Quishing: Wie QR-Code-Phishing Banken und ihre Kunden trifft

Als wir 2024 zum ersten Mal über QR-Phishing geschrieben haben, ging es vor allem um gefälschte Bank-E-Mails mit QR-Code. Inzwischen kommt die Masche auch per Post. Die Verbraucherzentrale dokumentiert gefälschte Bankbriefe, das BSI warnt vor manipulierten Codes an Parkautomaten, und die BaFin vor überklebten QR-Codes an Ladesäulen. Dieser Leitfaden ist der Stand vom Oktober 2026: wie ein Angriff abläuft, wie verbreitet er ist und was auf beiden Seiten des Bankschalters hilft.

Wie läuft ein Quishing-Angriff ab?

Der QR-Code ist nur der Zustellweg. Dahinter steht klassisches Phishing, das meist in sechs Schritten abläuft:

1. Zuerst die Infrastruktur. Die Täter registrieren eine Lookalike-Domain und stellen eine Kopie der Banking-Anmeldung darauf, oft mit einem fertigen Phishing-Kit.
2. Ein Anlass zum Scannen. Brief, E-Mail oder Aufkleber liefern den Vorwand: Sicherheitsupdate, Identitätsprüfung, neue Karte, offene Parkgebühr.
3. Der Code. Der QR-Code führt auf die Fälschung, oft über eine Weiterleitung oder einen Kurzlink, damit das echte Ziel nicht auffällt.
4. Der Wechsel aufs Handy. Gescannt wird mit dem privaten Smartphone. Webfilter im Unternehmen, Browserwarnungen am Arbeitsrechner und der gewohnte Blick in die Adresszeile fallen weg.
5. Datenabgriff. Die Seite fragt Zugangsdaten, Kartendaten oder eine TAN ab. Manche Kits leiten die Anmeldung live an die echte Bank weiter und umgehen so auch SMS-Codes und Push-Freigaben (Reverse-Proxy-Phishing).
6. Auszahlung. Die Täter registrieren ein neues Gerät für die Freigabe, ändern die Telefonnummer oder lösen Überweisungen aus. Laut Verbraucherzentrale NRW hat das Landeskriminalamt NRW gewarnt, dass Täter über solche Briefe teils direkt Geldtransfers veranlassen.

Wo tauchen gefälschte QR-Codes auf?

Der Kanal entscheidet, welche Abwehr überhaupt greifen kann. Ein E-Mail-Gateway kann ein Bild im Postfach auslesen. Zwischen Parkautomat und Handy steht dagegen keine Technik.

Quishing per Brief: gefälschte Bankpost

Briefe zielen am direktesten auf Bankkunden. Die Verbraucherzentrale NRW erhielt die ersten Meldungen Ende August 2024: ausgedruckte Schreiben im Namen der Commerzbank, später auch anderer Banken, die zum Scannen eines Codes für ein angebliches Online-Banking-Update auffordern. Ähnliche Briefe kamen auch Mitte 2026 noch in deutschen Briefkästen an. Typische Merkmale laut Verbraucherzentrale: eine unpersönliche Anrede wie "Sehr geehrte Kontoinhaberin" und eine Domain, die auf den ersten Blick echt aussieht. In einem Fall stand direkt hinter dem ".de" ein Bindestrich.

Der Bankenverband warnte 2026, dass Betrüger mit KI und Designwerkzeugen Logos, Schriften und Layouts so genau kopieren, dass sich die Briefe kaum von echter Bankpost unterscheiden. Dazu kommen Kombinationen mehrerer Kanäle: Im Juli 2026 verzeichnete das Phishing-Radar eine gefälschte Commerzbank-Mail, die sich auf einen angeblich per Post versandten QR-Code zur photoTAN-Aktivierung bezog.

QR-Code-Betrug am Parkautomaten und an der Ladesäule

Hier brauchen die Täter keine Adresse. Ein Aufkleber über dem echten Code am Parkscheinautomaten oder an der Ladesäule führt auf eine gefälschte Bezahlseite. Laut BSI wurden in mehreren deutschen Großstädten gefälschte Bezahlcodes über die echten an Parkautomaten geklebt. Im April 2026 warnte das BSI zudem vor einer neuen Quishing-Welle mit KI-formulierten Nachrichten, die gezielt Bankkunden in Deutschland ins Visier nimmt.

Wie verbreitet ist Quishing?

Verbreitet genug, dass große E-Mail-Anbieter es als eigene Kategorie ausweisen, und so schwankend, dass einzelne Wachstumszahlen in die Irre führen. Belastbare Zahlen gibt es vor allem für E-Mail, weil sich Angriffe dort zählen lassen:

• Microsoft zählte 7,6 Millionen QR-Code-Phishing-Angriffe im Januar 2026 und 18,7 Millionen im März 2026, ein Plus von 146 Prozent innerhalb eines Quartals. QR-Codes direkt im Mailtext nahmen allein im März um 336 Prozent zu (Microsoft, Q1 2026).
• Danach ebbte die Welle ab: 8,3 Millionen QR-Code-Angriffe im Juni 2026 laut Q2-Bericht.
• Mimecast meldete der Anti-Phishing Working Group 716.306 eindeutige bösartige QR-Codes im dritten Quartal 2025, 13 Prozent mehr als im Vorquartal (APWG Phishing Activity Trends Report Q3 2025).

Briefe und Aufkleber tauchen in keiner dieser Statistiken auf, eine Gesamtzahl veröffentlicht niemand. Der beste Anhaltspunkt sind die Warnungen von Verbraucherzentralen, BaFin und Banken, und die reißen seit 2024 nicht ab. Einen Überblick über die Phishing-Zahlen insgesamt finden Sie in unserem Beitrag Phishing 2026: Zahlen und Trends.

Warum geraten Banken und ihre Kunden ins Visier?

Ein Zugang zum Online-Banking lässt sich schnell zu Geld machen, und eine Bank genießt viel Vertrauen. Bei Quishing kommen drei Dinge dazu.

Erstens sind QR-Codes im Banking längst normal: photoTAN-Aktivierungsbriefe, GiroCodes auf Rechnungen, App-Einrichtung. Die Täter müssen nur einen Ablauf nachahmen, den die Kundschaft bereits kennt. Zweitens kann kaum jemand einen Brief mit Banklogo überprüfen, und wenige rufen vor dem Scannen bei der Bank an. Drittens trifft der Schaden die Bank auch dann, wenn ihre Systeme nie angegriffen wurden. Wer nach einem "Bankbrief" Geld verliert, ruft bei seiner Bank an, und manche machen sie verantwortlich. Das bedeutet Supportaufwand, Betrugskosten und einen Vertrauensverlust zugleich. Dasselbe Muster sehen wir bei der Imitation von Fintechs generell.

Banken sind nicht die einzigen Betroffenen. In Unternehmens-Mails führen QR-Codes besonders oft auf gefälschte Microsoft-365-Anmeldungen, beim Bezahl-Quishing werden Parkraumbetreiber kopiert. Die Kombination aus vertrauten Briefen, Echtzeitüberweisungen und App-Freigaben macht Banken aber zu einem der lohnendsten Ziele.

Warum erkennen Spamfilter Quishing so schlecht?

E-Mail-Sicherheit hat als Prüfung von Links und Anhängen angefangen. Ein QR-Code ist weder das eine noch das andere, sondern das Bild eines Links. Das BSI formuliert es deutlich: Virenschutzprogramme stufen QR-Codes meist als harmlose Bilder ein und erkennen den Betrug darin nicht. Moderne Gateways lesen QR-Codes im Mailtext inzwischen aus. Die Angreifer reagieren, indem sie den Code in ein PDF verschieben, auf mehrere Bilder aufteilen oder aus Textzeichen zusammensetzen.

Die größere Lücke ist das Gerät. Gescannt wird auf dem privaten Smartphone, ohne Unternehmensproxy und oft, ohne dass das Sicherheitsteam je davon erfährt. Auf dem kleinen Display fällt eine nachgeahmte Adresse zudem schwerer auf. Deshalb braucht QR-Phishing Gegenmaßnahmen, die nicht davon abhängen, die E-Mail zu sehen.

Was Finanzinstitute gegen Quishing tun können

Keine einzelne Maßnahme deckt Brief, Aufkleber und E-Mail ab. Wirksam ist ein Bündel, das an den Stellen ansetzt, die jede Kampagne braucht: eine glaubwürdige Nachricht, eine Zielseite auf einer Domain und am Ende eine Kontoübernahme.

1. Die Regel öffentlich machen und wiederholen. Schreiben Sie klar, bei welchen Abläufen Sie überhaupt QR-Codes nutzen und dass Sie nie per QR-Code zur Anmeldung, Datenbestätigung oder zur Abwendung einer Sperre auffordern. In der App, auf der Website und auf der Rückseite echter Briefe.
2. Lookalike-Domains beobachten. Jeder Quishing-Code endet auf einer Domain. Domain-Monitoring, das neue Registrierungen mit Ähnlichkeit zu Ihrer Brand erfasst, findet die Zielseite oft, bevor die Briefe ankommen, denn die Domains werden meist Tage oder Wochen vorher registriert.
3. Zielseiten schnell abschalten lassen. Eine Briefkampagne wirkt, solange die Seite hinter dem Code online ist. Ein eingespielter Phishing-Takedown bei Hoster und Registrar verkürzt dieses Zeitfenster. Vorher Beweise sichern: Unser Website-Scan speichert Screenshot und Quelltext, Wer hostet die Website? zeigt, wohin die Meldung gehen muss.
4. Den Auszahlungsschritt absichern. Ein neues Freigabegerät, eine geänderte Telefonnummer oder die erste Überweisung an einen neuen Empfänger sind Hochrisikoereignisse und verdienen zusätzliche Prüfungen und Wartezeiten. Phishing-resistente Verfahren wie Passkeys stoppen Kits, die Einmalcodes live weiterreichen.
5. Bilder in E-Mails prüfen. Für die eigenen Beschäftigten: E-Mail-Sicherheit, die QR-Codes im Text und in Anhängen ausliest, und QR-Codes in Phishing-Simulationen.
6. Einen Meldeweg für Kunden anbieten. Eine eigene Adresse oder ein Button in der App für verdächtige Briefe und Mails macht die Kundschaft zum Frühwarnsystem. Jede Meldung sollte in einen Takedown münden.
7. Bei laufenden Kampagnen konkret warnen. Zeigen Sie ein Bild des gefälschten Briefs, Absender und Vorwand. Allgemeine Phishing-Hinweise helfen niemandem, der einen überzeugenden Brief in der Hand hält.

Woran Sie einen gefälschten QR-Code erkennen

• Melden Sie sich nie über einen QR-Code im Online-Banking an. Öffnen Sie die App oder tippen Sie die Adresse selbst ein.
• Nutzen Sie einen Scanner, der die Adresse vor dem Öffnen anzeigt, und lesen Sie die Domain genau. Entscheidend ist der Teil direkt vor ".de" oder ".com".
• Prüfen Sie Codes im öffentlichen Raum auf Aufkleber. Am Parkautomaten lieber Münzen, Karte oder die offizielle App des Betreibers nutzen.
• Fordert ein Brief zum Scannen auf, rufen Sie Ihre Bank über die Nummer auf der offiziellen Website an oder sehen Sie im Postfach Ihres Online-Bankings nach. Kontaktdaten aus dem Brief sind tabu.
• Seien Sie bei Zeitdruck misstrauisch: Kontosperre, ablaufende Sicherheitsfunktion und "letzte Erinnerung" sind die häufigsten Vorwände.
• Installieren Sie keine Apps über einen QR-Code, den Sie nicht erwartet haben.

QR-Code gescannt und Daten eingegeben: Was tun?

Jetzt zählt jede Minute. Wenn Sie Bankdaten eingegeben oder etwas freigegeben haben:

1. Sperren Sie Online-Banking und Karten. Rufen Sie Ihre Bank an oder nutzen Sie den zentralen Sperr-Notruf 116 116, der rund um die Uhr erreichbar ist.
2. Ändern Sie die eingegebenen Passwörter und überall dort, wo Sie dasselbe Passwort verwenden.
3. Lassen Sie die Bank prüfen, ob neue Geräte registriert, Kontaktdaten geändert oder Überweisungen angestoßen wurden. Je früher, desto eher lassen sich Buchungen noch zurückholen.
4. Bewahren Sie Brief, E-Mail oder ein Foto des Aufklebers als Beweis auf und erstatten Sie Anzeige bei der Polizei, vor Ort oder über die Onlinewache Ihres Bundeslandes.
5. Melden Sie den Fall weiter: Phishing-Mails leiten Sie an das Phishing-Radar der Verbraucherzentrale weiter ([email protected]). Das BSI-Service-Center berät kostenlos unter 0800 274 1000, das Verbrauchertelefon der BaFin ist unter 0800 2 100 500 erreichbar.

Wer nur gescannt und die Seite geschlossen hat, ohne etwas einzugeben, ist in der Regel nicht betroffen. Schließen Sie den Tab und öffnen Sie die Seite nicht erneut.

Wo nebty unterstützt

Einen gedruckten Brief können wir nicht aufhalten. Wir kümmern uns um den Teil außerhalb Ihrer Systeme: nebty erkennt neue Domains, die Ihre Brand imitieren, prüft, was darauf läuft, und lässt Phishing-Seiten bei Hoster und Registrar abschalten, auch wenn ein Proxy den eigentlichen Anbieter verdeckt. Für Banken und Fintechs ist das meist der schnellste Hebel gegen eine Quishing-Kampagne, denn der Code im Brief ist wertlos, sobald die Seite dahinter offline ist.

Häufige Fragen