Eine gefälschte Passkey-Anmeldung per QR-Code beginnt häufig nicht mit einer technischen Schwachstelle im Passkey-Verfahren, sondern mit einer manipulierten E-Mail, einer nachgebauten Anmeldeseite oder einer unerwarteten Aufforderung auf dem Bildschirm. Wie die Redaktion von Techify.de. Nutzer sollen einen QR-Code scannen und anschließend auf ihrem Smartphone eine Anmeldung bestätigen, die sie selbst weder bei Google noch bei Microsoft gestartet haben.
Der entscheidende Punkt: Ein echter Passkey ist an die Domain des jeweiligen Dienstes gebunden und kann nicht einfach an eine fremde Phishing-Seite übertragen werden. Angreifer versuchen deshalb, den Nutzer zu einer echten, aber vom Täter vorbereiteten Anmeldung, einer OAuth-Freigabe oder einer Geräteverknüpfung zu bewegen. Wer nur auf Logos, Farben und die Darstellung des QR-Codes achtet, kann trotz phishingresistenter Passkeys eine fremde Sitzung autorisieren.
Warum eine echte Passkey-Anmeldung überhaupt einen QR-Code anzeigen kann
Ein QR-Code innerhalb einer Passkey-Anmeldung ist nicht automatisch verdächtig. Das Verfahren wird regulär verwendet, wenn der Passkey auf einem Smartphone gespeichert ist, die Anmeldung aber auf einem anderen Gerät – etwa einem Windows-PC oder Mac – erfolgt. Der Browser zeigt dann einen QR-Code an, den der Nutzer mit dem Smartphone scannt.
Nach dem Scan müssen sich beide Geräte in räumlicher Nähe befinden. Die Cross-Device Authentication der FIDO Alliance verwendet Bluetooth Low Energy zur Näheprüfung und eine zusätzliche kryptografisch geschützte Verbindung für den eigentlichen Datenaustausch. Der Passkey selbst wird dabei nicht als lesbarer Schlüssel durch den QR-Code übertragen.
Google beschreibt denselben Ablauf für Anmeldungen über verschiedene Betriebssysteme: Der Nutzer startet die Anmeldung auf einem Computer, wählt einen Passkey auf einem anderen Gerät aus, scannt den angezeigten Code und bestätigt den Vorgang mit Displaysperre, PIN, Fingerabdruck oder Gesichtserkennung. Das Smartphone muss sich dabei in der Nähe des Computers befinden.
„Cross device authentication allows a user to sign in with their device using a QR code.“
— FIDO Alliance, technische Erläuterung zur geräteübergreifenden Passkey-Anmeldung.
Ein legitimer Ablauf besitzt damit vier erkennbare Merkmale:
- Der Nutzer hat die Anmeldung selbst auf einem bekannten Gerät begonnen.
- Der QR-Code erscheint direkt im Browser- oder Betriebssystemdialog.
- Das Smartphone nennt den Dienst oder die Website, für die die Anmeldung bestätigt werden soll.
- Die Freigabe erfolgt erst nach einer lokalen Entsperrung des Smartphones.
Fehlt bereits der erste Punkt, darf die Anmeldung nicht bestätigt werden. Google oder Microsoft schicken Nutzern normalerweise keinen unaufgeforderten QR-Code mit der Aufforderung, innerhalb weniger Minuten eine Passkey-Anmeldung abzuschließen.
Wie Betrüger einen Passkey-QR-Code missbrauchen
Passkeys verhindern das klassische Abgreifen eines Passworts auf einer falschen Domain. Der private kryptografische Schlüssel bleibt auf dem Gerät beziehungsweise im geschützten Passkey-Provider und wird nicht an die Website gesendet. Außerdem ist jeder Passkey an den registrierten Onlinedienst gebunden. Ein für google.com oder eine Microsoft-Domain erzeugter Passkey funktioniert daher nicht auf einer ähnlich aussehenden fremden Adresse.
Das bedeutet jedoch nicht, dass jeder QR-basierte Anmeldevorgang automatisch sicher ist. Angreifer können versuchen, das Opfer zu einer Aktion zu bewegen, die technisch auf einer echten Plattform stattfindet, aber einen vom Täter vorbereiteten Zugriff autorisiert.
Typische Angriffsszenarien sind:
- Der Täter startet auf seinem Gerät eine legitime Anmeldung und zeigt dem Opfer den dazugehörigen QR-Code.
- Eine Phishing-Mail behauptet, das Google- oder Microsoft-Konto müsse neu bestätigt werden.
- Eine gefälschte Seite zeigt zunächst ein nachgebautes Login und leitet anschließend zu einem echten Autorisierungsdialog weiter.
- Das Opfer soll eine Geräteverknüpfung, einen OAuth-Zugriff oder einen sogenannten Device Code bestätigen.
- Eine angebliche IT-Abteilung fordert zum Scannen eines Codes auf, um eine Kontosperre, ein Sicherheitsupdate oder den Ablauf einer Anmeldung zu verhindern.
- Der Nutzer bestätigt auf dem Smartphone nicht nur seine Identität, sondern den Zugriff auf eine Sitzung, die auf dem Gerät des Angreifers läuft.
Besonders gefährlich ist die Vermischung mehrerer Verfahren. Eine Nachricht spricht beispielsweise von einem „Passkey-Update“, tatsächlich führt der QR-Code aber zu einer OAuth-Geräteautorisierung. Das Opfer sieht eine echte Microsoft-Seite und hält den Vorgang deshalb für legitim. Die echte Domain beweist in diesem Fall lediglich, dass die Autorisierungsseite von Microsoft stammt – nicht, dass die zugrunde liegende Anfrage berechtigt ist.
Microsoft dokumentierte im April 2026 Kampagnen, bei denen legitime Device-Code-Anmeldungen für Phishing missbraucht wurden. Das Verfahren ist ursprünglich für Geräte mit eingeschränkter Eingabemöglichkeit vorgesehen, darunter Smart-TVs oder Drucker. Täter erzeugen jedoch einen Anmeldecode für ihre eigene Sitzung und bringen das Opfer dazu, diesen auf einer echten Microsoft-Seite zu bestätigen.
„Device code authentication is a legitimate OAuth flow designed for devices with limited interfaces.“
— Microsoft Security Blog, Analyse einer Device-Code-Phishing-Kampagne vom 6. April 2026.
Warum ein echtes Microsoft- oder Google-Fenster nicht ausreicht
Ein perfekt nachgebautes Logo ist kein Sicherheitsnachweis. Aber auch eine echte Domain reicht nicht immer aus, wenn der Nutzer dort eine vom Angreifer ausgelöste Aktion bestätigt.
Geprüft werden muss deshalb nicht nur, wo die Freigabe erfolgt, sondern auch:
- Wer hat die Anmeldung gestartet?
- Auf welchem Gerät soll der Zugriff erfolgen?
- Welches Konto wird verwendet?
- Welcher Dienst fordert die Bestätigung an?
- Welche Rechte werden gewährt?
- Passt der angezeigte Ort zum eigenen Standort?
- Passt der Zeitpunkt zur eigenen Handlung?
- Wird ein neues Gerät, eine App oder eine Organisation genannt?
Eine Passkey-Freigabe darf nicht wie eine gewöhnliche Sicherheitswarnung behandelt werden. Sie ist eine aktive Autorisierung. Wer eine unerwartete Anfrage bestätigt, kann damit einem fremden Gerät Zugang gewähren, obwohl weder Passwort noch Passkey selbst offengelegt wurden.
Echte und gefälschte Passkey-Anmeldung im direkten Vergleich
| Prüfkriterium | Echte Passkey-Anmeldung | Verdächtige oder gefälschte Aufforderung |
|---|---|---|
| Auslöser | Nutzer hat die Anmeldung selbst begonnen | QR-Code erscheint unerwartet in E-Mail, Chat oder Dokument |
| Anzeigeort | Browser, Betriebssystem oder offizielle App | E-Mail-Anhang, PDF, Website, Messenger oder angebliches Support-Ticket |
| Zeitdruck | Kein künstliches Ultimatum | „Innerhalb von 10 Minuten bestätigen“ |
| Domain | Bekannte, vollständig geprüfte Domain | Schreibfehler, Zusatzwörter, Weiterleitung oder verkürzte Adresse |
| Smartphone-Dialog | Nennt passenden Dienst und nachvollziehbaren Vorgang | Unbekanntes Gerät, fremde App oder unklare Anmeldung |
| Gerätebezug | Eigenes Smartphone befindet sich neben eigenem Computer | Anmeldung wurde auf einem unbekannten Gerät gestartet |
| Geforderte Handlung | Lokale Entsperrung zur selbst gestarteten Anmeldung | Eingabe von Passwort, SMS-Code, Wiederherstellungscode oder TAN |
| Supportkontakt | Kein Mitarbeiter benötigt den QR-Code | Angeblicher Support drängt zum Scannen oder Bestätigen |
| Nach dem Scan | Klare Passkey-Auswahl für den erwarteten Dienst | OAuth-Rechte, Gerätecode, App-Zugriff oder fremde Kontoverknüpfung |
Eine vergleichbare Täuschung wird bereits bei manipulierten Bezahlcodes eingesetzt. Der Beitrag über gefälschte QR-Codes und nachgebaute Zahlungsseiten zeigt, warum die sichtbare Gestaltung eines Codes nichts über sein tatsächliches Ziel aussagt. Bei Passkey-Angriffen kommt hinzu, dass die Zielseite teilweise legitim sein kann, während der Auftrag zur Anmeldung vom Täter stammt.
Sieben Warnzeichen für einen gefälschten Passkey-QR-Code
Eine einzelne Abweichung kann technisch erklärbar sein. Mehrere Warnzeichen gleichzeitig sprechen jedoch für einen Angriff.
1. Die Anmeldung wurde nicht selbst gestartet
Das stärkste Warnsignal ist eine Passkey-Anfrage ohne vorherige eigene Handlung. Wer weder accounts.google.com, sein Google-Konto noch eine Microsoft-Anmeldung geöffnet hat, darf keinen QR-Code zur Kontobestätigung scannen.
Echte Anbieter können über verdächtige Aktivitäten informieren. Eine Sicherheitsmeldung bedeutet aber nicht, dass der Nutzer einen mitgesendeten QR-Code verwenden muss. Der sichere Weg führt direkt über die selbst geöffnete App oder manuell eingegebene Kontoadresse.
2. Der QR-Code kommt per E-Mail oder PDF
QR-Codes werden von Angreifern eingesetzt, weil viele E-Mail-Filter zunächst nur ein Bild erkennen. Das Bundesamt für Sicherheit in der Informationstechnik weist darauf hin, dass Virenscanner QR-Codes unter Umständen als harmlose Bilddateien einstufen und die dahinterliegende Adresse nicht wie einen normalen Link untersuchen.
Microsoft registrierte im ersten Quartal 2026 rund 8,3 Milliarden E-Mail-basierte Phishing-Bedrohungen. QR-Code-Phishing war zum Quartalsende der am schnellsten wachsende Angriffsweg und hatte sich im Verlauf des Quartals mehr als verdoppelt. Im März erreichte Microsoft 18,7 Millionen erfasste QR-Code-Angriffe; bis Juni sank das Volumen auf 8,3 Millionen, blieb aber weiterhin erheblich.
„QR code phishing emerged as the fastest-growing attack vector.“
— Microsoft Threat Intelligence, Bericht zum ersten Quartal 2026.
3. Die Nachricht erzeugt künstlichen Zeitdruck
Formulierungen wie „Passkey läuft heute ab“, „Konto wird in 30 Minuten gesperrt“ oder „Sicherheitsmigration sofort abschließen“ sollen eine technische Prüfung verhindern. Passkeys besitzen nicht dieselbe regelmäßige Ablaufstruktur wie Einmalcodes oder kurzfristige Sitzungen.
Auch angebliche Personalabteilungen, Administratoren oder externe IT-Dienstleister dürfen keine Freigabe verlangen, ohne den Vorgang über einen bekannten internen Kanal anzukündigen.
4. Das Smartphone zeigt einen unerwarteten Dienst
Nach dem Scan muss der Smartphone-Dialog zum Vorgang passen. Wer sich bei Google anmelden wollte, aber eine Freigabe für eine unbekannte Website, Anwendung oder Organisation sieht, muss abbrechen.
Gleiches gilt für Microsoft-Dialoge, die Zugriffsrechte auf E-Mails, Dateien, Kontakte oder das dauerhafte Anmelden verlangen. Solche Berechtigungen können zu einer OAuth-App gehören und sind keine gewöhnliche Passkey-Bestätigung.
5. Der Code führt zu einem Passwortformular
Eine reine Passkey-Anmeldung benötigt normalerweise kein Passwort, das in eine über den QR-Code geöffnete Webseite eingegeben wird. Je nach Kontokonfiguration können zwar alternative Anmeldewege angeboten werden. Eine plötzlich erscheinende Passwortmaske mit anschließender Abfrage von SMS-, Authenticator- oder Wiederherstellungscodes ist jedoch ein klassisches Phishing-Muster.
Nutzer sollten besonders misstrauisch werden, wenn die Seite mehrere Faktoren nacheinander verlangt. Täter nutzen solche Formulare, um Zugangsdaten und Einmalcodes in Echtzeit an die echte Plattform weiterzureichen.
6. Der Absender nennt eine Service- oder Sicherheitsnummer
Kriminelle kombinieren QR-Code-Phishing häufig mit Telefonsupport. Die E-Mail enthält eine Nummer, unter der ein angeblicher Microsoft-, Google- oder Unternehmensmitarbeiter „bei der Aktivierung“ hilft. Der Gesprächspartner fordert anschließend dazu auf, Codes vorzulesen, Bildschirmfreigaben zu starten oder fremde Apps zu installieren.
Ein echter Supportmitarbeiter benötigt weder das Passwort noch einen Passkey, einen Wiederherstellungscode oder die Bestätigung einer fremden Anmeldung.
7. Das Gerät oder der Standort ist unbekannt
Google und Microsoft können im Sicherheitsdialog Hinweise zu Gerät, Browser, Betriebssystem, Standort oder Anwendung anzeigen. Ein Standort kann durch Mobilfunkrouting oder VPN ungenau sein. Ein gleichzeitig unbekanntes Gerät, ein unpassender Zeitpunkt und eine nicht selbst gestartete Anfrage bilden jedoch ein klares Abbruchsignal.
Wer bereits ungewöhnliche Sitzungen vermutet, sollte nach demselben Prinzip handeln wie bei einem übernommenen Social-Media-Konto: Der Leitfaden zum Zurückholen und Absichern eines gehackten Kontos erklärt, weshalb neben dem Passwort auch aktive Geräte, Wiederherstellungswege und verbundene Anwendungen kontrolliert werden müssen.
Was Passkeys tatsächlich gegen Phishing schützen – und was nicht
Ein Passkey arbeitet mit einem kryptografischen Schlüsselpaar. Der Dienst speichert den öffentlichen Schlüssel, während der private Schlüssel auf dem Gerät oder in einem geschützten Passkey-Manager verbleibt. Bei der Anmeldung signiert das Gerät eine Herausforderung des Dienstes. Ein Passwort, das ein Angreifer kopieren und erneut verwenden könnte, wird nicht übertragen.
Die Domainbindung verhindert zudem, dass eine täuschend ähnliche Website denselben Passkey verwenden kann. Ein Passkey für eine Google-Domain wird von Browser und Betriebssystem nicht für google-sicherheit.example oder eine andere fremde Domain angeboten.
„Every passkey is unique and bound to the online service domain.“
— FIDO Alliance, Übersicht der FIDO-Authentifizierungsstandards.
Trotzdem bleiben vier Angriffspunkte:
- Social Engineering: Das Opfer bestätigt eine fremde, aber echte Anmeldung.
- OAuth-Missbrauch: Das Opfer autorisiert eine Anwendung mit weitreichenden Kontorechten.
- Device-Code-Phishing: Ein fremder Code wird auf einer legitimen Plattform eingegeben.
- Kompromittiertes Gerät: Malware, Fernzugriff oder ein entsperrtes Smartphone ermöglichen weitere Manipulationen.
Passkeys schützen vor dem Diebstahl eines wiederverwendbaren Geheimnisses. Sie ersetzen nicht die Prüfung, ob eine konkrete Freigabe tatsächlich gewollt ist.
Was Nutzer vor dem Scannen kontrollieren sollten
Vor jeder geräteübergreifenden Passkey-Anmeldung hilft eine feste Prüfreihenfolge:
- Den Vorgang auf dem Computer abbrechen, wenn er nicht selbst gestartet wurde.
- Keine QR-Codes aus E-Mails, PDFs, Chats oder Supportnachrichten scannen.
- Google oder Microsoft über ein eigenes Lesezeichen beziehungsweise eine manuell eingegebene Adresse öffnen.
- Die vollständige Domain lesen, nicht nur Logo und Seitentitel.
- Auf dem Smartphone kontrollieren, welcher Dienst und welches Konto genannt werden.
- Prüfen, ob der angezeigte Computer tatsächlich das eigene Gerät ist.
- Berechtigungsdialoge vollständig lesen.
- Bei OAuth-Anfragen besonders auf E-Mail-, Datei-, Kalender- und Offlinezugriff achten.
- Keine Passwörter, TANs, Wiederherstellungscodes oder Authenticator-Codes an Dritte übermitteln.
- Den Vorgang abbrechen, sobald eine Angabe nicht zur eigenen Handlung passt.
Wer häufiger Anmeldungen mit Banking- oder Sicherheits-Apps bestätigt, sollte außerdem zwischen normalen Gerätebindungen und verdächtigen Wiederholungsaufforderungen unterscheiden. Der Beitrag wann eine erneute Gerätefreigabe nach einem App-Update plausibel ist zeigt die wichtigsten Prüfkriterien für unerwartete Autorisierungen.
QR-Code bereits gescannt: Diese Maßnahmen sind erforderlich
Allein das Scannen eines QR-Codes führt nicht in jedem Fall zu einer Kontoübernahme. Entscheidend ist, welche Seite geöffnet, welche Daten eingegeben und welche Freigaben bestätigt wurden.
Nur gescannt, aber nichts bestätigt
- Browserseite schließen.
- Internetadresse dokumentieren.
- E-Mail oder Nachricht als Phishing melden.
- Browser-Downloads kontrollieren.
- Keine von der Seite angebotene App installieren.
- Kontosicherheit direkt über Google oder Microsoft prüfen.
Passwort oder Einmalcode eingegeben
- Passwort über die offizielle Kontoseite sofort ändern.
- Ein einzigartiges Passwort verwenden.
- Aktive Sitzungen und Geräte prüfen.
- Unbekannte Geräte abmelden.
- Wiederherstellungs-E-Mail und Telefonnummer kontrollieren.
- Neue Backup-Codes erzeugen.
- Dasselbe Passwort bei anderen Diensten ebenfalls ersetzen.
Passkey-Anmeldung oder Gerätecode bestätigt
- Aktive Sitzungen sofort beenden.
- Unbekannte Passkeys und Sicherheitsschlüssel entfernen.
- Angemeldete Geräte kontrollieren.
- OAuth-Apps und verbundene Dienste prüfen.
- Unbekannte App-Berechtigungen widerrufen.
- Weiterleitungsregeln im E-Mail-Konto kontrollieren.
- Gesendete Nachrichten, Papierkorb und Archiv prüfen.
- Bei einem Firmenkonto unverzüglich die interne IT-Sicherheit informieren.
Fernzugriff oder unbekannte App installiert
- Gerät vom Internet trennen.
- Fernzugriffssoftware entfernen.
- Sicherheitsprüfung von einem sauberen Gerät aus starten.
- Zugangsdaten erst auf einem vertrauenswürdigen Gerät ändern.
- Banking- und Zahlungsdienste separat kontrollieren.
- Bei möglichen Transaktionen die Bank kontaktieren.
- Das Gerät gegebenenfalls professionell untersuchen oder zurücksetzen.
Geht zusammen mit dem Smartphone auch die Kontrolle über Passkeys, SIM-Karte oder Banking-Apps verloren, sind zusätzliche Sperrmaßnahmen notwendig. Die Anleitung zum Schutz von Apple Account, SIM und Finanz-Apps nach einem iPhone-Diebstahl beschreibt die Reihenfolge von Ortung, Gerätesperre und Kontoprüfung.
Passkey-Konten bei Google und Microsoft kontrollieren
Bei Google sollten Nutzer die Sicherheitsübersicht des Kontos direkt öffnen und mindestens folgende Bereiche prüfen:
- zuletzt verwendete Geräte;
- aktuelle Sicherheitsaktivitäten;
- Passkeys und Sicherheitsschlüssel;
- Wiederherstellungs-E-Mail;
- Wiederherstellungstelefonnummer;
- Apps und Dienste von Drittanbietern;
- aktive Gmail-Weiterleitungen und Filter.
Google weist darauf hin, dass Passkeys nicht weitergegeben, kopiert oder versehentlich als Text übermittelt werden können. Die Anmeldung wird über die Displaysperre des Geräts bestätigt. Dennoch darf ein Nutzer nur Freigaben akzeptieren, die er selbst ausgelöst hat.
Sie können dies und weitere nützliche Informationen auf unserer Website nachlesen. Wir empfehlen Ihnen außerdem die Lektüre folgender Artikel: Android-Handy wechselt ständig zwischen WLAN und mobilen Daten: Diese Einstellung ist der Grund
