Was ist Quishing? Wie erkennt man Quishing und vermeidet Probleme?

Du sitzt auf einer Terrasse und scannst einen QR-Code, um die Speisekarte anzusehen. Oder du bist an einem Parkautomaten und zahlst über einen QR-Code. Vielleicht erhältst du einen Brief oder eine E-Mail mit einem Code, um "schnell etwas zu erledigen". Es fühlt sich normal und bequem an. Und genau das macht Quishing so effektiv.

Was ist Quishing und wie funktioniert es?

Quishing ist eine Kombination aus den Wörtern Phishing und QR. Anstatt auf einen Link zu klicken, scannst du einen QR-Code, der dich zu einer Webseite führt.

Das Ziel ist das gleiche wie beim Phishing: dich dazu zu bringen, Daten einzugeben, eine Zahlung zu tätigen oder etwas herunterzuladen. Der Unterschied ist, dass es über einen Weg passiert, der vielen Menschen vertrauenswürdiger erscheint.

Ein QR-Code wird oft als praktisch und sicher angesehen. Du scannst und machst weiter. Doch hinter diesem Code kann ebenso leicht eine Fake-Webseite stecken wie hinter einem normalen Link.

Warum ist Quishing gefährlich?

Quishing ist gefährlich, weil es mit Vertrauen und Schnelligkeit spielt.

QR-Codes findet man oft in vertrauten Umgebungen, wie Restaurants, Geschäften, Parkautomaten oder offiziellen Mitteilungen. Daher sind die Menschen weniger aufmerksam. In diesen Situationen erwartet man nicht sofort Betrug.

Zusätzlich wird ein QR-Code schnell gescannt. Du handelst automatisch, ohne zuerst zu prüfen, wo du landest. Genau das nutzen Betrüger aus.

Das größte Risiko ist, dass du die URL hinter dem QR-Code nicht sofort sehen kannst. Bei regelmäßigem Phishing sind die Leute sensibler für verdächtige Links und ungewöhnliche Webadressen geworden. Oft ist das der Moment, in dem Betrug bemerkt wird. Beim Quishing fehlt dieser Moment der Überprüfung, denn du scannst zuerst und siehst erst dann, wo du landest.

Betrüger nutzen dies clever aus, indem sie QR-Codes in Offline- und Vertrauensumgebungen platzieren. Denk an Aufkleber, Poster, Briefe oder Karten vor Ort. Da es physisch und real erscheint, vertrauen die Leute schneller darauf.

Das Ergebnis kann sein, dass du auf einer Fake-Webseite landest, deine Daten eingibst, eine falsche Zahlung tätigst oder etwas Unsicheres herunterlädst.

Welche Formen von Quishing sind verbreitet?

1. Quishing über E-Mail und SMS
Du erhältst eine Nachricht von z.B. einer Bank, einem Lieferdienst oder einer Behörde mit einem QR-Code. Die Nachricht scheint logisch, aber der Code leitet dich auf eine Fake-Webseite.

2. Quishing über öffentliche und vertrauenswürdige Orte
QR-Codes an Parkautomaten, Restauranttischen, Theken oder Postern werden ersetzt oder überklebt. Da du dem Ort vertraust, scannst du eher ohne zusätzliche Überprüfung.

3. Quishing über Briefe oder Pakete
Du erhältst einen Brief oder ein Paket mit einem QR-Code für „zusätzliche Informationen“ oder „Bestätigung“. Es sieht offiziell aus, kann aber einfach eine Falle sein.

4. Quishing, das auf schnelles Handeln abzielt
Nach dem Scannen wirst du aufgefordert, sofort zu handeln, z.B. eine Zahlung zu leisten, dich anzumelden oder ein Konto zu bestätigen. Es bleibt wenig Zeit zum Nachdenken, und genau das ist die Absicht.

Wie kannst du Quishing erkennen?

Du kannst Quishing nicht immer auf den ersten Blick erkennen. Das macht diese Betrugsform so täuschend. Ein QR-Code sieht normalerweise harmlos aus und wird oft in Situationen verwendet, die normal und zuverlässig erscheinen. Daher sind viele Menschen weniger kritisch, als sie es bei einem normalen Link in einer E-Mail oder SMS wären.

Es gibt jedoch oft Hinweise, dass etwas nicht stimmt. Manchmal liegt es an der Situation selbst, manchmal an der Webseite, die du nach dem Scannen erreichst. Das Wichtigste ist, dass du dir antrainierst, nicht automatisch weiterzumachen, sobald du einen QR-Code gescannt hast. Einen Moment innezuhalten und zu prüfen, kann den entscheidenden Unterschied ausmachen.

Achte besonders auf diese Hinweise:

• Unerwartete QR-Codes: du erhältst einen QR-Code, ohne ihn angefordert oder erwartet zu haben.
• Eine vertraute Umgebung, die dennoch seltsam wirkt: z.B. ein Aufkleber, der über einen anderen QR-Code geklebt wurde, oder ein Code, der schlecht angebracht aussieht.
• Sofortige Handlung nach dem Scannen: du wirst gebeten, sofort zu zahlen, dich anzumelden oder persönliche Daten einzugeben.
• Eine ungewöhnliche Webseite: die URL sieht seltsam aus oder die Seite weicht von dem ab, was du normalerweise erwartest.
• Fehler bei der Markenidentität und schlechtes Design: wie Sprachfehler, ein falsches Logo, unterschiedliche Farben oder eine Seite, die unprofessionell aussieht.
• Ein Gefühl von Dringlichkeit oder Druck: du fühlst dich gedrängt, schnell zu handeln, ohne die richtige Überprüfung.
  

Wie kannst du dich vor Quishing schützen?

Scanne nicht automatisch, sondern bewusst
Halte einen Moment inne, bevor du scannst, besonders in Situationen, die sehr normal oder sehr einfach erscheinen.

Überprüfe immer, wohin du geschickt wirst
Überprüfe die URL, bevor du etwas eingibst oder bestätigst.

Sei besonders vorsichtig, wenn du sensible Informationen teilst
Offizielle Organisationen fragen in der Regel nicht, dass du sensible Informationen über einen QR-Code bereitstellst, wie Anmeldedaten, Zahlungsinformationen oder persönliche Daten. Wenn das dennoch geschieht, solltest du besonders vorsichtig sein. In vielen Fällen kannst du davon ausgehen, dass es sich um einen Betrugsversuch handelt.

Gehe selbst auf die offizielle Webseite
Gib die Webadresse manuell ein oder benutze die App der Organisation, anstatt einen QR-Code aus einer Nachricht oder einem Aufkleber zu scannen.

Sei besonders aufmerksam in vertrauenswürdigen Umgebungen
Dort wird Quishing zunehmend eingesetzt, weil die Menschen weniger misstrauisch sind.

Nutze zusätzlichen Schutz beim Surfen
Sicherheitssoftware kann dir helfen, gefährliche Webseiten, verdächtige Links und schadhafte Downloads zu erkennen und rechtzeitig zu warnen. Das hilft dir, zu verhindern, dass du unwissentlich auf einer Fake-Webseite landest oder etwas Unsicheres installierst.

Einige Sicherheitspakete gehen noch einen Schritt weiter. Produkte wie McAfee Total Protection, McAfee+ Premium und McAfee+ Advanced enthalten einen integrierten QR-Code-Scanner, der prüft, ob ein QR-Code sicher ist, bevor du ihn öffnest.

Wenn du dir unsicher bist, ob etwas schiefgegangen ist, kannst du schnell überprüfen, ob dein Gerät noch sicher ist, indem du einen Sicherheits-Scan durchführst.

Was solltest du tun, wenn du bereits gescannt hast?

Stoppe sofort und setze deinen Aufenthalt auf der Webseite nicht fort
Fällt dir nach dem Scannen eines QR-Codes auf, dass etwas nicht stimmt? Setze deinen Aufenthalt auf der Webseite nicht fort. Klicke auf nichts, gib keine Daten ein und schließe die Seite sofort. Je länger du bleibst, desto größer ist das Risiko, dass du eine Handlung vornimmst, die Schaden anrichtet.

Ändere sofort deine Passwörter
Hast du Daten eingegeben? Dann ändere sofort deine Passwörter, insbesondere wenn du dasselbe Passwort an mehreren Orten verwendest.

Kontaktiere deine Bank im Falle von Zahlungen
Hast du eine Zahlung getätigt? Kontaktiere sofort deine Bank, um weiteren Schaden zu begrenzen.

Überprüfe dein Gerät mit einem Sicherheits-Scan
Hast du etwas heruntergeladen oder bist du dir unsicher, was passiert ist? Führe einen Sicherheits-Scan durch, um zu überprüfen, ob dein Gerät sicher ist.

Überprüfe Konten und Aktivitäten
Überprüfe deine Konten auf ungewöhnliche Aktivitäten und aktiviere zusätzliche Sicherheitsmaßnahmen, wo immer möglich, wie die Zwei-Faktor-Authentifizierung (2FA).

Wie kannst du verhindern, ein Opfer von Quishing zu werden?

Indem du dir eine einfache Gewohnheit aneignest: nicht automatisch scannen, zuerst denken. Überprüfe, wohin du geschickt wirst, sei kritisch in der Situation und nutze zusätzlichen Schutz als Sicherheitsnetz. Dadurch wird es Betrügern viel schwerer.

Häufig gestellte Fragen zu Quishing