QR-Code-Betrug (Quishing): So erkennen Sie die Masche

Beim QR-Code-Betrug, auch Quishing genannt, führt ein QR-Code auf eine gefälschte Website, die Passwörter, Kartendaten oder Geld stiehlt. Weil man einen QR-Code nicht mit bloßem Auge lesen kann, verstecken Betrüger schädliche Links darin. Der beste Schutz ist einfach: Prüfen Sie immer die Link-Vorschau, bevor Sie öffnen oder bezahlen.

QR-Codes sind bequem, und genau deshalb sind sie bei Kriminellen beliebt. Hier erfahren Sie, wie Quishing funktioniert und wie Sie es erkennen.

Was ist Quishing?

Quishing ist ein Kunstwort aus „QR" und „Phishing". Beim Phishing geben sich Betrüger als vertrauenswürdige Stelle aus, etwa als Bank, Paketdienst oder Behörde, um an sensible Daten zu kommen. Quishing funktioniert genauso, nur kommt der gefälschte Link über einen QR-Code statt über einen anklickbaren Link.

Für Betrüger lohnt sich das aus mehreren Gründen:

• Sie sehen den Link nicht. Ein QR-Code sieht gleich aus, ob er zu Ihrer Bank führt oder zu einer Kopie davon.
• Er holt Sie aufs Smartphone. Auf dem kleinen Bildschirm ist es schwerer, die Adresszeile zu prüfen oder eine leicht falsch geschriebene Domain zu bemerken.
• Er umgeht Filter. E-Mail- und Nachrichtenfilter erkennen verdächtige Links im Text recht gut, ein in einem Bild versteckter Link ist schwerer zu erfassen.
• Menschen vertrauen QR-Codes. Wir scannen sie täglich im Restaurant und im Laden und denken kaum noch darüber nach.

Verbraucherschützer, Polizei und Banken in vielen Ländern haben bereits vor QR-Code-Betrug gewarnt, vor allem vor gefälschten Codes an Parkautomaten, an Bezahlschildern und in E-Mails.

Wo QR-Code-Betrug auftaucht

Quishing kann fast überall auftauchen, wo man einen QR-Code erwartet. Besonders häufig hier:

• Aufkleber auf öffentlichen Gegenständen. Ein gefälschter Code über dem echten an Parkautomaten, Ladesäulen für E-Autos, Leihrad-Stationen oder Bushaltestellen.
• Kassen und Bezahlstellen. Ein ausgetauschter Bezahl-QR-Code im Laden oder am Marktstand, der das Geld an den Betrüger statt an den Händler schickt.
• E-Mails. Nachrichten, laut denen Ihr Passwort abläuft, ein Dokument unterschrieben werden muss oder Ihr Konto gesperrt ist, samt QR-Code zur „Lösung".
• Briefe und Paketbenachrichtigungen. Gefälschte Benachrichtigungskarten oder amtlich wirkende Schreiben, die Sie auffordern, zu scannen und eine kleine Gebühr zu zahlen.
• Flyer und Plakate. Angebote, die zu gut klingen, um wahr zu sein, etwa Gratisgeschenke oder riesige Rabatte, die zu einem Fake-Shop oder einem Datensammel-Formular führen.
• Soziale Medien und Chats. Codes, die in Gruppen oder privaten Nachrichten geteilt werden, oft verbunden mit Zeitdruck.

Ausführliche Beispiele aus der Praxis finden Sie in unserem Ratgeber zu typischen QR-Code-Betrugsmaschen.

Warnzeichen für einen gefälschten QR-Code

Für die meisten Betrugsversuche brauchen Sie kein technisches Wissen. Achten Sie auf diese Alarmsignale:

1. Ein Aufkleber über einem anderen Code. Fahren Sie mit dem Finger darüber. Fühlt er sich erhaben an, lösen sich die Ränder oder wirkt er neuer als das Schild drumherum, ist Vorsicht geboten.
2. Ein Link, der nicht passt. Die Vorschau zeigt eine Domain, die nicht zur echten Organisation gehört, merkwürdig geschrieben ist oder aus einer langen Zeichenfolge besteht.
3. Druck und Drohungen. „Ihr Konto wird heute gesperrt" oder „Zahlen Sie innerhalb einer Stunde" sind klassische Drucktaktiken.
4. Abfrage von Zugangs- oder Kartendaten. Ein Parkautomat, eine Speisekarte oder eine Paketbenachrichtigung braucht so gut wie nie Ihr Online-Banking-Passwort.
5. Ein unerwarteter App-Download. Seien Sie sehr vorsichtig, wenn ein QR-Code Sie zur Installation einer App auffordert, besonders außerhalb des offiziellen App-Stores.
6. Ein QR-Code in einer E-Mail, der zur Anmeldung auffordert. Seriöse Dienste lassen Sie sich normalerweise direkt über ihre Website oder App anmelden.
7. Ein falscher Empfängername bei der Zahlung. Zeigt Ihre Banking-App nicht den Laden an, den Sie bezahlen wollen, brechen Sie ab.

So schützen Sie sich vor QR-Code-Betrug

Gute Gewohnheiten machen Quishing deutlich weniger erfolgreich. Eine praktische Checkliste:

• Zuerst die Vorschau lesen. Ihre Kamera zeigt den Link, bevor er sich öffnet. Nehmen Sie sich zwei Sekunden, um die Domain zu lesen.
• Im Zweifel direkt gehen. Statt zu scannen, tippen Sie die Adresse der Firma selbst ein oder öffnen deren offizielle App.
• Vor dem Bezahlen den Empfänger prüfen. Banking-Apps zeigen, wer das Geld erhält. Gleichen Sie den Namen mit dem Geschäft ab. Unser Ratgeber zum sicheren Bezahlen per QR-Code geht darauf genauer ein.
• Nach dem Scannen unbekannter Codes nie Passwörter eingeben. Fragt eine Seite nach Ihrer Anmeldung, schließen Sie sie und melden Sie sich in der offiziellen App an.
• Zwei-Faktor-Anmeldung aktivieren. Selbst wenn ein Passwort gestohlen wird, bildet eine Authenticator-App eine zweite Hürde.
• Das Smartphone aktuell halten. Sicherheitsupdates schließen Lücken, die schädliche Seiten ausnutzen könnten.
• Einen Scanner mit sicherer Vorschau nutzen. Wenn Sie unsicher sind, scannen Sie den Code mit einem Tool, das das Ziel anzeigt, bevor sich etwas öffnet.

Bei QR-TH wird jeder Kurzlink beim Erstellen mit Google Safe Browsing abgeglichen und jede Nacht erneut geprüft. Besucher können außerdem eine Ladeseite sehen, die das Ziel eines Links anzeigt, bevor er sich öffnet. Solche Werkzeuge helfen, wirken aber am besten zusammen mit Ihrem eigenen Urteilsvermögen.

Was tun, wenn Sie einen gefälschten QR-Code gescannt haben?

Wenn Sie merken, dass Sie eine verdächtige Seite geöffnet haben, handeln Sie schnell, aber ruhig:

1. Schließen Sie die Seite und geben Sie nichts weiter ein.
2. Haben Sie ein Passwort eingetippt, ändern Sie es sofort auf der echten Website und überall sonst, wo Sie dasselbe Passwort verwenden.
3. Haben Sie Karten- oder Bankdaten eingegeben, kontaktieren Sie umgehend Ihre Bank über die Nummer auf Ihrer Karte oder in der offiziellen App. Karten lassen sich in Deutschland auch über den Sperr-Notruf 116 116 sperren.
4. Haben Sie eine App installiert, deinstallieren Sie sie und führen Sie die Sicherheitsprüfung Ihres Smartphones aus.
5. Melden Sie den Code dem Geschäft oder Betreiber, damit er entfernt wird, und bei finanziellem Schaden der Polizei.

Unser Schritt-für-Schritt-Ratgeber nach dem Scannen eines schädlichen QR-Codes geht noch mehr ins Detail.

Tipps für Unternehmen

Wenn Sie QR-Codes aushängen, können Sie Betrügern das Leben schwer machen. Kontrollieren Sie gedruckte Codes regelmäßig auf Aufkleber, schulen Sie Ihr Personal darin, Manipulationen zu erkennen, und setzen Sie dynamische QR-Codes auf einer Domain ein, die Sie kontrollieren. So sehen Sie Scan-Statistiken und können Links schnell ändern. Steht Ihr Firmenname direkt neben dem Bezahl-QR-Code, können Kunden leichter prüfen, ob sie an den Richtigen zahlen.

FAQ

Kann das Scannen eines QR-Codes mein Handy hacken?

Das bloße Scannen hackt Ihr Smartphone nicht. Gefährlich ist, was danach passiert: eine gefälschte Website besuchen, Daten eingeben oder eine App installieren. Prüfen Sie den Link immer, bevor Sie ihn öffnen.

Wie erkenne ich, ob ein QR-Code gefälscht ist?

Achten Sie auf Aufkleber über anderen Codes, lesen Sie die Link-Vorschau genau und seien Sie misstrauisch bei Seiten, die Passwörter, Kartendaten oder eine dringende Zahlung verlangen. Im Zweifel rufen Sie die offizielle Website direkt auf.

Sind QR-Codes in E-Mails sicher?

Behandeln Sie sie mit besonderer Vorsicht. Ein QR-Code in einer E-Mail, der zur Anmeldung, Kontobestätigung oder Zahlung einer Gebühr auffordert, ist ein verbreiteter Phishing-Trick. Rufen Sie den Dienst lieber direkt auf.

Wo melde ich QR-Code-Betrug?

Informieren Sie das Geschäft oder den Betreiber, bei dem Sie den Code gefunden haben, kontaktieren Sie Ihre Bank, wenn Geld oder Kartendaten betroffen sind, und erstatten Sie Anzeige bei der Polizei. Auch die Verbraucherzentrale ist eine gute Anlaufstelle.

Quishing setzt darauf, dass Menschen gedankenlos scannen. Eine Pause von zwei Sekunden, um den Link zu lesen, genügt oft schon. Wenn Sie das nächste Mal bei einem Code unsicher sind, prüfen Sie mit dem Online-QR-Scanner von QR-TH, wohin er wirklich führt, bevor Sie ihn öffnen.