Einbruchswerkzeug QR-Code
+Es scheint mal wieder an der Zeit für ein PSA (Public Service Announcement): Bitte scannen Sie nicht einfach jeden dahergelaufenen QR-Code mit Ihrem Smartphone ab. Das kann übel enden.
Germany’s Federal Office for the Protection of the Constitution (aka Bundesamt für Verfassungsschutz or BfV) and Federal Office for Information Security (BSI) have issued a joint advisory warning of a malicious cyber campaign undertaken by a likely state-sponsored threat actor that involves carrying out phishing attacks over the Signal messaging app
, schrieb die Website The Hacker News am vergangenen Samstag. Das BfV und das BSI warnten also gemeinsam vor Phishing-Angriffen auf dem Signal-Messenger, von denen vor allem Politiker*innen, Militärs und Journalist*innen betroffen seien.
Wenn eine BSI-Meldung von The Hacker News aufgegriffen wird, dann muss schon etwas Ernsteres passiert sein: Vorausgegangen war die deutschsprachige Veröffentlichung von BfV und BSI am Freitag davor , in der es heißt, den Behörden lägen aktuelle Erkenntnisse vor, denen zufolge ein wahrscheinlich staatlich gesteuerter Cyberakteur Phishing-Angriffe über Messengerdienste wie
Das ist umso beunruhigender, als Signal eigentlich als besonders sicher gilt und deswegen gerade in solchen datensensiblen Bereichen bevorzugt wird.Signal
durchführt. Im Fokus stehen hochrangige Ziele aus Politik, Militär und Diplomatie sowie Investigativjournalistinnen und -journalisten in Deutschland und Europa.
Am selben Tag berichtete auch DER SPIEGEL und zitierte den irischen IT-Sicherheitsexperten Donncha Ó Cearbhaill, der das Security Lab von Amnesty International leitet: Erste Hinweise deuten auf einen russischsprachigen Angreifer hin
, sagt er und rät, gefährdete Nutzer sollten in den Einstellungen der App die sogenannte Registrierungssperre aktivieren.
Sowohl Cearbhaill als auch BfV/BSI stimmen darin überein, dass die Angriffswelle nichts mit irgendwelchen Schwachstellen in Signal und anderen Messengern zu tun hat und auch keine Malware eingesetzt wird. Stattdessen bedienen sich die Angreifer legitimer Sicherheitsfunktionen der Anwendungen und kombinieren diese mit Social Engineering. Ziel ist es, unbemerkt Zugriff auf Einzel- und Gruppenchats sowie auf Kontaktlisten der betroffenen Personen zu erlangen. Der aktuelle Schwerpunkt der Angriffe liegt auf dem Messengerdienst
Signal
, wobei vergleichbare Vorgehensweisen aufgrund ähnlicher Funktionsprinzipien auch bei WhatsApp
denkbar sind.
Als »Social Engineering« werden Methoden bezeichnet, bei denen Menschen mit im weitesten Sinne psychologischen Methoden dazu gebracht werden, Dritten Zugriff auf ihre Geräte zu gewähren – oder, wie es die Wikipedia beschreibt, zwischenmenschliche Beeinflussungen mit dem Ziel, bei Personen bestimmte Verhaltensweisen hervorzurufen, sie zum Beispiel zur Preisgabe von vertraulichen Informationen, zum Kauf eines Produktes oder zur Freigabe von Finanzmitteln zu bewegen.
Im aktuellen Fall wenden die Kriminellen zwei verschiedene Methoden an:
- Sie geben sich als offizielles Support-Team oder als Support-Chatbot aus und nehmen direkt über eine Chatnachricht mit ihrer Zielperson Kontakt auf. Ziel ist dabei, dass die Zielperson ihre private PIN herausgibt, mit der die Angreifer das Smartphone übernehmen. Sie haben dann das Konto vollständig unter Kontrolle, einschließlich der Kontakte und neuen Chatnachrichten. Alte Chats können sie nicht aufrufen, aber im Namen der Zielperson Nachrichten verschicken. Diese verliert den Zuzgraiff auf das Konto.
- Sie machen sich, wie das BSI schreibt,
die legitime Funktion zur Kopplung eines zusätzlichen Endgerätes zunutze. Messengerdienste wie
Und da kommt der QR-Code ins Spiel: Das zusätzliche Gerät wird nämlich durch Scannen und Bestätigen so eines Codes freigeschaltet. Ein besonders hinterhältiger Aspekt ist dabei, dass die Zielperson gar nicht bemerkt, dass ihr Phone überwacht wird.Signal
oderWhatsApp
ermöglichen es ihren Nutzern, ein bestehendes Konto mit weiteren Geräten wie zum Beispiel einem Tablet zu verknüpfen.
Das BSI rät zu mehreren Maßnahmen und betont dabei auch etwas ganz Essenzielles: Der Signal-Kundendienst nimmt nie Kontakt per Signal-Message auf. Genauso wenig wie Bank-Mitarbeitende Sie in einer E-Mail auffordern werden, Ihre PIN herauszugeben. In Signal lässt sich außerdem die Funktion, neue Geräte zu registieren, in den Einstellungen sperren. Weitere Tips finden Sie in dem oben verlinkten BSI-PDF.
Bei aller Aktualität dieser Meldung: Das Phänomen ist überhaupt nicht neu. Manipulierte QR-Codes werden zu Betrugszwecken verwendet, seit es die Scan-Funktion im Smartphone gibt. Längst hat das Phänomen einen Namen: Quishing, ein Kofferwort aus »QR« und »Phishing«. DER SPIEGEL schrieb schon vor über 13 Jahren über die möglichen Gefahren von QR-Codes: Gauner […] bekleben seriöse Plakate mit unseriösen Codes. Wer die scannt, kann sich Schadsoftware einfangen.
Und im vergangenen Mai schrieb die Website Cyber Security News: A disturbing new trend in cybercrime emerged this week as security professionals discovered QR codes taped to lampposts in what appears to be a sophisticated psychological manipulation campaign.
An Straßenlaternen finden sich also inzwischen ebenfalls betrügerische Codes – in diesem Fall wird an die Neugier der Menschen und ihre Lust am Drama appelliert: John, I know you are cheating on me
, steht auf den Aufklebern, gefolgt von dem QR-Code und dem Hinweis here’s the proof it would be worthwhile for everyone to see
. Laut der Site hat sich die Zahl von QR-Code-Scams in fünf Jahren vervierzehnfacht, von 100 gemeldeten Fällen 2019 gegenüber 1.386 im Jahr 2024. 22 % aller Phishing-Angriffe sind inzwischen tatsächlich Quishing-Attacken, und nur etwas mehr als ein Drittel von befragten Angestellten konnte in einer Untersuchung eine solche Attacke erfolgreich identifizieren.
Mittlerweile gibt es offenbar sogar Fälle, in denen Menschen auf der Straße versuchen, andere zum Scannen eines QR-Codes zu bewegen. Zum Beispiel geben sie sich als Musiker*innen aus, die ihrem Gegenüber angeblich den Link zu einem neuen Song übermitteln wollen.
Also einfach noch mal die PSA von ganz oben: Vorsicht mit QR-Codes! Scannen Sie nur, was Sie zuvor selbst veranlasst haben. Und – man kann es nicht oft genug wiederholen: Wer Sie nach Zugangsdaten fragt, will Ihnen nichts Gutes. Erst recht hellhörig sollten Sie werden, wenn es auch noch als dringend dargestellt wird.
Der Vollständigkeit halber sei noch eine Seite des BIS zur Smartphone- und Tablet-Absicherung verlinkt.





