Quishing-Simulation an Universitäten: QR-Checkliste für den Campus

Universitäten verwenden QR-Codes für Lagepläne auf dem Campus, Anweisungen zum Zugang zu Räumen, Veranstaltungsanmeldungen, Parken, Bibliotheksdienste, Umfragen, Zahlungen, Geräteeinrichtung und Studierendenunterstützung. Eine Quishing-Simulation an einer Universität sollte prüfen, ob autorisierte Mitarbeitende einen unerwarteten Code verifizieren, die dahinterliegende Aktion schützen und ihn über einen vertrauenswürdigen Kanal melden – und nicht nur, ob jemand scannt.

Die sichere Version ist bewusst eng gefasst. Sie bleibt innerhalb einer freigegebenen Mitarbeiterpopulation, verwendet einen fiktiven Kontext und kontrollierte Ziele, schließt Studierende und die Öffentlichkeit aus und umfasst für jeden physischen Code einen Entfernungs- und Wiederherstellungsplan. Außerdem testet sie die Institution rund um den Mitarbeitenden: den Service Desk, das Security Operations Center, das Facility-Team, das Kommunikationsbüro, das Datenschutzteam und den Geschäftsverantwortlichen.

Dieser Leitfaden ist defensiv. Er enthält keine bösartigen QR-Payloads, keine Techniken zur physischen Manipulation, keine Methoden zum Erfassen von Anmeldedaten und keine Anweisungen zum Umgehen von Sicherheitskontrollen auf dem Campus.

Warum Campusse einen separaten Quishing-Plan brauchen

Eine Universität ist nicht nur ein Büro. Sie kann Lehrgebäude, Labore, Bibliotheken, Krankenhäuser, Wohnheime, Sportstätten, Museen, Einzelhandelsflächen, Konferenzeinrichtungen und öffentliche Veranstaltungen umfassen. Die zentrale IT kann Richtlinien festlegen, während Fakultäten, Fachbereiche, Forschungsgruppen, Studierendenservices und Drittanbieter ihre eigenen Schilder und digitalen Abläufe erstellen.

Diese Dezentralisierung macht die Zuständigkeit für QR-Codes schwierig. Ein Code an einem Aushang kann dem Facility-Bereich, einem Dozenten, einer Studierendengruppe, einem Konferenzveranstalter, einem Anbieter oder niemandem gehören, der noch an der Einrichtung arbeitet. Mitarbeitende können einen Code nicht allein anhand der Qualität des Posters oder der Vertrautheit des Gebäudes beurteilen.

Auch das Publikum ist gemischt. Mitarbeitende, Studierende, Bewerber, Eltern, Auftragnehmer, Patienten, Besucher und die Öffentlichkeit können denselben Raum nutzen. Eine Sensibilisierungsmaßnahme für Mitarbeitende kann daher Menschen erreichen, die nie zur Teilnahme berechtigt waren. Selbst eine harmlose Lernseite kann Verwirrung, Barrierefreiheitsprobleme oder die Sorge hervorrufen, dass ein echter Campusdienst kompromittiert wurde.

Behandeln Sie die Übung als einen rollenspezifischen Baustein eines breiteren Phishing-Sensibilisierungstrainingsprogramms. Ziel sollte es sein, die vertrauenswürdige Verifizierung und Meldung zu verbessern – und nicht, eine Campus-Schnitzeljagd oder einen individuellen Schuldscore zu erzeugen.

Erfassen Sie die QR-Arbeitsabläufe auf dem Campus vor dem Test

Beginnen Sie mit einer kurzen Erkundungsübung unter Einbeziehung von Sicherheit, zentraler IT, Service Desk, Facility Management, Kommunikation, Datenschutz, Einkauf, Finanzen, Bibliotheken, Forschungs-IT und Vertretern der teilnehmenden Fakultät oder des teilnehmenden Dienstes. Erfassen Sie, wo legitime Codes erscheinen, wem sie gehören, welches Ziel erwartet wird und welche Aktion folgt.

Häufige QR-Arbeitsabläufe an Universitäten sind:

Campuspläne, Raumverzeichnisse, Wegführung und Barrierefreiheitsinformationen;
Bibliothekszugang, Gerätebuchung, Leselisten und digitale Sammlungen;
Anwesenheit in Vorlesungen, Kursmaterialien, Lernplattformen und Rückmeldungen zum Unterricht;
Forschungsrekrutierung, Laboranweisungen, Studieninformationen und Konferenzposter;
Studierendenservices, Karriereberatung, Wohlbefinden, Unterkunft und Termine mit dem International Office;
Gast-WLAN, Geräteanmeldung, Softwarezugang und Support durch den Service Desk;
Parken, Verkehrsmittel, Fahrräder, Schließfächer, Drucken, Catering und Verkaufsautomaten;
Veranstaltungen, Sport, Museen, Tage der offenen Tür, Alumni-Programme und Fundraising;
Rechnungen, Ausgaben, Beschaffung, Gehaltsabrechnung und Mitarbeitervorteile;
Sicherheitshinweise, Wartungsanfragen, Anweisungen zum Gebäudezugang und Notfallinformationen.

Für jeden hochvertrauenswürdigen Code erfassen Sie einen verantwortlichen Eigentümer, die freigegebene Domain, den Platzierungs- oder Lieferkanal, das Startdatum, das Ablaufdatum und einen Meldekontakt. Kann die Einrichtung keinen Eigentümer identifizieren oder ein Ziel bestätigen, beheben Sie diese operative Lücke, bevor Sie sie simulieren.

Ein Inventar deckt außerdem verlassene Poster, abgelaufene Kampagnenseiten, inkonsistente Domains, nicht barrierefreie Alternativen und Codes auf, die von Nutzern verlangen, einem Ziel ohne ausreichend Kontext zu vertrauen. Diese Erkenntnisse können das reale Risiko schneller verringern als eine Schulungskampagne.

Definieren Sie die Mitarbeiterentscheidungen, die Sie verbessern möchten

Wählen Sie für einen Pilotversuch ein oder zwei beobachtbare Verhaltensweisen aus. Vermeiden Sie es, jedes Campusszenario in einen einzigen Test zu packen.

Den Dienst unabhängig verifizieren

Mitarbeitende sollten in der Lage sein, eine QR-gestützte Anfrage zu bestätigen, ohne sich auf den Code selbst zu verlassen. Der vertrauenswürdige Weg kann der Dienstkatalog der Universität, die offizielle App, das Mitarbeiterintranet, eine veröffentlichte Telefonnummer, die Rezeption des Gebäudes oder der bekannte Geschäftsverantwortliche sein.

Eine nützliche Übung misst, ob die Mitarbeitenden die Anfrage über diesen Weg prüfen. Sie sollte nicht verlangen, dass sie ein Ziel manuell untersuchen, mit einer verdächtigen Website experimentieren oder Kontoinformationen angeben.

Die Aktion nach dem Scan schützen

Der Code ist nur der Einstiegspunkt. Die geschützte Entscheidung kann das Anmelden, die Installation von Software, das Teilen eines Dokuments, das Ändern von Bankdaten, das Freigeben einer Zahlung, das Verbinden eines Geräts, das Offenlegen von Forschungsinformationen oder das Gewähren physischen Zugangs sein.

Die Schulung sollte Mitarbeitende dazu anhalten, vor dieser folgenschweren Aktion innezuhalten. Ein Scan allein ist ein mehrdeutiges Signal, da mobile Betriebssysteme, Sicherheitstools, Link-Vorschauen und versehentliche Kameraerkennung Aktivität erzeugen können, die keine bewusste menschliche Entscheidung ist.

Melden, ohne erneut zu scannen

Mitarbeitende benötigen einen Weg, der auf einem Telefon funktioniert und nicht erfordert, den fraglichen Code erneut zu öffnen. Das kann ein mobiles Meldeformular, eine bekannte Service-Desk-Nummer, ein Sicherheitskanal oder ein Facility-Workflow für physische Schilder sein.

Die Meldung sollte Standort, Umfeld und sichtbaren Eigentümer erfassen und dabei personenbezogene Daten minimieren. Ein Foto kann hilfreich sein, wenn die Richtlinie dies erlaubt, aber Mitarbeitende sollten darauf achten, keine Gesichter, Zutrittsausweise, Forschungsunterlagen, Gesundheitsinformationen, Studierendendaten oder private Bildschirme einzuschließen.

Das physische Objekt sicher eindämmen

Mitarbeitende sollten wissen, wer berechtigt ist, ein fragliches Schild zu isolieren, abzudecken, zu entfernen oder zu ersetzen. Sie sollten keine Beweise vernichten, andere Personen nicht konfrontieren und keine legitimen Sicherheits- oder Barrierefreiheitsinformationen ohne Bestätigung entfernen.

Facility- und Sicherheitsteams benötigen einen dokumentierten Übergabeprozess, damit ein gemeldeter Code schnell beurteilt werden kann und der betroffene Bereich nutzbar bleibt.

Studierende, Besucher und öffentliche Bereiche aus dem Geltungsbereich heraushalten

Der schriftliche Geltungsbereich sollte die autorisierte Mitarbeiterpopulation, den genauen Kanal oder Ort, das Betriebsfenster, den Code-Eigentümer, den Ziel-Eigentümer, die Datenregeln, Stoppbedingungen und die Person benennen, die die Übung deaktivieren kann.

Verwenden Sie diese unverhandelbaren Leitplanken:

keine Platzierung an öffentlichen Eingängen, offenen Anschlagtafeln, Bibliotheken, Wohnheimen, genutzten Hörsälen, Verkehrshaltestellen, Sportstätten, Museen, Verpflegungsbereichen oder Warteschlangen des Studierendenservices;
keine Ansprache von Studierenden, Bewerbern, Eltern, Forschungsteilnehmenden, Patienten, Alumni, Besuchern, Lieferkräften oder der Öffentlichkeit;
keine Verwendung echter Studierendendaten, Forschungsdaten, Fördermittelangaben, Gesundheitsinformationen, Disziplinarsachen, Notfällen, Rechnungen, Spenden oder Zahlungsanweisungen;
keine Erfassung von Passwörtern, Passkeys, Authentifizierungscodes, Ausweisdokumenten, Zahlungsdaten, Geräte-Fingerabdrücken, präzisen Standortdaten oder nicht verwandten mobilen Metadaten;
keine App-Installation, kein unkontrolliertes Weiterleiten, kein Werbenetzwerk, kein Drittanbieter-Tracker und keine Produktions-Login-Seite;
ein kontrolliertes HTTPS-Ziel, das sofort neutrales Lernfeedback bereitstellt;
ein Ablaufmechanismus, eine getestete Notabschaltung und eine sichere Abschlussseite;
ein Standort- und Entfernungsprotokoll für jeden physischen Code, mit doppelter Verifizierung, wo angemessen;
eine barrierefreie Nicht-QR-Alternative für alle legitimen Campusinformationen in der Nähe der Übung.

Kann eine Universität nicht verhindern, dass unbefugte Personen auf einen Code stoßen, verschieben Sie den Pilotversuch in einen zugangskontrollierten Mitarbeiterkanal. Physische Realitätsnähe rechtfertigt nicht die versehentliche Einbindung der Campusgemeinschaft.

Führen Sie Übungen nicht während Notfällen, Prüfungen, Einschreibefristen, Gehaltsabrechnungszwischenfällen, größeren Systemausfällen, Arbeitskampfmaßnahmen, hochkarätigen Veranstaltungen oder anderen Zeiträumen durch, in denen mehrdeutige Nachrichten unverhältnismäßigen Schaden verursachen könnten.

Einkaufsliste für eine Quishing-Plattform an der Universität

Bitten Sie Anbieter, den gesamten kontrollierten Workflow zu demonstrieren. Das Erzeugen eines QR-Bildes ist der am wenigsten wichtige Teil.

1. Steuerung von Ziel und Weiterleitung

Administratoren sollten in der Lage sein, jedes Ziel und jede Weiterleitung vor dem Start zu prüfen, freigegebene Inhalte zu sperren, eine Kampagne sofort zu deaktivieren und festzulegen, was nach Ablauf geschieht. Der Anbieter sollte erklären, wie kopierte oder weitergeleitete Codes behandelt werden.

Bestätigen Sie, dass Lernseiten keine Geheimnisse erfassen können und dass benutzerdefinierte Inhalte einer Prüfung bedürfen. Eine Universität sollte keine Live-Seite eines Identitätsanbieters benötigen, um nützliches Feedback zu liefern.

2. Dezentrale Zuständigkeit und Freigabe

Die Plattform oder der Betriebsprozess sollte die federführende Abteilung, den Kampagnenverantwortlichen, den Zielverantwortlichen, den Freigebenden, die autorisierte Zielgruppe, die Standorte, den Ausbringungszeitpunkt und die Entfernungsfrist erfassen.

Rollenbasierter Zugriff ist in einer föderierten Institution wichtig. Ein Abteilungsadministrator sollte nicht automatisch die Ergebnisse auf Mitarbeitendenebene einer anderen Fakultät, Forschungseinheit oder Tochtergesellschaft sehen. Die zentrale Sicherheit benötigt dennoch genügend Einblick, um Risiken zu steuern und eine Kampagne zu stoppen.

3. Zielgruppensteuerung und zuverlässige Ausschlüsse

Käufer sollten in der Lage sein, eine kleine autorisierte Mitarbeitergruppe anzusprechen und Studierende, Auftragnehmer, Ausgeschiedene, Personen in geschütztem Urlaub, gemeinsame Konten, Dienstidentitäten und alle außerhalb des freigegebenen Beschäftigungsverhältnisses auszuschließen.

Identitätsdaten aus HR, Verzeichnissen und Lernplattformen können voneinander abweichen. Der Anbieter sollte eine Abgleichung unterstützen und erklären, welche Quelle vor der Auslieferung maßgeblich ist.

4. Governance physischer Codes

Jeder physische Code benötigt eine eindeutige Kennung, einen verantwortlichen Eigentümer, einen exakten Platzierungsort, eine Freigabe, ein Ablaufdatum und eine bestätigte Entfernung. Kennungen sollten keine Mitarbeitenden-, Abteilungs- oder Kampagnengeheimnisse offenlegen.

Verwenden Sie eine Vier-Augen-Freigabe für die physische Verteilung. Eine Person sollte nicht in der Lage sein, eine Campusübung ohne unabhängige Prüfung zu erstellen, zu platzieren und abzuschließen. Das System sollte fehlende Nachweise zur Entfernung sichtbar machen, bevor eine Kampagne als abgeschlossen gilt.

5. Mobiles Melden und institutionelle Weiterleitung

Meldungen müssen für Mitarbeitende funktionieren, die sich nicht an einem verwalteten Laptop befinden. Die Plattform sollte sich in den vertrauenswürdigen Service-Desk- oder Sicherheitsweg der Universität integrieren, ohne dass ein erneutes Scannen erforderlich ist.

Testen Sie die Weiterleitung über zentrale IT, Fachbereichs-IT, Campus-Sicherheit, Facility Management, Kommunikation und Datenschutz. Eine Meldung über einen Code an einer Labortür kann eine andere Behandlung erfordern als ein Code in einer Mitarbeiter-E-Mail, aber Mitarbeitende sollten die interne Organisationsstruktur nicht erst verstehen müssen.

6. Minimale, erklärbare Telemetrie

Fragen Sie genau, was aufgezeichnet wird, wenn ein Code vorgeschaut, gescannt, geöffnet, gemeldet oder blockiert wird. Mobile Browser, verwaltete Sicherheitsdienste, Link-Scanner, Messaging-Plattformen und Netzwerktools können Ziele automatisch aufrufen.

Bevorzugen Sie einen dokumentierten, minimalen Ereignissatz gegenüber Geräte-Fingerprinting oder umfassender Standorterfassung. Die Plattform sollte bestätigte menschliche Entscheidungen von Automatisierung trennen, wo möglich, und Unsicherheit kennzeichnen, wo das nicht möglich ist.

7. Datenschutz, Arbeitnehmervertretung und Nachweise

Prüfen Sie rollenbasierten Zugriff, Aufbewahrung, Löschung, Audit-Logs, regionale Verarbeitung, Unterauftragnehmer, Anonymisierung und aggregierte Berichte. Je nach Rechtsraum und institutioneller Praxis müssen Datenschutzteams, Arbeitnehmervertreter, Gewerkschaften oder Betriebsräte das Programm möglicherweise prüfen.

Die Nachweise sollten Autorisierung, Zielgruppe, Zeitpunkt, Feedback, Meldungen, Korrekturmaßnahmen und Verbesserungen belegen, ohne unnötige Daten auf Individualebene offenzulegen. Verwenden Sie Simulationsdaten nicht für Disziplinarmaßnahmen, akademische Entscheidungen, Leistungsmanagement oder nicht verwandte Forschung.

8. Kontrollen für Vorfall und Wiederherstellung

Das SOC, der Service Desk, das Facility-Team, die Fachbereichs-IT und das Kommunikationsbüro benötigen eine vertrauenswürdige Möglichkeit, eine autorisierte Übung zu bestätigen und zugleich abweichende Codes weiterhin als echte Vorfälle zu untersuchen.

Bitten Sie den Anbieter, Notfallabschaltung, Behandlung von Besuchern außerhalb des Geltungsbereichs, Abgleich von Meldungen, physische Entfernung, Benachrichtigung, Datenkorrektur und Audit-Export zu demonstrieren. Eine laufende Kampagne darf niemals ein Grund sein, eine echte Meldung abzutun.

Messen Sie die Bereitschaft des Campus, nicht die Neugier

Verwenden Sie Kennzahlen, die mit dem geschützten Workflow verbunden sind:

Melderate und mediane Zeit bis zur ersten Meldung;
unabhängige Verifikation über den freigegebenen Campusweg;
korrekte Identifizierung des Dienstes oder Code-Eigentümers;
Eindämmungszeit für einen fraglichen physischen Code;
Genauigkeit der Triage durch Service Desk, Facility-Team und SOC;
Abschluss einer knappen Nachschulung;
wiederholte Verbesserung nach Workflow oder Gruppe, soweit die Richtlinie dies zulässt;
betriebliche und barrierebezogene Auswirkungen;
Datenqualitätsgrenzen, einschließlich automatisierter Besuche und unbekannter Scanner;
bestätigte Entfernung oder Ablauf jedes Übungsartefakts.

Interpretieren Sie Unterschiede sorgfältig. Eine geringe Melderate in einem Labor oder einer Außenstation kann auf schlechte mobile Konnektivität, einen nicht verfügbaren Supportweg oder unklare Zuständigkeit zurückzuführen sein – nicht auf schwächere Mitarbeitende. Beheben Sie den Prozess, bevor Sie weitere Schulungen hinzufügen.

Die US-amerikanische Cybersecurity and Infrastructure Security Agency empfiehlt in ihrer Leitlinie zum Erkennen und Melden von Phishing, verdächtige Anfragen zu erkennen, Druck zu widerstehen und Phishing über vertrauenswürdige Kanäle zu melden. Wenden Sie diese Grundsätze auf QR-Aufforderungen auf dem Campus an und passen Sie Verifizierung und Meldung an die Struktur der Institution an.

Führen Sie einen begrenzten Campus-Pilotversuch durch

Beginnen Sie mit einem einzigen Workflow nur für Mitarbeitende, einem kontrollierten Ort oder digitalen Kanal und einer kleinen autorisierten Gruppe. Beziehen Sie den Geschäftsverantwortlichen, die zentrale oder Fachbereichs-IT, den Service Desk, einen Sicherheitsanalysten, den Facility-Kontakt, einen Datenschutzbeteiligten und Vertreter der teilnehmenden Mitarbeitenden ein.

Dokumentieren Sie Ziel, Umfang, Ausschlüsse, Datenregeln, Stoppbedingungen und den Entfernungsplan.
Verifizieren Sie das legitime QR-Inventar und wählen Sie einen risikoarmen Workflow für Mitarbeitende aus.
Bestätigen Sie, dass Ziel, Meldeweg, Feedback, Deaktivierungsfunktion, barrierefreie Alternative und Ablauf auf freigegebenen Geräten funktionieren.
Unterrichten Sie die Reaktionsteams, ohne das Szenario breit offenzulegen.
Platzieren oder liefern Sie die Übung nur innerhalb der kontrollierten Mitarbeiterumgebung.
Stimmen Sie Scan-, Melde-, Support- und Entfernungsaufzeichnungen ab, bevor Sie die Ergebnisse interpretieren.
Beheben Sie eine Workflow-Lücke, kommunizieren Sie das sichere Verhalten und testen Sie es erneut, bevor Sie erweitern.

Verwenden Sie die produktorientierte Übersicht zur QR- und Quishing-Simulation, um kontrollierte Auslieferung, Lern- und Nachweisfähigkeiten zu vergleichen. Für gemischte Büro- und Remote-Umgebungen lesen Sie außerdem den Quishing-Sensibilisierungsleitfaden für hybride Arbeitsplätze.

Häufige Fehler, die Sie vermeiden sollten

Testcodes dort platzieren, wo Studierende, Besucher, Auftragnehmer oder die Öffentlichkeit sie scannen können;
reale Arbeitsabläufe zu Sicherheit, Zugang, Zahlung, Forschung, Lehre oder Studierendenservice verwenden;
annehmen, dass ein professionell aussehendes Campus-Poster die Zuständigkeit belegt;
Daten von Studierenden oder Lernplattformen in eine Mitarbeitendenübung importieren;
Scans messen, ohne Verifizierung, Meldung, Eindämmung und Entfernung zu testen;
Mitarbeitende zwingen, einen fraglichen Code erneut zu scannen, um ihn zu melden;
Geräte-, Standort-, Identitäts- oder Forschungsdaten erfassen, die das Ziel nicht benötigt;
Tests während Prüfungen, Einschreibefristen, Notfällen oder Ausfällen terminieren;
Abteilungen bewerten, ohne unterschiedliche Workflows und Meldezugänge zu berücksichtigen;
jeden physischen Code nicht entfernen oder ablaufen lassen;
echte Meldungen abtun, weil eine Schulungskampagne läuft.

Häufig gestellte Fragen

Sollten Studierende in eine Quishing-Simulation an der Universität einbezogen werden?

Nicht in einer Mitarbeitenden-Sensibilisierungsübung. Beschränken Sie die autorisierte Zielgruppe auf Mitarbeitende, deren Teilnahme genehmigt wurde. Die Sicherheitsaufklärung für Studierende erfordert eigene Entscheidungen zu Governance, Barrierefreiheit, Datenschutz, Kommunikation und Einwilligung; beziehen Sie Studierende nicht versehentlich über einen öffentlichen Code ein.

Kann die Übung eine echte Campus-Login-Seite verwenden?

Nein. Verwenden Sie ein kontrolliertes Lernziel, das keine Anmeldedaten, Passkeys, Authentifizierungscodes, Wiederherstellungscodes oder personenbezogenen Daten anfordert oder akzeptiert. Das Lernziel ist Verifizierung und Meldung – nicht der Beweis, dass eine realistische Login-Seite ein Geheimnis erfassen kann.

Wo können physische Testcodes sicher platziert werden?

Nur an einem Ort, der tatsächlich auf die autorisierte Mitarbeitergruppe beschränkt ist und an dem die Einrichtung den Code verfolgen, deaktivieren und entfernen kann. Wenn Studierende, Besucher, Auftragnehmer oder die Öffentlichkeit eintreten können, verwenden Sie stattdessen einen kontrollierten digitalen Mitarbeiterkanal.

Was ist die beste KPI für QR-Phishing-Training auf dem Campus?

Verwenden Sie eine Kombination aus Meldung, Zeit bis zur Meldung, unabhängiger Verifikation, korrekter Weiterleitung und physischer Eindämmung. Beziehen Sie betriebliche Auswirkungen und Unsicherheiten bei automatisierten Scans ein, damit die Ergebnisse nicht auf eine irreführende Scan-Rate reduziert werden.

Wie oft sollte eine Universität QR-Phishing-Tests durchführen?

Es gibt keinen universellen Rhythmus. Beginnen Sie mit einem begrenzten Pilotversuch, beheben Sie die dabei aufgedeckte Lücken bei Meldung oder Zuständigkeit und testen Sie das Verhalten erneut. Erweitern Sie nur, wenn die Institution Zielgruppe, Ziele, Daten, Reaktionsprozess und physische Bereinigung zuverlässig kontrollieren kann.

Machen Sie den Campus sicherer, ohne die Übung zu vergrößern

Das stärkste Quishing-Programm einer Universität wird wie ein Campusdienst gesteuert und nicht wie ein Angriff inszeniert. Es gibt jedem Code einen Eigentümer, schützt Studierende und die Öffentlichkeit vor versehentlicher Teilnahme, macht das mobile Melden einfach und behandelt Entfernung und Wiederherstellung als Teil des Tests.

Wenn Sie kontrollierte QR-Phishing-Übungen neben E-Mail- und Mobile-Awareness bewerten möchten, melden Sie sich an und beginnen Sie mit einem einzigen Workflow nur für Mitarbeitende.

Universitäts-Quishing-Simulation: QR-Checkliste für den Campus