Quishing: Manipulierte QR-Codes & Schutz | IT-Medienrecht

Quishing: Schutz vor manipulierten QR-Codes und Betrugsmaschen

QR-Codes sind aus unserem Alltag nicht mehr wegzudenken. Sie erleichtern das Öffnen von Webseiten, das Zahlen per Smartphone und den Zugriff auf digitale Inhalte erheblich. Doch diese Bequemlichkeit birgt auch ein strukturelles Risiko. Kriminelle nutzen manipulierte QR-Codes gezielt aus, um Daten zu stehlen, Zugangsdaten abzugreifen oder Banktransaktionen zu autorisieren. Dieses Phänomen hat bereits einen eigenen Namen: Quishing, eine Kombination aus „QR“ und „Phishing“.

Besonders im Umfeld von Kleinanzeigenplattformen und privaten Transaktionen führt Quishing zu erheblichen finanziellen Schäden. Dieser Artikel beleuchtet, wie manipulierte QR-Codes und Quishing technisch sowie psychologisch funktionieren. Wir erklären, warum herkömmliche Schutzmechanismen wie die Zwei-Faktor-Authentifizierung (2FA) nicht immer ausreichen. Zudem zeigen wir auf, welche rechtlichen Problemlagen sich ergeben und wie sich Betroffene effektiv schützen und rechtlich korrekt verhalten können.

Wie funktioniert Quishing technisch und psychologisch?

Technisch betrachtet ist ein QR-Code eine kodierte URL. Sobald ein Smartphone diesen scannt, öffnet sich automatisch ein Link, dessen Zieladresse vorher nicht sichtbar ist. Angreifer nutzen dieses Prinzip, um QR-Codes zu erstellen, die auf täuschend echte, gefälschte Webseiten verweisen. Opfer scannen den Code, öffnen unkritisch die scheinbar authentische Seite und geben dort unwissentlich Zugangsdaten, TAN-Codes oder persönliche Informationen ein.

Häufig gehen die Täter dabei noch einen Schritt weiter und setzen auf Social Engineering. Sie erzeugen gezielt Drucksituationen, beispielsweise mit Formulierungen wie „Zahlung freigeben, sonst verfällt das Angebot“, um eine 2FA-Bestätigung zu erzwingen. Dies führt dazu, dass Nutzer unter falschem Vorwand sensible Daten preisgeben.

Während klassisches Phishing manipulierte E-Mails mit Links versendet, erfolgt die Verteilung des „Links“ beim Quishing bereits als QR-Code. Dies geschieht über verschiedene Kanäle wie Messenger-Dienste, Anzeigenportale, gedruckte Flyer, Aufkleber an öffentlichen Orten oder direkte Zuschriften. Die Taktik zielt darauf ab, Quishing-Angriffe in Kontexten zu platzieren, in denen Nutzer die Quelle subjektiv als „sicher“ einschätzen. Beispiele hierfür sind Chats mit vermeintlichen Käufern oder Verkäufern oder persönliche Nachrichten.

Typische Angriffszenarien – besonders bei Kleinanzeigen

1. Kontaktaufnahme: Täter etablieren einen scheinbar seriösen Kontakt, oft im Chat einer Plattform.
2. QR-Code-Versand: Der angebliche Käufer/Verkäufer sendet einen QR-Code, der als offizieller Zahlungslink, Versandlabel oder Verifizierungsprozess getarnt ist.
3. Weiterleitung und Datenabgriff: Das Opfer scannt den Code und wird auf eine gefälschte Anmeldeseite geleitet, wo Zugangsdaten eingegeben oder eine Transaktion bestätigt wird.
4. Folgen: Daten werden an Täter übertragen oder eine ungewollte Zahlungsfreigabe erfolgt.

• Zunächst etablieren die Täter einen scheinbar seriösen Kontakt, oft im Chat einer bekannten Plattform.
• Anschließend sendet der angebliche Käufer oder Verkäufer einen QR-Code. Dieser wird fälschlicherweise als offizieller Zahlungslink, Versandlabel oder Verifizierungsprozess ausgegeben.
• Das Opfer scannt den Code und wird auf eine täuschend echte Anmeldeseite weitergeleitet, die beispielsweise den Login eines bekannten Zahlungsdienstes nachahmt.
• Nach der Eingabe von Zugangsdaten oder der Bestätigung einer Transaktion werden Daten an die Täter übertragen oder eine ungewollte Zahlungsfreigabe erfolgt.

Im speziellen Kontext von Kleinanzeigen lässt sich eine zusätzliche Täterlogik erkennen. Der QR-Code dient hier zur Erzeugung einer vermeintlichen Legitimation, nach dem Motto „Das ist die sichere Zahlungsseite“. Dabei besteht jedoch keine direkte Verbindung zur eigentlichen Plattform oder zum offiziellen Zahlungssystem. Häufige Folgen sind nicht nur finanzielle Verluste, sondern auch Identitätsmissbrauch und die Übernahme von Accounts.

Zwei-Faktor-Authentifizierung (2FA): Schutzmechanismus mit Grenzen

Die Zwei-Faktor-Authentifizierung (2FA) wird in der Rechts- und Sicherheitsberatung häufig als essenzieller Schutzmechanismus genannt. Ihr Ziel ist es, den Zugang zu einem Konto nur mit zwei voneinander unabhängigen Nachweisen zu ermöglichen, wie etwa einem Passwort in Kombination mit einem zusätzlichen Code oder einer Push-Bestätigung.

Grundsätzlich mindert 2FA das Risiko erheblich, dass ein gestohlenes Passwort allein für einen unautorisierten Kontozugriff ausreicht. In der praktischen Anwendung zeigen sich jedoch zwei wesentliche Schwachstellen:

1. Sozialer Aspekt: Nutzer werden durch gefälschte Legitimationen zur Freigabe aufgefordert. Sie bestätigen die Transaktion dann bewusst und aktiv, wenn auch unter Täuschung. Der 2FA-Mechanismus wird in solchen Fällen nicht umgangen, sondern vom Opfer selbst ausgelöst.

2. Technische Ausprägung der 2FA: Die Anfälligkeit für Phishing variiert je nach Art des zweiten Faktors:

   • Bei SMS-TANs oder zeitbasierten App-Codes kann der generierte Code direkt in einer gefälschten Seite eingegeben werden.
   • Push-Bestätigungen in Banking-Apps sind besonders heimtückisch. Sie erscheinen auf dem legitimen Gerät und werden oft unbedacht bestätigt, ohne dass der Nutzer die vollen Konsequenzen erfasst.

Lediglich 2FA-Methoden mit einer kryptographischen Bindung an die legitime Domain, wie zum Beispiel Sicherheitsschlüssel nach FIDO-Standard, können dieses Risiko erheblich reduzieren. Allerdings werden diese fortschrittlichen Methoden von vielen Diensten noch nicht flächendeckend unterstützt.

Präventionsstrategien: Sicherheit jenseits technischer Mechanismen

Obwohl technische Schutzmaßnahmen eine wichtige Rolle spielen, sind sie allein nicht ausreichend. Eine effektive Cybercrime-Prävention und Rechtsberatung setzen daher auf ein ausgewogenes Zusammenspiel von Technik, geschärftem Bewusstsein und klaren Prozessregeln:

• Betrachten Sie QR-Codes stets wie fremde Links. Prüfen Sie die Ziel-URL vor dem Öffnen, wenn möglich, beispielsweise durch eine Vorschau-Funktion oder mithilfe eines spezialisierten QR-Scanners, der die URL vorab anzeigt.
• Bei Geldtransaktionen ist es Ihre Sorgfaltspflicht, Zahlungen ausschließlich über die offiziellen Seiten oder Apps des jeweiligen Zahlungsdienstes oder der betreffenden Plattform anzustoßen.
• Eine 2FA-Abfrage sollte niemals reflexartig bestätigt werden. Prüfen Sie stattdessen stets den konkreten Zweck, die Transaktionsdetails und den Kontext der Anfrage sorgfältig.
• Nehmen Sie grundsätzlich Abstand von „Off-Platform“-Links. Seriöse Anbieter stellen eigene, geschützte Workflows zur Verfügung.
• Seien Sie im öffentlichen Raum auf manipulierte QR-Codes (sogenannte „Oversticker“) vorbereitet. Sichtbare Überklebungen, schiefe Platzierungen oder nachträglich angebrachte Aufkleber sind deutliche Warnsignale.

Diese Präventionsmaßnahmen sind nicht nur aus technischer Sicht bedeutsam, sondern auch rechtlich relevant. In einem möglichen Haftungs- oder Erstattungsprozess wird genau geprüft, ob der Betroffene die typischen Warnsignale hätte erkennen können oder ob Sorgfaltspflichten verletzt wurden.

Rechtliche Einordnung: Erstattung, Haftung und grobe Fahrlässigkeit

Kommt es zu einem unautorisierten Zahlungsfluss, bilden primär das Zahlungsdienste- und Bankrecht die rechtliche Grundlage. Insbesondere sind hier die BGB/675u.html" title="§ 675u BGB: Haftung des Zahlungsdienstleisters für nicht autorisierte Zahlungsvorgänge">§§ 675u ff. BGB relevant. Ein Anspruch auf Erstattung unautorisierter Zahlungen ergibt sich grundsätzlich aus § 675u BGB. Diese Regelung verpflichtet den Zahlungsdienstleister, den Betrag ohne Verzögerung zurückzuerstatten, sofern die Zahlung nicht vom Zahler autorisiert wurde.

Gleichzeitig gestattet § 675v BGB dem Zahlungsdienstleister, die Haftung bei grob fahrlässigem Verhalten des Kunden zu kürzen oder gänzlich zu verweigern. Die Einstufung eines Verhaltens als grob fahrlässig hängt stark vom jeweiligen Einzelfall ab. Die bisherige Rechtsprechung in diesem Bereich betont regelmäßig, dass offensichtliche Sicherheitsverstöße oder das Ignorieren klarer Warnhinweise eine grob fahrlässige Pflichtverletzung darstellen können.

Für Betroffene bedeutet dies: Selbst bei vorliegenden technischen Manipulationen wird die Entscheidung in einem Streitfall nicht allein von der Tatsache der Täuschung abhängen. Vielmehr ist entscheidend, ob der Sicherheitsverstoß objektiv erkennbar war und die betroffene Person die üblichen Sorgfaltsmaßstäbe verletzt hat. Eine sorgfältige Dokumentation des Vorfalls und der eigenen Handlungen ist hierbei von entscheidender Bedeutung.

Was tun bei Quishing-Betroffenheit?

Im Falle eines tatsächlichen oder vermuteten Quishing-Angriffs ist ein strukturiertes Vorgehen ratsam, um den Schaden zu begrenzen und rechtliche Ansprüche zu sichern:

1. Transaktion sofort stoppen: Setzen Sie umgehend den Zahlungsverkehr aus, ändern Sie alle relevanten Zugangsdaten und aktualisieren Sie Passwörter.

2. Bank/Zahlungsdienstleister informieren: Veranlassen Sie umgehend die Sperrung betroffener Konten und Karten bei Ihrer Bank oder dem Zahlungsdienstleister.

3. Erstattung beantragen und rechtsverbindlich dokumentieren: Reichen Sie eine fristgerechte, schriftliche Erklärung über den unautorisierten Zahlungsvorgang beim Zahlungsdienstleister ein, idealerweise mit allen verfügbaren Nachweisen.

4. Anzeige erstatten: Stellen Sie eine Strafanzeige wegen Betrugs bzw. Phishing/Quishing bei der Polizei und sichern Sie alle Beweismittel.

5. Kommunikation mit der Plattform: Informieren Sie den Anbieter der Kleinanzeigenplattform oder des Webdienstes, um weitere Schäden zu verhindern und den Account zu sichern.

Dieses Vorgehen dient nicht nur der unmittelbaren Schadensbegrenzung, sondern kann auch im Rahmen späterer rechtlicher Auseinandersetzungen von entscheidender Bedeutung sein.

Fazit

Die Kombination aus visueller Glaubwürdigkeit, mobilem Komfort und mangelnder URL-Transparenz macht manipulierte QR-Codes und Quishing zu einer ernstzunehmenden Gefahr. Dies gilt insbesondere für Transaktionen zwischen Privatpersonen. Klassische Sicherheitsmechanismen wie die Zwei-Faktor-Authentifizierung sind zwar essenziell, ersetzen jedoch nicht eine kritische Prüfung, bewusstes Handeln und konsequente Verhaltensregeln.

Im Zweifelsfall empfiehlt es sich, Transaktionen ausschließlich über offizielle Workflows abzuwickeln. Bei jeglichen Unklarheiten sollte man QR-Codes nicht scannen, sondern direkt über die entsprechende App oder den Browser agieren. Im Ernstfall ist schnelles Handeln der Betroffenen entscheidend, um rechtliche Ansprüche zu wahren und mögliche Haftungsfragen professionell klären zu lassen.