Trainiere dein Team, jeden QR-Code zu hinterfragen
Führe realistische Quishing-Simulationen ausschließlich mit der Identität deines Unternehmens und internen Abteilungen per E-Mail und mit Druckmaterialien durch. Miss Scans und vermittle sofort die Warnsignale.
Warum Quishing-Simulationen wichtig sind
QR-Code-Phishing verlagert die Entscheidung weg von vertrauten Linkprüfungen auf das Smartphone. Trainiere diesen Scan-zuerst-Reflex, bevor Angreifer ihn ausnutzen.
Den Scan-zuerst-Reflex testen
Ein QR-Code verbirgt sein Ziel bis zum Scan. Miss, ob Mitarbeitende innehalten, den Kontext prüfen und unerwartete Aufforderungen erkennen.
QR-Code-Köder per E-Mail simulieren
Versende zielpersonenspezifische QR-Codes in realistischen, KI-unterstützten Phishing-Mails – ohne verräterischen Textlink, der die QR-Phishing-Übung entlarvt.
Physische Räume einbeziehen
Erstelle druckbare QR-Phishing-Materialien für benannte Orte wie Büro, Empfang, Infoboard oder Veranstaltung und vergleiche Scans nach Platzierung.
QR-Risiken klar auswerten
Erfasse QR-Scans als eigene Interaktion statt als normalen Linkklick; E-Mail-Zustellung und Öffnungen bleiben Transportkennzahlen.
Im Moment des Risikos schulen
Zeige nach einem Scan QR-spezifische Warnsignale wie unerwartete Aufforderungen, verborgene Ziele, unpassenden Kontext und Zeitdruck.
Eine Awareness-Plattform nutzen
Quishing läuft neben E-Mail-Phishing- und SMS-Smishing-Kampagnen – mit denselben Ziellisten, Zeitplänen, Landingpages, Berichten und Trainingsabläufen.
Was ist Quishing?
Quishing – kurz für QR-Code-Phishing – ist ein Phishing-Angriff, der statt eines sichtbaren Links einen QR-Code nutzt, um ein schädliches Ziel auszuliefern. Weil die URL in einem Muster aus Punkten steckt, kann die Zielperson sie nicht per Hover prüfen oder eine falsch geschriebene Domain erkennen. Ein Scan ist ein Vertrauensakt – und Quishing-Angriffe sind darauf ausgelegt, genau diesen Reflex auszunutzen.
Ein QR-Phishing-Angriff wechselt zudem das Gerät. Der Köder trifft oft auf dem Arbeitsrechner ein, doch der Scan passiert auf dem privaten Smartphone – außerhalb der Reichweite von E-Mail-Gateways, URL-Umschreibung und Endpoint-Schutz. Auf dem kleinen Display ist eine gefälschte Login-Seite schwerer zu prüfen, sodass ein schädlicher QR-Code, der im Browser aufgefallen wäre, ungehindert durchrutscht.
QR-Codes erscheinen heute auf Paketen, Rechnungen, Parkautomaten, Speisekarten, Plakaten und MFA-Aufforderungen – ein QR-Code-Betrug fügt sich damit nahtlos in den Alltag ein. Quishing-Simulationen machen aus diesem Scan-zuerst-Reflex messbare, lehrreiche Momente, bevor ein echter Angreifer eure Leute erreicht.
Ein Quishing-Programm, zwei realistische Oberflächen
Teste gezielte Postfach-Angriffe und anonyme QR-Code-Platzierungen in der realen Welt, ohne deine Awareness-Daten auf getrennte Tools zu verteilen.
QR-Code-Simulationen per E-Mail
Jede empfangende Person erhält einen individuellen QR-Code in einer QR-fähigen Phishing-Simulationsmail. Scans lassen sich der Zielperson zuordnen und laufen durch denselben gebrandeten Landing- und Schulungsablauf wie andere AutoPhish-Kampagnen.
Druckbare Standort-Simulationen
Erzeuge stabile, druckfertige QR-Phishing-Materialien für benannte Kampagnenstandorte. Anonyme Scans bleiben Signale auf Platzierungsebene, damit Berichte niemanden identifizieren, der nur ein öffentliches Plakat gescannt hat.
Kombinierte E-Mail- und Print-Simulationen
Führe per E-Mail versendete QR-Codes und gedruckte QR-Plakate gemeinsam in einer einzigen Quishing-Kampagne aus. Vergleiche Postfach-Angriffe und Scans an physischen Platzierungen nebeneinander, behalte die Zuordnung auf Zielpersonen- und Standortebene bei und berichte das gesamte QR-Phishing-Bild aus einem Dashboard.
Glaubwürdige interne QR-Code-Szenarien
Übe QR-Köder von vertrauten internen Teams, während jede Simulation innerhalb der Identität deines Unternehmens bleibt.
Firmenveranstaltungen & Gutscheine
Eine interne Einladung oder Mitarbeiterprämie bittet per QR-Code um Anmeldung, Teilnahmebestätigung oder Einlösung eines Benefits.
MFA & Passwort-Resets
Eine interne Nachricht von IT oder Security fordert dringend zur Neueinrichtung der Multi-Faktor-Authentifizierung oder zum Passwort-Reset per QR-Code auf und leitet auf eine gefälschte SSO-Seite.
Richtlinien & Schulungen
Eine Nachricht von HR, Compliance oder Weiterbildung fordert per QR-Code zur Bestätigung einer Richtlinie, Kursanmeldung oder Zertifikatsabholung auf.
Besucherregistrierung
Ein interner Hinweis von Empfang oder Facility Management bittet Mitarbeitende per QR-Code, einen erwarteten Besucher oder Dienstleister anzumelden oder zu bestätigen.
HR- & Benefits-Portale
Ein QR-Code in einer HR- oder Lohn-Mail lockt mit Benefits-Update oder E-Signatur und stiehlt Unternehmenszugangsdaten über ein geklontes Login.
Gäste-WLAN & Onboarding
Ein interner Gästezugang-Hinweis von IT oder Facility Management am Empfang führt per QR-Code an ein unsicheres Ziel statt ins echte Netz.
Von der QR-Idee zum messbaren Lernen
Baue, platziere und bewerte eine QR-Code-Phishing-Simulation im selben Kampagnen-Workflow wie deine anderen Awareness-Kanäle.
Szenario und Oberflächen wählen
Erstelle eine Quishing-Kampagne, wähle einen realistischen QR-Call-to-Action, füge eine Zielliste für E-Mail hinzu und definiere druckbare Standorte, die du testen willst.
QR-fertiges Material prüfen
Prüfe die E-Mail ohne rohe Ausweichlinks und erzeuge druckfertiges QR-Material für jeden gespeicherten Standort, bevor die Kampagne die Lernenden erreicht.
Starten, messen und schulen
Verfolge zielpersonenbezogene und standortbezogene QR-Scans getrennt, prüfe kanalbewusste Berichte und schärfe genau die Quishing-Warnsignale, die Lernende übersehen haben.
Sichere Simulationsziele von Grund auf
Quishing-Übungen sollen Vorsicht vermitteln, ohne eine unkontrollierte QR-Weiterleitung oder irreführende personenbezogene Daten einzuführen.
QR-Code-Ziele nutzen undurchsichtige AutoPhish-Simulationslinks statt beliebiger externer URLs.
Ungültige, gelöschte, abgelaufene, nur als Entwurf vorhandene oder inaktive QR-Links scheitern sicher.
Zielpersonen-Scans und anonyme Standort-Scans werden als unterschiedliche Nachweisarten berichtet.
Wahrscheinlich automatisierter Scanner-Verkehr lässt sich von menschlichen Interaktionen trennen.
Unternehmenseigene Kampagnen- und Scan-Daten bleiben mandantengetrennt.
EU-gehostete Infrastruktur unterstützt DSGVO-konforme Awareness-Programme und Berichte.
Quishing-Simulation: FAQ
Was ist Quishing?
Wie unterscheidet sich Quishing von normalem Phishing?
Sind QR-Codes gefährlich?
Wie funktioniert eine Quishing-Simulation in AutoPhish?
Kann ich sowohl per E-Mail versendete als auch gedruckte QR-Codes testen?
Wie können Mitarbeitende QR-Code-Phishing vermeiden?
Kann ein Plakat-Scan Mitarbeitende identifizieren?
Was misst das Quishing-Reporting?
Kann ich Quishing-Kampagnen über die API automatisieren?
Noch Fragen? Sprich mit unserem Team.
Ergänze dein Awareness-Programm um QR-Code-Phishing
Teste Postfach und physischen Arbeitsplatz von einer Plattform aus und mach aus jedem riskanten Scan messbares Lernen.