IT: Sprechen wir über Quishing

Montag, 19. Oktober 2026

Das Bild sagt eigentlich schon alles. Quishing ist die Kombination aus QR-Code und Phishing. Cyberkriminelle nutzen manipulierte QR-Codes, um ahnungslose Nutzer auf gefälschte Internetseiten zu locken. Dort sollen Passwörter, Bankdaten oder andere persönliche Informationen abgegriffen werden.

In einem Security-Video habe ich einen typischen Fall gesehen, wie es gehen könnte. Ich stehe an einer Bushaltestelle und sehe ein Werbeplakat mit einem interessanten Inhalt. Unten rechts kommt dann noch die Zusatzinfo: Hier geht’s zu unserer Homepage. Der Link ist der Einfachheit halber natürlich als QR-Code dargestellt. Kurz das iPhone hinhalten und zack, bin ich auf der gewünschten Seite und kann mich näher informieren, oder gleich ein Ticket für ein Konzert kaufen. Die Welt ist ja so schön einfach.

Was ich bei dem Vorgang nicht wissen konnte: Ein Cyberkrimineller ist vorher durch die Stadt gefahren und hat auf allen Werbeplakaten den echten QR-Code mit einem falschen QR-Code überklebt. Das bedeutet, dass ich auf eine Fake-Seite gekommen bin. Wenn dann noch Hektik dazukommt, kann es sein, dass ich mich tatsächlich dazu hinreißen lasse, direkt eine Überweisung zu tätigen. Die Bedienung mit dem iPhone unterscheidet sich dabei auch diametral von meinem Homeoffice. Auf meinen großen Bildschirmen und in aller Ruhe würde mir eine Fake-Seite mit hoher Wahrscheinlichkeit auffallen. Auf dem iPhone mit dem kleinen Display schaut das schon anders aus.

Wenn natürlich die Fake-Seite hochprofessionell gestaltet ist, dann wird es für jeden von uns schwierig. Man sollte sich vielleicht grundsätzlich angewöhnen, Seiten eher zu ergoogeln, als sich auf Links und öffentlich zugängliche QR-Codes zu verlassen. Es nutzt ja auch nichts, mit dem Fingernagel zu testen, ob da ein QR-Code per Hand aufgeklebt ist. Schließlich könnte das ganze Werbeplakat ein Fake sein.

Selbst das Googeln bietet aber keine vollständige Sicherheit mehr, denn Cyberkriminelle können mittels Malvertising (bezahlte Werbeanzeigen) Seiten schalten, die auf täuschend echt gestaltete Fake-Seiten führen. Cyberkriminielle investieren zunächst in Werbung, um dann zu verdienen – wie im richtigen Leben.

Personalisierte Mails

Das Video war noch in einer anderen Hinsicht sehr wichtig. Das stärkste Einfallstor für Cyberkriminelle in die IT von Firmen sind E-Mails. Das ist nichts Neues. Jetzt kommt aber die KI ins Spiel, die den Tätern hilft. Die KI schreibt dabei nicht etwa eine hochprofessionelle Mail, die dann an 30.000 Mitarbeiter verschickt wird. Vielmehr schreibt die KI 30.000 Mails. Und die KI ist in der Lage, jeden der 30.000 Mitarbeiter mit einer personalisierten Mail zu beglücken. Denn vor dem Versenden der Mail hat die KI das Internet gecheckt. Sie hat meine Homepage gefunden, die Sozialen Medien ausgeforscht, meine Freunde entdeckt, meine Vorlieben, meine Lieblingskollegen, meine Hobbies und meine Eitelkeiten. Die KI erspäht außerdem öffentlich zugängliche Daten-Leaks. Die Fake-Mail an mich wird entsprechend vertrauensvoll und personalisiert sein. Der Cyberkriminelle nimmt damit eine wichtige Hürde. Er hat mein Misstrauen nach unten gefahren. Und so geht’s dahin.

Für die, die glauben, gegen solche ausgeklügelten Strategien gefeit zu sein, habe ich einen Tipp: Sag niemals nie.