Quishing-Simulationsszenarien: Sichere QR-Phishing-Schulungsideen

Quishing-Simulationsszenarien sollten Beschäftigten helfen, riskante QR-Code-Momente zu erkennen, vor dem Scannen innezuhalten, den Kontext zu prüfen und verdächtige Hinweise zu melden. Sie sollten keine echten Passwörter, MFA-Codes, Zahlungsdaten, Dokumente oder personenbezogenen Daten erfassen. Das beste QR-Phishing-Awareness-Training ist realistisch genug, um Verhalten zu verändern, aber kontrolliert genug, damit Security-Teams die Übung gegenüber Mitarbeitenden, Führungskräften, Prüfern und Betriebsräten vertreten können.

Dieser Unterschied ist wichtig, weil QR-Phishing in einer heiklen Grauzone liegt. Es kann in E-Mails beginnen, auf einem Poster, in einem Besprechungsraum, auf einer gefälschten Rechnung, in einer Chatnachricht oder auf einem mobilen Gerät außerhalb des üblichen E-Mail-Sicherheits-Stacks. Ein gutes Awareness-Programm vermittelt die Entscheidungspunkte rund um diese Momente, statt zu versuchen, einen Angreifer-Workflow nachzubauen.

Dieser Leitfaden ist ausschließlich defensiv. Er bietet Security-Teams sichere Szenarioideen, Leitplanken, Kennzahlen und Bildungspattern. Er liefert keine Anleitungen für Credential-Diebstahl, QR-Code-Missbrauch, das Umgehen von Kontrollen oder unautorisierte Tests.

Warum QR-Phishing in die Security Awareness gehört

QR-Codes verlagern die riskante Aktion aus dem Posteingang heraus. Eine Person kann eine Nachricht auf einem Arbeitslaptop lesen, einen Code mit dem privaten Smartphone scannen und dann in einem mobilen Browser interagieren, wo Unternehmenskontrollen, Passwortmanager und Melderoutinen schwächer sind.

Das macht Quishing aus praktischen Gründen zu einem guten Awareness-Thema:

• Beschäftigte scannen QR-Codes oft schnell, weil sie alltäglich wirken
• die Ziel-URL ist auf dem Handy möglicherweise schwerer zu prüfen
• QR-Codes können sowohl digital als auch physisch auftauchen
• E-Mail-Filter sehen vielleicht ein Bild statt eines normalen Links
• Meldewege sind weniger offensichtlich, wenn die Interaktion auf ein Telefon wechselt
• der Bezug von der mobilen Aktion zurück zum Arbeitsplatzrisiko ist nicht immer unmittelbar
• der Beschäftigte verknüpft die mobile Handlung womöglich nicht mit einem Risiko im Arbeitskontext

Die Dokumentation von Microsofts Attack Simulation Training enthält inzwischen QR-Code-Simulationssupport für bestimmte Social-Engineering-Techniken – ein nützliches Marktsignal: QR-Phishing ist kein Randthema mehr. Es entwickelt sich zu einer normalen Trainingskategorie für Organisationen, die bereits Phishing-Simulationen durchführen.

Für AutoPhish ist der beste Ansatz nicht „QR-Codes sind gruselig.“ Der bessere Ansatz lautet: QR-Code-Simulationen sollten Teil eines umfassenderen Cyber-Awareness- und Bildungsprogramms werden, mit sicherer Messung und klarer Nachbereitung.

Was eine sichere Quishing-Simulation messen sollte

Eine Quishing-Simulation sollte Verhalten messen, das dem Security-Team hilft, das Programm zu verbessern. Sie sollte nicht messen, wie viele sensible Daten die Organisation ihren eigenen Beschäftigten entlocken kann.

Nützliche Signale sind unter anderem:

• Nachricht zugestellt
• QR-Code angezeigt oder erreicht
• sichere Landingpage besucht
• Meldung eingereicht
• Meldung vor dem Scannen eingereicht
• Meldung nach einem verdächtigen mobilen Prompt eingereicht
• Zeit bis zur ersten Meldung
• Feedback-Seite aufgerufen
• Follow-up-Microtraining abgeschlossen
• riskante Wiederholungsinteraktion in späteren Kampagnen reduziert

Vermeiden Sie es, Erfolg über Credential-Eingabe, MFA-Code-Eingabe, Dokumentenupload, Zahlungsversuch oder Offenlegung personenbezogener Daten zu messen. Solche Aktionen erzeugen unnötiges Datenrisiko und können das Vertrauen der Beschäftigten beschädigen.

AutoPhishs Leitfaden zu sicheren Landingpages für Phishing-Simulationen erklärt dasselbe Prinzip für E-Mail-basierte Kampagnen: vor Geheimnissen stoppen, die Entscheidung lehren und nur die für Verbesserungen nötigen Belege aufzeichnen.

Szenario 1: Der QR-Code im Besprechungsraum

Dieses Szenario lehrt Beschäftigte, bei QR-Codes in der Nähe gemeinsamer Arbeitsbereiche vorsichtig zu sein. Die sichere Variante nutzt eine fiktive Raumreservierungs- oder Besucher-Feedback-Aufforderung und eine klar kontrollierte Landingpage.

Gute Lernziele:

• prüfen, ob der QR-Code zum Kontext passt
• keine Anmeldedaten auf einer unerwarteten mobilen Seite eingeben
• verdächtige physische oder digitale Hinweise melden
• verstehen, dass QR-Codes am Arbeitsplatz einen Verantwortlichen haben sollten

Setzen Sie das sorgfältig um. Bringen Sie keine täuschenden Aufkleber über echten Sicherheits-, Zutritts-, Zahlungs-, Notfall- oder Compliance-Hinweisen an. Zielen Sie nicht auf Besucher oder Personen außerhalb des freigegebenen Mitarbeiterkreises. Wenn die Organisation hohe Erwartungen in Bezug auf Arbeitsrecht, Datenschutz oder Betriebsrat hat, halten Sie die Übung digital oder kündigen Sie die Regeln des physischen Tests im Voraus an.

Eine sicherere Variante ist, einen Screenshot eines fiktiven Besprechungsraum-Hinweises zu versenden, statt etwas physisch zu platzieren. So lernt die Person das Entscheidungsmuster, ohne operative Verwirrung zu erzeugen.

Szenario 2: Der gefälschte Benefits-Portal-QR-Code

Benefits-, Payroll- und HR-Prozesse sind typische Phishing-Themen, weil Beschäftigte erwarten, dass persönliche Informationen eine Rolle spielen. Genau deshalb sind sie auch für Simulationen riskant.

Die sichere Variante darf niemals echte Benefits-Informationen, Gehaltsdaten, staatliche Ausweisnummern, Angehörige, medizinische Angaben oder Passwörter abfragen. Verwenden Sie eine fiktive Benefits-Erinnerung, die auf eine Landingpage führt, auf der erklärt wird, warum unerwartete HR-QR-Aufforderungen über das genehmigte HR-Portal verifiziert werden sollten.

Gute Lernziele:

• HR-bezogene QR-Codes vor dem Scannen prüfen
• keine personenbezogenen Informationen von einer QR-Landingpage eingeben
• statt eines Nachrichtenlinks das bekannte Benefits- oder HR-Portal verwenden
• verdächtige HR-bezogene Hinweise ohne Scham melden

Das ist ein starkes Cyber-Awareness-Szenario, weil es Sicherheitsverhalten mit Datenschutz und Vertrauen der Beschäftigten verbindet. Außerdem gibt es HR einen Anlass zu klären, wie legitime Benefits-Kommunikation aussehen sollte.

Szenario 3: Der Hinweis zur Paketabholung oder Lieferung

Liefer- und Abholbenachrichtigungen funktionieren, weil sie alltäglich wirken. Ein QR-Code könnte vorgeben, ein Schließfach, eine Paketabholung, einen Kurierstatus oder einen Hinweis aus der Office-Mailroom zu zeigen.

Die sichere Simulation sollte keine echte Carrier-Marke verwenden und keine Zahlung verlangen. Verwenden Sie einen fiktiven Lieferkontext und enden Sie bei einer Lernseite.

Gute Lernziele:

• unerwartete Lieferhinweise hinterfragen
• keine Codes scannen, die Login oder Zahlung verlangen
• über den bekannten Mailroom- oder Kurierprozess verifizieren
• Nachrichten melden, die Dringlichkeit mit einer reinen Mobilaktion verbinden

Dieses Szenario eignet sich gut für allgemeines Mitarbeitendentraining, weil es wenig dramatisch und vertraut ist. Es ist außerdem ein nützlicher Baseline-Test, bevor sensiblere Workflows geprüft werden.

Szenario 4: Der Wi-Fi-Onboarding-Prompt

QR-Codes für öffentliches und Gäste-WLAN sind vertraut, besonders in Büros, bei Veranstaltungen, in Schulen, Hotels und Coworking-Spaces. Ein simuliertes Prompt kann Beschäftigten vermitteln, dass Netzwerkzugang und Geräteanmeldung den freigegebenen IT-Anweisungen folgen sollten.

Die sichere Variante darf keine Gerätekonfiguration, kein Profil-Installation, keine Zertifikatsinstallation und keine echten Netzwerkänderungen auslösen. Verwenden Sie einen Screenshot, eine Trainingsseite oder eine fiktive Wi-Fi-Onboarding-Nachricht.

Gute Lernziele:

• unerwartete WLAN- oder Geräteanmelde-Prompts erkennen
• keine Profile oder Apps von QR-Zielen installieren
• vor Änderungen an den Vertrauenseinstellungen des Geräts IT fragen
• verdächtige QR-Codes in gemeinsam genutzten Bereichen melden

Das ist besonders nützlich für Neueinstellungen, Außendienst-Teams, Eventpersonal und Beschäftigte, die häufig reisen.

Szenario 5: Die Rechnung oder Zahlungsaufforderung

Finanzteams sehen sich bereits Rechnungsbetrug und Druck durch Zahlungsänderungen gegenüber. QR-Codes eröffnen hier einen mobilen Einstieg in diesen Workflow.

Die sichere Variante kann einen fiktiven Rechnungshinweis zeigen, der die Person auffordert, einen QR-Code zu scannen, um „Zahlungsdetails anzuzeigen“ oder „ein Lieferanten-Update zu genehmigen“. Die Landingpage sollte vor jeder Zahlungs-, Bankdaten- oder Login-Erfassung stoppen.

Gute Lernziele:

• Lieferanten- und Zahlungsänderungen über freigegebene Kanäle verifizieren
• mobile Einmal-Freigabepfade für Finanzänderungen vermeiden
• Rechnungsnachrichten mit ungewöhnlichen QR-Prompts melden
• Finance, Procurement und Security gemeinsam in denselben Prüfpfad einbinden

Dieses Szenario sollte auf Rollen zugeschnitten sein. Es ist für Finance, Einkauf, Office Management und Executive Assistants hilfreicher als für alle Beschäftigten.

Für finanzspezifische Entscheidungsmuster kombinieren Sie dies mit AutoPhishs Leitfaden zu rollenbasierten Phishing-Simulationen.

Szenario 6: Der SaaS-Login- oder Geräteverknüpfungs-Prompt

Einige legitime Tools nutzen QR-Codes für Anmeldung, Geräteverknüpfung oder Sitzungsübertragung. Das schafft ein feines Awareness-Problem: Beschäftigte können QR-basierte Logins als normal behandeln, ohne zu prüfen, ob sie diese selbst ausgelöst haben.

Die sichere Simulation sollte keine echte Credential-Seite oder einen realen Sitzungs-Workflow verwenden. Nutzen Sie stattdessen eine sichere Landingpage, einen Screenshot oder einen Mock-Prompt, der Beschäftigten beibringt, sich zu fragen:

• Habe ich diesen Login selbst initiiert?
• Ist das die normale Anwendung und Domain?
• Bin ich auf einem verwalteten Gerät oder auf einem privaten Smartphone?
• Fordert der Prompt Berechtigungen an, die ich nicht verstehe?
• Sollte ich vor dem Fortfahren melden?

Gute Lernziele:

• unerwartete Login-Prompts erkennen
• vor der Bestätigung von Geräteverknüpfung oder OAuth-ähnlichem Zugriff innehalten
• verdächtige Prompts auch dann melden, wenn MFA vorhanden ist
• verstehen, dass MFA das Risiko senkt, aber nicht jeden Prompt automatisch sicher macht

Dieses Szenario passt gut zu AutoPhishs Leitfaden zu MFA-Bypass-Phishing-Awareness. Die sichere Botschaft lautet nicht „MFA umgehen“. Die Botschaft lautet: „Unerwartete Authentifizierungs-Prompts verdienen eine Prüfung.“

Szenario 7: Der QR-Code für Training oder Policy-Update

Security-Teams nutzen QR-Codes manchmal für echtes Training, Event-Check-ins oder Policy-Bestätigungen. Das macht einen sicherheitsbezogenen QR-Köder verlockend, erfordert aber sorgfältige Handhabung.

Die sichere Variante kann als fiktives Policy-Update, Awareness-Hinweis oder Trainingsanmeldung formuliert werden. Sie sollte keine disziplinarische Sprache, keine akuten Drohungen und keine Behauptungen enthalten, die Beschäftigten würden bestraft.

Gute Lernziele:

• Trainingsbenachrichtigungen über die offizielle Lernplattform verifizieren
• Nachrichten melden, die zu sofortigem Sicherheitsverhalten drängen
• Bildung von angstbasierter Compliance-Sprache unterscheiden
• betonen, dass Melden ein Erfolgssignal ist

Dieses Szenario ist nützlich, weil es das Cyber-Awareness-Programm selbst trainiert. Beschäftigte lernen, dass Sicherheitsbildung vorhersehbar, respektvoll und leicht verifizierbar sein sollte.

Leitplanken für QR-Phishing-Awareness-Training

Quishing-Szenarien können schiefgehen, wenn sie zu physisch, zu persönlich oder zu nah an echten Credential-Workflows sind. Legen Sie vor dem Start eine schriftliche Leitplankenliste fest.

Starke Leitplanken sind unter anderem:

• keine Erfassung von Passwörtern, MFA-Codes, Wiederherstellungsantworten, Tokens oder Sitzungsdaten
• keine Anfragen nach echten Zahlungs-, Bank-, Benefits-, Gehalts-, Studierenden-, Gesundheits- oder Kundendaten
• keine Imitation echter Lieferanten, Carrier, Behörden oder Notfalldienste
• keine QR-Aufkleber über legitimen Hinweisen
• kein Targeting von Besuchern, Kunden, Studierenden, Patienten oder Personen außerhalb des freigegebenen Umfangs
• keine beschämenden Ranglisten oder öffentlichen Individualvergleiche
• keine Überraschungsthemen rund um Kündigungen, medizinische Notfälle, rechtliche Drohungen oder familiäre Krisen
• klare Zuständigkeit für physisches oder digitales QR-Material
• eine dokumentierte Stoppregel, falls ein echter Vorfall entdeckt wird
• ein einfacher Meldeweg sowohl aus Desktop- als auch aus mobilen Kontexten

In datensensiblen Umgebungen sollten Sie vor groß angelegten QR-Simulationen AutoPhishs Leitfaden zu datenschutzfreundlichem Phishing-Training prüfen.

Wie Quishing mit Cyber Awareness und Bildung verknüpft wird

QR-Phishing sollte kein einmaliger Trick sein. Es sollte denselben Lernkreislauf unterstützen wie der Rest des Awareness-Programms:

1. Das gewünschte Verhalten erklären.
2. Ein sicheres Szenario durchführen.
3. Sofortiges Feedback geben.
4. Ergebnisse aggregiert auswerten.
5. Training, Richtlinie oder Meldewege aktualisieren.
6. Später mit einer anderen Rolle oder einem anderen Workflow wiederholen.

Die Bildung sollte kurz und praxisnah sein. Ein einminütiges Feedback-Modul nach einem riskanten Scan kann wirksamer sein als ein langer Jahreskurs. Die Botschaft sollte einfach sein:

• vor dem Scannen unerwarteter QR-Codes am Arbeitsplatz innehalten
• Kontext und Ziel prüfen
• keine Geheimnisse über einen QR-Prompt eingeben
• bekannte Portale für HR-, Finance-, IT- und SaaS-Zugriffe verwenden
• verdächtige QR-Codes melden, auch wenn Sie bereits gescannt haben

Hier gehört Quishing in der Cyber-Awareness-Nische natürlich hin. Es ist nicht nur eine Simulationstechnik. Es ist ein lehrreicher Moment über mobiles Verhalten, Verifikation, Meldung und sichere Standardentscheidungen.

Meldungen sollten das richtige Verhalten belohnen

Wenn eine QR-Simulation nur Scans verfolgt, kann das Programm in eine „Gotcha“-Kennzahl abrutschen. Besser ist eine Meldelogik, die zeigt, ob Beschäftigte dem Unternehmen geholfen haben, das Problem zu erkennen.

Nützliche Fragen zur Meldung sind:

• Wie viele Beschäftigte haben vor dem Scannen gemeldet?
• Wie viele haben nach Erreichen der sicheren Landingpage gemeldet?
• Welche Teams haben das klarste Meldeverhalten gezeigt?
• Hat der mobile Kontext das Melden erschwert?
• Welches Szenario hat eher Verwirrung als nützliches Lernen erzeugt?
• Hat Follow-up-Training wiederholte riskante Scans reduziert?
• Hat die Übung ein Richtlinien- oder Beschilderungsproblem aufgedeckt?

AutoPhishs Leitfaden zu automatisiertem User-Feedback ist hier eine nützliche Ergänzung. Je schneller das Feedback, desto wahrscheinlicher verbindet die Person die Lektion mit dem Moment.

Eine sichere erste Quishing-Kampagne

Für eine erste QR-Phishing-Simulation sollten Sie den Umfang eng halten.

Wählen Sie ein leichtes, unaufgeregtes Szenario, etwa eine fiktive Paketabholung oder einen Besprechungsraum-Feedback-QR-Code. Verwenden Sie eine sichere Landingpage. Erfassen Sie keine Credentials oder personenbezogenen Daten. Definieren Sie den Meldeweg vor dem Start. Erklären Sie Führungskräften, wofür die Ergebnisse genutzt werden. Bewerten Sie aggregierte Ergebnisse, nicht individuelles Unbehagen. Verwenden Sie die Erkenntnisse dann, um die nächste Runde des Cyber-Awareness-Trainings zu verbessern.

Das Ziel der ersten Kampagne ist nicht maximale Realitätsnähe. Das Ziel ist zu beweisen, dass die Organisation QR-Phishing-Awareness sicher durchführen, nützliche Verhaltensweisen messen und Beschäftigten beibringen kann, was sie beim nächsten Mal tun sollen.

FAQ

Was ist eine Quishing-Simulation?

Eine Quishing-Simulation ist eine defensive Awareness-Übung, die ein QR-Code-Phishing-Szenario nutzt, um Beschäftigten beizubringen, verdächtige QR-Prompts anzuhalten, zu prüfen und zu melden. Eine sichere Simulation endet vor der Erfassung von Credentials oder der Eingabe sensibler Daten.

Was sind gute Beispiele für QR-Phishing-Simulationen?

Sichere Beispiele sind fiktive QR-Codes für Besprechungsräume, Hinweise zur Paketabholung, Erinnerungen an das HR-Portal, Wi-Fi-Onboarding-Prompts, Rechnungs-Hinweise, SaaS-Login-Prompts und Trainings-Updates. Das Szenario sollte realistisch genug sein, um Verhalten zu lehren, aber kontrolliert genug, um unnötige Datenschutz- oder Betriebsrisiken zu vermeiden.

Sollte eine QR-Phishing-Simulation Credentials erfassen?

Nein. Für Awareness-Training von Beschäftigten sollten keine echten Passwörter, MFA-Codes, Tokens, Zahlungsdaten oder personenbezogenen Daten erfasst werden. Messen Sie stattdessen Meldungen, Besuche sicherer Landingpages, Abschluss von Feedback und Verhaltensverbesserung.

Wie oft sollten Awareness-Teams Quishing-Trainings durchführen?

Die meisten Teams brauchen keine häufigen reinen QR-Kampagnen. Integrieren Sie Quishing in einen breiteren Awareness-Rhythmus: einen Baseline-Durchlauf, gezielte rollenbasierte Nachfassaktionen und gelegentliche Auffrischungen, wenn QR-Codes in Ihrem Arbeitsumfeld oder Ihrer Branche häufig vorkommen.

Wie passt Quishing in die Cyber-Awareness-Bildung?

Quishing-Training vermittelt praktische Mobile-Security-Gewohnheiten: Kontext verifizieren, Prompts prüfen, keine Geheimnisse von unerwarteten QR-Zielen eingeben und schnell melden. Es funktioniert am besten als Teil kontinuierlicher, szenariobasierter Security Awareness und nicht als isolierte Schockmaßnahme.

QR-Phishing ist sinnvoll zu simulieren, weil es eine reale Lücke zwischen E-Mail, mobilem Verhalten und Meldung sichtbar macht. Die sichersten Programme trainieren genau diese Lücke: realistisches Szenario, klare Leitplanken, sofortiges Feedback, datenschutzbewusstes Melden und nachfolgende Bildung.

Wenn Ihr Team sicherere Phishing-Simulationen durchführen, QR-Code-Risiken lehren, ohne Geheimnisse zu erfassen, und Kampagnenergebnisse in nützliches Cyber-Awareness-Training verwandeln möchte, Registrieren.