{"id":3962,"date":"2026-04-23T19:49:42","date_gmt":"2026-04-23T17:49:42","guid":{"rendered":"https:\/\/g7itchme.wordpress.com\/?p=3962"},"modified":"2026-04-23T19:49:42","modified_gmt":"2026-04-23T17:49:42","slug":"die-unsichtbare-gefahr-eine-technische-und-historische-analyse-von-qr-code-angriffen","status":"publish","type":"post","link":"https:\/\/technodidact.de\/en\/die-unsichtbare-gefahr-eine-technische-und-historische-analyse-von-qr-code-angriffen\/","title":{"rendered":"Die unsichtbare Gefahr: Eine technische und historische Analyse von QR-Code-Angriffen"},"content":{"rendered":"

Autor: DerSchneider<\/strong><\/p>\n\n\n\n

\n\n\n\n

Einleitung: Vom Komfort zur Verwundbarkeit<\/h2>\n\n\n\n

Die quadratischen Pixelmuster, die heute auf Speisekarten, Parkautomaten und Briefen der Krankenkasse prangen, haben eine bemerkenswerte Karriere hinter sich. Was in den 1990er Jahren als Werkzeug f\u00fcr die Fahrzeugverfolgung bei Denso Wave begann, hat sich zu einer ubiquit\u00e4ren Schnittstelle zwischen analoger und digitaler Welt entwickelt. Der Quick Response Code \u2013 so sein voller Name \u2013 verspricht Effizienz und Bequemlichkeit. Doch wie so oft in der Technikgeschichte erkaufen wir diesen Komfort mit einer neuartigen Verwundbarkeit.<\/p>\n\n\n\n

Dieser Artikel beleuchtet die technischen Grundlagen von QR-Code-Angriffen, ihre historische Entwicklung und die raffinierten Methoden, mit denen Kriminelle heute die Sicherheitsl\u00fccken unserer hybriden Welt ausnutzen. Dabei liegt ein besonderer Fokus auf der Frage, wie Unternehmen und Privatpersonen sich durch gezielte Simulationen und Awareness-Trainings gegen die wachsende Bedrohung durch „Quishing“ wappnen k\u00f6nnen.<\/p>\n\n\n\n

\n\n\n\n

Der blinde Fleck: Warum QR-Codes ein ideales Angriffswerkzeug sind<\/h2>\n\n\n\n

Die fundamentale Eigenschaft, die QR-Codes f\u00fcr Angreifer so attraktiv macht, ist gleichzeitig ihr gr\u00f6\u00dfter Schwachpunkt: Sie sind f\u00fcr Menschen nicht lesbar<\/strong>.<\/p>\n\n\n\n

Ein Hyperlink in einer E-Mail verr\u00e4t oft schon auf den ersten Blick seine wahre Natur. Die gr\u00fcne Schloss-Anzeige im Browser suggeriert (manchmal tr\u00fcgerische) Sicherheit. Ein QR-Code hingegen enth\u00e4lt lediglich eine visuell nicht entzifferbare Punktmatrix. Zwischen dem Scannen und dem Ergebnis liegt eine Blackbox, die der Nutzer nur schwer kontrollieren kann.<\/p>\n\n\n\n

Diese Eigenschaft f\u00fchrt zu einem architektonischen toten Winkel<\/strong> in den meisten Sicherheitskonzepten. W\u00e4hrend E-Mail-Gateways und Firewalls ausgefeilte Mechanismen zur URL-Analyse besitzen, sto\u00dfen sie bei Bildern, die einen QR-Code enthalten, an ihre Grenzen<\/a>. Ein Sicherheitssystem kann nicht „in“ einen QR-Code hineinsehen \u2013 es m\u00fcsste das Bild erst dekodieren, was rechenintensiv und in Echtzeit kaum zu leisten ist.<\/p>\n\n\n\n

Die Zahlen belegen die wachsende Bedeutung dieses Angriffsvektors: Im Jahr 2025 enthielten 12 Prozent aller Phishing-Angriffe einen QR-Code, verglichen mit lediglich 0,8 Prozent im Jahr 2021. Allein zwischen August und November 2025 stieg die Anzahl der entdeckten quishing-basierten Phishing-E-Mails von 47.000 auf \u00fcber 249.000 \u2013 eine Verf\u00fcnffachung innerhalb weniger Monate<\/a>.<\/p>\n\n\n\n

\n\n\n\n

Eine kurze Geschichte der QR-Code-Angriffe<\/h2>\n\n\n\n

Die Entwicklung der Angriffsmethoden folgt einem typischen Muster des Wettr\u00fcstens zwischen Angreifern und Verteidigern.<\/p>\n\n\n\n

Phase 1: Die naive Phase (2015\u20132020)<\/h3>\n\n\n\n

In den fr\u00fchen Jahren waren QR-Code-Angriffe simpel. Kriminelle klebten ihre eigenen Codes \u00fcber legitime Aufkleber an Parkautomaten oder in Restaurants. Die Schadsoftware war oft primitiv, die Phishing-Seiten leicht zu erkennen. Die Erfolgsquote war begrenzt \u2013 aber die Dunkelziffer vermutlich hoch, da viele Vorf\u00e4lle nicht dokumentiert wurden.<\/p>\n\n\n\n

Phase 2: Professionalisierung (2021\u20132023)<\/h3>\n\n\n\n

Mit der COVID-19-Pandemie erlebten QR-Codes einen nie dagewesenen Boom. Kontaktlose Speisekarten, digitale Check-ins f\u00fcr Restaurants und Impfnachweise machten die Technologie allgegenw\u00e4rtig. Angreifer professionalisierten ihre Methoden. Erste Phishing-as-a-Service (PhaaS)-Plattformen wie „Gabagool“ und „Tycoon 2FA“ boten vorgefertigte Quishing-Kits an<\/a>.<\/p>\n\n\n\n

Phase 3: Die arithmetische Eskalation (2024\u2013heute)<\/h3>\n\n\n\n

Die aktuellen Angriffsmethoden sind hochkomplex. Die Jaccard-\u00c4hnlichkeit \u2013 ein Ma\u00df f\u00fcr die \u00dcbereinstimmung zwischen verschiedenen Angriffsmustern \u2013 liegt bei Quishing-Kampagnen im Durchschnitt bei nur 0,209. Das bedeutet: Jede Kampagne sieht anders aus. Herk\u00f6mmliche Mustererkennungssysteme, die einen Schwellenwert von 0,30 ben\u00f6tigen, greifen hier nicht mehr zuverl\u00e4ssig<\/a>.<\/p>\n\n\n\n

\n\n\n\n

Die Anatomie moderner Quishing-Angriffe<\/h2>\n\n\n\n

Die technische Raffinesse heutiger Angriffe ist beachtlich. Die folgende Tabelle gibt einen \u00dcberblick \u00fcber die derzeit aktiven Angriffstechniken:<\/p>\n\n\n\n

Angriffstechnik<\/th>Funktionsweise<\/th>Erkennbarkeit<\/th>Verbreitung<\/th><\/tr><\/thead>
Statische QR-Codes mit Phishing-Links<\/strong><\/td>Code f\u00fchrt zu gef\u00e4lschter Login-Seite<\/td>Mittel (URL-Pr\u00fcfung m\u00f6glich)<\/td>Hoch<\/td><\/tr>
Geteilte QR-Codes<\/strong><\/td>Code wird auf zwei Bilder verteilt, einzeln harmlos<\/td>Gering (erfordert Bildzusammenf\u00fchrung)<\/td>Wachsend<\/td><\/tr>
Verschachtelte QR-Codes<\/strong><\/td>B\u00f6sartiger Code umgibt legitimen Code<\/td>Sehr gering (mehrdeutige Scannergebnisse)<\/td>Neu<\/td><\/tr>
Conditional Routing<\/strong><\/td>Ziel-URL variiert je nach Ger\u00e4t\/Browser<\/td>Gering (klassische Scanner werden get\u00e4uscht)<\/td>Wachsend<\/td><\/tr>
Deep-Link-Angriffe<\/strong><\/td>\u00d6ffnet App-Funktionen (z.\u202fB. Telegram-Konto-Verkn\u00fcpfung)<\/td>Sehr gering (umgeht Browser-Sicherheit)<\/td>Spezifisch (3% der Angriffe)<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

Die geteilte QR-Code-Attacke<\/h3>\n\n\n\n

Eine besonders raffinierte Entwicklung ist der geteilte QR-Code<\/strong>, der vom „Gabagool“ Phishing-as-a-Service-Kit popul\u00e4r gemacht wurde. Der Code wird dabei auf zwei separate Bilder aufgeteilt, die in eine E-Mail eingebettet werden. F\u00fcr ein herk\u00f6mmliches E-Mail-Sicherheitsgateway sind dies zwei harmlose Einzelbilder. Erst im E-Mail-Client des Opfers werden sie wieder zusammengesetzt \u2013 und der vollst\u00e4ndige, b\u00f6sartige QR-Code erscheint<\/a>.<\/p>\n\n\n\n

Bedingte Weiterleitung (Conditional Routing)<\/h3>\n\n\n\n

Die n\u00e4chste Evolutionsstufe ist das Conditional Routing<\/strong>. Der QR-Code enth\u00e4lt einen Link, der sein Ziel dynamisch basierend auf den Eigenschaften des aufrufenden Ger\u00e4ts w\u00e4hlt. Nutzt das Opfer ein Android-Smartphone? Dann f\u00fchrt der Code zu einer optimierten Phishing-Seite. Ist es ein iPhone? Eine andere Seite wird geladen. \u00dcberpr\u00fcft ein Sicherheits-Scanner den Link? Dann wird er auf eine harmlose Landingpage umgeleitet<\/a>.<\/p>\n\n\n\n

Die folgenden Parameter werden typischerweise ausgewertet:<\/p>\n\n\n\n