Die unsichtbare Gefahr: Eine technische und historische Analyse von QR-Code-Angriffen

Autor: DerSchneider

Einleitung: Vom Komfort zur Verwundbarkeit

Die quadratischen Pixelmuster, die heute auf Speisekarten, Parkautomaten und Briefen der Krankenkasse prangen, haben eine bemerkenswerte Karriere hinter sich. Was in den 1990er Jahren als Werkzeug für die Fahrzeugverfolgung bei Denso Wave begann, hat sich zu einer ubiquitären Schnittstelle zwischen analoger und digitaler Welt entwickelt. Der Quick Response Code – so sein voller Name – verspricht Effizienz und Bequemlichkeit. Doch wie so oft in der Technikgeschichte erkaufen wir diesen Komfort mit einer neuartigen Verwundbarkeit.

Dieser Artikel beleuchtet die technischen Grundlagen von QR-Code-Angriffen, ihre historische Entwicklung und die raffinierten Methoden, mit denen Kriminelle heute die Sicherheitslücken unserer hybriden Welt ausnutzen. Dabei liegt ein besonderer Fokus auf der Frage, wie Unternehmen und Privatpersonen sich durch gezielte Simulationen und Awareness-Trainings gegen die wachsende Bedrohung durch „Quishing“ wappnen können.

Der blinde Fleck: Warum QR-Codes ein ideales Angriffswerkzeug sind

Die fundamentale Eigenschaft, die QR-Codes für Angreifer so attraktiv macht, ist gleichzeitig ihr größter Schwachpunkt: Sie sind für Menschen nicht lesbar.

Ein Hyperlink in einer E-Mail verrät oft schon auf den ersten Blick seine wahre Natur. Die grüne Schloss-Anzeige im Browser suggeriert (manchmal trügerische) Sicherheit. Ein QR-Code hingegen enthält lediglich eine visuell nicht entzifferbare Punktmatrix. Zwischen dem Scannen und dem Ergebnis liegt eine Blackbox, die der Nutzer nur schwer kontrollieren kann.

Diese Eigenschaft führt zu einem architektonischen toten Winkel in den meisten Sicherheitskonzepten. Während E-Mail-Gateways und Firewalls ausgefeilte Mechanismen zur URL-Analyse besitzen, stoßen sie bei Bildern, die einen QR-Code enthalten, an ihre Grenzen. Ein Sicherheitssystem kann nicht „in“ einen QR-Code hineinsehen – es müsste das Bild erst dekodieren, was rechenintensiv und in Echtzeit kaum zu leisten ist.

Die Zahlen belegen die wachsende Bedeutung dieses Angriffsvektors: Im Jahr 2025 enthielten 12 Prozent aller Phishing-Angriffe einen QR-Code, verglichen mit lediglich 0,8 Prozent im Jahr 2021. Allein zwischen August und November 2025 stieg die Anzahl der entdeckten quishing-basierten Phishing-E-Mails von 47.000 auf über 249.000 – eine Verfünffachung innerhalb weniger Monate.

Eine kurze Geschichte der QR-Code-Angriffe

Die Entwicklung der Angriffsmethoden folgt einem typischen Muster des Wettrüstens zwischen Angreifern und Verteidigern.

Phase 1: Die naive Phase (2015–2020)

In den frühen Jahren waren QR-Code-Angriffe simpel. Kriminelle klebten ihre eigenen Codes über legitime Aufkleber an Parkautomaten oder in Restaurants. Die Schadsoftware war oft primitiv, die Phishing-Seiten leicht zu erkennen. Die Erfolgsquote war begrenzt – aber die Dunkelziffer vermutlich hoch, da viele Vorfälle nicht dokumentiert wurden.

Phase 2: Professionalisierung (2021–2023)

Mit der COVID-19-Pandemie erlebten QR-Codes einen nie dagewesenen Boom. Kontaktlose Speisekarten, digitale Check-ins für Restaurants und Impfnachweise machten die Technologie allgegenwärtig. Angreifer professionalisierten ihre Methoden. Erste Phishing-as-a-Service (PhaaS)-Plattformen wie „Gabagool“ und „Tycoon 2FA“ boten vorgefertigte Quishing-Kits an.

Phase 3: Die arithmetische Eskalation (2024–heute)

Die aktuellen Angriffsmethoden sind hochkomplex. Die Jaccard-Ähnlichkeit – ein Maß für die Übereinstimmung zwischen verschiedenen Angriffsmustern – liegt bei Quishing-Kampagnen im Durchschnitt bei nur 0,209. Das bedeutet: Jede Kampagne sieht anders aus. Herkömmliche Mustererkennungssysteme, die einen Schwellenwert von 0,30 benötigen, greifen hier nicht mehr zuverlässig.

Die Anatomie moderner Quishing-Angriffe

Die technische Raffinesse heutiger Angriffe ist beachtlich. Die folgende Tabelle gibt einen Überblick über die derzeit aktiven Angriffstechniken:

Die geteilte QR-Code-Attacke

Eine besonders raffinierte Entwicklung ist der geteilte QR-Code, der vom „Gabagool“ Phishing-as-a-Service-Kit populär gemacht wurde. Der Code wird dabei auf zwei separate Bilder aufgeteilt, die in eine E-Mail eingebettet werden. Für ein herkömmliches E-Mail-Sicherheitsgateway sind dies zwei harmlose Einzelbilder. Erst im E-Mail-Client des Opfers werden sie wieder zusammengesetzt – und der vollständige, bösartige QR-Code erscheint.

Bedingte Weiterleitung (Conditional Routing)

Die nächste Evolutionsstufe ist das Conditional Routing. Der QR-Code enthält einen Link, der sein Ziel dynamisch basierend auf den Eigenschaften des aufrufenden Geräts wählt. Nutzt das Opfer ein Android-Smartphone? Dann führt der Code zu einer optimierten Phishing-Seite. Ist es ein iPhone? Eine andere Seite wird geladen. Überprüft ein Sicherheits-Scanner den Link? Dann wird er auf eine harmlose Landingpage umgeleitet.

Die folgenden Parameter werden typischerweise ausgewertet:

• User-Agent (Betriebssystem und Browsertyp)
• Bildschirmauflösung
• IP-Adresse und Geolokation
• Spracheinstellungen des Geräts
• Vorhandensein bestimmter Cookies

Diese Technik macht automatisierte Analysen extrem schwierig. Ein Sicherheits-Scanner, der verdächtige Links in einer Sandbox öffnet, wird höchstwahrscheinlich auf eine harmlose Seite geleitet, während der echte Nutzer auf die Phishing-Seite umgeleitet wird.

Deep-Link-Angriffe: Die unsichtbare Bedrohung

Die vielleicht besorgniserregendste Entwicklung sind Deep-Link-Angriffe, die etwa 3 Prozent der QR-Codes in der Telemetrie ausmachen. Diese Codes öffnen keine Webseiten, sondern lösen direkt Funktionen in installierten Apps aus – ohne dass ein Browser durchlaufen wird. Für Sicherheitstools sind sie daher praktisch unsichtbar.

Besonders alarmierend: 44,7 Prozent dieser bösartigen Deep-Links zielen auf Telegram ab. Die Angreifer nutzen die Funktion, über QR-Codes neue Geräte mit einem bestehenden Konto zu verknüpfen. Scannt das Opfer den Code, erhält der Angreifer vollen Zugriff auf das Telegram-Konto.

Spezifische Schwachstellen und betroffene Systeme

Die Frage, ob bestimmte Telefonmarken oder Software-Eigenschaften besonders gefährdet sind, lässt sich nicht pauschal beantworten. Die Verwundbarkeit liegt weniger in der Hardware als in der Kombination aus Nutzerverhalten, Betriebssystem-Sicherheitseinstellungen und der Art der implementierten QR-Code-Funktionalität.

Betriebssystem-spezifische Risiken

Android-Geräte sind aufgrund ihrer offenen Architektur und der Möglichkeit, Apps aus Drittquellen zu installieren, potenziell stärker gefährdet. Viele Quishing-Angriffe versuchen, das Opfer zum Herunterladen einer APK-Datei zu bewegen – ein Vorgang, der unter Android im Vergleich zu iOS einfacher ist.

iOS-Geräte profitieren von Apples strikteren Sicherheitsvorkehrungen, insbesondere dem Umstand, dass Apps nur über den offiziellen App Store installiert werden können. Dennoch sind auch iPhones nicht immun gegen Phishing, da die gefälschten Login-Seiten browserbasiert funktionieren.

Die Rolle der Standard-Kamera-App

Ein kritisches Sicherheitsproblem ist, dass die meisten Smartphone-Kamera-Apps keine URL-Inspektion vor dem Öffnen erlauben. Der Nutzer scannt einen Code – und die App öffnet sofort das Ziel, ohne Warnung, ohne Zwischenstopp. Dieses Verhalten ist bequem, aber hochriskant.

Exynos-Chipsatz-Schwachstellen

Die im vorherigen Artikel erwähnten Exynos-Schwachstellen betreffen zwar reale Sicherheitslücken, sind jedoch nicht direkt auf QR-Codes zurückzuführen. Sie zeigen lediglich, dass Zero-Click-Exploits existieren – und dass diese theoretisch auch über QR-Codes ausgelöst werden könnten, wenn der Code eine bestimmte Funktion aufruft, die die Schwachstelle triggert.

Angriffe auf hochsichere Umgebungen: Der Fall Kimsuky

Besonders besorgniserregend ist die Nutzung von Quishing durch staatlich unterstützte Akteure. Die nordkoreanische Hackergruppe Kimsuky hat sich auf speerphishing-basierte QR-Code-Angriffe auf Think Tanks, NGOs und Regierungsorganisationen spezialisiert.

Die Angriffskette ist hochgradig raffiniert:

1. Initiale Kontaktaufnahme: Die Angreifer geben sich als vertrauenswürdige Kontakte aus (ausländische Berater, Botschaftsmitarbeiter).
2. QR-Code-Versendung: Per E-Mail wird ein QR-Code versendet, angeblich zur Teilnahme an einer Konferenz oder zum Öffnen eines sicheren Laufwerks.
3. Umleitungsketten: Der Code leitet über mehrere Redirector-Domains weiter, die zunächst das Gerät analysieren (User-Agent, IP, Sprache, Bildschirmgröße).
4. Bedingte Auslieferung: Abhängig von der Analyse wird entweder eine optimierte Phishing-Seite ausgeliefert – oder der Nutzer wird auf eine harmlose Seite umgeleitet, wenn der Traffic von einem Sicherheits-Scanner zu stammen scheint.
5. Credential- und Session-Hijacking: Nachdem das Opfer seine Zugangsdaten und den Zwei-Faktor-Code eingegeben hat, werden sowohl Credentials als auch Session-Cookies erbeutet.
6. Persistenz: Mit den gestohlenen Tokens wird dauerhafter Zugriff etabliert, selbst wenn das Passwort später geändert wird.

Der folgende Code-Auszug zeigt vereinfacht, wie die serverseitige Logik solcher Angriffe funktionieren könnte:

python

def handle_qr_scan(request):
    user_agent = request.headers.get('User-Agent')
    ip_address = request.remote_addr
    
    # Erkennung von Sicherheits-Scannern
    if is_security_scanner(user_agent, ip_address):
        return redirect('https://harmlose-seite.com')
    
    # Gerätespezifische Phishing-Seite
    if 'Android' in user_agent:
        return redirect('https://phishing-site.com/android/login')
    elif 'iPhone' in user_agent:
        return redirect('https://phishing-site.com/ios/login')
    else:
        return redirect('https://phishing-site.com/generic/login')

Die Praxis der Sensibilisierung: Simulationen und Trainings

Die Erkenntnis, dass technische Schutzmaßnahmen allein nicht ausreichen, hat zu einer Renaissance von Sicherheits-Awareness-Trainings geführt. Mehrere Anbieter – darunter Microsoft, uSecure und das von der NRW-Landesregierung geförderte SecAware-Projekt – bieten mittlerweile spezifische Schulungsmodule zu Quishing an.

Die Wirksamkeit simulierter Angriffe

Die Forschung zeigt: Die effektivste Methode, Mitarbeiter für die Gefahren von Quishing zu sensibilisieren, ist die durchgeführte Simulation eines Angriffs.

Eine solche Simulation folgt typischerweise diesem Ablauf:

1. Das Sicherheitsteam erstellt eine harmlose, aber realistisch wirkende E-Mail mit einem QR-Code
2. Die E-Mail wird an eine Gruppe von Mitarbeitern versendet
3. Das Scannen des Codes führt auf eine Schulungsseite, die den simulierten Angriff erklärt
4. Die Ergebnisse werden anonym ausgewertet
5. Mitarbeiter, die den Code gescannt haben, erhalten zusätzliche Schulungsinhalte

Die folgende Tabelle zeigt die typischen Ergebnisse solcher Simulationen (basierend auf aggregierten Branchendaten):

Eigenständige Durchführung einer Simulation

Für kleinere Unternehmen oder Abteilungen kann eine Quishing-Simulation auch ohne teure kommerzielle Tools durchgeführt werden. Die folgende Anleitung beschreibt eine praxiserprobte Methode.

Schritt 1: Erstellung der Demoseite

Erstellen Sie eine simple HTML-Datei, die den simulierten Angriff erklärt. Wichtig: Der Ton sollte lehrreich sein, nicht beschämend.

html

<!DOCTYPE html>
<html lang="de">
<head>
    <meta charset="UTF-8">
    <title>Sicherheitswarnung – Test</title>
    <style>
        body { background-color: #8B0000; color: white; font-family: Arial, sans-serif; text-align: center; padding: 2rem; }
        .box { background: rgba(0,0,0,0.7); border-radius: 20px; padding: 2rem; max-width: 600px; margin: 2rem auto; }
    </style>
</head>
<body>
<div class="box">
    <h1>⚠️ ACHTUNG – SIMULATION ⚠️</h1>
    <p><strong>Dies war ein Test-QR-Code.</strong> Ein wirklich bösartiger Code hätte jetzt:</p>
    <ul style="text-align: left; display: inline-block;">
        <li>Ihre Kontaktdaten ausgelesen</li>
        <li>Eine gefälschte Login-Seite geöffnet</li>
        <li>Schadsoftware heruntergeladen</li>
    </ul>
    <p>Die gute Nachricht: Es war nur ein Test. Die schlechte Nachricht: Es hätte auch ein echter Angriff sein können.</p>
    <p><strong>So schützen Sie sich:</strong> Scannen Sie nur vertrauenswürdige QR-Codes, prüfen Sie die Ziel-URL vor dem Öffnen und halten Sie Ihr Gerät aktuell.</p>
</div>
</body>
</html>

Schritt 2: Hosting der Demoseite

Die Datei muss unter einer erreichbaren URL abgelegt werden. Für interne Tests genügt ein einfacher Webserver:

• Python: python -m http.server 8000
• Node.js: npx http-server

Die lokale IP-Adresse (z. B. 192.168.1.100:8000) wird dann für den QR-Code verwendet.

Schritt 3: QR-Code-Generierung

Nutzen Sie ein kostenloses Tool wie qrencode (Linux/Mac/Windows mit WSL):

bash

qrencode -o simulation-qr.png "http://192.168.1.100:8000/qr-warnung.html"

Schritt 4: Durchführung

• Informieren Sie vorab, dass eine Schulungsmaßnahme durchgeführt wird (nicht nötig, den genauen Zeitpunkt zu verraten)
• Versenden Sie die E-Mail mit dem QR-Code
• Werten Sie die Zugriffe auf Ihre Demoseite aus (Logfiles des Webservers)
• Besprechen Sie die Ergebnisse in einer Teamrunde – ohne Schuldzuweisungen, sondern mit konstruktiven Lösungen

Die fortgeschrittene Variante: Conditional Routing simulieren

Für technisch versierte Teams bietet sich eine komplexere Simulation an, die das Prinzip des Conditional Routing demonstriert. Eine einfache serverseitige Logik könnte so aussehen:

python

from flask import Flask, request, redirect

app = Flask(__name__)

@app.route('/qr-redirect')
def qr_redirect():
    ua = request.headers.get('User-Agent', '')
    
    # Erkennung von Sicherheits-Scannern (simuliert)
    if 'bot' in ua.lower() or 'scanner' in ua.lower():
        return redirect('https://harmlose-demo-seite.de')
    
    # Gerätespezifische Seiten
    if 'Android' in ua:
        return redirect('https://android-spezifische-schulung.de')
    elif 'iPhone' in ua:
        return redirect('https://ios-spezifische-schulung.de')
    else:
        return redirect('https://generische-schulung.de')

Diese Simulation zeigt eindrücklich, wie sich Angreifer an das jeweilige Zielgerät anpassen können – ein Aha-Erlebnis, das nachhaltiger wirkt als jede PowerPoint-Präsentation.

Messbare Ergebnisse und empirische Belege

Die Wirksamkeit solcher Simulationen ist durch verschiedene Studien belegt. Die Anti-Phishing Working Group (APWG) berichtet, dass Unternehmen, die regelmäßige Quishing-Simulationen durchführen, die Erfolgsquote realer Angriffe um 60-80 Prozent senken können.

Die Telemetrie von Palo Alto Networks Unit 42 zeigt, dass täglich durchschnittlich 75.000 QR-Codes in ihren Webcrawlern identifiziert werden – von denen 15 Prozent zu bösartigen Zielen führen. Das sind über 11.000 bösartige QR-Codes pro Tag.

Besonders bemerkenswert ist der Anstieg von QR-Code-Verkürzungsdiensten in bösartigen Kampagnen: zwischen dem ersten Halbjahr 2023 und dem ersten Halbjahr 2024 um 55 Prozent, zwischen dem ersten Halbjahr 2024 und dem ersten Halbjahr 2025 um weitere 44 Prozent.

Gegenmaßnahmen: Ein mehrschichtiger Ansatz

Die Abwehr von Quishing erfordert eine Kombination aus technischen und menschlichen Faktoren.

Technische Schutzmaßnahmen

1. Multimodale KI in E-Mail-Gateways: Moderne Lösungen verwenden OCR (Optical Character Recognition) und Deep-Image-Processing, um QR-Codes in E-Mails zu erkennen und zu analysieren.
2. URL-Inspektion im QR-Scanner: Nutzen Sie QR-Scanner-Apps, die die Ziel-URL vor dem Öffnen anzeigen. Viele Standard-Kamera-Apps bieten diese Funktion nicht.
3. Mobile Device Management (MDM): In Unternehmensumgebungen können MDM-Lösungen das Scannen von QR-Codes auf verwalteten Geräten kontrollieren oder einschränken.
4. Regelmäßige Sicherheitsupdates: Die zeitnahe Installation von Betriebssystem- und App-Updates schließt bekannte Sicherheitslücken.

Menschliche Schutzmaßnahmen

1. Misstrauen als Standardhaltung: Ein gesundes Misstrauen gegenüber unerwarteten QR-Codes ist die effektivste Verteidigung.
2. Quellenprüfung: Scannen Sie nur Codes aus absolut vertrauenswürdigen Quellen. Ein Aufkleber auf einem Parkscheinautomaten ist keine vertrauenswürdige Quelle.
3. Die „Hover-and-Think“-Regel: Auch wenn QR-Codes kein Darüber-Hovern erlauben: Nehmen Sie sich die zwei Sekunden, um über die Situation nachzudenken. Warum gerade jetzt dieser Code? Von wem stammt er wirklich?
4. Zwei-Faktor-Authentisierung (2FA): Selbst wenn Credentials erbeutet werden, schützt 2FA vor unbefugtem Zugriff – allerdings nur, wenn der zweite Faktor nicht ebenfalls kompromittiert wird.

Organisatorische Schutzmaßnahmen

1. Regelmäßige Schulungen: Einmalige Trainings verpuffen nach wenigen Monaten. Wiederholende, kurze Schulungseinheiten sind effektiver.
2. Simulierte Angriffe: Testen Sie Ihre Mitarbeiter mit kontrollierten Quishing-Simulationen – und besprechen Sie die Ergebnisse konstruktiv.
3. Meldekultur etablieren: Mitarbeiter sollten verdächtige QR-Codes ohne Angst vor Sanktionen melden können.

Ausblick: Die Zukunft von Quishing

Die Entwicklung der Angriffsmethoden wird sich voraussichtlich weiter beschleunigen. Drei Trends zeichnen sich ab:

1. KI-generierte QR-Codes

Generative KI wird es Angreifern ermöglichen, QR-Codes zu erstellen, die von menschlichen und maschinellen Augen nur schwer von echten Codes zu unterscheiden sind.

2. Multispektrale Angriffe

Die Kombination von QR-Codes mit anderen Angriffsvektoren (z. B. SMS-Phishing, Voice-Phishing) wird die Erkennung weiter erschweren.

3. Deep-Link-Exploits

Mit der wachsenden Bedeutung von Super-Apps (wie WeChat, Telegram oder WhatsApp) werden Deep-Link-Angriffe zunehmen. Die Entdeckung neuer Schwachstellen in diesen Apps ist programmiert.

Fazit: Die Lehren aus der Technikgeschichte

Die Geschichte der Technik lehrt uns eines: Jede neue Bequemlichkeit bringt neue Verwundbarkeiten mit sich. Die Dampfmaschine erforderte Sicherheitsventile gegen Kesselexplosionen, das Automobil brachte Gurte und Airbags hervor, und das Internet zwang uns zur Auseinandersetzung mit Passwörtern und Verschlüsselung.

Der QR-Code ist keine Ausnahme. Er ist ein mächtiges Werkzeug, das unseren Alltag erleichtert – aber er ist auch ein Einfallstor, das wir mit Bedacht nutzen müssen. Die gute Nachricht: Die notwendigen Schutzmaßnahmen sind weder komplex noch teuer. Ein wachsames Auge, ein gesundes Misstrauen und regelmäßige Sensibilisierung sind oft die effektivste Verteidigung.

Der Autor dieses Artikels plädiert daher für eine Kultur der technischen Achtsamkeit – nicht als Ausdruck von Angst, sondern als Zeichen von Mündigkeit in einer zunehmend digitalisierten Welt.

Quellen

1. Institut für Internet-Sicherheit (if(is)) der Westfälischen Hochschule Gelsenkirchen: „Achtung Quishing: Welche Gefahren hinter den praktischen QR-Codes stecken können“, 2025 
2. SOS Ransomware: „Quishing: Anatomie einer schnell wachsenden Bedrohung“, 2026 
3. Barracuda Networks: „Threat Spotlight: Geteilte und verschachtelte QR-Codes befeuern eine neue Generation von ‚Quishing‘-Angriffen“, August 2025 
4. Check Point Software Technologies: „Conditional QR Code Routing Attacks“, Global Security Mag Online, April 2026 
5. HEAL Security / FBI: „FBI Warns of Kimsuky Actors Leverage Malicious QR Codes to Target U.S. Organizations“, Januar 2026 
6. Microsoft Learn: „Schulungsmodule für Trainingskampagnen in Angriffssimulationstraining – Microsoft Defender for Office 365“, November 2024 
7. Ruhr-Universität Bochum: „SecAware.nrw – Sensibilisierungsschulungen“, Oktober 2025 
8. uSecure Help Center: „Senden Sie simulierte QR-Code-Angriffe an Ihre Benutzer“ 
9. Go Packages: „CrossCheck – Cross Device Authentication Testing Tool“