-Mails an C-Suite | High-Value Credentials, M365, VPN | Sehr gering – stark personalisiert | KRITISCH |
Wenn Quishing zur Geheimdienstwaffe wird: Kimsuky und das FBI-Alert
Quishing ist kein Werkzeug, das nur Kreditkartenbetrug befeuert. Im Januar 2026 veröffentlichte das FBI einen Flash Alert, der Quishing als aktive Angriffstechnik eines nordkoreanischen staatlichen Bedrohungsakteurs dokumentiert: Kimsuky – auch bekannt als APT43, Velvet Chollima, Emerald Sleet – einer der aktivsten Geheimdienstoperateure Nordkoreas.
Der Grund warum staatliche Akteure Quishing einsetzen, ist derselbe wie bei Kriminellen – nur mit höheren Zielen: der Angriff findet außerhalb jeder bekannten Verteidigungslinie statt. Kein URL-Filter, keine Sandbox, keine EDR-Telemetrie. Das FBI schreibt: Quishing „zwingt die Opfer, von ihrem Corporate Device auf ein mobiles Gerät zu wechseln – und verlässt damit die Grenzen von Endpoint Detection und Netzwerküberwachung."
Für die meisten Unternehmen ist Kimsuky kein direktes Bedrohungsszenario. Aber die Technik ist dieselbe – ob der Angreifer Kreditkartendaten will oder Microsoft-365-Credentials eines Abteilungsleiters. Quishing ist demokratisiert: die Infrastruktur für einen überzeugenden Quishing-Angriff kostet weniger als 50 Euro und ist ohne technisches Vorwissen zusammenzubauen.
Was zwischen dem Scan und dem Schaden passiert
Quishing-Angriffe gegen Unternehmen folgen einer konsistenten Angriffskette. Jeder Schritt verlässt die Überwachungszone des vorherigen.
QR-Codes nicht als Eingang – sondern als Ausgang: Line-of-Sight-Datenexfiltration
Wenn der Bildschirm zum Datenport wird
Der Pentest-Forscher Brian Harris vom Covert Access Team beschreibt in einem aktuellen Beitrag ein Angriffsszenario, das die Logik von Quishing auf den Kopf stellt: QR-Codes nicht als Angriffsweg ins Unternehmen, sondern als verdeckter Exfiltrationskanal nach außen.
Das Konzept: Eine Datei wird in Chunks aufgeteilt, jeder Chunk als QR-Code kodiert, die Codes werden sequenziell auf einem Bildschirm angezeigt. Ein Beobachter außerhalb – aus dem gegenüberliegenden Hotelzimmer, per Teleobjektiv, oder am anderen Ende eines Teams-Calls – filmt den Bildschirm und rekonstruiert anschließend die ursprüngliche Datei. Kein USB-Event. Kein Netzwerk-Transfer. Kein Cloud-Upload. Der Monitor wird zum Datenport, ohne dass irgendjemand etwas überträgt – optisch gesehen.
Das ist besonders relevant für Air-Gap-Umgebungen: Systeme, die physisch vom Netzwerk getrennt sind und als sicher gelten, weil keine Verbindung nach außen besteht. Harris schreibt dazu pointiert: „Air-gapped systems are often treated as if isolation solves the exfiltration problem. It does not. It reduces the number of paths." Ein Bildschirm der QR-Codes anzeigt, ist kein klassischer Datenübertragungskanal – und wird von den meisten Sicherheitskonzepten für Air-Gap-Umgebungen schlicht nicht adressiert. Öffentliche Tools wie QRExfil (Encoder) und piratesbooty (Reassembler) machen diesen Angriff praktisch umsetzbar.
Für die meisten Unternehmen ist dieses Szenario kein primäres Bedrohungsmodell. Für Organisationen mit echten Air-Gap-Anforderungen – KRITIS, Rüstung, Pharmaforschung, Behörden – ist es ein blinder Fleck, der adressiert werden sollte. Und es unterstreicht den übergeordneten Punkt: QR-Codes sind ein Übertragungsmedium, kein Werbemittel. Und Übertragungsmedien haben immer zwei Richtungen.
Quelle: Brian Harris, Covert Access Team – „Line Of Sight Data Exfiltration" & „Reassembling Line-of-Sight Exfiltration" (Juni 2026) · covertaccessteam.substack.com
Was hilft – und was nicht
Ehrliche Einleitung: QR-Codes sind strukturell schwieriger zu prüfen als Links. Kein Hover. Keine URL-Vorschau am Desktop. Auf dem Smartphone oft nur ein Shortlink, dessen Ziel nicht sofort erkennbar ist. Was trotzdem funktioniert:
- E-Mail-Security mit QR-Code-Erkennung: Moderne E-Mail-Gateways können inzwischen QR-Codes aus Bildern und PDFs extrahieren, die URL dekodieren und gegen Blocklisten prüfen. Das ist nicht Standard – aber es ist verfügbar. Wer E-Mail-Security betreibt ohne QR-Scan, hat eine strukturelle Lücke.
- MDM-Policy für QR-Scans auf Unternehmensgeräten: Mobile Device Management kann QR-Scans auf autorisierten Apps beschränken, die URLs vor dem Öffnen prüfen. Das setzt voraus, dass Unternehmensgeräte für die E-Mail-Nutzung obligatorisch sind – was viele Unternehmen BYOD-politisch nicht durchsetzen.
- Physische Inspektion-Routine für alle öffentlichen QR-Codes: Jeder QR-Code in Empfangsbereichen, Konferenzräumen und öffentlich zugänglichen Unternehmensbereichen wird regelmäßig überprüft. Aufkleber auf Originalen erkennt man durch Anfassen – ein überklebter Code hat eine fühlbare Kante.
- Security Awareness die explizit Quishing zeigt: „Klick nicht auf komische Links" schützt nicht vor QR-Codes. Training muss konkrete Quishing-Szenarien zeigen: was der Angriff aussieht, wie die URL auf dem Smartphone zu lesen ist, welche Aufhänger typisch sind.
- Phishing-Simulation mit Quishing-Komponente: Wer wissen will ob die eigene Organisation anfällig ist, muss es testen. Eine Quishing-Simulation – gefälschte HR-E-Mail mit QR-Code zu einer harmlosen Landing Page – zeigt die tatsächliche Klickrate zuverlässiger als jede theoretische Risikoeinschätzung.
- Unternehmenseigene QR-Codes kennzeichnen und inventarisieren: Welche QR-Codes existieren offiziell im Unternehmen? Wer hat sie erstellt? Wohin führen sie? Ohne diese Liste ist nicht erkennbar, welcher Code legitim ist und welcher ein Aufkleber.
Der wirksamste Schutz gegen physisches Quishing in Unternehmensräumen ist derselbe wie gegen physisches Pretexting: kontrollierter Zugang zu Bereichen, in denen jemand einen Aufkleber platzieren könnte. Wer ins Gebäude kommt, um einen QR-Code zu überkleben, nutzt denselben Einstiegspunkt wie jeder andere physische Angreifer. Ein Physical Pentest der diese Vektoren kombiniert prüft, wie weit jemand kommt – und was er dabei hinterlassen kann.
Fazit: Der QR-Code ist neutral. Die Frage ist, wer ihn erstellt hat.
QR-Codes sind allgegenwärtig, weil sie praktisch sind. Das ist genau das Problem. Menschen scannen sie reflexartig – am Parkautomaten, im Restaurant, in der E-Mail, auf dem Konferenzraum-Schild. Die Gewohnheit entstand in einer Zeit, in der QR-Codes hauptsächlich zu Speisekarten führten. Diese Zeit ist vorbei.
Was Quishing so schwer zu bekämpfen macht: es exploitet Vertrauen in ein Medium, das als neutral gilt. Ein Link in einer E-Mail kann verdächtig aussehen. Ein QR-Code sieht immer gleich aus. Er hat kein Gesicht, keinen Absender, keine erkennbare Herkunft. Er ist einfach da – und die meisten Menschen fragen nicht, wer ihn dort hingestellt hat.
Weiterführend: Wie physisches Pretexting funktioniert und welche Rolle es bei der Platzierung gefälschter QR-Codes spielt zeigt der Post zur Legende. Wie Social Engineering im Allgemeinen aufgebaut ist erklärt der Beitrag zum MGM-Hack. Und was physische Angriffsvektoren im Unternehmenskontext bedeuten zeigt die Serie zu Physical Security.
Würde jemand in eurem Unternehmen den Code scannen?
Wir simulieren Quishing-Angriffe gegen eure Mitarbeiter – per E-Mail, PDF und physischen Aufklebern in euren Räumlichkeiten – und zeigen, wo die tatsächliche Anfälligkeit liegt.
Phishing-Simulation anfragen →