QR-Codes haben sich überall eingeschlichen: im Restaurant, um die Speisekarte anzusehen, an Parkuhren, um zu bezahlen, auf Paketen, um eine Lieferung zu verfolgen. Diese Bequemlichkeit hat eine Kehrseite, die die Schweizer Behörden mit einem etwas sperrigen Wort bezeichnen: Quishing. Als Zusammensetzung aus «QR» und «Phishing» besteht Quishing darin, ein Opfer dazu zu bringen, einen QR-Code zu scannen, der es auf eine gefälschte Website leitet, um ihm persönliche Daten oder Geld zu entlocken.

Das Nationale Zentrum für Cybersicherheit (NCSC) hat im ersten Halbjahr 2026 mehrere Varianten dieser Betrugsmasche dokumentiert. Hier lesen Sie, wie sie funktionieren und wie Sie nicht darauf hereinfallen.

Die Masche mit der gefälschten Abholbenachrichtigung

In ihrem Wochenrückblick zur Woche 24 (Mitte Juni 2026) beschreibt das NCSC eine besonders sorgfältig gemachte Betrugsmasche. Kriminelle werfen gefälschte Abholbenachrichtigungen in die Briefkästen, die den offiziellen gelben Benachrichtigungskarten der Schweizerischen Post nachempfunden sind. Das Dokument fordert die Empfängerin oder den Empfänger auf, einen QR-Code zu scannen, um eine angeblich verpasste Zustellung neu zu planen.

Der Code führt auf eine täuschend echte gefälschte Post-Website. Nach der Wahl eines Zustellfensters soll das Opfer seine persönlichen Daten angeben (Name, Geburtsdatum, Adresse, E-Mail, Telefonnummer). Schliesslich verlangt die Website die Kreditkartendaten für angebliche Bearbeitungsgebühren von einigen Franken (zwischen 2.10 und 3.99 Franken in den beobachteten Fällen). Der Betrag ist bewusst geringfügig gewählt, um keinen Verdacht zu erwecken, doch das eigentliche Ziel ist es, die Kartendaten und die vollständige Identität des Opfers abzugreifen.

Parkuhren und Ladesäulen: die physische Falle

Quishing läuft nicht nur über den Briefkasten. Eine weitere Technik besteht darin, einen gefälschten QR-Code über einen echten zu kleben, auf einer öffentlich zugänglichen Vorrichtung. RTS hat Fälle gemeldet, die auf Fahrerinnen und Fahrer von Elektroautos abzielen: gefälschte Aufkleber auf Ladesäulen leiten den Autofahrer auf eine gefälschte Zahlungsseite um. Dasselbe Vorgehen wurde bei Parkuhren beobachtet, bei denen der gefälschte Code die Bezahlung einer Busse oder einer Parkgebühr per Kreditkarte verlangt.

Ein Schweizer Tourist wurde auf Reisen im Ausland sogar zweimal ins Visier genommen, wobei die betrügerischen Kaufversuche glücklicherweise blockiert wurden. Dieses Detail ist wichtig: Sind Ihre Bankdaten einmal erfasst, können sie weit über den angekündigten Betrag hinaus verwendet werden.

So erkennen und vermeiden Sie die Falle

Die Empfehlungen des NCSC lassen sich auf einige einfache Reflexe herunterbrechen.

Seien Sie misstrauisch gegenüber QR-Codes auf unerwarteten physischen Dokumenten oder auf leicht zugänglichen öffentlichen Vorrichtungen. Bevor Sie etwas bestätigen, prüfen Sie die Webadresse, die sich nach dem Scannen öffnet: Eine Adresse, die nicht genau der offiziellen Website entspricht, sollte Sie stutzig machen. Verwenden Sie den Code im Zweifel nicht: Rufen Sie direkt die offizielle Website oder App des Anbieters auf und geben Sie die Sendungs- oder Referenznummer selbst ein.

Denken Sie auch daran, dass die Post für einen normalen Zustellversuch keine Gebühren verrechnet. Jede derartige Zahlungsaufforderung ist ein Alarmsignal. Und wenn Sie Ihre Kartendaten weitergegeben haben, lassen Sie die Karte unverzüglich sperren.

Was das für ein KMU bedeutet

Dieses Thema geht über den privaten Bereich hinaus. Ihre Mitarbeitenden scannen täglich QR-Codes, auch auf Geräten, die auf die Unternehmenssysteme zugreifen. Wer zu Hause getäuscht wird, verwendet möglicherweise dieselben Passwörter im Büro oder klickt auf einen Link, der an die berufliche Adresse gesendet wurde. Zudem können Kriminelle, wenn Ihr Unternehmen selbst QR-Codes verwendet (auf Rechnungen, Kommunikationsmitteln, Plakaten), diese nachahmen und Ihre Kunden abfangen, indem sie sich als Sie ausgeben, was Ihren Ruf gefährdet.

Die regelmässige Sensibilisierung Ihrer Teams ist daher eine wirksame erste Schutzmauer, und Sie können sie selbst umsetzen. Sie deckt aber nur einen Teil des Problems ab. Zu wissen, welche Ihrer Prozesse (Zahlungen, Rechnungen, Kundenkommunikation) diesem Missbrauch tatsächlich ausgesetzt sind und wie sie zu schützen sind, setzt voraus, Ihre Organisation im Detail zu betrachten.

Fazit

Quishing veranschaulicht einen grundlegenden Trend: Die wirksamsten Angriffe beruhen nicht auf einer technischen Meisterleistung, sondern auf Vertrauen und Gewohnheit. Ein vertrautes Logo, eine alltägliche Handlung, und die Falle schnappt zu. Informieren und Schulen bleibt in Ihrer Reichweite und ist unverzichtbar. Um weiterzugehen und Ihre internen Prozesse dauerhaft abzusichern, ermöglicht eine auf Ihr Unternehmen zugeschnittene Analyse, genau zu bestimmen, wo Ihre blinden Flecken liegen und wie sie sich schliessen lassen.