Veröffentlicht am 27. Juli 2026
QR-Code-Phishing (Quishing): Wie Sie Ihr Team testen
Was Quishing ist – und warum es gerade jetzt zunimmt
«Quishing» steht für QR-Code-Phishing: Betrügerische Nachrichten oder Aufkleber enthalten statt eines klickbaren Links einen QR-Code, der beim Scannen auf eine gefälschte Seite führt. Seit QR-Codes im Alltag allgegenwärtig sind – Restaurant-Menüs, Parkuhren, Paketankündigungen, Rechnungen – hinterfragen viele Mitarbeitende einen QR-Code deutlich weniger kritisch als einen klassischen Link in einer E-Mail.
Warum Quishing klassische Schutzmassnahmen umgeht
Spamfilter und Sicherheitssoftware analysieren primär Text und eingebettete Links – ein Bild mit einem QR-Code enthält für diese Systeme oft keine auswertbare URL. Zusätzlich wird ein QR-Code fast immer mit dem privaten Smartphone gescannt, nicht mit dem geschäftlichen Notebook: Genau dort greifen viele Unternehmens-Schutzmassnahmen wie Web-Filter oder Endpoint-Security gar nicht.
Die Schweizer Besonderheit: gefälschte QR-Rechnungen
In der Schweiz kommt eine branchenspezifische Masche hinzu: Betrüger versenden gefälschte Rechnungen mit einem manipulierten Zahlteil-QR-Code, bei dem IBAN oder Betrag verändert wurden – rein optisch von einer echten QR-Rechnung kaum zu unterscheiden. Wer den QR-Code direkt im E-Banking oder in der Banking-App scannt, ohne IBAN und Betrag danach nochmals manuell zu prüfen, überweist im schlimmsten Fall direkt an die Kriminellen.
Weitere typische Szenarien
Neben gefälschten Rechnungen kursieren unter anderem: manipulierte Parkscheinautomaten-Aufkleber, die auf eine gefälschte Zahlungsseite führen; angebliche Paketbenachrichtigungen mit QR-Code anstelle eines Tracking-Links; und QR-Codes auf Plakaten oder Flyern in öffentlichen Räumen, bei denen der echte Code überklebt wurde. Alle drei nutzen denselben Effekt: Der QR-Code selbst wirkt vertrauenswürdig, weil er im physischen Kontext eingebettet ist.
So prüfen Mitarbeitende einen QR-Code sicher
Die meisten Smartphone-Kameras zeigen vor dem Öffnen eine Vorschau der Ziel-URL an – dieser Moment ist entscheidend und wird trotzdem häufig übersehen. Wichtig ist, genau dort dieselben Warnsignale anzuwenden wie bei einem Link in einer E-Mail: Passt die Domain zum angeblichen Absender? Wirkt die Endung ungewöhnlich? Bei einer Zahlungsaufforderung gilt zusätzlich: IBAN und Betrag immer manuell mit der Originalrechnung abgleichen, unabhängig davon, was der QR-Code vorausfüllt.
Wie eine Simulation Quishing testet
Weil Quishing über einen völlig anderen Kanal läuft als klassisches E-Mail-Phishing, muss auch ein Test genau dort ansetzen: mit realistischen QR-Code-Szenarien, die Mitarbeitende zum Scannen verleiten, und sofortigem Feedback, welches Warnsignal übersehen wurde. Wer einen QR-Code schon einmal in einer sicheren Simulation hinterfragt hat, tut das beim nächsten echten Versuch reflexartig wieder.
Selbst ausprobieren
Mit unserem kostenlosen QR-Code-Checker können Sie einen einzelnen QR-Code direkt prüfen, bevor Sie ihn scannen – und sich damit selbst ein Bild machen, worauf es bei der Prüfung ankommt.
Testen Sie Ihr Team noch heute
Probieren Sie den kostenlosen Testzugang selbst aus oder registrieren Sie direkt Ihr Unternehmen.