Phishing per QR-Code: Warum der Aushang im Büro zur Falle werden kann

Ein Aushang im Flur, ein QR-Code drauf, daneben der Satz „Bitte hier scannen für die neue WLAN-Zugangsdaten“. Wer hinterfragt das schon? Genau da liegt das Problem. Quishing macht sich exakt dieses blinde Vertrauen zunutze – und ein Büro ist für diese Masche fast wie gemacht.

Was ist Quishing genau?

Quishing ist die Kurzform aus QR-Code und Phishing. Statt eines Links in einer E-Mail bekommen Sie einen Code zum Scannen vorgesetzt, der Sie auf eine gefälschte Login-, Zahlungs- oder Malware-Seite schickt. Die Verbraucherzentrale beschreibt Quishing als gezielten Missbrauch von QR-Codes durch Kriminelle, verschickt über Mails, Briefe, den ÖPNV oder eben Aushänge – laut Verbraucherzentrale ist die Angriffsfläche entsprechend breit, weil QR-Codes inzwischen fast überall auftauchen, wo man sie früher nicht erwartet hätte.

Der Clou an Quishing: Ein QR-Code verrät seinem Ziel nicht auf den ersten Blick, wohin er führt. Anders als ein Link in einer Mail, den man mit etwas Übung wenigstens grob überfliegen kann, ist ein QR-Code für das menschliche Auge einfach ein Haufen schwarzer Quadrate. Vertrauen entsteht nicht durch die Adresse, sondern durch den Kontext – die Wand, an der der Code klebt, das Logo daneben, die Behauptung, es handle sich um etwas Offizielles.

Der Aushang im Büro – warum er ideal für Angreifer ist

Im öffentlichen Raum sind Menschen inzwischen etwas wacher geworden, wenn ein Zettel mit Code am Laternenmast klebt. Im Büro dagegen sinkt die Wachsamkeit rapide. Ein Aushang am Schwarzen Brett, neben dem Drucker oder in der Kaffeeküche wirkt automatisch amtlich – schließlich hängt er im geschützten, internen Bereich der Firma. Genau diese Innenraum-Logik nutzen Angreifer aus.

Das Pikante daran: Ein Papieraushang lässt sich in Sekunden manipulieren. Ein neuer QR-Code-Sticker über dem alten, ein ausgetauschtes Blatt, eine überklebte Ecke – niemand prüft täglich, ob der Aushang im Pausenraum noch der ist, der ursprünglich dort angebracht wurde. Wer Zugang zum Gebäude hat, ob als Lieferant, Reinigungskraft oder einfach als jemand, der sich unauffällig durch die Tür schleicht, kann den Code austauschen, ohne dass es auffällt.

Besonders brisant wird es, wenn der gefälschte Aushang Handlungsdruck erzeugt: „Passwort läuft ab, bitte sofort erneuern“, „Neue Zeiterfassung – jetzt anmelden“, „WLAN-Update erforderlich“. Solche Formulierungen funktionieren im Büroalltag erstaunlich gut, weil sie exakt die Sprache echter interner Kommunikation imitieren. Wenig überraschend, dass genau solche Themen in klassischen Phishing-Kampagnen ebenfalls auftauchen – nur eben über Mail statt über Papier. Wer sich schon einmal gefragt hat, warum im Browser gespeicherte Zugangsdaten überhaupt so ein attraktives Ziel sind, findet die Antwort in der Art, wie moderne Geräte Anmeldedaten verwalten: Sobald ein Angreifer über eine gefälschte Login-Seite an ein Passwort kommt, sind über Autofill-Funktionen und Browser-Synchronisation gespeicherte Passwörter häufig gleich mitbetroffen, weil sie über mehrere Geräte hinweg abgeglichen werden.

So läuft der Angriff technisch ab

Der Ablauf ist unspektakulär, und das ist Teil des Problems. Jemand scannt den Code mit dem Diensthandy oder dem privaten Smartphone. Die Kamera-App öffnet automatisch einen Link, oft ohne die vollständige Adresse anzuzeigen. Auf der Zielseite wartet dann entweder eine Fake-Login-Maske, die täuschend echt nach Microsoft 365, dem VPN-Portal oder dem HR-System aussieht, oder ein Download, der im Hintergrund Schadsoftware installiert.

Wer seine Zugangsdaten in eine solche Maske eingibt, liefert Angreifern nicht nur ein Passwort, sondern oft den Schlüssel zu einer ganzen Kette weiterer Angriffe. Gerade in Unternehmen mit Single-Sign-On kann ein einziges kompromittiertes Konto reichen, um sich lateral durchs Netzwerk zu bewegen. Die BaFin warnte bereits im Oktober 2024 ausdrücklich vor dieser Masche und wies darauf hin, dass Betrüger Briefe, E-Mails, SMS und WhatsApp-Nachrichten mit QR-Codes verschicken, die zu Fake-Websites oder Malware führen können. Der Aushang im Büro ist letztlich nur ein weiterer Kanal für dasselbe Grundmuster.

Warum Menschen im Büro besonders leicht darauf reinfallen

Plot Twist: Es ist nicht Dummheit, die Menschen scannen lässt. Es ist Routine. Wer täglich Dutzende QR-Codes für Kantinenbestellungen, Besprechungsraum-Buchungen oder Feedback-Umfragen scannt, entwickelt einen Reflex – sehen, scannen, weiter. Genau dieser Reflex wird zur Schwachstelle, sobald ein Code nicht das ist, wofür er sich ausgibt.

Hinzu kommt ein Autoritätseffekt: Ein Aushang mit Firmenlogo, in vertrauter Schriftart, an der gewohnten Stelle, wirkt automatisch legitim. Mitarbeitende gehen selten davon aus, dass jemand physisch ins Gebäude eindringt oder von innen manipuliert, um einen Zettel zu fälschen. Dabei braucht es dafür oft nicht mal einen Innentäter – ein unbeaufsichtigter Empfangsbereich oder ein offen zugängliches Treppenhaus reicht.

Ein QR-Code selbst ist kein Sicherheitsnachweis. Er ist nur ein Transportmittel für eine Adresse, die jemand hinterlegt hat. Entscheidend ist nicht, wie der Code aussieht, sondern wer ihn angebracht hat und wohin er tatsächlich führt – eine Einordnung, die sich aus den Warnhinweisen von Verbraucherzentrale und BaFin ziehen lässt, aber im Büroalltag selten mitgedacht wird. Dasselbe Prinzip kennt man aus dem Online-Handel, wo Betrüger ebenfalls Vertrauen und Zeitdruck kombinieren, damit Opfer nicht mehr genau hinschauen – etwa wenn Kundinnen und Kunden nach einer Zahlung im Online-Shop plötzlich blockiert werden und nur noch versuchen können, ihr Geld zurückzuholen. Der Mechanismus ist derselbe: Erst Vertrauen aufbauen, dann eine Handlung erzwingen, bevor Zweifel aufkommen können.

Was BaFin, Verbraucherzentrale und Co. empfehlen

Die Empfehlungen sind unspektakulär, aber wirksam, wenn sie tatsächlich befolgt werden. Die Verbraucherzentrale rät, QR-Codes nur zu scannen, wenn die Quelle vertrauenswürdig ist, und vor dem Öffnen die Zieladresse anzeigen zu lassen statt sie sofort aufzurufen. Die BaFin empfiehlt, Smartphones so einzustellen, dass Links nach dem Scannen erst angezeigt und nicht automatisch geöffnet werden – eine simple Einstellung, die viele Kamera-Apps und QR-Scanner ohnehin standardmäßig anbieten, wenn man einmal danach sucht.

Auch Sicherheitsbehörden ordnen QR-Code-Phishing in ihren allgemeinen Phishing-Warnungen längst als reales Angriffsmuster ein, nicht mehr als exotische Randerscheinung. Wer sich schon einmal mit klassischen Phishing-Wellen beschäftigt hat, etwa mit der aktuellen Bank-Phishing-Welle im Namen von DKB, Sparkasse und Volksbank, erkennt bei Quishing sofort das gleiche Baukastenprinzip: Dringlichkeit erzeugen, Vertrauen simulieren, auf eine gefälschte Login-Seite locken. Nur der Transportweg hat sich geändert.

Quishing erkennen: eine praktische Checkliste

Ein paar Sekunden Prüfung reichen oft, um den Unterschied zwischen echtem und gefälschtem Code zu erkennen. Folgendes lohnt sich vor dem Scannen:

• Sitzt der Sticker mit dem QR-Code bündig, oder klebt er schief über einem älteren Aushang?
• Stimmt die Zieladresse, die vor dem Öffnen angezeigt wird, mit einer bekannten, internen Domain überein?
• Wird auf dem Aushang ungewöhnlicher Zeitdruck aufgebaut – „sofort“, „heute noch“, „läuft in 24 Stunden ab“?
• Fragt die Zielseite nach Zugangsdaten, obwohl der Aushang eigentlich nur eine Info-Seite ankündigt?
• Ist der Aushang offiziell angekündigt worden, etwa per interner Mail oder im Intranet – oder taucht er einfach unangekündigt auf?

Keine dieser Fragen erfordert IT-Kenntnisse. Genau das macht die Checkliste alltagstauglich, auch für Mitarbeitende, die mit Cybersicherheit sonst wenig zu tun haben.

Vom Klick zur Krise: Wie schnell aus Quishing echter Schaden wird

Ein einzelner gescannter Code wirkt im ersten Moment harmlos. Problematisch wird es, wenn man bedenkt, wie wenig Zeit Angreifer inzwischen brauchen, um aus einem kompromittierten Konto handfesten Schaden zu machen. Ein gestohlenes Passwort öffnet im schlimmsten Fall nicht nur ein E-Mail-Postfach, sondern über Single-Sign-On gleich mehrere interne Systeme – von der Personalakte bis zum Zugriff auf Kundendaten. Von dort aus ist der Weg zu einer groß angelegten Erpressung oft kürzer, als viele annehmen. Genau solche Ketten stehen auch hinter Warnungen, wie sie das BSI regelmäßig veröffentlicht, etwa wenn Behörden explizit vor Ransomware-Gruppen wie „The Gentlemen“ warnen, die sich genau solche initialen Zugänge zunutze machen, um anschließend ganze Netzwerke zu verschlüsseln. Der harmlose Aushang im Flur ist damit nicht das Ende der Geschichte, sondern oft nur der erste Schritt einer viel größeren Angriffskette.

Für Unternehmen bedeutet das: Die Kosten eines erfolgreichen Quishing-Angriffs lassen sich selten auf ein einzelnes gestohlenes Passwort reduzieren. Betriebsunterbrechungen, forensische Untersuchungen, mögliche Meldepflichten gegenüber Aufsichtsbehörden bei Datenabfluss und nicht zuletzt der Reputationsschaden bei Kunden und Partnern summieren sich schnell zu einem Vielfachen dessen, was eine einfache Awareness-Maßnahme gekostet hätte. Wer als Unternehmen personenbezogene Daten verarbeitet, muss im Ernstfall zudem prüfen, ob eine Meldung nach den Vorschriften der Datenschutz-Grundverordnung notwendig wird – ein Prozess, der Zeit, Ressourcen und rechtliche Beratung bindet, während im Hintergrund unter Umständen noch immer unklar ist, wie weit ein Angreifer bereits vorgedrungen ist.

Ein realistisches Szenario aus dem Büroalltag

Stellen Sie sich Folgendes vor: Montagmorgen, die IT-Abteilung hat tatsächlich ein Update für das interne WLAN angekündigt, allerdings über eine E-Mail, nicht über einen Aushang. Trotzdem hängt am Dienstag plötzlich ein Zettel neben dem Kaffeeautomaten, der behauptet, genau dieses Update erfordere eine erneute Anmeldung per QR-Code. Die Formulierung ist geschickt gewählt, weil sie an eine echte, bereits bekannte Ankündigung anschließt – genau das erhöht die Glaubwürdigkeit enorm.

Ein Kollege scannt den Code in der Mittagspause, weil er es eilig hat und der Aushang genau in dem Moment auffällt, in dem ohnehin an das WLAN-Update gedacht wurde. Die Zielseite sieht aus wie das gewohnte Login-Portal, fragt nach dem üblichen Benutzernamen und Passwort – und schon sind die Zugangsdaten in den Händen der Angreifer. Bemerkt wird der Vorfall im besten Fall noch am selben Tag, wenn jemand aus dem Team stutzig wird, weil die Formatierung des Aushangs nicht ganz zur sonstigen internen Kommunikation passt, oder wenn ungewöhnliche Login-Versuche im System auffallen. Im schlechtesten Fall bleibt der Vorfall Wochen unentdeckt, während sich Angreifer in Ruhe im Netzwerk umsehen.

Dieses Szenario ist bewusst nüchtern gehalten, weil genau diese Nüchternheit den Kern des Problems trifft: Es braucht keine hochkomplexe Hacker-Inszenierung, sondern nur ein Stück Papier, etwas Beobachtungsgabe der Angreifer und einen kurzen Moment mangelnder Aufmerksamkeit bei den Betroffenen.

Was tun, wenn schon gescannt und Daten eingegeben wurden

Passiert ist passiert – Panik hilft niemandem, schnelles Handeln schon. Wer bemerkt, dass er auf einer gefälschten Login-Seite Zugangsdaten eingegeben hat, sollte das betroffene Passwort umgehend ändern, und zwar nicht über den verdächtigen Link, sondern über die reguläre, bekannte Adresse des Dienstes. Danach: IT-Abteilung informieren, auch wenn es unangenehm ist. Je früher ein kompromittiertes Konto gesperrt oder überwacht wird, desto kleiner das Zeitfenster für Angreifer, damit etwas anzustellen.

Wurde stattdessen eine Datei heruntergeladen oder installiert, gilt: Gerät möglichst vom Netzwerk trennen, bevor sich etwaige Schadsoftware weiter ausbreiten kann. Auch hier zahlt sich eine schnelle Meldung an die IT aus – lieber einmal zu oft Alarm geschlagen als eine stille Kompromittierung, die sich erst Wochen später als Datenabfluss oder Ransomware-Befall zeigt.

Und ja, das gilt auch dann, wenn der Aushang scheinbar hausintern und harmlos aussah. Gerade weil das Vertrauen in interne Kommunikation so hoch ist, sollte die Meldeschwelle bei ungewöhnlichen QR-Aktionen niedrig bleiben. Niemand wird für eine gemeldete Falschmeldung gerügt – für ein verschwiegenes echtes Problem schon eher.

So schützt ein Büro sich vor manipulierten QR-Aushängen

Organisatorisch lässt sich das Risiko deutlich senken, ohne dass es viel kostet. Aushänge mit QR-Codes sollten grundsätzlich zentral freigegeben werden, idealerweise mit einer erkennbaren, einheitlichen Gestaltung, die schwer zu kopieren ist. Wer als Unternehmen ohnehin regelmäßig QR-Codes für interne Zwecke nutzt, tut gut daran, diese über einen festen, bekannten internen Domainnamen zu verlinken statt über beliebige Kurzlink-Dienste – dann fällt eine falsche Zieladresse schneller auf.

Sensible Bereiche wie Empfang, Treppenhaus und Pausenräume profitieren zudem von einer klaren Regel: Neue Aushänge nur nach Rücksprache mit Facility Management oder IT, nicht einfach von jedem selbst angepinnt. Das klingt bürokratisch, verhindert aber genau das Einschleusen manipulierter Codes durch Dritte.

Technisch lässt sich ergänzend einiges tun, ohne dass es die Nutzung im Alltag spürbar erschwert. Auf Diensthandys kann eine Mobile-Device-Management-Lösung so konfiguriert werden, dass gescannte Links zunächst über einen sicheren Browser mit Phishing-Filter geöffnet werden, statt direkt in der Standard-App zu landen. Manche Unternehmen setzen zusätzlich auf QR-Scanner-Apps, die die vollständige Ziel-URL grundsätzlich anzeigen und bei bekannten Phishing-Mustern warnen, bevor überhaupt eine Verbindung aufgebaut wird. Solche Maßnahmen ersetzen keine Aufmerksamkeit, nehmen aber einen Teil des Risikos aus der Gleichung, gerade in Momenten, in denen Mitarbeitende unter Zeitdruck schnell reagieren.

Und dann ist da noch die Awareness-Frage, die sich niemand gerne stellt: Wie oft wird in Ihrem Unternehmen tatsächlich über Quishing gesprochen, verglichen mit klassischem Mail-Phishing? Vermutlich selten bis nie. Dabei wäre eine kurze Schulung, die Kolleginnen und Kollegen zeigt, wie man eine Ziel-URL vor dem Scannen prüft, mit wenig Aufwand umsetzbar – und würde genau die Lücke schließen, die Angreifer aktuell noch relativ ungestört ausnutzen können. Sinnvoll ist es auch, das Thema fest in bestehende Awareness-Formate wie simulierte Phishing-Mails einzubauen und dort gezielt auch simulierte QR-Code-Szenarien zu ergänzen, damit Mitarbeitende die Masche nicht nur theoretisch kennen, sondern einmal in einer sicheren Umgebung selbst erlebt haben.

Ein Blick auf mögliche Einwände

Man könnte einwenden, dass all das nach viel Aufwand für ein vergleichsweise seltenes Angriffsszenario klingt. Tatsächlich sind physisch angebrachte, gefälschte QR-Codes im Büro bislang seltener öffentlich dokumentiert als klassisches Mail-Phishing. Das ändert aber wenig an der Grundlogik: Sicherheitsmaßnahmen lohnen sich in der Regel gerade dann, wenn ein Angriffsweg noch wenig beachtet wird, weil genau diese Unaufmerksamkeit ihn für Kriminelle attraktiv macht. Wer wartet, bis der erste Vorfall im eigenen Unternehmen bekannt wird, handelt reaktiv statt präventiv – und trägt im Ernstfall die vollen Kosten eines Vorfalls, den ein paar einfache organisatorische Regeln vermutlich verhindert hätten.

Ein weiterer möglicher Einwand: Mitarbeitende ließen sich ohnehin nicht dazu bringen, bei jedem Aushang misstrauisch zu sein, das widerspreche der Praktikabilität im Alltag. Auch hier gilt: Es geht nicht darum, jeden QR-Code generell zu meiden, sondern darum, ein gesundes Grundmaß an Prüfung zu etablieren, ähnlich wie es längst bei E-Mail-Anhängen oder unbekannten Links üblich ist. Niemand erwartet, dass jede einzelne Kantinenbestellung zum Sicherheitsaudit wird – aber ein kurzer Blick auf die angezeigte Ziel-URL kostet kaum mehr Zeit als das Scannen selbst.

Was bleibt?

Der Aushang im Büro ist kein Hochsicherheitstrakt, aber genau deshalb so anfällig. Ein Stück Papier, ein Sticker, ein bisschen dreiste Chuzpe – und schon ist Quishing keine abstrakte Bedrohung mehr, sondern ein Zettel neben der Kaffeemaschine. Die Frage ist weniger, ob so ein Angriff funktioniert, sondern wie lange es dauert, bis er in Ihrem Büro auffällt.