Quishing Betrugsmasche: Wie Sie die Kontrolle bei „Pixelsalat mit Nebenwirkungen“ behalten

Wer bei der neuen Quishing Betrugsmasche jede Abkürzung nimmt, gibt die Kontrolle am Smartphone-Bildschirm ab. Wahre digitale Souveränität entsteht durch rationales Innehalten, nicht durch blindes Vertrauen in jedes gepixelte Quadrat.

Die analoge Welt hat einen unschätzbaren Vorteil: Sie ist greifbar. Wenn Ihnen jemand einen gefälschten Fuffziger in die Hand drücken will, spüren Sie das Papier, sehen das Wasserzeichen und der viel zitierte Hausverstand sagt: Da stimmt was nicht. In der digitalen Welt haben es Kriminelle leichter. Sie nutzen unsere Bequemlichkeit aus – und neuerdings ein harmlos aussehendes Quadrat aus schwarzen und weißen Pixeln. Dass die neue Quishing Betrugsmasche sowohl die analoge als auch die digitale Welt infiziert, zeigt die aktuelle Dringlichkeit der Behörden. Das Bundeskriminalamt (BK) und die Oesterreichische Nationalbank (OeNB) schlagen aktuell Alarm vor dieser fatalen Fusion aus QR-Code und Phishing.

Quishing Betrugsmasche – der blinde Klick auf das Quadrat

Ein Link lässt sich lesen, ein QR-Code nicht. Kriminelle tarnen ihre Betrugsseiten jetzt hinter harmlos wirkenden Pixel-Grafiken.

Beim klassischen Phishing tippen wir (hoffentlich) nicht mehr blind auf jeden dubiosen blauen Link, der in unserem Postfach landet. Das haben wir gelernt. Also haben die Betrüger aufgerüstet. Statt eines sichtbaren Links senden sie einen QR-Code. Das Problem: Ein QR-Code ist für das menschliche Auge nicht lesbar. Er tarnt die Absicht der Kriminellen perfekt. Wir scannen aus Gewohnheit, und das Smartphone macht meist das, wofür es gebaut wurde: Es öffnet die dahinterliegende Seite vollautomatisch.

Dabei greift die Masche längst nicht mehr nur digital. Die Betrüger agieren hybrid:

• Digital: Sie erhalten ein unpersönliches E-Mail (angeblich von Ihrer Bank oder einem Onlineshop), das künstlichen Druck aufbaut („Konto läuft ab“, „Sofort bestätigen“). Statt eines Links sollen Sie den QR-Code scannen.
• Analog: Gefälschte QR-Codes werden in der realen Welt einfach über echte drübergeklebt – etwa an Parkautomaten, E-Ladestationen oder Infotafeln. Wer hier im Vorbeigehen scannt, landet auf einer perfekt nachgebauten Fake-Website, die dem Original täuschend ähnlich sieht.
  

Warum wir die Kontrolle abgeben

Die fortschreitende Digitalisierung des Bezahlverkehrs verleitet uns zu digitaler Naivität. Zeit, den gesunden Menschenverstand wieder einzuschalten.

„Kriminelle setzen darauf, dass Menschen aus Gewohnheit schnell scannen und handeln“, betont BK-Direktor Andreas Holzer. Es ist die algorithmisierte Bequemlichkeit, die uns hier die digitale Souveränität kostet.

Dabei müsste das nicht sein. Josef Meichenitsch, Direktor der OeNB, zieht den passenden Vergleich zum Bargeld: „Während wir Euro-Geldscheine jederzeit ohne technische Hilfsmittel auf Echtheit prüfen können, verleitet uns das Smartphone beim digitalen Bezahlen oft zu blindem Vertrauen.“ Sobald eine Nachricht Druck aufbaut oder persönliche Daten fordert, ist stoische Skepsis die einzige gesunde Reaktion. Wer hier seine Zugangsdaten unüberlegt eintippt, verliert im schlimmsten Fall nicht nur Geld, sondern auch die Hoheit über seine Konten – ein Problem, das beim Thema digitaler Nachlass und Passwörter meist erst viel zu spät geregelt wird.

Digitale Selbstverteidigung: Die stoischen Sicherheitsregeln

Prävention ist kein technisches Feature, sondern eine Frage der inneren Haltung. Drei einfache Filter sichern Ihr Konto.

Vertrauen und Sicherheit sind das Fundament digitaler Autarkie. Petia Niederländer, Direktorin der OeNB-Hauptabteilung für Zahlungsverkehr, setzt daher bewusst auf Prävention. Wenn wir im Alltag modernste Technik wie Wearables zur Messung von HRV und VO2max nutzen, tun wir das, um datenbasierte Kontrolle über unseren Körper zu erlangen. Genau dieselbe Aufmerksamkeit sollten wir unseren Finanzen widmen. Wer den Betrügern keine Chance geben will, integriert drei einfache Filter in seinen Alltag:

1. Den Scan-Moment verzögern
   Scannen Sie QR-Codes niemals aus reiner Neugier oder weil ein Brief oder eine E-Mail Sie dazu drängt. Nehmen Sie sich den Moment Zeit, den auch ein Stoiker für die Analyse nutzen würde.
2. Die URL-Vorschau prüfen
   Moderne Smartphones öffnen die Seite meist nicht sofort komplett blind, sondern zeigen die Webadresse kurz an. Schauen Sie genau hin. Steht dort wirklich die echte Adresse Ihrer Bank oder eine täuschend echte Nachahmung (wie meinebank-sicherheit.at)?
3. Absolut keine Dateneingabe
   Die wichtigste Regel überhaupt – geben Sie niemals, unter keinen Umständen, vertrauliche Daten, Passwörter oder Logins auf einer Plattform ein, die Sie gerade erst über einen QR-Code oder einen externen Link erreicht haben.
   

Erste Hilfe: Was tun, wenn die Falle zugeschnappt ist?

Wer trotz aller Vorsicht blind gescannt und Daten eingegeben hat, darf nicht in Schockstarre verfallen. Schnelligkeit schlägt hier das schlechte Gewissen.

Sollten Sie bereits vertrauliche Daten wie Log-ins, Passwörter oder Bankdaten auf einer gefälschten Seite eingegeben haben, gilt es, die Schadensfläche sofort zu minimieren:

1. Die echte Gegenstelle kontaktieren
   Melden Sie sich umgehend beim „echten“ Unternehmen (Ihrer Bank, dem Onlineshop etc.) und legen Sie den Sachverhalt offen. Lassen Sie betroffene Konten oder Kreditkarten sofort sperren.
2. Zugangsdaten radikal ändern
   Ändern Sie augenblicklich überall dort die Passwörter, wo Sie dieselben Log-ins nutzen. Achten Sie auf echte digitale Barrieren: Ein sicheres Passwort hat mehr als 12 Zeichen und kombiniert Groß- und Kleinbuchstaben, Zahlen sowie Sonderzeichen.
3. Beweise sichern und Anzeige erstatten
   Gehen Sie zur nächsten Polizeidienststelle und erstatten Sie Anzeige. Nehmen Sie alles mit, was den Betrug dokumentiert: Wo war der QR-Code angebracht? Auf welche exakte URL hat er geführt? Welche Screenshots haben Sie vom Vorgang gemacht? Jeder digitale Fußabdruck der Täter zählt.
   

Fazit: Aufmerksamkeit schlägt Algorithmus

Am Ende ist Quishing keine unbesiegbare Cyber-Waffe, sondern schlicht das digitale Ausnutzen menschlicher Eile. Wer sich nicht hetzen lässt und den Pixelsalat mit rationaler Distanz betrachtet, hat schon gewonnen.

(Bilder: AdobeStock)