Quishing & Fake-Shops: Phishing-Welle vor Black Friday

QR-Codes stecken inzwischen in rund 11 Prozent aller analysierten Phishing-Mails, über 10.000 Fake-Shop-Domains imitieren bekannte Marken vor dem Black Friday, und Betrüger drohen Firmen per gefälschter Behörden-Mail mit der Löschung ihres Handelsregistereintrags. Die Meldungen dieser Woche zeigen: Phishing verlagert sich dorthin, wo klassische Schutzmechanismen nicht hinsehen. Ein Überblick für Geschäftsführer und IT-Verantwortliche, mit konkreten Maßnahmen.

Die Wochen zwischen Ende Oktober und Weihnachten sind traditionell die intensivste Phishing-Saison des Jahres: Bestellbestätigungen, Paketbenachrichtigungen und Rabattaktionen liefern perfekte Vorwände. 2026 kommen zwei Entwicklungen dazu, die speziell Unternehmen betreffen.

Quishing: Phishing per QR-Code umgeht Ihre E-Mail-Filter

Nach dem aktuellen ESET Threat Report enthielten im ersten Halbjahr 2026 rund 11 Prozent der analysierten Phishing-E-Mails QR-Codes, „Quishing" ist damit zur siebthäufigsten E-Mail-Angriffsform aufgestiegen (Bericht vom 05.11.2026).

Der Trick ist so simpel wie wirksam: Der bösartige Link steckt als Bild in der Mail oder im angehängten PDF. Viele E-Mail-Security-Lösungen analysieren Links im Text, einen QR-Code im Bild erkennen längst nicht alle. Und entscheidend: Der Mitarbeitende scannt den Code mit dem privaten Smartphone. Damit verlässt der Angriff den geschützten Firmen-PC und landet auf einem Gerät, auf dem weder Webfilter noch EDR-Agent mitlesen, ein bewusst herbeigeführter Medienbruch.

Typische Köder laut ESET und aktuellen Warnungen von Banken und Sparkassen: angebliche Login-Bestätigungen, Rechnungen und Passwort-Resets, zunehmend auch physische Briefe mit QR-Codes, die scheinbar von Banken oder Behörden stammen. Auch im öffentlichen Raum werden QR-Codes manipuliert, etwa durch überklebte Codes an Parkautomaten und E-Ladesäulen.

Fake-Shops: Über 10.000 Betrugs-Domains vor Black Friday

Parallel läuft die Fake-Shop-Maschinerie an: Eine NordVPN-Analyse zählte Anfang November mehr als 10.000 Fake-Shop-Domains, die 166 Mode- und Luxusmarken in 26 Ländern imitieren, rund 1.550 davon aktiv (Bericht vom 08.11.2026). Am häufigsten kopiert: Adidas, Ralph Lauren, Dr. Martens, Crocs und Birkenstock. Laut dem „2026 Holiday Shopping Scam Report" von Savi Security nutzten 75 Prozent der untersuchten Betrugsplattformen KI-generierte Bilder, Medien oder Texte, Fake-Shops sind optisch kaum noch von echten zu unterscheiden.

Warum das ein Unternehmensthema ist? Erstens shoppen Mitarbeitende auch auf Firmengeräten und mit Firmen-Mail-Adressen; kompromittierte Zahlungsdaten und wiederverwendete Passwörter landen dann im Unternehmenskontext. Zweitens imitieren Betrüger nicht nur Shops, sondern zunehmend auch Geschäftspartner und Behörden.

Behörden-Imitation: Die gefälschte Handelsregister-Mail

Ein aktuelles Beispiel aus der Schweiz zeigt die Unternehmens-Variante des Phishings: Betrüger verschicken E-Mails im Namen des Eidgenössischen Amts für das Handelsregister und behaupten, Registerdaten seien fehlerhaft und müssten binnen sechs Arbeitstagen aktualisiert werden, sonst drohe die temporäre Löschung des Eintrags (Polizei.news, 04.11.2026). Die verlinkte Fake-Seite im Behörden-Design fragt neben Firmen- und Kontaktdaten auch IBAN und Bankverbindung ab. Das Muster, offizielle Optik, künstlicher Zeitdruck, Drohung mit wirtschaftlichen Folgen, funktioniert identisch mit deutschem Handelsregister, Finanzamt oder IHK als Absender.

Wie ernst die Lage ist, zeigt auch die im Oktober gestartete Aufklärungskampagne „Machen wir Phishen Impossible!" von Deutscher Bundesbank und Bundesfinanzministerium: Allein 2025 verursachte Betrug im Zahlungsverkehr in Deutschland Schäden von über 580 Millionen Euro bei rund 1,8 Millionen betrügerischen Transaktionen (retail-news.de, 12.10.2026).

Was Unternehmen jetzt konkret tun sollten

Technische Maßnahmen

• Phishing-resistente MFA ausrollen: Wo Passwörter abgephisht werden, entscheidet der zweite Faktor. FIDO2/Passkeys schützen auch dann, wenn Mitarbeitende auf einer perfekten Fake-Login-Seite landen.
• Mobilgeräte in die Sicherheitsstrategie aufnehmen: Quishing zielt auf das Smartphone. Mobile Device Management, aktuelle Patches und ein DNS-/Webfilter auch für Mobilgeräte schließen den Medienbruch.
• E-Mail-Authentifizierung härten: SPF, DKIM und DMARC (mit Reject-Policy) erschweren es Betrügern, Ihre eigene Domain für Phishing gegen Kunden und Lieferanten zu missbrauchen.
• Kompromittierte Konten schnell erkennen: Wenn doch jemand Zugangsdaten eingibt, zählt die Zeit bis zur Erkennung: ungewöhnliche Logins, neue Mail-Weiterleitungsregeln, untypische Datenzugriffe. Ein 24/7-Monitoring erkennt genau diese Muster, bevor aus einem geklauten Passwort ein Ransomware-Vorfall wird. 24/7-Security-Monitoring & MDR

Organisatorische Maßnahmen

• Saisonale Awareness-Impulse: Jetzt ist der richtige Zeitpunkt für eine kurze, konkrete Warnung an alle Mitarbeitenden: QR-Codes aus Mails und Briefen nicht scannen, Shopping nur auf direkt eingetippten Adressen, keine Zahlungs- oder Firmendaten nach Mail-Aufforderung.
• Vier-Augen-Prinzip bei Zahlungen und Stammdatenänderungen: Gefälschte Behörden- und Lieferantenmails zielen am Ende fast immer auf Überweisungen oder geänderte Bankverbindungen. Ein verbindlicher Rückruf über bekannte Nummern stoppt die meisten Fälle.
• Meldekultur stärken: Mitarbeitende, die einen Klick melden, sind Ihre beste Sensorik. Wer Angst vor Sanktionen hat, meldet nicht, und aus einem Klick wird ein Vorfall. Realistische Phishing-Simulationen helfen, die tatsächliche Anfälligkeit zu messen und Schulungen gezielt nachzusteuern.
• Ernstfall vorbereiten: Legen Sie fest, wer bei einem gemeldeten Phishing-Erfolg was tut: Passwort-Reset, Session-Invalidierung, Prüfung auf Weiterleitungsregeln, gegebenenfalls externe Unterstützung. Incident Response: Soforthilfe bei Phishing-Vorfällen

Ob Ihre technischen und organisatorischen Maßnahmen einem realen Angriff standhalten, lässt sich übrigens testen, von der Phishing-Simulation bis zum Social-Engineering-Pentest. Pentest & Phishing-Simulation

Fazit: Der Faktor Mensch braucht technische Rückendeckung

Quishing, KI-generierte Fake-Shops und Behörden-Imitationen haben eines gemeinsam: Sie umgehen klassische Filter und setzen auf den Menschen als Einfallstor, gerade in der hektischen Vorweihnachtszeit. Awareness bleibt wichtig, aber kein Mitarbeitender erkennt jede Fälschung. Robust wird Ihr Unternehmen durch die Kombination: phishing-resistente MFA, abgesicherte Mobilgeräte, klare Zahlungsprozesse, und eine Erkennung, die Alarm schlägt, wenn doch einmal ein Konto kompromittiert wird. Wenn Sie unsicher sind, wo Ihr Unternehmen steht, unterstützen wir Sie gerne mit einer kurzen Standortbestimmung.

Quellen

• ESET Threat Report H1 2026 via ad-hoc-news: Quishing, 11 Prozent der Phishing-Mails enthalten QR-Codes (05.11.2026): https://www.ad-hoc-news.de/wissenschaft/quishing-11-prozent-der-phishing-mails-enthalten-laut-eset-qr-codes/70460821
• NordVPN-Analyse via ad-hoc-news: Black Friday 2026, über 10.000 Fake-Shops imitieren 166 Marken (08.11.2026): https://ad-hoc-news.de/wissenschaft/black-friday-2026-ueber-10-000-fake-shops-imitieren-166-marken/70477666
• Polizei.news: Gefälschte Handelsregister-Mail droht Firmen mit Löschung des Eintrags (04.11.2026): https://www.polizeinews.ch/2026/11/04/gefaelschtes-handelsregister-mail-betrueger-drohen-firmen-mit-loeschung-des-eintrags/
• retail-news.de: Bundesbank & BMF starten Anti-Phishing-Kampagne (12.10.2026): https://retail-news.de/bundesbank-bmf-kampagne-phishing-2026/