Kaspersky-Experten haben eine neue Phishing-Masche identifiziert, bei der Cyberkriminelle QR-Codes nicht wie sonst als Bilddateien, sondern aus Textzeichen zusammensetzen. Ziel dieser Methode ist es, Sicherheitslösungen für E-Mails zu umgehen, die QR-Codes üblicherweise über Bild- oder Linkanalysen erkennen.
QR-Phishing ist eine verbreitete Methode für Betrugs- und Phishing-Kampagnen. Im zweiten Halbjahr 2025 registrierte Kaspersky einen fünffachen Anstieg erkannter QR-Phishing-Angriffe. Die nun beobachtete Technik nutzt Darstellungen aus Textzeichen, sogenannte ASCII-Grafiken, um schädliche QR-Codes innerhalb von E-Mails einzubetten.
Die Angriffsmethode folgt einem bekannten Muster: Empfänger erhalten eine vermeintlich legitime Nachricht eines Geschäftspartners mit der Aufforderung, ein vertrauliches Dokument über DocuSign zu signieren. Der enthaltene QR-Code führt auf eine gefälschte Website, auf der Unternehmenszugangsdaten abgefragt werden. Da der QR-Code ausschließlich aus Textzeichen besteht, erkennen viele Sicherheitslösungen verdächtige Links nicht.
Roman Dedenok, Anti-Spam-Experte bei Kaspersky, kommentiert wie folgt:
"Bereits in der Vergangenheit haben Betrüger versucht, URL-Scans zu umgehen, indem sie schädliche Links in Bildern versteckten. Nun kehren sie zu textbasierten Methoden zurück und nutzen ASCII-Grafiken, um QR-Codes zu generieren. Jeder QR-Code, der Nutzer dazu auffordert, Zugangsdaten auf einem mobilen Gerät einzugeben, sollte als verdächtig eingestuft werden. Wird ein QR-Code aus Textzeichen zusammengesetzt, handelt es sich mit hoher Wahrscheinlichkeit um einen Phishing-Versuch oder einen Verweis auf eine schädliche URL. Ziel dieser Technik ist ausschließlich die Umgehung bestehender Sicherheitsmechanismen."
Kaspersky-Empfehlungen zum Schutz vor dieser Betrugsmasche
- QR-Codes in E-Mails grundsätzlich kritisch prüfen – insbesondere dann, wenn zur Eingabe von Zugangsdaten aufgefordert wird.
- Absenderadressen und Inhalte eingehender Nachrichten sorgfältig kontrollieren, auch wenn diese auf den ersten Blick legitim erscheinen.
- Keine vertraulichen Daten über Webseiten eingeben, die über QR-Codes geöffnet wurden, ohne deren Echtheit zu verifizieren.
- Sicherheitslösungen einsetzen, die moderne Phishing-Techniken und schädliche Inhalte in E-Mails erkennen können. Privatpersonen können sich beispielsweise mit Kaspersky Premium vor Phishing schützen; für Unternehmen empfiehlt sich der Einsatz einer Sicherheitslösung für E-Mail-Server wie Kaspersky Security for Mail Server. Diese schützt Unternehmenskommunikation vor Spam, Phishing, QR-Code-Angriffen, Business Email Compromise sowie weiteren Bedrohungen.
- Unternehmen sollten zudem ihre Belegschaft regelmäßig für aktuelle Phishing- und Social-Engineering-Methoden sensibilisieren.
Quelle: Pressemitteilung
