146 Prozent mehr QR-Code-Angriffe in zwei Monaten

Ein kurzer Scan und die Falle schnappt zu. Der Anstieg von Angriffen per QR-Code markiert einen besorgniserregenden Trend im Phishing-Umfeld. Das Risiko geht nicht unbedingt von neuer Malware oder raffinierten Exploits aus. Vielmehr wird das blinde Vertrauen in QR-Codes zum Verhängnis. Für Angreifer haben sich die kleinen Quadrate zu einem der beliebtesten Werkzeuge entwickelt, um Nutzer auf schädliche Seiten zu lotsen. Mobilgeräte und Browser-Umgebungen rücken in den Fokus. Hier haben viele Sicherheitslösungen nur wenig Einblick.

Die Zahlen bestätigen, dass es sich dabei keineswegs um eine zu vernachlässigende Modeerscheinung handelt. Laut Microsoft Threat Intelligence schoss die Zahl der Quishing-Kampagnen von 7,6 Millionen im Januar auf 18,7 Millionen im März 2026, ein Anstieg um 146 Prozent in nur zwei Monaten. Aussagekräftiger als die Zahl selbst ist jedoch, was sie über den Kurswechsel der Angreifer verrät: Diese erachten QR-Codes offensichtlich zunehmend als wirksames Mittel, um klassische Phishing-Abwehrmechanismen zu umgehen und Nutzer in ihren vertrauten Arbeitsabläufen abzupassen.

Für Unternehmen, die ihre Netzwerke und Daten schützen wollen, wächst damit die Herausforderung. Wie also lässt sich sicherstellen, dass Mitarbeiter und Nutzer außer Gefahr bleiben?

Warum Angreifer auf QR-Codes setzen

Dass Quishing derart zulegt, hat einen Grund: Phishing-Angriffe sind heute anders gestrickt. Der Diebstahl von Zugangsdaten bleibt das Hauptziel, doch die Vorgehensweise ändert sich. Angreifer wollen keinen Verdacht erregen und tauchen somit zwischen den Alltagsroutinen der Nutzer unter.

Ob digitale Dienste, Zahlungen oder Authentifizierung – QR-Codes sind längst ein fester Bestandteil des Alltags und genau diese Vertrautheit macht sie für Angreifer so attraktiv. Wer scannt, schaut selten so genau hin wie bei einem Link in einer E-Mail.

Dabei folgen solche Kampagnen meist demselben Drehbuch:

• Vertraute Werkzeuge und Formate nutzen, um Vertrauen aufzubauen.
• Nutzer auf überzeugend gestaltete Phishing-Seiten umleiten.
• Zugangsdaten oder Authentifizierungs-Token abgreifen.
• Den Angriff aus der E-Mail-Umgebung heraus dorthin verlagern, wo die Transparenz begrenzt ist.

Für die Opfer fühlt sich der Vorgang völlig normal an, dabei läuft im Hintergrund eine Phishing-Kampagne.

Eine wachsende Herausforderung für Sicherheitsteams

Bei derartigen Angriffen ist der QR-Code nur der Türöffner. Das eigentliche Risiko entsteht später, wenn der Nutzer mit der schädlichen Seite interagiert.

Für Sicherheitsteams reicht es deshalb nicht mehr, verdächtige Nachrichten zu markieren. Denn das Entscheidende passiert in Umgebungen, in denen sich der nötige Kontext viel schwerer beschaffen lässt.

Sind Zugangsdaten erst einmal kompromittiert, verschaffen sich Angreifer Zugang zu Unternehmensanwendungen, sensiblen Daten und internen Diensten, ohne dafür komplexe Malware zu benötigen.

IT-Verantwortliche sollten sich daher nicht länger fragen, wie der Angreifer den ersten Schritt macht, sondern wie es danach weitergeht, wenn der Anwender angebissen hat.

Warum Transparenz zum Dreh- und Angelpunkt im Kampf gegen Phishing wird

Genau deshalb bleibt der Endpoint eine der kritischsten Ebenen in der modernen Abwehr. Wenn ein QR-basierter Angriff Erfolg hat, zeigen sich die ersten Anzeichen dafür meist auf dem Gerät. Je weiter der Angriff fortschreitet, desto entscheidender wird der Einblick in das, was dort passiert.

Klassischer Endpoint-Schutz, der allein auf Prävention setzt, genügt nicht mehr. Unternehmen brauchen moderne Endpoint-Security-Lösungen, die Prävention, Erkennung und Reaktion mit einem fortlaufenden Einblick in die Aktivitäten auf dem Endgerät verbinden. Es gilt, jenseits der bekannten Indikatoren die Verhaltensmuster zu analysieren. Nur so lassen sich verdächtige Aktivitäten erkennen, zusammenhängende Ereignisse automatisch verknüpfen und in Kontext setzen, damit Teams zwischen täglichen Routinen und echten Angriffen gezielt unterscheiden können.

Das bringt entscheidende Vorteile:

• Schädliche Aktivitäten auf einem Gerät werden schneller erkannt.
• Vorgänge nach der ersten Interaktion werden sichtbar.
• Automatische Korrelation von Vorfällen senkt das Alarmrauschen.
• Vorfälle lassen sich eindämmen, bevor sie sich ausbreiten.

Eine wichtige Rolle spielt darüber hinaus das Threat Hunting. Da Angreifer immer besser darin werden, sich hinter scheinbar legitimen Aktivitäten zu verstecken, ist es umso entscheidender, proaktiv nach Kompromittierungsindikatoren (IoCs) zu suchen – hierbei handelt es sich schon längst nicht mehr um ein Nice-to-have, sondern eine absolute Notwendigkeit. Kleineren Unternehmen, denen dafür die eigenen Ressourcen fehlen, hilft die Zusammenarbeit mit einem Anbieter für Managed Detection & Response, die Lücke zu schließen.

Dank weitreichender Transparenz sind IT-Verantwortliche in der Lage, unbefugte Zugriffe, laterale Bewegungen und frühe IoCs deutlich schneller zu entdecken und können das Zeitfenster zwischen initialem Eindringen und Reaktion verkürzen.

Das Bemerkenswerteste an Quishing-Vorfällen ist, dass Angreifer für ihren Erfolg keine außergewöhnlich raffinierten Techniken mehr brauchen. Sie nutzen einfach alltägliche Gewohnheiten aus und schlagen genau dann zu, wenn Unachtsamkeit herrscht.

Entscheidend ist deshalb, im Blick zu behalten, was nach dem Scan des Codes passiert. Genau an diesem Punkt, wo Aktivitäten legitim wirken, verläuft die Grenze zwischen Alltag und Ernstfall.

Quishing zeigt, was heute Normalität ist: Angreifer brauchen für ihren Erfolg nicht immer raffinierte Malware. Indem sie vertraute Gewohnheiten ausnutzen, umgehen sie klassische Abwehrmechanismen und verlagern den Angriff in Bereiche mit wenig Transparenz. Deshalb müssen Unternehmen für einen starken Endpoint-Schutz sorgen. Ob ein Angriff ein isolierter Vorfall bleibt oder zum Flächenbrand wird, entscheidet sich immer mehr daran, ob sich Aktivitäten auf dem Endgerät beobachten, Ereignisse verknüpfen und schnelle Gegenmaßnahmen ergreifen lassen.