Wenn Sie einen schädlichen QR-Code gescannt haben, bleiben Sie ruhig: In den meisten Fällen hat der Scan allein keinen Schaden angerichtet. Das eigentliche Risiko entsteht durch das, was danach passiert ist. Schließen Sie die Seite und prüfen Sie dann, ob Sie ein Passwort eingetippt, Kartendaten eingegeben, Geld bezahlt, eine App installiert oder Berechtigungen erteilt haben, und handeln Sie bei jedem Punkt sofort.
Zuerst klären, was tatsächlich passiert ist
Ein QR-Code ist nur eine Möglichkeit, Text zu speichern, meist eine Webadresse. Liest Ihre Kamera ihn, zeigt Ihr Smartphone normalerweise den Link an und wartet, bis Sie darauf tippen. Die wichtige Frage lautet also nicht „Habe ich ihn gescannt?", sondern „Was habe ich nach dem Scannen getan?"
Denken Sie zurück und seien Sie ehrlich zu sich selbst. Haben Sie:
- Nur die Vorschau gesehen und sie geschlossen, ohne etwas zu öffnen?
- Eine Webseite geöffnet, aber nichts eingegeben?
- Einen Benutzernamen, ein Passwort oder einen Einmalcode auf einer Anmeldeseite eingetippt?
- Kartendaten, Bankdaten oder persönliche Informationen wie Ausweisnummer oder Adresse eingegeben?
- Geld bezahlt, etwa über einen Bezahl-QR-Code oder eine gefälschte Park- oder Paketseite?
- Eine App oder ein „Profil" heruntergeladen und installiert oder Benachrichtigungen erlaubt?
Jede Antwort führt zu einem anderen nächsten Schritt. Haben Sie nur die Vorschau gesehen, ist mit großer Wahrscheinlichkeit alles in Ordnung. Haben Sie nur eine Seite geöffnet und nichts eingegeben, ist das Risiko gering, ein paar schnelle Prüfungen lohnen sich trotzdem.
Schritt für Schritt: Das tun Sie jetzt
Gehen Sie diese Liste von oben nach unten durch. Überspringen Sie Schritte, die auf Sie nicht zutreffen.
- Seite schließen und Verbindung trennen, wenn sich etwas falsch anfühlt. Schließen Sie den Browser-Tab. Hat ein Download begonnen oder verhält sich das Handy seltsam, schalten Sie während der Prüfung den Flugmodus ein.
- Jedes eingegebene Passwort ändern. Tun Sie das in der offiziellen App oder indem Sie die echte Webadresse selbst eintippen, niemals über einen Link auf der verdächtigen Seite. Nutzen Sie dasselbe Passwort auch anderswo, ändern Sie es dort ebenfalls.
- Zwei-Faktor-Authentifizierung einschalten. Verknüpfen Sie das gerade gesicherte Konto mit einer Authenticator-App, damit ein gestohlenes Passwort allein nicht mehr genügt. Unser Ratgeber zur Zwei-Faktor-Authentifizierung erklärt, wie es geht.
- Die Bank anrufen, wenn Sie Finanzdaten geteilt oder bezahlt haben. Nutzen Sie die Nummer auf der Rückseite Ihrer Karte oder in der offiziellen Banking-App. Bitten Sie darum, die Karte zu sperren, ungewöhnliche Buchungen zu beobachten, und fragen Sie, ob eine Zahlung zurückgeholt oder angefochten werden kann. Hier zählt jede Minute.
- Alles Installierte entfernen. Löschen Sie unbekannte Apps, Konfigurationsprofile oder Browser-Erweiterungen. Prüfen Sie unter Android, dass keine unbekannte App Bedienungshilfen- oder Geräteadministrator-Rechte hat. Entziehen Sie in den Browsereinstellungen seltsamen Websites erteilte Benachrichtigungsrechte.
- Andere Sitzungen abmelden. Viele Dienste, darunter E-Mail und soziale Netzwerke, zeigen aktive Sitzungen an und erlauben, alle anderen Geräte abzumelden. Tun Sie das nach der Passwortänderung.
- Smartphone aktualisieren und Sicherheitscheck durchführen. Installieren Sie ausstehende Systemupdates. Unter Android lassen Sie Google Play Protect laufen, auf jedem Handy prüfen Sie die zuletzt installierten Apps.
- Den Vorfall melden. Informieren Sie die Bank, den nachgeahmten Dienst und gegebenenfalls die Polizei oder die zuständige Meldestelle für Cyberkriminalität oder Verbraucherschutz. Klebte der QR-Code auf einem Schild oder Automaten, informieren Sie das Unternehmen oder die Behörde, der es gehört, damit der Code entfernt wird.
Wenn Sie ein Passwort oder einen Einmalcode eingegeben haben
Phishing-Seiten hinter QR-Codes kopieren meist einen vertrauten Anmeldebildschirm, etwa von einem E-Mail-Anbieter, einem Paketdienst oder einer Bank. Angreifer probieren gestohlene Daten oft sofort aus, manchmal innerhalb von Minuten.
Durchsuchen Sie das Konto nach der Passwortänderung auf Anzeichen von Manipulation:
- Neue Weiterleitungsregeln oder Filter in Ihrem E-Mail-Postfach
- Geänderte Wiederherstellungs-Telefonnummer oder -E-Mail-Adresse
- Unbekannte Geräte oder Orte im Sicherheits- oder Anmeldeverlauf
- Nachrichten aus Ihrem Konto, die Sie nicht geschrieben haben
Haben Sie einen Einmalcode aus einer SMS oder Authenticator-App auf der gefälschten Seite eingegeben, gehen Sie davon aus, dass der Angreifer sich damit angemeldet haben könnte. Ändern Sie das Passwort, melden Sie alle Sitzungen ab und prüfen Sie sofort die Wiederherstellungseinstellungen.
Wenn Sie bezahlt oder Kartendaten weitergegeben haben
Kontaktieren Sie so schnell wie möglich Ihre Bank oder Ihren Zahlungsdienst über die offiziellen Kanäle. Erklären Sie, dass Sie über einen QR-Code getäuscht wurden, nennen Sie Uhrzeit und Betrag und folgen Sie den Anweisungen. Bewahren Sie Screenshots der Zahlungsbestätigung, des angezeigten Empfängernamens und der aufgerufenen Seite auf.
Behalten Sie Ihre Kontoauszüge auch in den folgenden Wochen im Blick. Betrüger testen eine Karte manchmal mit einer kleinen Abbuchung, bevor sie eine größere versuchen. Haben Sie Ihre Ausweisnummer oder Adresse angegeben, seien Sie besonders vorsichtig bei Anrufen, Nachrichten oder E-Mails, die Sie scheinbar „kennen", denn solche Informationen machen spätere Betrugsversuche überzeugender.
Speziell zu Bezahl-QR-Codes lesen Sie wie Sie sicher per QR-Code bezahlen. Dort geht es auch darum, den Empfängernamen vor dem Bestätigen zu prüfen.
Wenn Sie eine App oder ein Profil installiert haben
Apps, die außerhalb der offiziellen App Stores installiert wurden, und Konfigurationsprofile auf dem iPhone können genutzt werden, um Aktivitäten auszuspähen oder Daten zu stehlen. Entfernen Sie sie zuerst und prüfen Sie dann:
- Einstellungen für Geräteverwaltung oder Profile und löschen Sie alles, was Sie nicht kennen
- Bedienungshilfen- und Geräteadministrator-Rechte unter Android, die schädliche Apps oft anfordern
- Benachrichtigungsrechte im Browser, mit denen Betrugsseiten gefälschte Warnungen einblenden
Lässt sich etwas nicht entfernen oder zeigt das Handy weiterhin Pop-ups, sichern Sie Fotos und wichtige Daten und ziehen Sie ein Zurücksetzen auf Werkseinstellungen in Betracht. Installieren Sie Apps danach nur aus dem offiziellen Store.
So vermeiden Sie es beim nächsten Mal
QR-Betrug funktioniert, weil der Code das Ziel verbirgt. Ein paar Gewohnheiten schließen diese Lücke:
- Lesen Sie den Vorschau-Link, bevor Sie tippen. Prüfen Sie die Domain genau auf Tippfehler oder zusätzliche Wörter.
- Seien Sie misstrauisch bei QR-Codes, die über andere Codes geklebt wurden, vor allem an Parkautomaten, auf Plakaten und an Bezahlstationen.
- Melden Sie sich niemals an und bezahlen Sie nie auf einer Seite, die Sie über einen unerwarteten QR-Code erreicht haben. Öffnen Sie stattdessen die offizielle App.
- Betrachten Sie Zeitdruck als Warnsignal. „Jetzt zahlen, um ein Bußgeld zu vermeiden" oder „Ihr Paket wird zurückgeschickt" sind klassische Drucktaktiken.
Wenn Sie sich bei einem Code unsicher sind, können Sie mit QR-TH zuerst einen QR-Code online scannen. Der Code wird im Browser gelesen und das Ziel angezeigt, bevor sich etwas öffnet, sodass Sie in Ruhe entscheiden können. Weitere Warnsignale finden Sie in unserem Ratgeber zu QR-Code-Betrug und Quishing.
FAQ
Kann allein das Scannen eines QR-Codes mein Handy hacken?
Das ist sehr unwahrscheinlich. Auf einem aktuellen Smartphone zeigt ein Scan meist nur Text oder einen Link an. Der Schaden entsteht normalerweise erst, wenn Sie eine schädliche Seite öffnen und dann Daten eingeben, bezahlen oder etwas installieren.
Ich habe den Link geöffnet, aber nichts eingegeben. Bin ich sicher?
Das Risiko ist gering. Schließen Sie die Seite, entziehen Sie der Website erteilte Berechtigungen und halten Sie Handy und Browser aktuell. Wurde etwas heruntergeladen, löschen Sie es, ohne es zu öffnen.
Sollte ich mein Handy auf Werkseinstellungen zurücksetzen?
Nur wenn Sie etwas installiert haben, das sich nicht entfernen lässt, oder das Handy nach der Bereinigung auffällig reagiert. Bei gestohlenen Passwörtern oder Kartendaten hilft ein Zurücksetzen nicht, wohl aber neue Passwörter und ein Anruf bei der Bank.
Wo melde ich QR-Code-Betrug?
Melden Sie ihn Ihrer Bank, wenn Geld im Spiel ist, dem nachgeahmten Unternehmen und der Polizei, in vielen Bundesländern auch online über die Internetwache. Befand sich der Code auf einem öffentlichen Schild, informieren Sie dessen Betreiber.
Ein verdächtiger Scan ist belastend, doch schnelles Handeln begrenzt den Schaden in fast jedem Fall. Wenn Ihnen ein Code das nächste Mal seltsam vorkommt, prüfen Sie ihn vor dem Öffnen: Mit dem kostenlosen Online-Scanner von QR-TH sehen Sie zuerst genau, wohin ein QR-Code führt.