QR-Code-Betrug nimmt zu: So schützen Sie sich vor Quishing

Smartphone. QR-Codes an Parkautomaten, Ladesäulen oder in Restaurants wirken praktisch – genau das nutzen Betrüger immer häufiger aus. Wer den falschen Code scannt, landet schnell auf einer gefälschten Seite und riskiert Datenverlust oder Abbuchungen. QR-Code-Phishing, auch als „Quishing“ bekannt, ist eine wachsende Betrugsmasche, bei der Kriminelle gefälschte QR-Codes nutzen, um sensible Daten oder Geld von ahnungslosen Nutzern zu erlangen. Besonders im Ausland und im öffentlichen Raum sollten Verbraucher wachsam sein, da Betrugsversuche zunehmen. Quishing-Angriffe sind mittlerweile europaweit verbreitet und können überall lauern, wo QR-Codes im Alltag genutzt werden.

Gefährliche Schauplätze für Quishing

Spätestens seit der Corona-Pandemie sind QR-Codes ein fester Bestandteil des Alltags, ob in Restaurants, an Ladesäulen oder Parkautomaten. Diese Popularität haben Betrüger erkannt und nutzen sie gezielt aus. Quishing-Attacken finden häufig an Orten statt, an denen QR-Codes für einfache Zahlungs- oder Informationsprozesse verwendet werden:

• Parkautomaten und Ladesäulen für Elektroautos
• Bahnhöfe, Bushaltestellen und Fahrradverleihstationen
• Gefälschte Strafzettel auf Windschutzscheiben

So funktioniert Quishing

Im ersten Schritt erstellen Betrüger eine täuschend echte Website, die einer offiziellen Plattform – zum Beispiel  eines Ladesäulenbetreibers oder einer Stadtverwaltung – ähnelt. Anschließend generieren sie einen QR-Code, der direkt auf die gefälschte Seite führt. Diesen drucken sie aus und platzieren ihn an öffentlichen Geräten, oft durch Überkleben der echten QR-Codes.
Scannen Nutzer diesen manipulierten QR-Code und geben persönliche Daten ein, werden entweder Zahlungen direkt an die Betrüger geleitet oder sensible Daten wie Bank- und Login-Informationen abgefangen.
Auch Webseiten falscher Restaurants gibt es, wenn man den betrügerischen QR-Codes folgt: dort bestellt und bezahlt bedeutet "abgezockt".

Woran erkenne ich einen manipulierten QR-Code?

• Zieladresse prüfen: Nach dem Scannen nicht sofort auf den Link klicken. Viele Geräte zeigen zuerst den gescannten URL-Code. Das hilft, zu kontrollieren, welche Internetadresse angezeigt wird. Sie sollte zur erwarteten Website gehören.
• Auf Tippfehler achten: Betrüger verwenden häufig Adressen, die bekannten Websites sehr ähnlich sehen, etwa durch zusätzliche Wörter, vertauschte Buchstaben oder ungewöhnliche Endungen.
• Vorsicht bei überklebten Codes: Besonders bei Plakaten, Parkautomaten, Speisekarten oder öffentlichen Hinweisschildern sollte geprüft werden, ob ein QR-Code nachträglich aufgeklebt wurde.
• Keine Zahlungsdaten eingeben: Fordert eine QR-Code-Seite unerwartet Bank-, Kreditkarten- oder Login-Daten an, sollte man den Vorgang abbrechen.
• Nicht von Dringlichkeit täuschen lassen: Meldungen wie „Konto wird gesperrt“ oder „sofort bezahlen“ sind typische Warnzeichen für Phishing.
• Bei Zahlungen besonders vorsichtig sein: Vor einer Überweisung oder Zahlung immer Empfänger, Betrag und Zahlungszweck kontrollieren – auch wenn der QR-Code scheinbar von einem vertrauenswürdigen Unternehmen stammt.
• QR-Code ersetzt keine Prüfung: Auch ein technisch korrekt funktionierender QR-Code kann auf eine betrügerische Website führen.

Wichtig: Am Aussehen des QR-Codes selbst lässt sich meist nicht zuverlässig erkennen, ob er manipuliert wurde. Entscheidend ist die Zieladresse und der Kontext, in dem der Code angebracht ist

Tipps, um sich vor QR-Code-Phishing zu schützen

Skepsis bei öffentlichen QR-Codes: QR-Codes auf Plakaten, Flyern oder Geräten im öffentlichen Raum können leicht ausgetauscht werden. Vertrauen Sie nur Codes, deren Quelle Sie kennen.
URL-Eingabe bevorzugen: Geben Sie, wenn möglich, die Website-Adresse manuell ein, statt den QR-Code zu scannen.
Keine Daten preisgeben: Verlassen Sie verdächtige Websites sofort und geben Sie keine persönlichen Informationen ein.
Schnelles Handeln bei Betrug: Melden Sie verdächtige Transaktionen umgehend Ihrer Bank, lassen Sie Ihre Karte sperren und beantragen Sie ein Chargeback. Informieren Sie zudem die Polizei und den Betreiber.