QR-Code-Phishing, auch Quishing genannt, bezeichnet eine Betrugsmethode, bei der Angreifer manipulierte QR-Codes einsetzen, die beim Scannen auf gefälschte Webseiten führen, um Zugangsdaten oder andere sensible Informationen der Opfer abzugreifen, insbesondere im betrieblichen Alltag.
Beim QR-Code-Phishing platzieren Angreifer manipulierte QR-Codes, etwa in gefälschten E-Mails, gedruckten Dokumenten oder sogar physisch überklebt an öffentlichen Orten, die beim Scannen mit dem Smartphone unbemerkt auf eine gefälschte, oft täuschend echt wirkende Webseite führen.
Für Unternehmen ist QR-Code-Phishing relevant, weil viele klassische Sicherheitsmaßnahmen wie E-Mail-Filter QR-Codes in Bilddateien nur schwer als schädlich erkennen können, wodurch diese Angriffsform gängige technische Schutzmechanismen oft unbemerkt umgeht.
Für Architektur- und Ingenieurbüros ist QR-Code-Phishing relevant, wenn Mitarbeitende QR-Codes in vermeintlichen Rechnungen, Lieferantendokumenten oder auf Baustellen scannen, ohne deren Herkunft zu hinterfragen, wodurch sie unbemerkt auf gefälschte Anmeldeseiten geleitet und zur Preisgabe von Zugangsdaten verleitet werden könnten.
Abzugrenzen ist QR-Code-Phishing vom klassischen Phishing, das primär über Textlinks statt über gescannte Bildcodes erfolgt, wodurch es für herkömmliche Sicherheitsfilter schwerer zu erkennen ist. Social Engineering bildet den übergeordneten Rahmen, zu dem QR-Code-Phishing als spezifische Methode zählt. Dies zeigt, wie eng die einzelnen Konzepte der Cybersicherheit miteinander verzahnt sind.
Für Sie als Geschäftsführerin oder Geschäftsführer eines Planungsbüros ist QR-Code-Phishing relevant, weil Mitarbeitende QR-Codes in vermeintlichen Rechnungen oder Lieferantendokumenten scannen könnten, ohne deren Herkunft ausreichend zu hinterfragen, wodurch sie unbemerkt auf gefälschte Anmeldeseiten geleitet werden könnten. Eine Sensibilisierung Ihrer Mitarbeitenden für diese vergleichsweise neue Angriffsform ist besonders wichtig, da viele klassische Sicherheitsfilter QR-Codes nur schwer erkennen können. Für die Cyberversicherung ist relevant, dass Folgen eines erfolgreichen QR-Code-Phishing-Angriffs ähnlich wie klassisches Phishing behandelt werden und je nach Bedingungswerk Gegenstand einer Cyberversicherung sein können. Regelmäßige, aktuelle Schulungen berücksichtigen zunehmend auch diese neue Angriffsvariante. Ein realistisches Verständnis dieses Zusammenhangs hilft Ihnen zudem, Prioritäten bei der eigenen IT-Sicherheit sinnvoll zu setzen und im Beratungsgespräch zur Cyberversicherung fundierte Fragen zu stellen.
Ein Mitarbeiter eines Ingenieurbüros erhält eine vermeintliche Lieferantenrechnung per E-Mail, die statt eines klassischen Links einen QR-Code enthält, mit der Aufforderung, diesen zur Zahlungsbestätigung zu scannen. Da der Mitarbeiter in einer aktuellen Schulung auch über QR-Code-Phishing informiert wurde, wird er misstrauisch, scannt den Code nicht direkt, sondern meldet die verdächtige E-Mail der IT-Abteilung. Die Untersuchung bestätigt, dass der QR-Code tatsächlich auf eine gefälschte Anmeldeseite geführt hätte, wodurch der Betrugsversuch dank der geschulten Aufmerksamkeit des Mitarbeiters erfolgreich vereitelt wird. Der Vorfall wird intern dokumentiert und dient als Grundlage für weitere, gezielte Verbesserungen der eigenen IT-Sicherheit.
QR-Code-Phishing nutzt manipulierte QR-Codes, die beim Scannen auf gefälschte Webseiten führen, um sensible Informationen abzugreifen.
Klassische E-Mail-Filter können QR-Codes in Bilddateien nur schwer als schädlich erkennen, wodurch gängige Schutzmechanismen umgangen werden.
Mitarbeitende könnten QR-Codes in vermeintlichen Rechnungen oder auf Baustellen scannen, ohne deren Herkunft zu hinterfragen.
Sensibilisierung der Mitarbeitenden für diese Angriffsform sowie Vorsicht beim Scannen unbekannter QR-Codes bieten wirksamen Schutz.
Es erfolgt über gescannte Bildcodes statt über klassische Textlinks, wodurch es für Sicherheitsfilter schwerer erkennbar ist.
• Social Engineering – bildet den übergeordneten Rahmen, zu dem QR-Code-Phishing als spezifische Methode zählt.
• Business Email Compromise (BEC) – kann QR-Code-Phishing als eine von mehreren Täuschungsmethoden nutzen.
• CEO-Fraud – kann durch QR-Code-Phishing zusätzlich glaubwürdig gestaltet werden.
• Captcha – kann automatisierte Angriffsversuche im Nachgang eines QR-Code-Phishing-Vorfalls zusätzlich erschweren.