QR-Code-Phishing, am häufigsten als „Quishing“ bezeichnet, ist eine Art von Phishing-Angriff, bei dem Benutzer dazu gebracht werden, QR-Codes zu scannen, um persönliche Daten wie Anmeldeinformationen oder Kreditkartennummern zu stehlen. Wenn ein Benutzer einen QR-Code scannt, der für einen Quishing-Angriff erstellt wurde, wird er zu einer bösartigen Website weitergeleitet, die entweder Malware auf sein Telefon lädt oder nach seinen persönlichen Daten fragt.
Lesen Sie weiter, um mehr über Quishing zu erfahren, wie es sich vom Phishing unterscheidet, wie es funktioniert, warum es gefährlich ist, welche Anzeichen auf einen Quishing-Angriff hindeuten und wie Sie verhindern, Opfer eines Quishing-Angriffs zu werden.
Quishing vs. Phishing: Was ist der Unterschied?
Phishing-Angriffe sind eine Art von Cyberangriff, die Benutzer dazu bringen, ihre persönlichen Informationen preiszugeben. Cyberkriminelle senden Nachrichten – in der Regel per E-Mail oder SMS – an Benutzer mit einem bösartigen Anhang oder Link. Sobald der Benutzer auf den bösartigen Link klickt, wird er auf eine gefälschte Website geleitet, die entweder Malware auf sein Gerät lädt oder ihn dazu bringt, seine persönlichen Informationen preiszugeben.
Quishing ist eine Art von Phishing-Angriff. Anstatt Anhänge oder Links zu verwenden, werden QR-Codes zum Scannen durch den Benutzer verwendet, über die er zu einer bösartigen Website gelangt. Sowohl Quishing als auch Phishing versuchen, die persönlichen Daten eines Benutzers zu stehlen, unterscheiden sich aber in der Vorgehensweise.
Wie funktioniert Quishing?
Um einen Quishing-Angriff zu initiieren, erstellen Cyberkriminelle zunächst eine gefälschte Website. Diese gefälschten Websites versuchen, sich als legitime Websites auszugeben, um entweder Malware auf das Gerät des Benutzers herunterzuladen, wenn er auf die Seite gelangt, oder Benutzer dazu zu bringen, ihre sensiblen Daten preiszugeben.
Sobald die gefälschte Website geschaffen wurde, erstellen Cyberkriminelle einen QR-Code, der auf die gefälschte Website verlinkt. Ein QR- oder Quick Response-Code ist ein zweidimensionaler Barcode, der kodierte Daten wie einen Link enthält und von einem Telefon oder Barcode-Leser gescannt werden kann.
Wenn der QR-Code erstellt wurde, sendet der Cyberkriminelle den QR-Code per E-Mail oder SMS oder legt ihn an öffentlichen Orten wie auf Flyern oder Postern ab, damit die Opfer ihn scannen können. Wenn die betroffene Person den QR-Code scannt, wird sie zur bösartigen Website weitergeleitet, die sie auffordert, ihre sensiblen Daten preiszugeben.
Die Gefahren von Quishing
Quishing-Angriffe sind so gefährlich, weil sie von Cyberkriminellen so leicht erstellt werden und gefährliche Links in QR-Codes verbergen können. QR-Codes lassen sich ganz einfach und von jedem von uns anfertigen. Ein Cyberkrimineller verwendet einen QR-Generator, um den QR-Code zu erstellen und einen bösartigen Link darin einzubetten. Da der bösartige Link in den QR-Code eingebettet ist, ist es schwierig, ihn auf den ersten Blick zu erkennen, was es Quishing-Angriffen ermöglicht, Spam-Filter zu umgehen. Da Sie den bösartigen Link nicht auf den ersten Blick erkennen können, ist es leicht, auf Quishing-Angriffe hereinzufallen, die unbefugten Benutzern Zugang zu Ihren Konten gewähren.
Anzeichen für einen Quishing-Angriff
Quishing ist schwieriger zu erkennen, da QR-Codes anstelle von Links oder Anhängen verwendet werden. Es ist jedoch immer noch möglich, Anzeichen eines Quishing-Angriffs zu erkennen, da sie denen eines Phishing-Angriffs ähneln. Dies sind Anzeichen für einen Quishing-Angriff, auf die Sie achten sollten.
QR-Code, der von einem dubiosen Absender stammt
Quishing-Angriffe versuchen oft, sich als legitimes Unternehmen oder als Arbeitskollege auszugeben, der Ihnen einen QR-Code zum Scannen schickt. Möglicherweise bemerken Sie jedoch Unstimmigkeiten zwischen dem Namen des Absenders und der E-Mail-Adresse, wenn z. B. der Name des Absenders nicht mit der E-Mail-Adresse übereinstimmt. Die E-Mail kann auch von einer öffentlichen Domain wie Google oder Yahoo gesendet werden.
Rechtschreib- oder Grammatikfehler in der Nachricht
Wenn Sie Rechtschreib- oder Grammatikfehler in einer Nachricht mit einem QR-Code bemerken, ist dies ein Anzeichen für einen Quishing-Angriff. Legitime Unternehmen überprüfen ihre E-Mails mehrmals auf Rechtschreib- und Grammatikfehler, bevor sie sie senden. Wenn eine Nachricht Rechtschreib- oder Grammatikfehler enthält, ist es höchstwahrscheinlich ein Cyberkrimineller, der versucht, sich als legitimes Unternehmen auszugeben.
Dringende Aufforderung zum Scannen des QR-Codes
Wenn die Nachricht mit dem QR-Code Sie dringend auffordert, den QR-Code zu scannen, ist es höchstwahrscheinlich ein Quishing-Angriff. Cyberkriminelle verwenden dringende Worte, um Sie dazu zu bringen, den QR-Code zu scannen und Ihre persönlichen Daten preiszugeben. Sie suggerieren, dass Sie ein großartiges Angebot verpassen, in Gefahr sind oder etwas unter Angabe Ihrer persönlichen Daten bestätigen müssen.
Fehler in der Website-Adresse des QR-Codes
Beim Scan eines QR-Codes können Sie sich eine Vorschau des Links ansehen, bevor Sie auf die beabsichtigte Seite gelangen. Wenn Sie bemerken, dass der Link gekürzt wurde, unlesbar ist oder Rechtschreibfehler enthält, führt der Link höchstwahrscheinlich zu einer bösartigen Website für einen Quishing-Angriff. Wenn Sie den Link aus dem QR-Code versehentlich geöffnet haben, achten Sie auf Diskrepanzen auf der Website wie Rechtschreib- oder Formatierungsfehler und vermeiden Sie es, mit der Website zu interagieren.
QR-Codes mit unfassbar guten Angeboten
Einige QR-Codes versuchen großartige Angebote wie Rabatte, Sonder- oder Gratisangebote zu bewerben. Wenn diese zu gut sind, um wahr zu sein, ist das vermutlich auch der Fall. Cyberkriminelle sagen alles Mögliche, um Sie dazu zu bringen, den bösartigen QR-Code zu scannen. Sie täuschen vor, dass sie Ihnen ein unglaubliches Angebot machen, obwohl Sie derweil auf den Betrug hereinfallen. Sie sollten das Angebot untersuchen, bevor Sie weitere Maßnahmen ergreifen.
Eine plötzliche oder unerwartete Anfrage nach persönlichen Daten ist höchstwahrscheinlich ein Anzeichen für einen Quishing-Angriff. Ein legitimes Unternehmen oder ein Kollege wird niemals per E-Mail oder SMS nach sensiblen Daten wie Ihren Anmeldeinformationen oder Kreditkartendaten fragen.
Diskrepanzen mit physischen QR-Codes
Nicht alle Quishing-Angriffe erfolgen online, einige bösartige QR-Codes werden an öffentlichen Orten wie Restaurants und Parks platziert. Sie werden auf Flyern, Postern oder Aufklebern verteilt, damit Personen sie scannen können. Manche bösartigen QR-Codes werden auf legitime Codes geklebt, damit die Nutzer denken, dass es sich lohnt, ihn zu scannen. Wenn es verdächtige Diskrepanzen zum physischen QR-Code eines legitimen Unternehmens gibt, wurde der Code höchstwahrscheinlich manipuliert und durch einen bösartigen QR-Code ersetzt. Sie sollten das Unternehmen direkt kontaktieren, um die Authentizität des QR-Codes zu bestätigen.
So verhindern Sie Quishing-Angriffe
Quishing ist eine relativ neue und gefährliche Methode, die persönlichen Daten eines Benutzers zu stehlen. Die Taktiken zur Verhinderung herkömmlicher Phishing-Angriffe gelten jedoch auch für Quishing. Hier sind einige Tipps, wie Sie verhindern, Opfer von Quishing-Angriffen zu werden.
Vermeiden Sie den Scan unaufgeforderter QR-Codes
Vermeiden Sie grundsätzlich, unaufgeforderte QR-Codes zu scannen, wenn Sie die Quelle nicht kennen. Wenn Sie unerwartet eine Nachricht erhalten, die Sie auffordert, einen QR-Code zu scannen, oder einen QR-Code in der Öffentlichkeit sehen, sollten Sie vermeiden, ihn zu scannen, da es sich um einen Quishing-Versuch handeln kann, der zu einer bösartigen Website führt.
Überprüfen Sie die Website-Adresse des QR-Codes auf Diskrepanzen
Wenn Sie einen QR-Code scannen, erhalten Sie eine Vorschau der Website-Adresse des QR-Codes, auf die Sie klicken können, um den Link zu öffnen. Überprüfen Sie immer den Link des QR-Codes, bevor Sie ihn anklicken, und überprüfen Sie, ob es Diskrepanzen in der URL gibt. Wenn Sie Rechtschreibfehler oder unbekannte Domainnamen bemerken, leitet Sie der QR-Code höchstwahrscheinlich auf eine bösartige Website.
Wenn Sie den QR-Code von einem Unternehmen oder einer Ihnen bekannten Person erhalten haben, sollten Sie versuchen, das Unternehmen oder die Person über andere Kommunikationswege direkt zu kontaktieren und sie über den QR-Code zu befragen. Statt den QR-Code zu verwenden, können Sie auch direkt die Website des Unternehmens aufrufen.
Verwenden Sie starke eindeutige Passwörter für Ihre Konten
Genau wie jeder Phishing-Angriff versucht Quishing, Ihre Anmeldeinformationen zu stehlen und auf Ihre Konten zuzugreifen. Ihre Online-Konten können persönliche Daten wie Kreditkartennummern oder Ihre Privatadresse enthalten. Sie müssen starke eindeutige Passwörter verwenden, um Ihre persönlichen Daten vor Cyberkriminellen zu schützen. Starke eindeutige Passwörter erschweren es Cyberkriminellen, sich Zugriff auf Ihre Konten zu verschaffen.
Außerdem sollten Sie zur Speicherung Ihrer Passwörter einen Password Manager verwenden. Ein Password Manager ist ein Tool, das Ihre persönlichen Informationen sicher in einem verschlüsselten Tresor speichert und verwaltet. Ein Password Manager schützt Ihre Anmeldeinformationen durch Verschlüsselung und kann nur mit einem Master-Passwort aufgerufen werden. Mit einem Password Manager können Sie jederzeit auf alle Ihre eindeutigen Passwörter zugreifen.
Einige Passwortmanager verhindern Phishing-Versuche, indem sie die URL der Anmeldeseite eines Kontos speichern. Wenn Sie versuchen, sich bei Ihren Konten anzumelden, füllt Ihr Password Manager die Anmeldeinformationen automatisch aus, wenn Sie sich auf der gespeicherten Anmeldeseite befinden. Wenn Sie sich jedoch auf einer gefälschten Website befinden, füllt Ihr Password Manager Ihre Anmeldeinformationen nicht automatisch aus, was verhindert, dass Cyberkriminelle Ihre Anmeldeinformationen stehlen.
Aktivieren Sie MFA für Ihre Konten
Multifaktor-Authentifizierung (MFA) ist eine Sicherheitsmaßnahme, die erfordert, dass sich zusätzlich authentifizieren, um Zugriff auf ein Konto oder Gerät zu erhalten. Die Aktivierung von MFA gibt Ihnen verstärkte Kontrolle darüber, wer Zugriff auf Ihre Online-Konten hat. Sie fügt eine zusätzliche Sicherheitsebene hinzu, indem sie die Identität autorisierter Benutzer überprüft. Selbst wenn Ihre Anmeldeinformationen durch einen Quishing-Angriff kompromittiert wurden, hätten Cyberkriminelle keinen Zugriff auf Ihre Konten, da sie durch MFA geschützt sind.
Halten Sie Ihre Software auf dem neuesten Stand
Um zu verhindern, dass Cyberkriminelle Sicherheitslücken auf Ihrem Gerät ausnutzen, sollten Sie Ihre Software auf dem neuesten Stand halten. Software-Updates enthalten Patches, die Sicherheitslücken entfernen und neue Sicherheitsfunktionen hinzufügen, die Ihr Gerät besser schützen.
Installieren Sie Antivirensoftware
Antivirensoftware ist ein Programm, das verhindern kann, dass bekannte Malware Ihr Gerät infiziert, indem sie sie erkennt und entfernt. Installieren Sie Antivirensoftware auf Ihrem Telefon, damit es vor Quishing-Versuchen und der Installation von Malware geschützt ist. Sollten Sie versehentlich einen QR-Code eines Quishing-Angriffs scannen und auf einer bösartigen Website landen, verhindert Antivirensoftware, dass die Malware automatisch auf Ihrem Gerät installiert wird.
Schutz vor Quishing-Angriffen mit Keeper
Obwohl Quishing-Angriffe beängstigend sein können, können Sie sich leicht schützen, indem Sie QR-Codes aus verdächtigen und unbekannten Quellen vermeiden, starke und eindeutige Passwörter verwenden, MFA aktivieren, Ihre Software auf dem neuesten Stand halten und Antivirensoftware auf Ihrem Gerät installieren.
Der beste Weg, sich vor Quishing-Angriffen zu schützen, ist jedoch die Verwendung eines Password Managers. Mit einem Password Manager sind Ihre Anmeldeinformationen durch verschiedene Verschlüsselungsebenen geschützt.
Keeper® Password Manager bietet die Funktion KeeperFill®, die Ihre im Password Manager gespeicherten Anmeldeinformationen automatisch ausfüllt, wenn Sie auf der Anmeldeseite für Ihre Konten landen. Melden Sie sich für eine kostenlose Testversion von Keeper Password Manager an, um sich vor Quishing-Angriffen zu schützen.