QR-Codes sind mittlerweile allgegenwärtig – vom Restaurantmenü bis zur Zwei-Faktor-Authentifizierung. Doch während wir sie bequem und blind scannen, entdecken Cyberkriminelle darin ein unterschätztes Einfallstor für Angriffe. Ein genauer Blick auf den Trend lohnt sich – dringend.
QR-Codes: Vom Offline-Medium zum digitalen Einfallstor
Quick Response Codes, kurz QR-Codes, wurden ursprünglich in der Automobilindustrie zur Teileverfolgung entwickelt. Ihren Siegeszug in Konsum und Alltag verdanken sie der COVID-19-Pandemie. Ob digitale Impfzertifikate, kontaktlose Speisekarten oder mobile Bezahldienste – der Einsatz der schwarz-weißen Pixelmuster hat sich vervielfacht.
Laut einer Studie von Statista aus dem Jahr 2024 nutzen weltweit rund 1,5 Milliarden Menschen regelmäßig QR-Codes – ein Anstieg von über 200 % seit 2020.[1] In Deutschland scannen 42 % der Smartphone-Nutzer mindestens einmal pro Monat einen QR-Code,[2] Tendenz steigend.
Genau diese Popularität machen sich Angreifer zunutze. Denn während viele Nutzer den URL-Text eines Links prüfen würden, bevor sie klicken, fehlt diese Vorsicht beim Scannen eines Codes häufig. Die Folge: sogenannte „Quishing“-Attacken nehmen drastisch zu.
Quishing: Wenn QR-Codes zur Phishing-Falle werden
Der Begriff „Quishing“ bündelt Angriffe, bei denen bösartige QR-Codes eingesetzt werden, um Nutzer auf Phishing-Webseiten zu locken oder Malware zu verbreiten. Die Methode gilt als besonders heimtückisch, da sie keine Interaktion mit einem verdächtigen Link im klassischen Sinne erfordert.
2023 verzeichnete die Anti-Phishing Working Group (APWG) über 9.000 dokumentierte Fälle von Quishing allein im Finanz-, Logistik- und Gesundheitswesen.[3] Besonders häufig betroffen: E-Mail-basierte Angriffe mit beigefügten QR-Codes, etwa zum vorgetäuschten Zurücksetzen von Passwörtern.
Ein Beispiel aus der Praxis stammt von Sicherheitsforschern des Unternehmens Cofense: 2024 untersuchten sie eine Angriffswelle, bei der QR-Codes in gefälschte Microsoft 365-Mails eingebettet waren. Der Scanner wurde auf eine täuschend echte Anmeldeseite geleitet. Ziel: die Erbeutung von Anmeldedaten.[4]
Wie Angreifer QR-Codes modifizieren und platzieren
Die Manipulation kann auf mehreren Ebenen erfolgen. Besonders verbreitet sind:
- Physischer Austausch von QR-Codes im öffentlichen Raum (z. B. Sticker über echten Codes bei Parkautomaten)
- Digitale Angriffe via E-Mail-Anhänge oder in PDFs eingebettete QR-Codes
- Malware-verlinkte Codes in Werbeplakaten, Flyern oder fingierten Services
Ein aktueller Fall aus New York im Juni 2024 verdeutlicht das Bedrohungspotenzial: Polizei und Cybercrime-Abteilung warnten vor gefälschten QR-Codes an Parkscheinautomaten, die Nutzer zu Phishing-Portalen und Abo-Fallen führten. Der Schaden: über 1.200 betroffene Personen in zwei Wochen.[5]
Wie Unternehmen und Nutzer reagieren sollten
IT-Sicherheitsexperten appellieren an Unternehmen und private Nutzer, QR-Codes nicht länger als harmloses Alltagsmittel zu betrachten. Stattdessen sollten sie in Sicherheitsstrategien integriert und sensibilisiert werden.
Einige Handlungsempfehlungen bieten dabei hohen Mehrwert:
- Visuelle Prüfung: Scannen Sie niemals QR-Codes aus unbekannten oder schlecht gesicherten Quellen. Besonders bei physisch platzierten Codes sollte geprüft werden, ob der Code aufgeklebt oder manipuliert wurde.
- Vorsicht bei Kurz-URLs: Viele QR-Codes verlinken auf gekürzte URLs (z. B. bit.ly). Diese verschleiern das tatsächliche Ziel. Nutzen Sie Scanner-Apps, die die entschlüsselte URL anzeigen, bevor geöffnet wird.
- Geräte absichern: Stellen Sie sicher, dass mobile Endgeräte durch aktuelle Betriebssysteme, Sicherheitssoftware und App-Berechtigungen geschützt sind. Kompromittierte Geräte können Angriffe oft nicht erkennen.
Für Unternehmen bedeutet das: QR-Code-basierte Prozesse sollten regelmäßig geprüft, intern überwacht und durch Awareness-Trainings flankiert werden. Zudem helfen Monitoring-Lösungen, um etwa auffällige Scans oder wiederholte Verbindungen zu schadhaften Domains frühzeitig zu erkennen.
Technische und regulatorische Schutzmechanismen
Die EU-Kommission plant derzeit im Rahmen der eIDAS 2.0-Initiative die Einführung sicherer digitaler Identitäten, auch unter Verwendung standardisierter QR-Codes. Forderungen nach QR-Signierung respektive überprüfbaren Ursprungsquellen werden dabei lauter.
Technologien wie Dynamic QR-Codes, die zentral generiert und serverseitig aktualisiert werden können, bergen zusätzliches Potenzial: Sie lassen sich mit Zugriffskontrollen, Ablaufdaten und sogar Zwei-Faktor-Validierung kombinieren. Auch Blockchain-basierte Verifizierung (z. B. durch Hashfunktion des Inhalts) wird zunehmend in digitalen Verwaltungsvorgängen getestet.
Daneben bieten Anbieter wie Google Play Protect, Microsoft Defender for Endpoint oder Lookout Mobile Endpoint mittlerweile Schutzmodule, die bösartige QR-Code-Weiterleitungen erkennen oder in Isolationsumgebungen ausführen.
Fazit: Bequemlichkeit vs. Sicherheit – das neue QR-Dilemma
QR-Codes sind gekommen, um zu bleiben – aber mit ihnen wächst ein neues Risikofeld, das lange übersehen wurde. Ihre hybride Natur zwischen physischer Welt und digitaler Infrastruktur prädestiniert sie als Angriffsfläche – vor allem im Zeitalter von BYOD, Homeoffice und Mobilität.
Es liegt an uns – Nutzern und Organisationen gleichermaßen – die Akzeptanz und den Komfort von QR-Codes nicht naiv für selbstverständlich zu halten. Nur mit verlässlichen Sicherheitsstrategien, technischen Schutzmechanismen und wachsendem Bewusstsein lässt sich diese bequeme Technologie sicher nutzen.
Wie geht ihr mit QR-Sicherheit in euren Unternehmen um? Welche Tools verwendet ihr zur Erkennung verdächtiger QR-Codes? Diskutiert mit unserer Community in den Kommentaren und teilt eure Erfahrungen!
Quellen:
- [1] Statista, QR Code Usage Worldwide 2024, https://www.statista.com/statistics/1234232/qr-code-usage-worldwide/
- [2] Bitkom Research, „Mobile Nutzung von QR-Codes in Deutschland“, 2024
- [3] APWG Phishing Trends Report 2023, https://apwg.org/trendsreports/
- [4] Cofense Security Analysis – QR Code Phishing, https://cofense.com/blog/qr-code-phishing-analysis-2024/
- [5] NYPD Cybercrime Bulletin, Juni 2024, https://www.nyc.gov/nypd/cybercrime/qr-fraud-alert
