Für Sie gelesen

Sehr geehrte Apothekerin, sehr geehrter Apotheker,
hier ist der vollständige Text für Sie:

ApoRisk® Nachrichten - APOTHEKE:

APOTHEKE | Medienspiegel & Presse |

Täuschung tarnt sich als Routine, Sicherheit wird zur Führungsfrage, Versicherungen wanken im Ernstfall

Wie raffinierte QR-Briefe Apotheken unterlaufen, warum Schutzkonzepte oft versagen und Vertrauensschäden existenzbedrohend wirken

Apotheken-News von heute

Quishing-Angriffe markieren eine neue Form der psychologischen Täuschung: Nicht Viren, sondern Vertrauen wird kompromittiert – gezielt, professionell und über den analog-digitalen Grenzbereich hinweg. Apotheken geraten zunehmend ins Visier einer Betrugswelle, die sich nicht durch technische Raffinesse auszeichnet, sondern durch die perfide Nachahmung alltäglicher Verwaltungsprozesse. Briefe mit echten Namen, Logos und institutionellem Sprachduktus enthalten QR-Codes, die auf täuschend echte Portale verweisen. Wer inmitten betrieblicher Routine und hoher Belastung den Code scannt, gibt Zugangsdaten preis, die für finanzielle Schäden in fünfstelliger Höhe sorgen können – ohne dass eine Firewall Alarm schlägt. Besonders gefährlich ist die rechtliche Grauzone: Viele Versicherungen schließen hybride Täuschungen explizit aus, verweisen auf Obliegenheitsverletzungen oder auf mangelnde Beweissicherung. Die Führungskräfte in Apotheken stehen damit vor einer doppelten Herausforderung: Prävention muss über IT-Sicherheit hinausgehen, Mitarbeitende müssen systematisch sensibilisiert, Vertragsklauseln überprüft, interne Prozesse abgesichert werden. Wer QR-Briefe behandelt wie gewöhnliche Routine, öffnet die Tür für irreparable Schäden. Der Schutz beginnt nicht beim Scanner – sondern bei der Haltung.

Der Alltag in Apotheken ist strukturiert, hektisch, formalisiert – und genau das macht ihn angreifbar. Die neue Betrugsform Quishing setzt nicht auf technische Raffinesse, sondern auf institutionelle Gewöhnung: Offiziell wirkende Briefe, sauber gelayoutet, versehen mit dem Logo der Apobank oder einer berufsständischen Institution, tragen QR-Codes, die zu „Verifizierung“ oder „Sicherheitsupdates“ aufrufen. Diese Angriffe treffen Apotheken nicht, weil sie schlecht organisiert wären – sondern weil sie funktionieren wie professionelle Betriebe: zuverlässig, schnell, reaktionsbereit. Und genau diese Systemlogik wird nun von außen gekapert.

Was wie ein harmloser Verifikationsprozess aussieht, führt im Kern zu hochwirksamen Täuschungen: Der QR-Code verlinkt auf Seiten, die präzise das Design von Bankportalen oder berufsbezogenen Plattformen nachahmen. Dort wird nach Daten gefragt, die eigentlich nie abgefragt werden dürften – und doch eingegeben werden, weil die gesamte Umgebung suggeriert, es handle sich um eine echte Anfrage. Keine Malware, keine Trojaner – nur Kommunikation, die ihre Form perfektioniert hat, um das Sicherheitsgefühl gezielt zu unterlaufen. Die Täter wissen: In Apotheken herrscht Routine, aber keine tiefgreifende IT-Skepsis. Ein Brief, der wie eine Kontrolle wirkt, erzeugt Handlungsdruck – und genau diesen Mechanismus nutzen sie mit wachsender Präzision.

Die Gefährdungslage ist enorm, denn Apotheken vereinen in ihrer betrieblichen Struktur alles, was Angreifer brauchen: hohe Liquiditätsbewegung, Vertrauensvorschuss durch Gesundheitsberuf, personelle Engpässe, begrenzte IT-Fortbildung. Ein QR-Brief trifft oft auf eine Rezeptionskraft oder eine Buchhaltungsmitarbeiterin, die sich ihrer Verantwortung bewusst ist – aber weder die IT-Herkunft noch die psychologische Fallhöhe einschätzen kann. Der Code wird eingescannt, ein Login wird durchgeführt, und der Schaden entsteht nicht durch Technik, sondern durch Vertrauen. Besonders perfide: Viele der QR-Briefe nutzen reale Namen, imitieren echte Ansprechpartner bei Banken oder Kammern – und umgehen so jeden Alarmmechanismus.

Während Banken wie die Apobank warnen und über neue Betrugswellen informieren, bleibt ein juristisches Problem ungelöst: Wer haftet bei Täuschung über den Postweg? Cyberversicherungen greifen oft nur bei digitalen Angriffspfaden. Ein analoger Brief, der durch menschliche Handlung Schaden erzeugt, fällt bei vielen Policen aus dem Leistungsbereich. Das stellt Apothekeninhaber:innen vor eine doppelte Verantwortung: Sie müssen nicht nur IT-Systeme absichern, sondern auch die betriebliche Kommunikation kontrollieren, Zuständigkeiten definieren, Briefroutinen unterbrechen. Denn wer keinen standardisierten Prozess zum Umgang mit vermeintlich offiziellen QR-Schreiben hat, öffnet die Tür für unbegrenzte Angriffsfläche.

Das Versicherungsdilemma wird damit zum Kernproblem. Es gibt keinen allgemeinen Schutzschirm gegen hybride Täuschungen. Viele Apotheken haben eine Cyberdeckung abgeschlossen, die aber auf technische Sicherheitsverletzungen fokussiert ist – etwa Schadsoftware, Hackerangriffe, Systeminfektionen. Ein QR-Brief, der durch eine gutgläubige Eingabe auf einer falschen Website Schaden verursacht, zählt in der Argumentation vieler Versicherer als Obliegenheitsverletzung oder Bedienfehler – mit der Folge: keine Zahlung. Auch Berufshaftpflicht- oder Inhaltsversicherungen greifen nicht, denn es liegt weder ein physischer Schaden noch ein Diebstahl im klassischen Sinne vor. Die Täter entwenden keine Medikamente – sie stehlen Autorisierungen, Vertrauensverhältnisse und Zugriffsrechte.

Diese Dynamik offenbart eine tiefere strukturelle Schwäche. Apotheken, die sich bislang auf technische Schutzlösungen verlassen haben – Firewalls, Virenscanner, externe IT-Betreuung – stehen nun vor der Erkenntnis, dass die größte Gefahr nicht im Serverraum, sondern im Briefkasten lauert. Sicherheitsmanagement muss neu gedacht werden: weniger als Technologie, mehr als Führungskultur. Wer seinen Mitarbeitenden keine Regeln an die Hand gibt, wie mit externen Aufforderungen umzugehen ist, wird im Ernstfall mit leeren Händen dastehen – rechtlich, finanziell und reputativ.

Besonders gefährlich ist, dass der Angriff nicht sichtbar ist. Es gibt keinen Alarm, kein Warnsignal, keine kryptische Datei. Erst wenn das Konto leer ist, eine nicht autorisierte Überweisung auffällt oder die Bank nachfragt, beginnt die Aufarbeitung – und dann ist es zu spät. Strafrechtlich bleiben die Täter meist anonym, ermitteln lässt sich kaum etwas. Selbst bei Anzeige bleibt der Schaden zivilrechtlich am Opfer hängen. Und das bedeutet für Apotheken: existenzielles Risiko aus einer administrativen Kleinigkeit heraus.

Dabei ist Prävention möglich – aber sie beginnt nicht bei der Software, sondern in der Haltung. Sicherheitskultur heißt: Keine Eingaben ohne Rückfrage. Keine QR-Codes ohne Legitimation. Keine Kontoänderungen ohne Vier-Augen-Prinzip. Keine externe Kommunikation ohne verifizierbare Kontaktperson. Eine einfache Regel wie „QR-Briefe gehen immer zuerst zum Chef“ kann mehr Sicherheit erzeugen als jede technische Maßnahme. Hinzu kommt die Notwendigkeit, bestehende Versicherungsverträge auf reale Bedrohungsszenarien abzuklopfen: Welche Täuschungsarten sind gedeckt? Wo sind Ausschlüsse formuliert? Welche Anforderungen gelten im Schadensfall an Beweisführung und Meldefristen?

Für viele Apothekenbetriebe bedeutet das auch eine unangenehme Wahrheit: Der Glaube, man sei „klein genug, um uninteressant zu sein“, war schon immer falsch – doch in Zeiten gezielter Datenanalysen, öffentlich zugänglicher Inhaberregister und massenhaft verfügbarer Berufsgruppenlisten ist er brandgefährlich. Apotheken gehören heute zur Kerninfrastruktur des Gesundheitssystems – und damit zu einer Risikogruppe, die sowohl finanziell als auch systemisch attraktiv ist für Betrüger. Wer dies nicht erkennt, wird Opfer nicht trotz, sondern wegen seiner Sorgfalt.

Deshalb gilt: Sicherheit ist kein Zustand, sondern eine Führungsentscheidung. Wer sich auf Technik verlässt, hat schon verloren. Wer seinen Mitarbeitenden die Verantwortung überlässt, ohne Orientierung zu geben, ebenfalls. Die Bedrohung durch Quishing ist keine technische, sondern eine kulturelle Herausforderung. Und sie betrifft alle – egal wie groß, wie modern oder wie erfahren eine Apotheke ist. Wer heute nicht handelt, wird morgen zahlen. Und wer morgen zahlt, kann übermorgen vielleicht nicht mehr öffnen.

Von Engin Günder, Fachjournalist

Zurück zur Übersicht