Kurz erklärt: Der QR-Code-Scam (auch Quishing, aus „QR“ und „Phishing“) ist eine Betrugsform, bei der manipulierte oder gefälschte QR-Codes genutzt werden, um Opfer auf Phishing-Seiten zu leiten oder Krypto-Zahlungen direkt an eine Adresse der Täter umzulenken.
Herkunft und Einordnung
QR-Codes werden im Krypto-Umfeld seit langem verwendet, um lange Wallet-Adressen fehlerfrei zu übertragen. Mit ihrer allgemeinen Verbreitung – verstärkt seit der COVID-19-Pandemie ab 2020 – nahm auch der Missbrauch zu. Der Begriff „Quishing“ etablierte sich in den frühen 2020er-Jahren als Bezeichnung für Phishing über QR-Codes.
Der QR-Code-Scam ist keine eigenständige technische Schwachstelle, sondern ein Übertragungsvektor: Der Code selbst ist unauffällig, verweist aber auf einen betrügerischen Inhalt. Er verbindet damit Elemente des Phishings mit der visuellen Unlesbarkeit maschinenlesbarer Codes.
Angriffsvarianten
- Adress-Austausch: Ein QR-Code, der eine Zahlungsadresse darstellen soll, kodiert stattdessen eine Wallet-Adresse der Täter. Da Menschen QR-Codes nicht direkt lesen können, fällt die Manipulation nicht auf.
- Phishing-Weiterleitung: Der Code führt auf eine gefälschte Börsen- oder Wallet-Seite, die Zugangsdaten oder die Seed Phrase abfragt.
- Überkleben (physisch): An Krypto-Automaten, auf Plakaten oder Rechnungen werden echte Codes mit Aufklebern überklebt.
- Drainer-Verbindung: Der Code öffnet eine dApp, die zur Signatur einer schädlichen Freigabe auffordert – eine Verbindung zum Wallet-Drainer.
Verbindungen und Schutz
Der QR-Code-Scam tritt häufig gemeinsam mit dem Fake-Support-Scam auf, wenn ein vermeintlicher Berater einen Code zum Scannen bereitstellt, sowie bei Betrug an Krypto-Geldautomaten, bei dem Opfer eine fremde Empfängeradresse einscannen. Als Schutz gilt, das Ziel eines gescannten Codes vor der Bestätigung zu prüfen (angezeigte URL bzw. Empfängeradresse), Codes nur aus vertrauenswürdigen Quellen zu verwenden und bei Zahlungen die vollständige Adresse gegenzuprüfen.
Häufige Fragen
Was bedeutet Quishing?
Quishing ist ein Kofferwort aus „QR“ und „Phishing“ und bezeichnet Phishing-Angriffe, bei denen ein QR-Code als Köder oder Weiterleitungsmittel dient.
Warum sind manipulierte QR-Codes schwer zu erkennen?
QR-Codes sind maschinenlesbar und für Menschen nicht direkt entzifferbar. Eine gefälschte Adresse oder URL im Code fällt daher erst nach dem Scannen auf, wenn überhaupt.
Wie kann man sich schützen?
Vor der Bestätigung sollte die vom Code geöffnete URL oder Empfängeradresse geprüft werden. Codes aus unbekannten Quellen, überklebte Codes und Aufforderungen zum Scannen durch Fremde gelten als Warnsignale.
Kann ein QR-Code direkt Geld abbuchen?
Ein QR-Code allein löst keine Zahlung aus. Er kann jedoch eine Zahlung mit vorausgefüllter Täteradresse vorbereiten oder eine Seite öffnen, die zu einer schädlichen Signatur verleitet.
Zusammenfassung
Der QR-Code-Scam (Quishing) missbraucht die Unlesbarkeit maschinenlesbarer Codes, um Zahlungen an Täteradressen umzuleiten oder auf Phishing-Seiten zu führen. Er dient als Übertragungsvektor und tritt oft mit Fake-Support-Scams und Wallet-Drainern auf; Schutz bietet vor allem das Prüfen von Ziel-URL und Empfängeradresse vor der Bestätigung.
Weiterführende Quellen
- BSI – Phishing erkennen und abwehren: www.bsi.bund.de
- Wikipedia – QR-Code: de.wikipedia.org