Kurzfassung: Quishing ist Phishing mit QR-Code: Die bösartige URL steckt in einem Bild, das textbasierte Mail-Filter nicht lesen, und der Nutzer scannt sie mit dem privaten Handy, das keine Unternehmenskontrollen hat. 2026 steckt in einem erheblichen Teil aller Phishing-Mails ein QR-Code, oft in einem PDF-Anhang versteckt, und das Ziel ist meist der Diebstahl von Microsoft-365- oder Google-Zugangsdaten, häufig über einen AiTM-Proxy. Erkennung: das Mail-Gateway muss QR-Codes in Bildern und Anhängen dekodieren, der Meldeweg fängt, was durchrutscht, und die Folge-Anmeldung zeigt sich in den Identitätsprotokollen. Die Gegenmaßnahme ist phishing-resistente MFA.
Quishing erkennen ist die Antwort auf einen blinden Fleck, den fast jede Organisation hat: Das Mail-Gateway prüft Text-URLs, schreibt sie um und gleicht sie gegen Reputationslisten ab, aber ein QR-Code ist ein Bild, und in diesem Bild steckt die URL, die niemand liest. Der Angriff verlagert außerdem den entscheidenden Klick vom geschützten Arbeitsrechner auf das private Handy, das keine Unternehmens-Filter, kein EDR und einen kleinen Bildschirm hat, der verdächtige Adressen abschneidet. Quishing ist damit kein visueller Sonderfall des Phishings, sondern verschiebt die Stelle, an der Sicherheitskontrollen und Nutzerentscheidungen stattfinden. Dieser Beitrag erklärt, wie Quishing funktioniert und warum es Gateways übersieht, welche Spuren trotzdem bleiben, wie die Erkennung auf drei Ebenen ansetzt und warum der Meldeweg und phishing-resistente MFA die entscheidenden Gegenmittel sind.
Was der Angreifer tut
Der Angreifer kodiert eine bösartige URL in einen QR-Code und liefert ihn per Mail, oft mit einem Vorwand, bei dem Scannen normal wirkt: eine angebliche MFA-Neuregistrierung, ein abgelaufenes Passwort, eine Rechnung, ein Personaldokument. Der Nutzer zieht das Handy, scannt, landet auf einer gefälschten Anmeldeseite und gibt seine Zugangsdaten ein. Immer häufiger steht hinter der Seite ein AiTM-Proxy, der auch die MFA abfängt und das Sitzungstoken stiehlt. Mehrere Techniken machen das Ganze für Filter unsichtbar:
- QR-Code im PDF-Anhang. Der häufigste Träger 2026: Der Code steckt nicht im Mailtext, sondern in einem angehängten PDF, das viele Gateways und Sandboxes nicht auf QR-Codes prüfen.
- Geteiltes Bild. Der Code wird in mehrere harmlos wirkende Bildfragmente zerlegt, die sich erst im Mail-Programm des Opfers zum lesbaren QR-Code zusammensetzen. Ein einzelnes Fragment ist kein scanbarer Code.
- ASCII- oder Text-QR-Codes. Manche Kampagnen bauen den Code aus Textzeichen statt aus einem Bild, sodass eine reine Bilddekodierung ihn gar nicht als Bild erkennt.
- Vertrauenswürdige Weiterleitung. Die URL im Code zeigt zunächst auf einen bekannten Dienst, einen URL-Kürzer, einen Cloud-Speicher oder eine legitime Weiterleitungskette, sodass das erste Ziel die Reputationsprüfung besteht und die bösartige Seite erst am Ende der Kette steht.
In ATT&CK ist das eine Spielart von Phishing (T1566); das Neue ist nicht die Taktik, sondern der Zustellweg, der die üblichen Kontrollen umgeht.
Warum das Gateway es übersieht
Die klassische Mail-Sicherheit ist für Text gebaut: Sie liest die URLs im Mailtext, schreibt sie um, damit ein Klick über den Schutz des Herstellers läuft, und prüft die Reputation der Zieldomain. Ein QR-Code ist für diese Kette ein Bild ohne lesbaren Inhalt. Wenn das Gateway das Bild nicht dekodiert und die enthaltene URL nicht extrahiert, läuft die gesamte Umschreibung und Reputationsprüfung ins Leere, und die Mail erreicht das Postfach unverändert. Dazu kommt der zweite, oft unterschätzte Punkt: Selbst wenn das Gateway den Code läse, findet der Scan auf dem privaten Handy statt, außerhalb jeder Unternehmenskontrolle. Der Angriff überspringt die Sicherheitsgrenze zwischen verwaltetem Arbeitsgerät und unverwaltetem Privatgerät.
Welche Spuren bleiben
| Signal | Quelle | Was es verrät |
|---|---|---|
| Bild oder PDF ohne Text-Links | Mail-Gateway, Mail-Metadaten | Eine Mail, die nur aus einem Bild oder einem PDF-Anhang besteht und keine oder kaum Text-Links enthält, ist ein Muster, das viele Quishing-Mails teilen. |
| QR-Code im Anhang erkannt | Gateway mit Bild-/QR-Analyse | Wenn das Gateway QR-Codes dekodiert, ist die extrahierte URL wie jede andere gegen Reputation und Muster prüfbar. |
| Meldung aus der Belegschaft | Meldeweg | Ein Mitarbeiter, der die Mail verdächtig findet und meldet, oft die einzige Spur, wenn das Gateway blind ist. |
| Anmeldung nach dem Scan | Entra-ID-Anmeldeprotokoll | Die Folge des erfolgreichen Diebstahls: eine Anmeldung von unbekanntem Gerät und Standort, beim AiTM-Fall die Token-Nutzung von neuer IP. |
| Aktionen nach der Übernahme | Entra-ID-Audit, Exchange-Audit | Neue MFA-Methode, Postfachregel, OAuth-Zustimmung: dieselben nächsten Schritte wie bei jedem übernommenen Konto. |
Der entscheidende Punkt: Weil der Scan auf dem Handy passiert, sieht das SOC den Klick selbst nicht. Sichtbar wird der Angriff davor, an der Mail, und danach, an der Anmeldung. Genau deshalb sind Gateway und Identitätsprotokolle die beiden Enden, an denen die Erkennung ansetzt, während die Mitte unsichtbar bleibt.
Erkennung auf drei Ebenen
Am Gateway. Die erste und wichtigste Maßnahme ist, das Mail-Gateway so einzustellen, dass es QR-Codes in Bildern und in Anhängen, vor allem PDFs, dekodiert und die enthaltene URL wie einen Text-Link prüft. Viele Hersteller haben diese Fähigkeit 2026 nachgerüstet; ob sie aktiv ist, gehört überprüft, denn ein vorhandenes, aber nicht aktiviertes QR-Modul ist ein häufiger blinder Fleck. Ergänzend lässt sich auf das Muster achten, das viele Quishing-Mails teilen: eine bildlastige Mail oder ein PDF-Anhang mit MFA- oder Passwort-Vorwand und kaum Text.
Über den Meldeweg. Weil kein Gateway alles fängt, ist die Belegschaft die zweite Ebene. Die Awareness muss den QR-Code als Angriffsvektor einschließen, denn viele Programme tun das noch nicht: dass ein QR-Code in einer Mail genauso verdächtig ist wie ein Link, dass man ihn nicht unbedacht scannt und dass man die Mail meldet. Der niedrigschwellige Meldeweg fängt genau die Mails, die durch das Gateway kommen, und macht aus dem Nutzer die Erkennung, die der Technik fehlt.
An der Anmeldung. Rutscht eine Quishing-Mail durch und gibt jemand Zugangsdaten ein, ist die Folge eine Anmeldung, und die ist sichtbar. Die Erkennung ist dieselbe wie beim AiTM-Token-Diebstahl: Anmeldung von unbekanntem Gerät und Standort, Token-Nutzung von neuer IP, neue MFA-Methode kurz danach. Weil das Ziel der meisten Quishing-Kampagnen Microsoft-365- oder Google-Zugangsdaten sind, sind die Anmeldeprotokolle dieser Dienste die entscheidende Logquelle, wie im ausgebauten Abschnitt zu Entra ID in der Referenz zu den Event-IDs beschrieben.
Reaktion
Eine gemeldete Quishing-Mail wird behandelt wie jede Phishing-Meldung, mit der Kampagnensuche aus dem Phishing-Playbook: Wer hat dieselbe Mail noch bekommen, und wer hat gescannt? Der Scan selbst ist nicht im Log, deshalb wird bei den Empfängern gezielt nach der Folge gesucht, also nach verdächtigen Anmeldungen im fraglichen Zeitraum. Hat jemand Zugangsdaten eingegeben, gilt die Reihenfolge für das kompromittierte Konto: zuerst alle Sitzungen widerrufen, dann Passwort, MFA-Methoden, Postfachregeln, App-Berechtigungen. Weil das entscheidende Ereignis auf einem Gerät außerhalb der Kontrolle passiert ist, ist die Rückwärtssuche in den Identitätsprotokollen hier besonders wichtig.
Die Gegenmaßnahme, die den Angriff entwertet
Wie beim AiTM-Phishing ist die wirksamste Gegenmaßnahme phishing-resistente MFA: FIDO2-Schlüssel und Passkeys sind an den Ursprung der echten Seite gebunden, und eine gefälschte Anmeldeseite, egal ob über Link oder QR-Code erreicht, kann diese Bindung nicht erfüllen. Damit läuft der Zugangsdaten-Diebstahl ins Leere, auch wenn der Nutzer den Code scannt und seine Daten eingibt. Dazu kommen der bedingte Zugriff, der Anmeldungen von unerwarteten Geräten und Standorten blockiert, und die QR-Dekodierung am Gateway als erste Schicht. Awareness, die den QR-Code einschließt und nicht mehr auf schlechte Grammatik als Warnsignal setzt, ist die menschliche Schicht darunter. Keine dieser Maßnahmen allein reicht; zusammen machen sie aus einem strukturellen blinden Fleck ein beherrschbares Risiko.
Fazit
Quishing nutzt zwei strukturelle Lücken aus: den textbasierten Mail-Filter, der ein Bild nicht liest, und die Sicherheitsgrenze zwischen Arbeitsrechner und Privathandy, die der Scan überspringt. Das SOC sieht den Klick nicht, aber es sieht die Mail davor und die Anmeldung danach. Die Verteidigung setzt deshalb auf drei Ebenen an: QR-Dekodierung am Gateway, ein Meldeweg mit Awareness, die den QR-Code kennt, und die Erkennung der Folge-Anmeldung in den Identitätsprotokollen. Entwertet wird der Angriff durch phishing-resistente MFA, die den gestohlenen Zugang nutzlos macht. Für ein Blue Team ist Quishing die Erinnerung, dass Angreifer die Zustellung ändern, sobald eine Kontrolle greift, und dass die Verteidigung deshalb an mehreren Stellen gleichzeitig ansetzen muss.