Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat seinen neuen Lagebericht vorgelegt. Demnach richten sich Cyberspionage-Angriffe gezielt gegen deutsche Verwaltungen. Zugleich verzeichnete die Behörde mehr Phishing-Angriffe, darunter zunehmend Fälle mit manipulierten QR-Codes, sogenanntes Quishing.

Öffentliche Verwaltung als Hauptziel

Laut BSI-Lagebericht interessieren sich Cyberspione vor allem für Daten der öffentlichen Verwaltung. Betroffen seien daneben Verteidigung, Justiz und öffentliche Sicherheitsorgane.

Deutschland wird dem Bericht zufolge weltweit am vierthäufigsten von sogenannten APT-Gruppen (Advanced Persistent Threat) angegriffen. Nur die USA, Indien und Japan seien stärker betroffen.

Die Bedrohungslage in Zahlen

Platz 4

Deutschland ist laut BSI das vierthäufigste Ziel von APT-Angriffen weltweit

202 Mrd. €

Schaden für die deutsche Wirtschaft durch Cyberangriffe innerhalb eines Jahres

Drei Phishing-Methoden nehmen zu

Neben der Cyberspionage beschreibt das BSI drei Phishing-Methoden, die sich nach Angaben der Behörde ausbreiten:

1. Brand Impersonation (Markenmissbrauch)

Im ersten Halbjahr 2025 stieg laut BSI die Zahl gefälschter Webseiten, die sich als bekannte Online-Händler ausgeben. Die Täter nutzen demnach das Vertrauen in etablierte Marken, um Zahlungsdaten und persönliche Informationen abzugreifen.

Betroffen sind nach BSI-Angaben Kunden von Online-Shops, die auf gefälschte Seiten geleitet werden

2. Quishing (QR-Code-Phishing)

Manipulierte QR-Codes werden laut BSI zunehmend im öffentlichen Raum angebracht – an Parkscheinautomaten, E-Ladesäulen, in Behördenbriefen oder als Aufkleber in öffentlichen Verkehrsmitteln. Wer die Codes scannt, wird auf gefälschte Phishing-Webseiten geleitet.

Betroffen sind laut BSI vor allem Autofahrer, Nutzer öffentlicher Infrastruktur und Empfänger von Behördenpost

3. Vishing (Voice Phishing)

Auch Vishing-Fälle nehmen dem Bericht zufolge zu. Dabei geben sich Täter am Telefon als IT-Support aus, um Zugang zu Netzwerken zu erlangen. Betroffen seien häufig Behörden und Unternehmen, deren Beschäftigte durch vermeintliche Hilfsanrufe getäuscht würden.

Ziel sind laut BSI Beschäftigte von Behörden und Unternehmen, die am Telefon Zugangsdaten preisgeben

Knapp 10.500 Bürgeranfragen – Phishing am häufigsten gemeldet

Beim Servicezentrum des BSI gingen innerhalb eines Jahres knapp 10.500 Anfragen von Bürgern ein. Fast die Hälfte davon betraf nach Behördenangaben konkrete IT-Sicherheitsvorfälle.

Die am häufigsten gemeldeten Vorfälle:

  • 1.Phishing-Angriffe (E-Mails, SMS, gefälschte Webseiten)
  • 2.Missbrauch von Konten (gestohlene Zugangsdaten)
  • 3.Identitätsdiebstahl (gefälschte Profile, Betrug im Namen des Opfers)

Grenzen bisheriger Schutzmaßnahmen

Nach Einschätzung von Sicherheitsexperten reichen reaktive Maßnahmen wie Aufklärungskampagnen oder das Entfernen manipulierter QR-Code-Aufkleber häufig nicht aus.

Manipulierte Codes sind kaum erkennbar

Gefälschte QR-Codes lassen sich mit bloßem Auge nicht von echten unterscheiden. Auch geschulte Mitarbeiter erkennen professionelle Fälschungen häufig nicht.

Zeitverzug bis zur Sperrung

Bis eine Phishing-Seite gemeldet und gesperrt ist, können Betroffene bereits Daten eingegeben haben.

Keine gemeinsame Datenbasis

Behörden setzen auf unterschiedliche Systeme ohne gemeinsame Bedrohungsdatenbank. Kommunen bearbeiten Fälle in der Regel einzeln.

Reaktion statt Prävention

Bestehende Systeme greifen meist erst nach einem Vorfall. Eine Prüfung vor dem ersten Aufruf einer Seite findet vielfach nicht statt.

QRTrust: Technischer Ansatz zur Prüfung von QR-Codes

Produkthinweis: QRTrust ist eine Prüfsoftware, die die Ziel-URL eines QR-Codes vor dem Aufruf analysiert. Der Dienst richtet sich an Behörden, Unternehmen und Privatnutzer.

Funktionsweise im Überblick:

6-Schicht-Sicherheitscheck

Jeder QR-Code wird in Echtzeit gegen Google Safe Browsing, eine lokale Bedrohungsdatenbank und KI-Modelle geprüft.

Redirect-Verfolgung

Die Software folgt bis zu 5 Weiterleitungen und analysiert die endgültige Zielseite, auch bei verschachtelten URLs.

Echtzeit-Warnung

Vor dem Aufruf einer als verdächtig eingestuften Seite zeigt die App eine Warnung mit Gefahrenstufe und Bedrohungsdetails an.

Kommunales Whitelisting

Behörden können ihre offiziellen QR-Codes zertifizieren lassen. Verifizierte Codes werden in der App mit einem grünen Häkchen gekennzeichnet.

Monitoring-Dashboard für Behörden

Verwaltungen erhalten eine Übersicht über verdächtige Scan-Muster und automatische Hinweise bei Manipulationen.

Einsatzmöglichkeiten in Verwaltungen

Für Behörden umfasst der Dienst folgende Funktionen:

Prüfung eingehender QR-Codes

Eingehende QR-Codes, etwa in Behördenpost oder E-Mails, können vor dem Scannen geprüft werden.

Prüf-App für Bürger

Kommunen können die App als Prüfwerkzeug für kommunale QR-Codes einsetzen, etwa an Parkautomaten oder in Behördenpost. Nutzer erhalten eine Rückmeldung zur Echtheit des Codes.

Dokumentation von Vorfällen

Erkannte Phishing-Versuche werden mit Screenshots, Zeitstempeln und URL-Historie dokumentiert. Die Daten können für Ermittlungen und Strafverfolgung genutzt werden.

Beispielszenario: Gefälschter QR-Code in Behördenpost

Ein Beispiel zur Veranschaulichung: Ein Mitarbeiter einer Stadtverwaltung erhält einen Brief mit der Aufforderung, einen QR-Code zu scannen – angeblich für eine 'wichtige Sicherheitsaktualisierung'.

Ablauf ohne Prüfsoftware:

  1. Der Mitarbeiter scannt den QR-Code mit einer Standard-Kamera-App
  2. Er gelangt auf eine gefälschte IT-Support-Seite
  3. Er gibt Zugangsdaten für das Behördennetzwerk ein
  4. Die Angreifer erhalten Zugriff auf Verwaltungsdaten

Ablauf mit QRTrust:

  1. Der Mitarbeiter scannt den QR-Code mit der QRTrust-App
  2. Die Software stellt fest, dass die URL nicht in der Behörden-Whitelist steht
  3. Es erscheint der Hinweis: 'Diese URL ist nicht als offizieller Behörden-Kanal registriert'
  4. Der Aufruf unterbleibt; der Vorfall kann dokumentiert und an die IT-Sicherheit gemeldet werden

Einordnung

Der BSI-Lagebericht 2025 beschreibt eine anhaltend hohe Bedrohungslage. Die öffentliche Verwaltung zählt demnach zu den Hauptzielen, Methoden wie Quishing und Vishing nehmen laut Bericht zu.

Das BSI rät, QR-Codes aus unbekannten Quellen nicht ungeprüft zu scannen und die Ziel-Adresse vor dem Öffnen zu kontrollieren. Verdächtige Vorfälle können Betroffene bei der Polizei oder beim BSI melden.

QRTrust für Behörden

QRTrust prüft die Ziel-URLs von QR-Codes gegen mehrere Bedrohungsdatenbanken. Für öffentliche Einrichtungen bietet der Anbieter eine kostenlose Erstberatung an.

Beratungstermin vereinbaren

Quellen

Dieser Artikel basiert auf dem aktuellen BSI-Lagebericht zur IT-Sicherheit und Presseberichten: