Gefahr durch manipulierte QR-Codes: Quishing nimmt zu

QR-Codes sind aus dem Alltag nicht mehr wegzudenken. In Restaurants, auf Parkscheinautomaten, Elektroladesäulen oder in Briefen von Geschäftspartnern ermöglichen sie den schnellen Zugang zu Informationen und Dienstleistungen. Ihre zunehmende Verbreitung macht sie aber auch zu einem idealen Werkzeug für Cyberkriminelle. Beim Quishing (Kombination aus QR-Code und Phishing) platzieren Betrüger manipulierte Codes, die auf gefälschte Webseiten führen oder Schadsoftware auf die Geräte der Nutzer einschleusen. Oft ist diese Täuschung von Erfolg gekrönt – denn anders als bei klassischen Links ist bei QR-Codes nicht sofort ersichtlich, wohin der Link führt.

Verbraucherzentralen und Medien warnen derzeit vor einer Zunahme von Quishing-Attacken. So wurden in mehreren deutschen Städten gefälschte QR-Codes an Parkscheinautomaten entdeckt, die Kunden auf betrügerische Bezahlseiten umleiten. Die Täter hatten die Originalcodes mit täuschend echt aussehenden Aufklebern überklebt. In einem anderen Fall erhielten Bankkunden Briefe, die angeblich von ihrer Hausbank stammten. Diese enthielten QR-Codes, mit denen sie sich für ein Sicherheitsupdate oder eine Kontoaktualisierung authentifizieren sollten. Wer den Code einscannte, landete jedoch auf einer manipulierten Webseite und übermittelte seine Zugangsdaten an die Betrüger.

Um sich vor Quishing-Angriffen zu schützen, sollten QR-Codes nur aus vertrauenswürdigen Quellen gescannt und die Zieladresse vor der Eingabe sensibler Daten genau überprüft werden. Besondere Vorsicht ist geboten, wenn QR-Codes per E-Mail oder SMS verschickt oder an öffentlichen Orten angebracht werden. Im Zweifelsfall empfiehlt es sich, statt eines QR-Codes die offizielle Website eines Anbieters direkt im Browser aufzurufen.