--- id: "phishing-003" title: "Quishing: Wie QR-Code-Phishing Ihre Unternehmenssicherheit umgeht" description: "Erfahren Sie, wie Quishing Spamfilter austrickst, indem es Angriffe auf private Smartphones verlagert, und wie Sie Ihre Teams schützen." canonical: https://startbrain.io/de/cybersecurity/quishing-qr-code-phishing-unternehmenssicherheit-verhindern/ slug: "quishing-qr-code-phishing-unternehmenssicherheit-verhindern" date: "2026-10-03" category: "phishing" product: "superphisher" lang: de author: "Brain Security · F&E Cyber & Faktor Mensch" frameworks: "BSI IT-Grundschutz · NIS-2 · DORA · DSGVO · ISO 27001" --- # Quishing (QR-Code-Phishing): Die Bedrohung, die Ihre Spamfilter umgeht Stellen Sie sich folgendes Szenario vor: Ihr Unternehmen setzt auf erstklassige Secure Email Gateways, moderne EDR-Lösungen auf jedem Endgerät und eine lückenlose Multi-Faktor-Authentifizierung. Dennoch sind an einem Montagmorgen die Zugangsdaten eines Controllers kompromittiert, ohne dass ein einziger technischer Alarm ausgelöst wurde. Der Angriffsvektor war weder ein bösartiger E-Mail-Anhang noch ein verdächtiger Link im Text. Es war ein scheinbar harmloses schwarz-weißes Quadrat in einer PDF-Datei mit der Aufforderung, den Sicherheitszugang zu erneuern. Quishing, ein Kofferwort aus QR-Code und Phishing, stellt Sicherheitsverantwortliche vor eine erhebliche operative Herausforderung. Indem der Angreifer das Opfer dazu bringt, den grafischen Code mit dem privaten Smartphone zu scannen, durchbricht er gezielt die von der IT-Sicherheit errichtete Verteidigungslinie und verlässt den Kontrollbereich Ihrer Monitoring-Tools. --- ## Was ist Quishing und warum scheitern klassische E-Mail-Gateways daran? > **Auf den Punkt gebracht: Quishing nutzt QR-Codes, um schädliche URLs in Bilddateien zu verstecken. Da viele E-Mail-Gateways vorrangig reinen Text scannen, erreicht der bösartige Link den Posteingang, ohne vom Spamfilter blockiert zu werden.** Bei einem klassischen Angriff analysiert das Secure Email Gateway Hyperlinks im Text, gleicht sie mit Threat-Intelligence-Datenbanken ab und prüft Anhänge in einer Sandbox. Beim Quishing bleibt dieser Mechanismus oft wirkungslos. Die Ziel-URL liegt nicht als lesbare Zeichenkette vor, sondern ist als zweidimensionale Pixelmatrix grafisch kodiert, häufig eingebettet in ein PNG-Bild oder eine PDF-Datei. Um eine solche Bedrohung abzufangen, müssen Filtersysteme eine optische Zeichenerkennung (OCR) ausführen oder Bilddateien in Echtzeit dekodieren. Dieses Verfahren erfordert erhebliche Rechenkapazitäten und führt zu Verzögerungen bei der Zustellung, die viele Infrastrukturen im Produktivbetrieb nicht bewältigen können. Zudem manipulieren Angreifer die Grafiken geschickt: Sie verändern minimale Kontraste, fügen Firmenlogos in das Zentrum des Codes ein oder nutzen bedingte Weiterleitungen, die nur dann anschlagen, wenn der Aufruf über einen mobilen Browser erfolgt. Das Gateway stuft die Nachricht daher als unbedenklich ein. --- ## Die Cross-Device-Falle: Vom geschützten PC zum privaten Smartphone > **Auf den Punkt gebracht: Durch das Scannen mit der Handykamera umgeht der Angreifer das EDR des Firmenrechners und verlagert das Geschehen auf ungesicherte Mobilgeräte ohne unternehmenseigene DNS-Filter.** Die eigentliche Gefahr des Quishings liegt in diesem gezielten Medienbruch, dem sogenannten Cross-Device-Angriff. Während der Mitarbeiter seine E-Mails an einem strikt überwachten Arbeitsplatzrechner liest, fordert die Nachricht ihn ausdrücklich dazu auf, das Smartphone zu nutzen: etwa zur Synchronisation einer Authentifizierungs-App, zur Aktualisierung von Zugangsdaten oder zur Freigabe administrativer Prozesse. Sobald der Mitarbeiter die Kamera seines privaten Endgeräts (BYOD) auf den Bildschirm richtet, greifen die Schutzschilde nicht mehr: - **Die EDR-Isolierung entfällt:** Auf privaten Geräten existieren in der Regel keine Telemetrie-Agenten oder unternehmensweiten Schutzprogramme. - **Netzwerkfilter werden umgangen:** Die Verbindung läuft über das Mobilfunknetz des Providers an den firmeninternen Proxyservern und DNS-Sperrlisten vorbei. - **Mobile Benutzeroberflächen verschleiern Risiken:** Smartphone-Browser kürzen Adresszeilen aus Platzgründen, wodurch Typosquatting und gefälschte Domains mit dem bloßen Auge kaum zu erkennen sind. Dieser Angriffsvektor beschränkt sich längst nicht mehr auf digitale Postfächer. Angreifer nutzen zunehmend den physischen Raum. Manipulierte QR-Codes finden sich an Ladesäulen auf dem Unternehmensparkplatz, auf fingierten Briefen der Personalabteilung oder als Aushang in der Kaffeeküche, der scheinbar zu einem neuen internen Tool führt. --- ## Wie schützen Sie Ihre Teams wirksam vor QR-Code-Phishing? Gegen Angriffe, die technische Schutzschilde gezielt aushebeln, hilft nur eine aufmerksame Belegschaft mit klaren Verhaltensmustern. Sie können Mitarbeitern die Nutzung ihres privaten Smartphones nicht verbieten, aber Sie können das automatische Scannen durch gesunde Skepsis ersetzen. Um Ihr Unternehmen wirksam gegen Quishing abzusichern, sollten Sie konkrete Maßnahmen etablieren: - **Eindeutige interne Richtlinien definieren:** Legen Sie verbindlich fest, dass legitime Abteilungen wie IT, HR oder Finance niemals dazu auffordern, einen QR-Code für Passwort-Resets oder MFA-Konfigurationen zu scannen. - **Mobile Absicherung stärken:** Sofern Diensthandys im Einsatz sind, sollten diese über Mobile Device Management (MDM) verfügen, das URLs beim Scannen über die Kamera automatisch auf Bedrohungen prüft. - **Praxisnah trainieren statt nur belehren:** Trockene Theorie reicht gegen Social Engineering nicht aus. Erst durch realitätsnahe Simulationen verinnerlichen Teams die richtigen Reflexe. Mit [Super Phisher](/de/katalog/super-phisher/) binden Sie moderne Quishing-Szenarien direkt in Ihre Trainingskampagnen ein, damit Mitarbeiter verdächtige Merkmale erkennen, bevor sie einen Code scannen. - **Niedrigschwellige Meldewege schaffen:** Geben Sie Mitarbeitern ein simples Werkzeug an die Hand, um verdächtige Nachrichten oder Aushänge ohne bürokratische Hürden sofort an das Sicherheitsteam zu melden. Moderne Informationssicherheit verbietet praktische Technologien nicht pauschal, sondern schärft das Urteilsvermögen der Mitarbeiter, damit diese nicht zum Einfallstor für Angriffe werden. Möchten Sie überprüfen, wie gut Ihre Organisation gegen neuartige Social-Engineering-Taktiken aufgestellt ist? [Sprechen Sie mit uns](/de/termin/), um gemeinsam eine zielgerichtete Awareness-Strategie für Ihre Sicherheitsanforderungen zu entwickeln. ### Executive Synthesis of Guide Pillars: Quishing: Wie QR-Code-Phishing Ihre Unternehmenssicherheit umgeht | Strategic Dimension | Detailed CISO Recommendation | | --- | --- | | **Die EDR-Isolierung entfällt** | Auf privaten Geräten existieren in der Regel keine Telemetrie-Agenten oder unternehmensweiten Schutzprogramme. (Die Cross-Device-Falle: Vom geschützten PC zum privaten…) | | **Eindeutige interne Richtlinien definieren** | Legen Sie verbindlich fest, dass legitime Abteilungen wie IT, HR oder Finance niemals dazu auffordern, einen QR-Code für Passwort-Resets oder… (Wie schützen Sie Ihre Teams wirksam vor QR-Code-Phishing?) | | **Netzwerkfilter werden umgangen** | Die Verbindung läuft über das Mobilfunknetz des Providers an den firmeninternen Proxyservern und DNS-Sperrlisten vorbei. (Die Cross-Device-Falle: Vom geschützten PC zum privaten…) | | **Mobile Absicherung stärken** | Sofern Diensthandys im Einsatz sind, sollten diese über Mobile Device Management (MDM) verfügen, das URLs beim Scannen über die Kamera automatisch… (Wie schützen Sie Ihre Teams wirksam vor QR-Code-Phishing?) | --- ## Weiterführende Artikel und Lösungen von Brain Security ### Verwandte Artikel zu diesem Thema - **[Chef-Masche 2.0: Wenn Voice-Cloning und Video-Deepfakes Finanzteams täuschen](/de/cybersecurity/ceo-fraud-voice-cloning-deepfake-vishing/)** (Phishing & Social Engineering) : Schützen Sie Ihre Finanzteams vor CEO Fraud durch Voice Deepfakes und Vishing: Prozesse, Gegenmaßnahmen und interaktives Training im Überblick. - **[MFA Fatigue und Push Bombing : Wie Angreifer die Zwei-Faktor-Authentifizierung ohne Code-Diebstahl umgehen](/de/cybersecurity/mfa-fatigue-push-bombing-abwehren/)** (Phishing & Social Engineering) : Verstehen Sie MFA-Fatigue-Attacken und Push Bombing. Schützen Sie Ihr Unternehmen durch gezielte Sensibilisierung und technische Schutzmaßnahmen. - **[Vishing: Wie Cyberkriminelle Helpdesk und Mitarbeiter am Telefon manipulieren](/de/cybersecurity/vishing-social-engineering-angriffe-telefon-helpdesk/)** (Phishing & Social Engineering) : Erfahren Sie, wie Vishing-Angriffe Helpdesks austricksen, MFA aushebeln und wie Sie Teams mit interaktiven Methoden gezielt schützen können. - **[PCI DSS v4.0 Anforderung 12.6: Phishing-Awareness wirksam stärken](/de/cybersecurity/pci-dss-anforderung-12-6-phishing-awareness/)** (Compliance (NIS 2, DORA, ISO)) : Entdecken Sie die PCI DSS v4.0 Vorgaben (Anforderung 12.6) für Security Awareness, Phishing-Simulationen und Social Engineering im Überblick. ### Lösungen von Brain Security entdecken - **Passende Lösung : [Super Phisher](/de/katalog/super-phisher/)** : Der Phishing-Simulator, der Ihre Teams auf reale Angriffe trainiert, von der gefälschten E-Mail bis zum präparierten QR-Code, in einem kontrollierten Rahmen, der niemals ein Passwort erfasst. - **[Anwendungsfälle nach Bedarf und Branche ansehen](/de/anwendungsfaelle/)** - **[Unsere Formate für Cyber- und KI-Sensibilisierung vergleichen](/de/vergleich/)** - **[Den gesamten interaktiven Katalog von Brain Security entdecken](/de/katalog/)** - **[Sprechen Sie mit unserem Team über Ihren Bedarf (Demo & Beratung)](/de/termin/)** --- - https://startbrain.io/de/cybersecurity/quishing-qr-code-phishing-unternehmenssicherheit-verhindern/ - [Français](https://startbrain.io/fr/cybersecurite/quishing-phishing-qr-code-entreprise/) - [English (UK)](https://startbrain.io/en-gb/cybersecurity/quishing-qr-code-phishing-corporate-security/) - [English (US)](https://startbrain.io/en-us/cybersecurity/quishing-qr-code-phishing-corporate-defenses/) - [Español](https://startbrain.io/es/cyberseguridad/quishing-phishing-codigo-qr-seguridad-empresa/) - [Italiano](https://startbrain.io/it/sicurezza-informatica/quishing-phishing-qr-code-sicurezza-aziendale/) - [Nederlands](https://startbrain.io/nl/cybersecurity/quishing-qr-code-phishing-bedrijfsbeveiliging-omzeilen/) - [Português](https://startbrain.io/pt/ciberseguranca/quishing-como-phishing-qr-code-contorna-seguranca/) - [日本語](https://startbrain.io/ja/cybersecurity/quishing-qr-code-phishing-ciso-defense/) - [Polski](https://startbrain.io/pl/cyberbezpieczenstwo/quishing-phishing-kod-qr-bezpieczenstwo-firmy/) - [Svenska](https://startbrain.io/sv/cybersakerhet/quishing-qr-kod-phishing-it-sakerhet/) - [Dansk](https://startbrain.io/da/cybersikkerhed/quishing-qr-kode-phishing-it-sikkerhed/) - [Suomi](https://startbrain.io/fi/kyberturvallisuus/quishing-qr-koodi-tietojenkalastelu-tietoturva/) - [Norsk](https://startbrain.io/no/cybersikkerhet/quishing-qr-kode-phishing-sikkerhet-norge/) - [English (Canada)](https://startbrain.io/en-ca/cybersecurity/quishing-qr-code-phishing-enterprise-defence/) - [llms.txt](https://startbrain.io/llms.txt)