QR-Code in E-Mail-Marketing: Wann er sich lohnt und wann nicht

Fast die Hälfte aller Marketer setzt inzwischen irgendwo in einer E-Mail-Kampagne einen QR-Code ein. Das zeigt Bitlys QR Code Trends Survey 2025, der E-Mail damit vor Produktverpackung, Events und Printanzeigen als häufigsten Einsatzort für QR-Codes überhaupt einordnet. Das ist eine bemerkenswerte Zahl für einen Kanal, der bereits über ein perfekt funktionierendes Klickziel verfügt: den Hyperlink. Wenn ein Leser in der E-Mail, die er gerade liest, schon auf einen Link tippen kann, warum sollte man ihm dann einen zweiten, umständlicheren Weg zum selben Ziel an die Hand geben?

Die ehrliche Antwort lautet: Ein QR-Code in einer E-Mail ist manchmal eine wirklich nützliche Abkürzung und manchmal reine Reibung im Innovationskostüm. Was davon zutrifft, hängt von Mechanismen ab, die die meisten Marketing-Ratgeber komplett auslassen: wie E-Mail-Programme Bilder tatsächlich darstellen, was ein „Open" wirklich noch misst, sobald Apples Datenschutz-Tools ins Spiel kommen, und ein Sicherheitsrisiko, das innerhalb von zwei Jahren von der Theorie zu einer aktiven FBI-Warnung geworden ist. Dieser Leitfaden geht alle drei Punkte durch und liefert anschließend eine Checkliste für den Einsatz sowie einen Weg, um zu verfolgen, was der Code tatsächlich tut, sobald er im Umlauf ist.

Warum Marketer überhaupt zum QR-Code in der E-Mail greifen

Das Argument dahinter ist meist eines von drei Dingen. Erstens der Geräte-Wechsel: Die E-Mail wird auf dem Laptop gelesen, aber das Ziel, ein Gutschein, ein Wallet-Pass, ein WLAN-Login, ein Store-Finder, ergibt nur auf dem Smartphone Sinn, das physisch an der Kasse oder vor Ort dabei ist. Zweitens der Neuheitseffekt: Ein QR-Code sticht in einem Posteingang voller „Jetzt einkaufen"-Buttons hervor und bekommt einen zweiten Blick. Drittens die Messbarkeit: Ein Scan wirkt wie ein saubereres Signal für echte Absicht als ein Klick, weil dafür jemand tatsächlich zum Smartphone greifen und die Kamera benutzen muss.

Für jedes dieser Argumente gibt es eine echte Antwort, und sie fällt nicht bei jedem Versand gleich aus. Der Geräte-Wechsel ist mit Abstand das stärkste Argument, und es lohnt sich, den Rest der Überlegungen darauf aufzubauen. Der Neuheitseffekt nutzt sich schon nach wenigen Versanden an dieselbe Liste ab und taugt danach nicht mehr als eigenständiger Grund. Das Messbarkeits-Argument ist interessanter, als die meisten Marketer annehmen, und genau hier lässt die jüngere Geschichte des E-Mail-Trackings QR-Codes besser aussehen, nicht schlechter, sofern Sie dynamische Codes statt statischer verwenden.

Der Mechanismus, über den niemand spricht: Lädt das Bild überhaupt?

Bevor irgendetwas davon relevant wird, muss der QR-Code überhaupt angezeigt werden. Ein QR-Code in einer E-Mail ist ein Bild, und E-Mail-Programme gehen mit Bildern nicht alle gleich um.

Outlook (Desktop) blockiert externe Bilder standardmäßig und zeigt stattdessen einen Platzhalter, bis der Empfänger auf „Bilder herunterladen" klickt. Das ist dokumentiertes Verhalten des Clients, kein Gerücht, und es bedeutet, dass ein relevanter Teil einer B2B-Liste, in der die Outlook-Nutzung überdurchschnittlich hoch ist, statt Ihres Codes eine graue Box sieht, sofern die Empfänger nicht vorher eine zusätzliche Aktion ausführen. Apple Mail, Gmail und die meisten modernen Webmail-Clients laden Bilder automatisch (Gmail ist um 2013 nach jahrelangem Blockieren per Voreinstellung auf serverseitiges Bild-Proxying mit automatischer Anzeige umgestiegen). Das Render-Problem konzentriert sich damit heute auf Outlook und eine Handvoll datenschutzorientierter Clients, statt sich gleichmäßig über den Posteingang zu verteilen.

Das ist kein Argument gegen den Einsatz eines QR-Codes in einer E-Mail. Es ist ein Argument dafür, ihn niemals zum einzigen Weg zum Ziel zu machen. Liefern Sie immer zusätzlich einen sichtbaren Text-Link neben dem Bild, und schreiben Sie einen echten Alt-Text für das QR-Bild selbst (etwa „QR-Code für den WLAN-Login scannen, oder diesen Link antippen"), damit Empfänger mit einem bilderblockierenden Client oder Nutzer eines Screenreaders nicht hängen bleiben.

Ist ein Scan das bessere Signal als ein „Open"? Die Zahlen sagen: Ja, mit Vorsicht

Hier kommt der Teil der Debatte, bei dem fast niemand nachrechnet. Apple Mail ist gemessen an erfassten Opens der größte einzelne E-Mail-Client, mit rund 65 % der getrackten Opens laut den laufenden Marktanteilsdaten von Litmus, gefolgt von Gmail mit etwa 24 % und Outlook mit rund 6 %. Seit iOS 15 im Jahr 2021 ruft Apples Mail Privacy Protection jeden Tracking-Pixel vorab über Apples eigene Proxy-Server ab, unabhängig davon, ob der Empfänger die Nachricht tatsächlich öffnet oder überhaupt liest. Mehrere unabhängige Analyse-Auswertungen aus 2024 beziffern den Anteil der „Opens", die rein durch diesen Proxy ausgelöst werden und nicht durch einen Menschen, der die E-Mail tatsächlich öffnet, in manchen Datensätzen auf rund drei Viertel aller Pixel-Aufrufe.

Das bedeutet, dass die Zeile „Öffnungsrate" in Ihrem Kampagnenreport bei jeder Liste mit nennenswertem Apple-Mail-Anteil, also den meisten Consumer-Listen, seit Jahren erheblich aufgebläht ist. Ein QR-Scan hat dieses Problem so nicht: Er setzt voraus, dass jemand zum Smartphone greift, die Kamera öffnet und sie bewusst auf den Code richtet. Auch das ist keine perfekte Kennzahl (jemand kann aus Neugier scannen und nie auf das Ziel reagieren), aber sie wird nicht künstlich durch einen Datenschutz-Proxy ausgelöst, wie es beim pixelbasierten Open der Fall ist.

Der Haken dabei: Das funktioniert nur, wenn der Code dynamisch und sauber getaggt ist. Ein statischer QR-Code, der direkt auf eine URL zeigt, sagt Ihnen nur, dass Scans stattgefunden haben, mehr nicht. Ein dynamischer Code mit Weiterleitung liefert Ihnen Scan-Volumen, Zeitpunkt, Gerätetyp und, wenn Sie die Ziel-URL mit UTM-Parametern taggen, welcher konkrete E-Mail-Versand welche Conversions gebracht hat, genau wie Sie es auch bei Scan-Metriken für jeden anderen Kanal erwarten würden.

Wann ein QR-Code in der E-Mail seinen Platz wirklich verdient

Der mit Abstand stärkste Anwendungsfall ist ein Ziel, das nur auf einem mobilen Gerät Sinn ergibt und irgendwo abseits des Schreibtischs betrachtet wird. Ein paar konkrete Beispiele:

• Ein WLAN-Login für ein Event: Der Empfänger liest die Einladung Tage vorher auf dem Laptop, braucht die Netzwerk-Zugangsdaten aber in dem Moment auf dem Smartphone, in dem er den Raum betritt.
• Ein Wallet-Pass (eine Treuekarte, ein Event-Ticket, so etwas wie eine Bordkarte), der in Apple Wallet oder Google Wallet auf genau dem Gerät landen muss, das am Einlass gescannt oder vorgehalten wird.
• Ein Gutschein für den Laden oder das Event, der auf dem Smartphone-Bildschirm an der Kasse eingelöst werden soll, wo der QR-Code zugleich als Einlöse-Mechanismus dient und nicht nur als Link.
• Eine kurze Umfrage oder Feedback-Aufforderung nach einem persönlichen Besuch, bei der das Scannen wie eine natürliche Fortsetzung eines physischen Erlebnisses wirkt und nicht wie ein Umweg über ein digitales.
• Ein Schritt zum Konto- oder App-Download, bei dem der QR-Code automatisch in den richtigen App Store führt, statt den Empfänger die App per Namenssuche selbst finden zu lassen.

Der gemeinsame Nenner ist ein echter Wechsel von Gerät oder Kontext, nicht nur eine alternative Klickmöglichkeit für denselben Link, den der Empfänger ohnehin schon auf demselben Bildschirm vor sich hat.

Wann er nur Reibung erzeugt, und Sie besser darauf verzichten

Das Argument gegen einen QR-Code verliert schnell an Kraft, sobald man sich anschaut, wie Menschen E-Mails tatsächlich lesen. Ein großer Teil der E-Mail-Opens findet ohnehin schon auf dem Smartphone statt, da die meisten Posteingangs-Checks heute mobil erfolgen. Wenn jemand Ihre Kampagne auf genau dem Smartphone liest, das auch die Kamera enthält, dann ist es eine schlechtere Erfahrung, ihn zur Kamera-App wechseln, den Code einrahmen, auf die Weiterleitung warten und danach wieder im Browser landen zu lassen, als ihm einen Link zu geben, den er direkt mit dem Daumen antippen kann. Sie haben Schritte hinzugefügt, um Schritte zu sparen.

Verzichten Sie auf den QR-Code und nutzen Sie einfach einen normalen Link, wenn:

• das Ziel eine ganz normale Webseite ist (eine Produktseite, ein Blogartikel, ein Anmeldeformular), die auch als direkter Tap problemlos funktioniert.
• Ihre Liste ohnehin stark auf mobile Opens ausgerichtet ist, sodass kein nennenswerter Wechsel von Desktop zu Smartphone stattfindet.
• die E-Mail selbst der primäre Kanal ist und es keinen physischen, persönlichen Moment gibt, zu dem der Code überleitet.
• Sie nur einen etwas anders aussehenden Call-to-Action wollen. Der Neuheitseffekt allein ist kein ausreichend starker Grund, und er funktioniert nicht mehr, sobald die Zielgruppe schon ein paar dieser E-Mails gesehen hat.

Trifft keiner der wirklich sinnvollen Fälle aus dem vorherigen Abschnitt zu, ist ein QR-Code in der E-Mail Dekoration im Nützlichkeits-Kostüm. Er bringt eine Render-Abhängigkeit, einen zusätzlichen Tap und eine Angriffsfläche (dazu gleich mehr) mit sich, ohne echten Vorteil gegenüber dem Link, der ohnehin schon in derselben Nachricht stand.

Eine kurze Checkliste für Gestaltung und Platzierung

Wenn Sie einen echten Anwendungsfall für den Geräte-Wechsel haben, entscheiden ein paar praktische Punkte darüber, ob der Code funktioniert oder still und leise versagt:

• Machen Sie den QR-Code niemals zum einzigen Weg zum Ziel. Kombinieren Sie ihn mit einem sichtbaren, antippbaren Text-Link, der exakt dieselbe Aufgabe erfüllt.
• Schreiben Sie einen beschreibenden Alt-Text für das QR-Bild, sowohl für die Barrierefreiheit als auch für Empfänger, deren Client das Bild blockiert hat.
• Halten Sie die E-Mail drumherum leicht. Ein einzelner QR-Code mit einer klaren, einzeiligen Anweisung („Mit der Smartphone-Kamera scannen, um dies zu Apple Wallet hinzuzufügen") wirkt hilfreich; ein QR-Code, der zwischen fünf weiteren visuellen Elementen ohne jede Anleitung untergeht, wirkt wie Ballast und kann außerdem einer generischen Marketing-Grafik so sehr ähneln, dass Spamfilter, die ein hohes Bild-zu-Text-Verhältnis negativ bewerten, ihn schlechter einstufen, eine vielzitierte Faustregel zur Zustellbarkeit und kein dokumentierter Schwellenwert eines einzelnen Mailbox-Anbieters.
• Verwenden Sie einen dynamischen Code statt eines statischen, der fest ins Bild eingebacken ist, damit Sie ein defektes Ziel auch nach dem Versand noch korrigieren können und überhaupt Scan-Daten erhalten.
• Testen Sie die Darstellung vor dem Versand gezielt in Outlook Desktop, denn das ist der eine große Client, bei dem das Bild ohne einen zusätzlichen Klick des Empfängers nicht erscheint.

Nachverfolgen, was der Code tatsächlich tut

Sobald die E-Mail verschickt ist, muss sich der Code im Report bewähren, nicht nur im Design. Geben Sie der Weiterleitung ein eigenes UTM-Tagging, damit sich Scans aus diesem konkreten Versand von Scans desselben, anderswo platzierten Codes unterscheiden lassen, und folgen Sie dabei der Namenskonvention, die über mehrere Clients hinweg skaliert, statt für jede Kampagne eine eigene zu erfinden. Speisen Sie das in den Analytics-Stack ein, aus dem der Kunde ohnehin schon berichtet; handelt es sich dabei um Google Analytics 4, stellen Sie sicher, dass die Weiterleitung mit intakten Parametern ankommt, statt sie über eine Zwischenseite zu verlieren. Berichten Sie Scan-Volumen, Geräteverteilung und Zeit-bis-zum-Scan zusätzlich zu den klassischen Open- und Klickzahlen, und sagen Sie dem Kunden offen, dass die Öffnungsrate bei einer Apple-Mail-lastigen Liste heutzutage eine weiche Kennzahl ist: Scan-Daten gehören zu den ehrlicheren Zahlen, die Sie ihm vorlegen können.

Das Quishing-Risiko, das Agenturen nicht ignorieren können

Es gibt hier auch eine Sicherheitsdimension, die sich innerhalb der letzten zwei Jahre von einer theoretischen Möglichkeit zu einer aktiven Bedrohung entwickelt hat. QR-Code-Phishing, inzwischen meist Quishing genannt, ist zwischen 2023 und 2025 stark angestiegen: Abnormal Security beziffert es 2025 auf rund 8,3 % aller Phishing-Angriffe, gegenüber unter 1 % zwei Jahre zuvor. Das FBI hat im Januar 2026 eine Warnmeldung herausgegeben, wonach staatsnahe Phishing-Gruppen bösartige QR-Codes gezielt in Spear-Phishing-E-Mails einbetten, um Opfer von einem überwachten Firmenlaptop weg und auf ein privates Smartphone zu locken, wo das URL-Scanning und Sandboxing, das einen angeklickten Link im Firmen-Postfach normalerweise schützt, in der Regel nicht greift.

Genau dieser Mechanismus, ein QR-Code, der den Klick vom Gerät und Netzwerk wegträgt, das ihn normalerweise prüfen würde, ist der Grund, warum Quishing als Angriff funktioniert, und genau deshalb muss ein legitimer QR-Code in einer legitimen Marketing-E-Mail unverkennbar legitim wirken. Praktische Schritte für eine Agentur, die QR-Codes in Kunden-Kampagnen verschickt: Führen Sie den Code immer über eine Domain, die der Empfänger eindeutig als die des Kunden erkennt (nicht über einen nackten Kürzungsdienst ohne Branding), bitten Sie niemanden, einen Code zu scannen, um „Ihr Konto zu verifizieren" oder ein Passwort erneut einzugeben, und erwägen Sie eine kurze Zeile in der E-Mail selbst, die erklärt, was der Code macht und wohin er führt, denn genau diesen Kontext lässt eine Phishing-Mail für gewöhnlich weg. Das größere Bild zur Absicherung von Kampagnen-Codes gegen Manipulation und Identitätsmissbrauch lohnt sich in voller Länge zu lesen, wenn Sie QR-Kampagnen für Kunden in einer Größenordnung betreiben, die eine eigene Sicherheitsstrategie braucht.

Häufig gestellte Fragen

Lohnen sich QR-Codes im E-Mail-Marketing wirklich?

Sie funktionieren gut für eine ganz bestimmte Aufgabe: jemanden von einer auf einem Gerät gelesenen E-Mail zu einer Aktion zu bringen, die nur auf dem Smartphone Sinn ergibt, etwa einen Wallet-Pass, eine Einlösung vor Ort oder einen WLAN-Login. Führt das Ziel nur zu einer normalen Webseite, schneidet ein gewöhnlicher antippbarer Link mindestens genauso gut ab und erzeugt keine zusätzliche Reibung.

Wann lohnt sich ein QR-Code in der E-Mail statt eines einfachen Links?

Nur dann, wenn das Ziel wirklich auf einem anderen Gerät erreicht werden muss als dem, auf dem die E-Mail gelesen wurde, oder wenn speziell die Smartphone-Kamera oder eine Wallet-App gebraucht wird. Liest der Empfänger die E-Mail bereits auf dem Smartphone, fügt ein QR-Code eher Schritte hinzu, als welche zu sparen.

Blockieren E-Mail-Programme QR-Code-Bilder standardmäßig?

Outlook (Desktop) blockiert externe Bilder standardmäßig und zeigt einen Platzhalter, bis der Empfänger sie herunterlädt. Apple Mail und Gmail laden Bilder für die meisten Empfänger heute automatisch. Fügen Sie neben dem QR-Bild immer einen sichtbaren Text-Link hinzu, damit die Nachricht auch funktioniert, wenn das Bild nicht lädt.

Ist ein QR-Code-Scan die bessere Kennzahl als eine E-Mail-Öffnung?

In einem bestimmten Punkt kann er vertrauenswürdiger sein: Seit iOS 15 im Jahr 2021 Apples Mail Privacy Protection eingeführt hat, wird ein großer Teil der erfassten „Opens" automatisch dadurch ausgelöst, dass Apples Proxy den Tracking-Pixel vorab abruft, nicht dadurch, dass eine Person die E-Mail liest. Ein Scan setzt voraus, dass jemand bewusst die Kamera nutzt, ist also nicht derselben Aufblähung ausgesetzt, auch wenn er ebenfalls kein Beweis dafür ist, dass der Empfänger auf das Ziel reagiert hat.

Was ist Quishing, und wie gefährlich ist es für Marketing-E-Mails?

Quishing ist Phishing, das über einen QR-Code statt über einen klickbaren Link ausgeliefert wird, und es hat sich so schnell ausgebreitet, dass das FBI im Januar 2026 eine Warnmeldung dazu herausgegeben hat. Für legitime Marketing-E-Mails ist das relevant, weil ein QR-Code ohne erkennbares Branding oder ohne Erklärung für einen vorsichtigen Empfänger nicht von einem Angriff zu unterscheiden ist. Führen Sie den Code immer über eine wiedererkennbare Domain, und erklären Sie im E-Mail-Text selbst, was der Code macht.

Lohnt sich ein QR-Code in der E-Mail-Signatur?

Nur dann, wenn das Ziel speziell von der Kamera profitiert, etwa beim Speichern einer vCard als Kontakt oder einer Wallet-artigen Treuekarte. Für einen Link zu einer Website oder einer Terminbuchungsseite funktioniert ein normaler Hyperlink in der Signatur genauso gut und zwingt den Empfänger nicht dazu, beim Lesen der E-Mail auf dem Laptop zum Smartphone zu greifen.

Die Kurzfassung

Ein QR-Code in einer E-Mail verdient seinen Platz nur dann, wenn das Ziel wirklich ein anderes Gerät oder speziell Smartphone-Kamera und Wallet braucht, nicht als stilistische Alternative zu einem Link, der ohnehin schon direkt daneben stand. Prüfen Sie, wie das Bild in Outlook, Apple Mail und Gmail tatsächlich dargestellt wird, bevor Sie sich darauf verlassen, behandeln Sie Scan-Zahlen als ehrlicheres Signal als die Öffnungsrate bei jeder Liste mit hohem Apple-Mail-Anteil, und verschicken Sie angesichts des rasanten Wachstums von Quishing niemals einen unerklärten Code von einer nicht wiedererkennbaren Domain. Steckt in Ihrer nächsten Kampagne ein echter Geräte-Wechsel-Moment, bauen Sie ihn auf einem dynamischen Code mit sauberem UTM-Tagging auf, damit die Scan-Daten Ihrem Kunden tatsächlich etwas Nützliches sagen.