Quishing nutzt aus, dass QR-Codes aus Bezahl-, Anmelde- und Ticketprozessen bekannt sind und deshalb seltener hinterfragt werden als ein Link im Nachrichtentext. Klassische Filter k\u00f6nnen QR-Codes in Bilddateien \u00fcbersehen<\/strong>, weil die Ziel-URL nicht als normaler Hyperlink vorliegt; moderne Systeme wie Microsoft Defender for Office 365 analysieren QR-Codes jedoch gezielt und blockieren entsprechende Phishing-Nachrichten. Die verk\u00fcrzte Adressanzeige mobiler Browser erschwert zus\u00e4tzlich das Erkennen von Tippfehlerdomains, die auf einem Desktop-Bildschirm eher auffallen. Als Betrugsmasche reicht Quishing \u00fcber E-Mails hinaus in den \u00f6ffentlichen Raum \u2013 etwa als Aufkleber an Parkautomaten, Lades\u00e4ulen oder auf Aush\u00e4ngen. Smishing und Vishing verlagern denselben T\u00e4uschungsaufbau auf SMS und Telefon; Spear-Phishing beschreibt dagegen die gezielte Auswahl der Opfer, nicht den Zustellweg.<\/p>\n Mitarbeiter von Versicherungen und Finanzdienstleistern sind f\u00fcr diese Masche ein lohnendes Ziel, weil sie Zugang zu Kundendaten, Policen und Auszahlungsprozessen haben. Ein erbeuteter Portalzugang erlaubt Angreifern nicht nur Einblick in Vertragsdaten, sondern auch die \u00c4nderung hinterlegter Bankverbindungen in einem laufenden Schadenfall<\/strong>. Der eigentliche Schaden zeigt sich weniger auf dem scannenden Ger\u00e4t selbst als vielmehr in den nachgelagerten Fachverfahren, in denen die \u00fcbernommene Identit\u00e4t weiterwirkt. Sicherheitsteams behandeln Quishing deshalb als Zugangs- und Awareness-Thema und nicht als reines E-Mail-Problem.<\/p>\n Quishing nutzt eine Eigenschaft des QR-Codes aus: Er ist nichts anderes als eine grafisch codierte Adresse, und das Ziel ist vor dem Scan nicht lesbar<\/strong>. Der Angreifer erzeugt einen Code auf eine von ihm kontrollierte Adresse und bringt ihn dorthin, wo ein Code erwartet wird \u2013 als Aufkleber \u00fcber einen echten Code oder als Bild in einer Nachricht im Layout einer bekannten Organisation.<\/p>\n Nach dem Scan \u00f6ffnet die Kamera-App die Adresse im Browser des Ger\u00e4ts. Beim Aufruf \u00fcber ein privates Smartphone greifen zentrale Schutzmechanismen des Unternehmens nur, sofern das Ger\u00e4t verwaltet wird oder der Zugriff \u00fcber eine Unternehmensverbindung l\u00e4uft. Die Zielseite bildet eine Anmeldung oder ein Bezahlformular nach und \u00fcbernimmt die eingegebenen Daten. Ein zwischengeschalteter Kurzlink verbirgt dabei die eigentliche Domain<\/strong>, bis der Nutzer die aufgel\u00f6ste Adresse ausdr\u00fccklich anzeigen l\u00e4sst. Weil der Scan das Ger\u00e4t wechselt, endet die Spur f\u00fcr die Unternehmens-IT am Rand des eigenen Netzes: Zwischen der Nachricht auf dem Arbeitsplatz und der Eingabe auf dem Telefon fehlt ein Protokoll, das beide Schritte verbindet.<\/p>\nWie funktioniert Quishing?<\/h2>\n
Quishing vs. Phishing-Mail<\/h2>\n