QR-Code-Betrug: Was die Forschung sagt

Kurz gesagt

• Drucken Sie Codes, die eine Adresse öffnen, die Ihre Kunden kennen, am besten Ihre eigene Website.
• Drucken Sie Codes direkt auf die Oberfläche, nicht auf Aufkleber, und prüfen Sie öffentliche Codes auf darübergeklebte Aufkleber.
• Lesen Sie vor dem Öffnen eines gescannten Codes die Adresse, die Ihre Kamera anzeigt.

E-Mails mit QR-Code täuschten so oft wie Links

Phishing bedeutet gefälschte Nachrichten, die Menschen auf eine gefälschte Website schicken. QR-Code-Phishing, auch Quishing genannt, macht dasselbe mit einem QR-Code statt eines Links.

2025 testete ein Team der Universität Liechtenstein unter der Leitung von Marie Weinz Phishing in echten Organisationen, vom Kleinbetrieb bis zum internationalen Konzern. Es verschickte mehr als 71.000 Test-E-Mails. Manche enthielten einen normalen Link, manche einen QR-Code.

Die E-Mails mit QR-Code brachten Menschen etwa so oft auf die gefälschte Seite wie die E-Mails mit Link. Die Autoren merken an, dass E-Mail-Filter QR-E-Mails auch schwerer erkennen, weil die Adresse in einem Bild steckt. Die Arbeit wurde auf der Sicherheitskonferenz AsiaCCS 2025 vorgestellt.

Zwei frühere Studien weisen in dieselbe Richtung. 2022 ließen Sharevski und Kollegen 173 Personen einen gefälschten QR-Code für einen COVID-19-Nachweis scannen. 67 % waren bereit, sich mit ihrem Google- oder Facebook-Konto anzumelden, und als Grund nannten sie am häufigsten Bequemlichkeit. 2024 hängten Geisler, Pöhn und Hommel gefälschte Umfrageplakate auf einem deutschen Forschungscampus auf. Ein professionelleres Plakat, das zusätzlich einen Preis anbot, wurde fast dreimal so oft gescannt wie ein schlichtes.

Wenn Sie QR-Codes drucken

Menschen können eine Adresse prüfen, die sie kennen. Ihre eigene Website erkennen sie am leichtesten.

• Zeigen Sie, wo möglich, Ihre eigene Adresse. Ein statischer Code öffnet Ihre Webadresse direkt. Mit QR Lasts Pro können auch dynamische Codes Ihre eigene Domain nutzen.
• Drucken Sie direkt auf die Oberfläche. Ein auf ein Schild gedruckter Code lässt sich schwerer überdecken als ein Aufkleber.
• Prüfen Sie Codes an öffentlichen Orten. Schauen Sie auf Tischen, Plakaten und Türen ab und zu nach, ob ein Aufkleber über Ihrem Code klebt.
• Sagen Sie, wohin der Code führt. Eine Zeile unter dem Code wie „Öffnet yourshop.com/menu“ lässt Menschen prüfen, bevor sie ihn öffnen.

So prüfen Sie einen Code vor dem Öffnen

1. Lesen Sie zuerst die Adresse. Die meisten Kamera-Apps zeigen sie an, bevor sie sie öffnen.
2. Finden Sie den Namen der Website. Lesen Sie die Adresse bis zum ersten einzelnen /, dann schauen Sie auf die letzten zwei Teile. In parking-city.example.com.pay-now.ru/pay ist die Website pay-now.ru. Bei Adressen, die auf .co.uk und Ähnliches enden, schauen Sie auf die letzten drei Teile.
3. Seien Sie vorsichtig bei Codes, die eine Anmeldung oder Zahlung verlangen. Park-, Bank- und Lieferdienste lassen Sie meist in ihrer eigenen App oder auf ihrer Website zahlen, die Sie selbst öffnen können.
4. Tasten Sie nach Aufklebern auf Parkautomaten und Plakaten, bevor Sie scannen.
5. Scannen Sie keine Codes in E-Mails, die Sie nicht erwartet haben. Gehen Sie stattdessen direkt zum Dienst.

Wie QR Lasts hilft

Statische Codes öffnen Ihre eigene Adresse, ohne etwas dazwischen. Jeder hier erstellte Code leitet weiter, ob kostenlos oder bezahlt. Der einzige Grund, warum wir einen Code stoppen, ist Missbrauch, etwa ein Ziel, das Google Web Risk als Phishing oder Schadsoftware kennzeichnet.

Quellen

• Weinz, Zannone, Allodi, Apruzzese, The Impact of Emerging Phishing Threats: Assessing Quishing and LLM-generated Phishing Emails against Organizations, AsiaCCS 2025.
• Sharevski et al., Gone Quishing: A Field Study of Phishing with Malicious QR Codes, 2022.
• Geisler, Pöhn, Hommel, Hooked: A Real-World Study on QR Code Phishing, 2024.

Falls wir eine Studie falsch verstanden haben, sagen Sie es uns, und wir korrigieren es.