QR-Codes sind aus unserem Alltag nicht mehr wegzudenken. Sie vereinfachen den Zugang zu Informationen, ermöglichen schnelle Zahlungen und erleichtern Anmeldeprozesse. Doch ihre Allgegenwart und die Bequemlichkeit, die sie bieten, haben sie auch zu einem attraktiven Ziel für Cyberkriminelle gemacht. Was als eine nützliche Technologie begann, entwickelt sich zunehmend zu einem ernstzunehmenden Vektor für Phishing-Angriffe, bekannt als „Quishing“ (QR-Code-Phishing). Diese neue Welle von Bedrohungen nutzt die visuelle Natur von QR-Codes, um traditionelle Sicherheitsmechanismen zu umgehen und ahnungslose Nutzer in die Falle zu locken.

Die Evolution der Phishing-Techniken: Was ist Quishing?

Phishing ist seit Jahrzehnten eine der hartnäckigsten und erfolgreichsten Formen von Cyberangriffen. Angreifer entwickeln ständig neue Methoden, um ihre Opfer zu täuschen, von einfachen Text-E-Mails bis hin zu komplexen Spear-Phishing-Kampagnen. Mit der zunehmenden Nutzung von QR-Codes im Geschäfts- und Privatleben war es nur eine Frage der Zeit, bis diese Technologie für bösartige Zwecke missbraucht wird.

Quishing ist im Wesentlichen eine Form des Phishings, bei der ein QR-Code als Köder dient. Anstatt eines anklickbaren Links in einer E-Mail oder Nachricht wird dem Opfer ein QR-Code präsentiert, der – wenn er gescannt wird – zu einer bösartigen Website führt. Diese Websites sind oft so gestaltet, dass sie legitime Anmeldeseiten von Banken, sozialen Netzwerken, Cloud-Diensten oder internen Unternehmensportalen imitieren. Das Ziel ist immer dasselbe: Anmeldedaten, persönliche Informationen oder finanzielle Details zu stehlen.

Die Attraktivität von QR-Codes für Angreifer liegt in mehreren Faktoren begründet:

• Vertrautheit und Vertrauen: Viele Menschen sind es gewohnt, QR-Codes für legitime Zwecke zu scannen und vertrauen der Technologie.
• Visuelle Tarnung: Ein bösartiger QR-Code sieht auf den ersten Blick nicht anders aus als ein legitimer. Der Inhalt (die Ziel-URL) ist erst nach dem Scan sichtbar.
• Umgehung traditioneller Filter: E-Mail-Sicherheitssysteme sind in der Regel darauf ausgelegt, Text-Links und Dateianhänge zu analysieren. Bilder, die QR-Codes enthalten, stellen eine größere Herausforderung dar.

Verbreitungswege bösartiger QR-Codes

Quishing-Angriffe nutzen sowohl digitale als auch physische Kanäle, um ihre bösartigen QR-Codes zu verbreiten. Die Vielfalt der Verbreitungswege erhöht die Wahrscheinlichkeit, dass Opfer in verschiedenen Umgebungen exponiert werden.

Digitale Kanäle

Der prominenteste digitale Kanal für Quishing-Angriffe ist die E-Mail. Angreifer betten QR-Codes direkt in E-Mails ein, oft in Form von Bildern, die den Anschein erwecken, von einer vertrauenswürdigen Quelle zu stammen. Diese E-Mails können:

• Aufforderungen zur Aktualisierung von Passwörtern oder Kontoinformationen enthalten.
• Vorgeben, Benachrichtigungen über unerwartete Aktivitäten oder ausstehende Lieferungen zu sein.
• Als Einladungen zu Umfragen oder zur Teilnahme an Gewinnspielen getarnt sein.

Neben E-Mails werden bösartige QR-Codes auch über Messaging-Dienste wie SMS (Smishing), WhatsApp, Telegram oder in sozialen Medien verbreitet. Auch auf manipulierten oder gehackten Websites können sie auftauchen, die den Nutzer dazu verleiten sollen, einen Code zu scannen, um vermeintlich auf exklusive Inhalte zuzugreifen oder eine Aktion zu bestätigen.

Physische Kanäle

Die physische Welt bietet eine weitere Angriffsfläche. Angreifer können legitime QR-Codes in öffentlichen Bereichen manipulieren, indem sie eigene, bösartige Codes über die Originale kleben. Beispiele hierfür sind:

• Parkautomaten: QR-Codes für die Bezahlung von Parkgebühren werden durch bösartige Codes ersetzt, die zu gefälschten Zahlungsseiten führen.
• Öffentliche Verkehrsmittel: QR-Codes für Fahrplanauskünfte oder Ticketkäufe werden manipuliert.
• Restaurants/Bars: QR-Codes für digitale Speisekarten oder Bestellsysteme werden ausgetauscht.
• Flyer und Werbematerialien: Angreifer können eigene Flyer mit bösartigen QR-Codes an öffentlichen Orten verteilen.

Ein reales Beispiel ist eine Kampagne, bei der QR-Codes auf manipulierten Parkscheinen in den USA platziert wurden. Autofahrer, die den Code scannen wollten, um ihre Parkgebühr zu bezahlen, wurden auf eine Phishing-Seite umgeleitet, die ihre Kreditkartendaten abgriff.

Warum Quishing E-Mail-Sicherheitsfilter umgeht

Der Hauptgrund für den Erfolg von Quishing-Angriffen liegt in ihrer Fähigkeit, traditionelle E-Mail-Sicherheitslösungen zu umgehen. Diese Systeme sind in der Regel darauf ausgelegt, verdächtige Text-Links, bekannte Malware-Signaturen und schädliche Dateianhänge zu erkennen. QR-Codes präsentieren eine andere Herausforderung.

Die Herausforderung der Inhaltsanalyse

E-Mail-Sicherheitsfilter analysieren den Text und die Header von E-Mails, um Phishing-URLs oder verdächtige Schlüsselwörter zu identifizieren. Ein QR-Code ist jedoch ein Bild. Für die meisten Filter ist es schwierig, den Inhalt eines Bildes zu interpretieren und den eingebetteten Link zu extrahieren. Angreifer nutzen dies aus, indem sie QR-Codes auf verschiedene Weisen in E-Mails einbetten:

• Direkt als Bilddatei: Der QR-Code wird als .png, .jpg oder .gif in die E-Mail eingefügt.
• Base64-kodiert: Das Bild wird direkt in den HTML-Code der E-Mail eingebettet, was die Erkennung zusätzlich erschwert.

<img src="data:image/png;base64,iVBORw0KGgoAAAANSUhEUgAA..." alt="QR Code zum Scannen" />

In diesem Beispiel ist der QR-Code nicht als extern verlinkte Ressource eingebunden, sondern direkt als Datenstrom im HTML-Quelltext. Dies macht es für einfache Filter extrem schwierig, den Link zu erkennen, ohne eine aufwendige Bildanalyse durchzuführen, die rechenintensiv ist und selten von Standard-E-Mail-Sicherheitslösungen in Echtzeit durchgeführt wird.

Dynamische und kurzlebige URLs

Selbst wenn ein Sicherheitsfilter in der Lage wäre, den QR-Code zu dekodieren, stehen Angreifer oft vor der nächsten Hürde: Sie verwenden URL-Shortener-Dienste oder dynamische Domains, die schnell geändert oder abgebaut werden können. Die bösartige Payload wird möglicherweise erst nach dem Scannen und dem ersten Aufruf der URL geladen. Das bedeutet, dass die URL zum Zeitpunkt der E-Mail-Zustellung noch nicht als bösartig bekannt ist oder sich schnell ändert, bevor Sicherheitsdatenbanken sie aktualisieren können.

Die Rolle der Mensch-Maschine-Schnittstelle

Beim Quishing wird der Mensch selbst zum entscheidenden Glied in der Sicherheitskette. Der E-Mail-Filter kann den QR-Code nicht scannen; der Benutzer muss dies tun. Das Smartphone des Benutzers wird zum "Parser" des bösartigen Inhalts. Dies verlagert die Verantwortung für die Erkennung von der automatisierten Sicherheit auf die Wachsamkeit des Individuums.

Aktuelle Quishing-Kampagnen und ihre Taktiken

Quishing-Kampagnen sind vielfältig und passen sich ständig an aktuelle Ereignisse und Nutzerverhalten an. Hier sind einige typische Szenarien und Taktiken, die in jüngster Zeit beobachtet wurden:

Finanzdienstleistungs- und Banken-Imitationen

Eine der häufigsten Taktiken ist die Nachahmung von Banken oder Finanzdienstleistern. Angreifer versenden E-Mails, die vorgeben, von der Hausbank des Opfers zu stammen. Sie fordern den Empfänger auf, einen QR-Code zu scannen, um eine „dringende Sicherheitsüberprüfung“ durchzuführen, „Kontodaten zu aktualisieren“ oder eine „verdächtige Transaktion zu bestätigen“. Die Zielseite ist eine perfekt gefälschte Anmeldeseite, die darauf abzielt, Zugangsdaten wie Benutzernamen, Passwörter und manchmal sogar TANs oder Kreditkartendaten abzugreifen.

Zwei-Faktor-Authentifizierung (2FA) Umgehung

Fortgeschrittenere Quishing-Angriffe zielen darauf ab, sogar die Zwei-Faktor-Authentifizierung (2FA) zu umgehen. Dies geschieht oft durch den Einsatz von Reverse-Proxy-Tools wie EvilGinx oder Modlishka. Der Prozess sieht dann wie folgt aus:

1. Das Opfer scannt den bösartigen QR-Code und wird zu einer vom Angreifer kontrollierten Reverse-Proxy-Seite umgeleitet.
2. Diese Proxy-Seite spiegelt die legitime Anmeldeseite des Zieldienstes (z.B. Microsoft 365, Google).
3. Wenn das Opfer seine Anmeldedaten und den 2FA-Code auf der gefälschten Seite eingibt, fängt der Reverse-Proxy diese ab und leitet sie in Echtzeit an die echte Anmeldeseite weiter.
4. Die legitime Seite authentifiziert das Opfer und sendet die Session-Cookies an den Proxy zurück, der sie dann an den Angreifer weiterleitet.

# Konzept eines Reverse-Proxy-Angriffs (Adversary-in-the-Middle) # Angreifer betreibt einen Server mit Tools wie EvilGinx # 1. Opfer scannt QR-Code -> leitet zu Angreifer-Proxy (z.B. login.firmenname-update.com) # 2. Angreifer-Proxy fordert Daten von echter Seite an (z.B. login.microsoftonline.com) # 3. Echte Seite sendet Anmeldeformular an Proxy # 4. Proxy zeigt Anmeldeformular dem Opfer # 5. Opfer gibt Benutzername/Passwort ein -> Proxy fängt ab # 6. Proxy leitet Anmeldedaten an echte Seite weiter # 7. Echte Seite fordert 2FA an -> Proxy fängt ab # 8. Opfer gibt 2FA-Code ein -> Proxy fängt ab # 9. Proxy leitet 2FA-Code an echte Seite weiter # 10. Echte Seite authentifiziert, sendet Session-Cookies an Proxy # 11. Proxy speichert Session-Cookies für Angreifer und leitet Opfer zur echten Seite weiter

Auf diese Weise kann der Angreifer die gültige Session des Opfers übernehmen, ohne selbst authentifiziert zu sein, und so Zugang zu sensiblen Unternehmensdaten erhalten.

Interne IT-Support- und HR-Betrügereien

In Unternehmen werden Quishing-Angriffe oft als interne Kommunikation getarnt. E-Mails, die vorgeben, vom IT-Support oder der Personalabteilung zu stammen, fordern Mitarbeiter auf, einen QR-Code zu scannen, um:

• Ein „dringendes Software-Update“ zu installieren.
• „Neue Unternehmensrichtlinien“ zu lesen.
• Eine „Passwortrücksetzung“ durchzuführen.
• Ihre „Leistungsbeurteilung“ einzusehen.

Diese Angriffe sind besonders gefährlich, da Mitarbeiter dazu neigen, internen Anweisungen zu vertrauen, und die gefälschten Seiten oft schwer von den echten zu unterscheiden sind.

Effektive Abwehrmaßnahmen und Sensibilisierungsstrategien für Organisationen

Die Abwehr von Quishing erfordert einen mehrschichtigen Ansatz, der sowohl technische Lösungen als auch eine starke Sensibilisierung der Mitarbeiter umfasst.

Technische Schutzmaßnahmen

• E-Mail-Sicherheit mit erweiterter Bedrohungsanalyse (ATP): Moderne E-Mail-Sicherheitslösungen sollten über Funktionen zur optischen Zeichenerkennung (OCR) verfügen, um QR-Codes in Anhängen und E-Mail-Body-Bildern zu erkennen und die eingebetteten URLs zu analysieren. Sandboxing kann verdächtige URLs in einer sicheren Umgebung öffnen, um ihre Bösartigkeit zu überprüfen.
• Endpoint Detection and Response (EDR)/Extended Detection and Response (XDR): Diese Lösungen können ungewöhnliches Verhalten auf Endgeräten erkennen, z.B. wenn ein Benutzer nach dem Scannen eines QR-Codes plötzlich eine Verbindung zu einer verdächtigen Domäne herstellt oder versucht, vertrauliche Daten einzugeben.
• Web- und DNS-Filterung: Implementieren Sie robuste Web-Filter und DNS-Sicherheitslösungen, die bekannte Phishing- und Malware-Domains blockieren, selbst wenn der QR-Code zu einer neuen, aber bereits identifizierten bösartigen URL führt.
• Mobile Device Management (MDM): Für unternehmenseigene Mobilgeräte können MDM-Lösungen eingesetzt werden, um die Installation von nicht autorisierten QR-Code-Scannern zu verhindern oder Richtlinien für das Scannen von QR-Codes festzulegen.
• Browser-Erweiterungen: Einige Browser-Erweiterungen bieten URL-Scan-Funktionen, die den Nutzer warnen können, bevor er eine potenziell schädliche Seite betritt.

Menschliche Komponente: Sensibilisierung und Schulung

Da der Mensch die letzte Verteidigungslinie ist, sind umfassende und regelmäßige Sicherheitsschulungen unerlässlich:

• Regelmäßige Schulungen: Informieren Sie Mitarbeiter über die Risiken von Quishing und die neuesten Taktiken. Erklären Sie, wie QR-Codes missbraucht werden können und worauf sie achten müssen.
• Misstrauen bei unerwarteten QR-Codes: Betonen Sie, dass Mitarbeiter bei jedem unerwarteten QR-Code – sei es in einer E-Mail, auf einem Poster oder einem Flyer – äußerste Vorsicht walten lassen sollten.
• Überprüfung der URL vor der Eingabe von Daten: Schulen Sie Mitarbeiter darin, die URL der Zielseite im Browser kritisch zu prüfen, bevor sie Anmeldedaten oder persönliche Informationen eingeben. Achten Sie auf Tippfehler, ungewöhnliche Domainnamen oder fehlende HTTPS-Verschlüsselung.
• Interne Kommunikationswege klar definieren: Stellen Sie sicher, dass Mitarbeiter wissen, wie und über welche Kanäle offizielle Mitteilungen (z.B. zu Passwortänderungen oder Software-Updates) erfolgen. Wenn eine E-Mail einen QR-Code enthält, der nicht dem etablierten Kommunikationsweg entspricht, sollte dies ein Warnsignal sein.
• Simulierte Quishing-Angriffe: Führen Sie interne Quishing-Kampagnen durch, um die Wirksamkeit der Schulungen zu testen und Schwachstellen in der Organisation aufzudecken. Stellen Sie sicher, dass diese Simulationen ethisch korrekt durchgeführt werden und eine Lernkomponente enthalten.

Eine einfache Checkliste für Mitarbeiter könnte sein:

1. Erwartet? Habe ich diesen QR-Code erwartet oder wurde er mir unerwartet zugesandt/präsentiert?
2. Absender? Stammt die E-Mail oder die Quelle des QR-Codes von einer vertrauenswürdigen Adresse/Quelle?
3. Zielseite? Sieht die Webseite, zu der der QR-Code führt, absolut legitim aus? Gibt es Schreibfehler in der URL oder im Inhalt?
4. Aufforderung? Werde ich zu ungewöhnlichen oder dringenden Aktionen aufgefordert, wie der sofortigen Eingabe von Passwörtern oder Kreditkartendaten?

„Im Zweifelsfall: Nicht scannen, nicht klicken, nicht eingeben, sondern den Vorfall der IT-Sicherheit melden.“

Incident Response Plan anpassen

Organisationen sollten ihre Incident-Response-Pläne aktualisieren, um spezifische Prozeduren für Quishing-Vorfälle aufzunehmen. Dazu gehört die schnelle Erkennung, Eindämmung und Behebung von durch QR-Codes verursachten Sicherheitsverletzungen.

Fazit und Ausblick

Quishing ist eine raffinierte und effektive Weiterentwicklung des Phishings, die die Bequemlichkeit von QR-Codes gegen die Sicherheit der Nutzer ausspielt. Die Fähigkeit dieser Angriffe, traditionelle E-Mail-Sicherheitsfilter zu umgehen, macht sie zu einer besonders heimtückischen Bedrohung.

Für Unternehmen und Einzelpersonen ist es entscheidend, die Risiken zu verstehen und proaktive Maßnahmen zu ergreifen. Ein mehrschichtiger Ansatz, der fortschrittliche technische Sicherheitslösungen mit einer kontinuierlichen und effektiven Mitarbeitersensibilisierung kombiniert, ist der beste Weg, um sich gegen die wachsende Flut von Quishing-Angriffen zu wappnen. Die Bedrohungslandschaft entwickelt sich ständig weiter, und die Anpassungsfähigkeit unserer Verteidigungsstrategien ist der Schlüssel, um den Cyberkriminellen immer einen Schritt voraus zu sein.