Typische Beispiele für QR-Code-Betrug sind gefälschte Aufkleber an Parkautomaten, falsche Paketbenachrichtigungen, E-Mails, die Sie auffordern, zur „Verifizierung" Ihres Kontos einen Code zu scannen, und Flyer mit Gewinnen oder Rabatten. Alle wollen Sie auf eine gefälschte Seite locken, die Zugangsdaten, Kartendaten oder Geld stiehlt. Prüfen Sie den Link, bevor Sie ihn öffnen.
QR-Codes sind praktisch, weil man nichts eintippen muss. Kriminelle schätzen sie aus demselben Grund: Einen QR-Code kann man mit bloßem Auge nicht lesen, also lässt sich darin leicht ein gefährlicher Link verstecken. Im Folgenden finden Sie die Situationen, denen Menschen am häufigsten begegnen, was sie jeweils so überzeugend macht und auf welche Warnsignale Sie achten sollten.
Zahlungsbetrug an öffentlichen Orten
Gefälschte Aufkleber an Parkautomaten und Ladesäulen
So funktioniert es: Ein Betrüger druckt einen QR-Code und klebt ihn über oder neben den echten Code an einem Parkautomaten, einem Parkplatzschild oder einer Ladesäule für Elektroautos. Der falsche Code führt zu einer offiziell wirkenden Bezahlseite. Sie geben Ihre Kartendaten ein, um das Parken zu bezahlen, und der Kriminelle behält sie.
Warnsignale:
- Ein Aufkleber, der neuer, dicker, schief oder etwas anders aussieht als der Rest des Schildes
- Eine Webadresse, die nicht zum offiziellen Parkraumbetreiber oder zur Stadt passt
- Eine Seite, die mehr als die Zahlung verlangt, etwa Ihre Karten-PIN oder Ausweisnummer
- Unerwartete „Bearbeitungsgebühren" oder Abo-Angebote
Sicherere Gewohnheit: Nutzen Sie die offizielle Park-App oder tippen Sie die auf dem Schild aufgedruckte Website selbst ein, statt einen unbekannten Code zu scannen.
Gefälschte Bezahl-QR-Codes in Geschäften und auf Märkten
So funktioniert es: Ein Krimineller klebt seinen eigenen Bezahl-QR-Code über den echten Code eines Geschäfts an der Kasse oder an einem Marktstand. Kunden bezahlen, aber das Geld landet auf dem falschen Konto. Bei Bezahl-Apps, die den Empfänger anzeigen, etwa PromptPay in Thailand, ist der Blick auf den Empfängernamen vor dem Bestätigen der wichtigste Schutz. Mehr dazu in unserem Ratgeber zum sicheren Bezahlen per QR-Code.
Warnsignale:
- Der Empfängername in Ihrer Banking-App passt nicht zum Geschäft
- Der Code-Aufkleber sieht aus, als wäre er auf einen anderen geklebt worden
- Das Personal scheint den Code, den Sie scannen, nicht zu kennen
Sicherere Gewohnheit: Prüfen Sie in Ihrer Banking-App immer Empfängername und Betrag, bevor Sie bestätigen.
Betrug per Post und E-Mail
Paketbenachrichtigungen
So funktioniert es: Im Briefkasten liegt eine Karte oder Sie erhalten eine Nachricht, dass ein Paket nicht zugestellt werden konnte. Ein QR-Code führt zu einer Seite, die eine kleine „Gebühr für die erneute Zustellung" verlangt oder Sie bittet, „Ihre Adresse zu bestätigen". Das eigentliche Ziel sind Ihre Kartendaten oder persönlichen Informationen.
Warnsignale:
- Sie erwarten kein Paket, oder die Benachrichtigung nennt keinen Absender
- Eine kleine Gebühr wird dringend gefordert
- Der Name des Paketdienstes ist leicht falsch geschrieben oder das Logo wirkt seltsam
- Der Link verwendet eine ungewöhnliche Domain statt der offiziellen Website des Paketdienstes
Sicherere Gewohnheit: Verfolgen Sie Pakete mit der Sendungsnummer aus dem Shop, in dem Sie bestellt haben, oder über die offizielle App des Paketdienstes.
Phishing-E-Mails mit QR-Code
So funktioniert es: Eine E-Mail gibt vor, von Ihrer Bank, Ihrer IT-Abteilung oder einem bekannten Dienst zu stammen. Ihr Passwort laufe ab, ein Dokument warte auf Sie oder Ihr Konto werde gesperrt, und Sie sollen einen QR-Code scannen. Durch das Scannen wechseln Sie vom Arbeitsrechner mit Sicherheitsfiltern auf Ihr privates Smartphone, wo die gefälschte Anmeldeseite schwerer zu erkennen ist. Ausführlich behandeln wir das in unserem Ratgeber zu QR-Code-Phishing per E-Mail.
Warnsignale:
- Druck, schnell zu handeln, oft innerhalb weniger Stunden
- Ein QR-Code, wo ein normaler Link sinnvoller wäre
- Eine Absenderadresse, die nicht zur Organisation passt
- Eine Anmeldeseite, die Sie über einen QR-Code statt über die gewohnte Adresse erreichen
Sicherere Gewohnheit: Öffnen Sie den Dienst selbst, indem Sie die Adresse eintippen oder die offizielle App nutzen, und prüfen Sie dort Ihr Konto.
Flyer, Plakate und gefälschte Codes in öffentlichen Räumen
Flyer, Plakate und „Gratis-Geschenke"
So funktioniert es: Flyer an Autos, Plakate an öffentlichen Orten oder Handzettel in Geschäften versprechen Rabatte, Geschenke, Gewinnspiele oder Jobs. Der QR-Code führt zu einer Seite, die persönliche Daten sammelt, Sie zur Installation einer App auffordert oder eine kleine „Versandgebühr" für einen Gewinn verlangt.
Warnsignale:
- Ein Angebot, das zu großzügig wirkt
- Abfragen von Ausweisnummern, Bankdaten oder Einmalpasswörtern
- Aufforderungen, eine App außerhalb des offiziellen App Stores herunterzuladen
- Kein klarer Firmenname, keine Adresse, keine Kontaktdaten
Sicherere Gewohnheit: Ist das Angebot echt, finden Sie es in der Regel auch auf der offiziellen Website oder den Social-Media-Kanälen des Unternehmens.
Codes in Restaurants, Hotels und auf WLAN-Schildern
So funktioniert es: Seltener, aber möglich: Ein gefälschter Speisekarten-Code oder „Gratis-WLAN"-Code wird auf einem Tisch oder an einer Wand angebracht. Er führt zu einer Seite, die verlangt, dass Sie sich mit einem Social-Media- oder E-Mail-Konto anmelden oder bezahlen, bevor Sie die Speisekarte sehen.
Warnsignale: eine Speisekarten- oder WLAN-Seite, die nach dem Passwort für einen anderen Dienst fragt oder Zahlungsdaten verlangt, bevor Sie überhaupt etwas bestellt haben.
Kurze Checkliste vor jedem QR-Code-Scan
Diese Prüfungen helfen in allen oben genannten Situationen:
- Sehen Sie sich den Code an. Ist es ein Aufkleber, der über etwas anderes geklebt wurde?
- Fragen Sie sich, ob der Code hier Sinn ergibt. Warum sollte ein Parkautomat oder eine E-Mail Sie zum Scannen auffordern?
- Sehen Sie sich den Link vor dem Öffnen an und lesen Sie den Domainnamen genau.
- Seien Sie besonders vorsichtig bei Kurzlinks, die das wahre Ziel verbergen.
- Geben Sie niemals Passwörter, Einmalcodes oder Kartendaten auf einer Seite ein, die Sie über einen unerwarteten Code erreicht haben.
- Gehen Sie im Zweifel selbst auf die offizielle Website oder App.
Unser ausführlicher Ratgeber 10 Checks, bevor Sie einen QR-Code scannen geht auf jeden Schritt genauer ein.
FAQ
Was ist der häufigste QR-Code-Betrug?
Gefälschte Bezahl- und Anmeldeseiten sind die häufigsten Ziele. Sie tauchen in vielen Formen auf, etwa als Aufkleber an Parkautomaten, Paketbenachrichtigungen oder Phishing-Mails, wollen aber immer an Ihre Daten oder Ihr Geld.
Wie erkenne ich einen gefälschten QR-Code?
Prüfen Sie, ob ein Aufkleber über einen anderen Code geklebt wurde, sehen Sie sich die Webadresse vor dem Öffnen an und vergewissern Sie sich, dass die Domain zu der erwarteten Organisation gehört.
Was soll ich tun, wenn ich meine Daten auf einer gefälschten Seite eingegeben habe?
Kontaktieren Sie sofort Ihre Bank, wenn Sie Karten- oder Bankdaten eingegeben haben, ändern Sie alle eingetippten Passwörter und aktivieren Sie die Zwei-Faktor-Anmeldung. Unser Ratgeber für den Fall, dass Sie einen schädlichen QR-Code gescannt haben, führt Sie durch jeden Schritt.
Kann man QR-Code-Betrug bei der Polizei anzeigen?
Ja, Sie können Betrug bei der Polizei anzeigen und Ihrer Bank melden. Auch Verbraucherschutzstellen in vielen Ländern sammeln Meldungen und warnen allgemein vor aktuellen Maschen.
Erst prüfen, dann vertrauen
Die meisten Betrugsmaschen mit QR-Codes setzen darauf, dass Menschen einen Link öffnen, ohne hinzusehen. Bevor Sie einen unbekannten Code öffnen, scannen Sie ihn mit dem Online QR-Scanner von QR-TH. Er zeigt Ihnen zuerst das Ziel, damit Sie in Ruhe entscheiden können, ob es sicher ist weiterzumachen.