Warum Betrüger Ihnen jetzt Bilder von Links per Mail schicken

Ein Link-Scanner ist ein einfaches, unerbittliches Werkzeug. Er liest die Text-URLs in einer E-Mail, prüft sie gegen Listen bekannter bösartiger Domains, folgt Umleitungen und kennzeichnet diejenigen, die zu etwas Gefährlichem führen. Er ist sehr gut in seinem Job. Also taten Betrüger das Offensichtliche: Sie hörten auf, Links zu verschicken.

Sie fingen an, Bilder von Links zu verschicken.

Das ist der Trick hinter „Quishing" – QR-Code-Phishing. Ein QR-Code ist eine URL, die als schwarz-weiß Bild codiert ist, sodass eine Adresse wie login-verify.example nicht länger als Text im Nachrichtentext existiert, sondern nur noch als Pixel. Der Punkt ist nicht, dass die Adresse verschlüsselt ist; jede Handykamera decodiert sie augenblicklich. Der Punkt ist, dass sie nirgendwo mehr geschrieben steht, wo Sie oder ein Text-Parser sie lesen können, bevor Sie sich festlegen.

Ob ein Filter sie dennoch lesen kann, hängt ganz vom Produkt ab. Großbritanniens National Cyber Security Centre drückt die Grenze in vorsichtigen Worten in seiner Notiz vom Februar 2024 zu QR-Codes aus: „Nicht alle Sicherheitstools, die zur Erkennung von Phishing-E-Mails konzipiert sind, scannen Bilder." Beachten Sie, was das nicht sagt. Es sagt nicht, dass keines von ihnen das tut. Microsoft veröffentlichte die Gegenseite im November 2024: Defender for Office 365, schrieb Microsoft, „hat seine Fähigkeiten zur Extraktion von URLs aus QR-Codes verbessert", und nutzt Bildverarbeitung früh im Mail-Flow, um „URLs zu extrahieren und zu protokollieren, die in QR-Codes verborgen sind". Es extrahiert nun auch QR-Metadaten und sucht nach dem umgebenden Muster – minimaler Text im Nachrichtentext, ein Marken-Köder, eine Umleitungskette. Also war „der Filter kann es nicht lesen" eine Zeit lang auf viele Produkte wahr, ist auf manche immer noch wahr, und ist kein Naturgesetz. Wenn Sie wissen möchten, ob es auf Ihren eigenen Mail-Dienst zutrifft, ist das eine Frage zum Produkt und der Konfiguration Ihres Anbieters, nicht zu QR-Codes.

Die überprüfbaren Zahlen stammen vom selben Anbieter, und es lohnt sich, sie im Kontext zu lesen. Microsofts Beitrag vom November 2024 beschreibt einen Anstieg mit „manchen Angriffen, die mit einer Wachstumsrate von 270% pro Monat anstiegen", sagt, dass „auf dem Höhepunkt Defender for Office 365 3 Millionen Versuche täglich blockierte", und dass nach Auslieferung der Erkennungsarbeit „diese Zahl auf 200.000 QR-Code-Phishing-Versuche jeden Tag gesunken ist". Microsofts Digital Defense Report 2026 nennt eine Gesamtzahl zur aktuellen Größenordnung: 145+ Millionen QR-Code-Phishing-Angriffe, erkannt zwischen Juli 2025 und Juni 2026 von Defender for Office 365. Alle diese Zahlen sind die Telemetrie eines Anbieters für sein eigenes Produkt, selbst gemeldet. Sie sind nicht ein Anteil aller Phishing-Angriffe, und sie sind keine Branchengesamtzahl – eine frühere Version dieses Artikels zitierte einen 25%-Anteil, den keine Microsoft-Publikation zu unterstützen scheint, und diese Zahl wurde entfernt, anstatt ersetzt zu werden.

Was die Technik haltbar macht, ist die Weitergabe, nicht die Codierung. Die E-Mail kommt auf einem Laptop an, wo der Unternehmensfilter, der verwaltete Browser und der Passwort-Manager vorhanden sind. Der Code wird auf einem Telefon gescannt, das in der Regel ein persönliches Gerät ist. Das NCSC führt dies unter den Gründen auf, warum Kriminelle die Methode bevorzugen: „Persönliche Geräte haben möglicherweise nicht die gleichen Sicherheitsmaßnahmen wie ein Computer, der von Ihrem Arbeitgeber bereitgestellt wird." Auf einem Telefon wird die Adressleiste gekürzt, die vollständige URL ist schwer zu überprüfen, und ein Passwort-Manager, der sich weigern würde, bei der falschen Domain automatisch auszufüllen, ist überhaupt nicht beteiligt.

Die Themen sind langweilig vorhersehbar, was an sich schon aufschlussreich ist, und sie tauchen in den Verbraucherwarnungen fast wörtlich auf. Die FTC-Warnung vom Dezember 2023 beschreibt Betrüger, die den echten QR-Code auf einem Parkplatzautomaten mit ihrem eigenen Aufkleber überkleben, und warnt unmissverständlich: „Scannen Sie keinen QR-Code in einer E-Mail oder SMS, die Sie nicht erwartet haben", besonders nicht einen, der Sie zur sofortigen Handlung auffordert. Die FBI-Stellungnahme des IC3 vom Januar 2022 sagt dasselbe über Manipulation – „Cyberkriminelle manipulieren sowohl digitale als auch physische QR-Codes, um legitime Codes durch bösartige Codes zu ersetzen" – und rät Personen, physische Codes auf „einen Aufkleber, der auf dem ursprünglichen Code angebracht ist," zu überprüfen. Ein Code zur Wiederaktivierung abgelaufener Multi-Faktor-Authentifizierung, eine unerwartete Signaturanforderung, eine Versandbenachrichtigung, die Sie auffordert, die Lieferung zu bestätigen: Das Designziel ist immer ein kleiner, plausibler Grund, das Telefon in die Hand zu nehmen, bevor irgendetwas überprüft wird.

Die Abwehrmaßnahmen sind also die langweiligen, und es sind diejenigen, die die Behörden tatsächlich veröffentlichen. Der Rat des IC3 für eine Nachricht, die nach einem Scan eine Zahlung oder einen Login fordert: „rufen Sie das Unternehmen an, um es zu überprüfen", und nutzen Sie „die Telefonnummer des Unternehmens von einer vertrauenswürdigen Website, anstatt einer in der E-Mail angegebenen Nummer", und „vermeiden Sie Zahlungen über eine Website, auf die von einem QR-Code aus navigiert wird. Geben Sie stattdessen manuell eine bekannte und vertrauenswürdige URL ein." Nichts davon erfordert, dass Sie beurteilen, ob ein bestimmtes Quadrat bösartig ist – und das ist der Teil, in dem kein Mensch gut ist.

Eine Sache, die ein QR-Code in einer E-Mail Ihnen nie sagt, ist, ob die Nachricht gefälscht wurde. Domain-Authentifizierung beantwortet eine völlig andere Frage, und die aktuelle DMARC-Spezifikation setzt „Inhaltsanalyse" ausdrücklich außer Reichweite – weshalb eine vollständig authentifizierte Nachricht ein bösartiges Bild enthalten kann. Dieser Mechanismus verdient einen eigenen Blick, und er ist Gegenstand eines Begleitartikels in dieser Serie.

Berichtigung, 20. Oktober 2026. Eine frühere Version dieses Artikels sagte, dass ein Spam-Filter einen QR-Code nicht lesen kann und dass Scanner die codierte Adresse nicht erkennen. Das trifft auf manche E-Mail-Sicherheitsprodukte zu und auf andere nicht: Microsoft dokumentierte die URL-Extraktion aus QR-Codes in Defender for Office 365 im November 2024, und die Formulierung des NCSC ist, dass nicht alle Tools Bilder scannen. Der Artikel zitierte auch eine Zahl von ungefähr 25% des E-Mail-Phishings mit QR-Codes, zugeschrieben Microsoft; keine Microsoft-Publikation, die diese Quote unterstützt, konnte gefunden werden, daher wurde die Zahl entfernt und durch Zahlen ersetzt, die Microsoft direkt veröffentlicht, mit ihrem Produkt und Zeitraum angegeben. Eine Demonstrations-Phishing-Domain, die als aktiver Link wiedergegeben worden war, wurde durch ein nicht anklickbares Beispiel im reservierten .example-Namespace ersetzt, und eine Quellenangabe zur CISA-Startseite wurde durch die spezifischen Stellungnahmen des FBI IC3 und der FTC ersetzt.