Quishing erkennen: Warum der Gerätewechsel den Schutz verändern kann

Quishing ist Phishing über QR-Codes. Für Unternehmen liegt das Risiko nicht allein in einer schwer lesbaren Zieladresse: Eine Aufforderung kommt per E-Mail oder Brief an, die Anmeldung erfolgt anschließend auf dem Smartphone. Wer Quishing erkennen und begrenzen will, muss deshalb den gesamten Weg vom behaupteten Auftrag bis zur Freigabe betrachten.

Für CISOs ergibt sich daraus eine konkrete Prüfaufgabe: Bleiben Verifikation, technische Zugriffskontrollen und Vorfallmeldung auch dann wirksam, wenn Beschäftigte Gerät und Kommunikationskanal wechseln? Zwei dokumentierte Fälle zeigen, weshalb eine reine Warnung vor verdächtigen QR-Codes zu kurz greift.

Quishing erkennen: Der Auftrag zählt mehr als der Code

Die Polizei Hamburg empfiehlt, vor dem Öffnen die Plausibilität der Zieladresse und den Kontext eines QR-Codes zu prüfen. Bei zweifelhaften Bankanschreiben soll der Sachverhalt über die bereits bekannte Telefonnummer geklärt werden. Zugleich weist sie darauf hin, dass eine Linkvorschau zunächst plausibel aussehen kann.

Daraus folgt eine sinnvolle Priorität für die betriebliche Kommunikation: Beschäftigte benötigen einen bekannten Weg zum tatsächlich angefragten Dienst. Das Unternehmen sollte benennen können, wo eine behauptete Kontoumstellung, eine Dokumentenfreigabe oder eine Zahlungsaufforderung unabhängig verifiziert wird. Ein sorgfältiger Blick auf die Adresse unterstützt diese Prüfung; er ersetzt die Klärung des Auftrags nicht.

Die Unterscheidung ist für Awareness-Verantwortliche wesentlich. Eine Botschaft wie „Prüfen Sie den QR-Code“ lässt offen, woran ein legitimer Vorgang erkennbar sein soll. Verständlicher ist eine Regel, die den erlaubten Einstieg und die zuständige Stelle beschreibt. Welche Wege dafür geeignet sind, hängt von den tatsächlich verwendeten Diensten und Prozessen ab.

Was der Sophos-Fall über den Gerätewechsel zeigt

Sophos X-Ops dokumentierte einen Angriff auf eigene Mitarbeitende, bei dem ein PDF einen QR-Code enthielt. Auf dem Smartphone führte dieser zu einer nachgeahmten Microsoft-365-Anmeldung. Angreifer erfassten Zugangsdaten und eine MFA-Antwort über einen Adversary-in-the-Middle-Angriff. Weitere interne Zugriffskontrollen verhinderten den Zugang zu Unternehmensinformationen.

Der Bericht beschreibt außerdem, dass auf dem betroffenen Telefon kein entsprechender Schutz zum Filtern bösartiger Webseiten installiert war. Das ist ein konkreter Unterschied zwischen Zugangswegen, keine Aussage über jedes Smartphone oder jede Sicherheitslösung. Ebenso belegt der Fall nicht, dass Mehrfaktor-Authentifizierung generell wirkungslos wäre.

Für die eigene Sicherheitsarchitektur ist daher entscheidend, welche Kontrollen eine Anmeldung tatsächlich durchläuft. Der Schutz des Arbeitsrechners beantwortet diese Frage für einen mobilen Zugang noch nicht. Geräteverwaltung, Identitätsschutz und Informationssicherheit müssen gemeinsam bewerten, welche Bedingungen für den Zugriff gelten und wie verdächtige Anmeldungen untersucht werden können. Awareness-Kommunikation sollte diesen technischen Schutz ergänzen, statt den Beschäftigten die gesamte Prüfung einer Anmeldeseite zu übertragen.

Warum ein Folgeanruf keine unabhängige Bestätigung ist

Am 17. September 2026 berichtete die Polizeidirektion Kiel über Bank-Quishing gegen Geschäftskunden. Gefälschte Briefe führten per QR-Code zu betrügerischen Anmeldeseiten. Anschließend meldeten sich vermeintliche Bankmitarbeiter telefonisch und verlangten eine Freigabe, angeblich um unberechtigte Transaktionen zu stoppen. Die Polizei berichtete von einer erfolgreichen Überweisung und weiteren Versuchstaten.

Der relevante Punkt für Unternehmen ist die Verbindung der Kanäle: Ein Anruf kann dieselbe Täuschung fortsetzen. „Über einen zweiten Kanal bestätigen“ ist deshalb als Sicherheitsregel unvollständig. Unabhängig wird die Prüfung erst durch einen selbst gewählten, bereits bekannten Kontaktweg. Die Kieler Polizei empfiehlt ausdrücklich, dafür nicht die Telefonnummer aus dem verdächtigen Schreiben zu verwenden.

Für finanzielle Freigaben sollten Prozessverantwortliche klären, welche Quelle für Kontaktdaten verbindlich ist. Eine spontane Rückfrage bei der gerade anrufenden Person stellt diese Unabhängigkeit nicht her. Damit betrifft der Fall neben der Informationssicherheit auch die Verantwortung für Zahlungs- und Änderungsprozesse.

Drei Entscheidungen für CISOs und Awareness-Verantwortliche

Aus den Fällen lassen sich drei zusammenhängende Entscheidungsfelder ableiten. Erstens braucht jede relevante Aufforderung einen verlässlichen Gegenprüfweg. Zweitens muss geklärt sein, welche Geräte und Anmeldungen die technischen Kontrollen abdecken. Drittens müssen Zweifel und bereits erfolgte Eingaben auch vom verwendeten Gerät aus gemeldet werden können.

Diese Punkte sollten eigene Zuständigkeiten haben. Awareness-Verantwortliche können verständliche Botschaften entwickeln, aber weder fehlende Zugangsregeln noch einen unklaren Freigabeprozess allein lösen. Für die Priorisierung ist deshalb hilfreich, offene Fragen einem Verantwortungsbereich zuzuordnen: Fehlt die Information, fehlt der sichere Arbeitsweg oder fehlt die technische Absicherung? Die Antwort bestimmt die nächste Maßnahme.

Das ist auch die Grenze einer Erfolgsmessung, die nur nach dem Erkennen des Begriffs Quishing fragt. Begriffskenntnis sagt noch nicht, ob ein sicherer Alternativzugang verfügbar ist. Unternehmen sollten deshalb zwischen vermitteltem Wissen und der Umsetzbarkeit ihrer eigenen Sicherheitsregeln unterscheiden.

Was in die Awareness-Kommunikation gehört

QR-Code-Phishing lässt sich in eine fortlaufende Awareness-Kampagne einordnen. Inhaltlicher Schwerpunkt sollte die unabhängige Verifikation bleiben: Die Herkunft einer Aufforderung, der bekannte Zugang zum Dienst und die Bedeutung einer anschließenden Freigabe müssen zusammen verständlich werden.

Für die Wahl des Lernformats ist relevant, ob Beschäftigte Inhalte eigenständig bearbeiten oder Sicherheitsentscheidungen gemeinsam diskutieren sollen. Auf der Security-Awareness-Plattform von What The Hack! diskutieren Mitarbeitende im Teamformat Sicherheitsszenarien und einigen sich auf eine Antwort. Daneben stehen ein Solo-Modus und auswählbare Themenkampagnen zur Verfügung. Ein moderiertes Awareness-Teamevent ist online oder hybrid vor Ort möglich.

Die organisatorische Aufgabe bleibt, dass die kommunizierten Regeln zum Unternehmen passen. Bei der Formatentscheidung sollten Verantwortliche daher festlegen, welche Sicherheitsentscheidungen gemeinsam besprochen werden sollen und welche Informationen Beschäftigte zuverlässig nachschlagen können müssen.

Nach dem Scan muss die Meldung möglich bleiben

Eine Vorfallmeldung sollte unterscheiden, ob lediglich eine Seite geöffnet, Zugangsdaten eingegeben oder eine Anmeldung beziehungsweise Zahlung bestätigt wurde. Diese Angaben helfen der zuständigen Stelle bei der Einordnung. Beschäftigte müssen dafür keine technische Diagnose stellen können.

Sophos empfiehlt in seinem Bericht auch ein Vorgehen zum Widerruf verdächtiger aktiver Sitzungen. Für CISOs folgt daraus: Die Reaktion darf nicht bei einem Warnhinweis oder vorschnell beim Passwortwechsel enden. Das zuständige Sicherheitsteam muss mögliche Zugriffe und Sitzungen bewerten. Bei betroffenen Bankvorgängen ist zusätzlich die Bank über einen bekannten Kontaktweg einzubeziehen.

Die zentrale Konsequenz ist damit überprüfbar: Der sichere Weg muss vor einer fraglichen Anmeldung bekannt und nach einer möglichen Fehlentscheidung weiterhin erreichbar sein. Quishing wird so zu einer gemeinsamen Aufgabe von Awareness, Zugangsverwaltung und den betroffenen Geschäftsprozessen.

Quellen und weiterführende Informationen

Sophos X-Ops: From QR to compromise: The growing “quishing” threat. Originalanalyse zu PDF-basiertem QR-Code-Phishing, mobilem Anmeldephishing, MFA-Abgriff und zusätzlichen Zugriffskontrollen.

Polizei Hamburg: Vorsicht vor Quishing!. Hinweise zu Kontext, Zieladresse und bekannten Kontaktwegen.

Polizeidirektion Kiel: Mehrere Fälle von Bank-Quishing und falschen Bankmitarbeitern, 17. September 2026. Originalmeldung zu Angriffen auf Geschäftskunden mit Briefen, gefälschten Anmeldeseiten und Folgeanrufen.