Kurz gesagt: Beim ASCII-Quishing betten Angreifer einen QR-Code nicht als Bild in die E-Mail ein. Stattdessen setzen sie ihn aus Textzeichen im Mailtext zusammen. Viele Filter übersehen das, weil sie QR-Codes nur in Bildern und Anhängen suchen. Seit Juni 2026 erkennt SecuMail® auch diese Variante und filtert solche Mails standardmäßig.

 

Was ist Quishing?

Quishing ist Phishing per QR-Code. Statt eines klickbaren Links enthält die Mail einen QR-Code, typischerweise mit Aufhängern wie „Ihr Passwort läuft ab“, „MFA neu einrichten“ oder „Dokument zur Unterschrift“. Der Empfänger scannt ihn mit dem Smartphone und landet auf einer gefälschten Anmeldeseite.

Für Angreifer hat das zwei Vorteile. Der Link steht nicht im Klartext in der Mail, also greifen klassische URL-Prüfungen nicht. Außerdem wird er auf einem privaten Mobilgerät geöffnet, das oft außerhalb der Unternehmens-Sicherheit liegt.

Die neue Evasion-Technik: QR-Codes aus Textzeichen

Moderne E-Mail-Security erkennt QR-Codes in Bildern und Anhängen per Bilderkennung (OCR) und prüft die enthaltene URL gegen Reputationsdienste. Genau hier setzt die neue Masche an.

Angreifer bauen den QR-Code aus Zeichen wie █, ▀ und ▄ oder aus Leerzeichen-Mustern direkt im Text der Mail. Für das menschliche Auge und die Smartphone-Kamera ist das ein ganz normaler QR-Code. Für einen Filter, der nur Bilder prüft, ist es bloß Text. Dadurch fallen gleich drei Schutzschichten weg:

• Keine Bilddatei, also keine OCR-Prüfung von Anhängen
• Kein Link im Text, also keine URL-Reputationsprüfung
• Unauffälliger Inhalt, weil die Zeichenfolge für Textfilter bedeutungslos ist

 

 

So schützt SecuMail® vor ASCII-Quishing

SecuMail® prüft eingehende Mails schon lange auf QR-Codes in Bildern und Anhängen. Seit Juni 2026 erkennt der Filter zusätzlich QR-Codes, die aus Textzeichen gebildet werden. Mails mit solchen Codes werden standardmäßig gefiltert. Kunden müssen dafür nichts konfigurieren, der Schutz ist automatisch aktiv.

Was IT-Verantwortliche zusätzlich tun sollten

Technischer Schutz ist die erste Verteidigungslinie. Quishing zielt aber auf Menschen, deshalb gilt:

• Mitarbeiter sensibilisieren: QR-Codes in E-Mails, die zu einer Anmeldung auffordern, sind fast immer verdächtig. Unser kostenloses Security Awareness Training behandelt aktuelle Maschen wie diese.
• Klare Regeln kommunizieren: Passwörter und MFA werden nie über einen QR-Code aus einer Mail zurückgesetzt. Und dienstliche Logins nie auf privaten Geräten, denn dort greift die Firmen-Security nicht.
• Meldeweg etablieren: Verdächtige Mails gehen an die IT, nicht in den Papierkorb.

Häufige Fragen zu ASCII-Quishing

Was ist ein ASCII-QR-Code?
Ein QR-Code, der nicht als Bild, sondern aus Text- oder Blockzeichen zusammengesetzt ist. Smartphones können ihn trotzdem scannen.

Warum erkennen viele Spamfilter ASCII-QR-Codes nicht?
Weil sie QR-Codes per Bilderkennung in Bildern und Anhängen suchen. Ein aus Zeichen gebauter Code ist für sie reiner Text ohne Link.

Erkennt SecuMail® ASCII-QR-Codes?
Ja. Seit Juni 2026 erkennt SecuMail® ASCII-QR-Codes im Mailtext und filtert betroffene Mails standardmäßig, zusätzlich zu den bestehenden QR-Code-Filtern für Bilder und Anhänge.

Muss ich den Schutz aktivieren?
Nein, er ist für alle SecuMail®-Kunden automatisch aktiv.

 

SecuMail® ist der E-Mail-Security-Service der WorNet AG aus Geretsried bei München. Jetzt mehr erfahren →