Quishing: wie Betrug mit QR-Codes funktioniert und wie du ihn erkennst

Ein normaler Link hat einen Vorteil, den man erst bemerkt, wenn er fehlt: Man kann ihn lesen. Bei einem QR-Code geht das nicht. Er ist ein Link in einer Schrift, die kein Mensch entziffern kann, und genau darauf baut Quishing auf, der Betrug mit gefälschten QR-Codes. Das Wort ist aus QR und Phishing zusammengezogen, und das Ziel ist dasselbe wie bei jeder Phishing-Mail: Du sollst auf einer nachgebauten Seite eintippen, was den Tätern nützt.

Neu ist dabei weniger die Technik als der Ort. Die Codes kleben auf Parkautomaten und an Ladesäulen, sie stehen in Briefen, die nach Bank aussehen, und stecken hinter dem Scheibenwischer. Dieser Text geht die dokumentierten Maschen durch, zeigt, wie du die versteckte Adresse vor dem Öffnen sichtbar machst, und endet mit dem ruhigen Ablauf für den Fall, dass du schon gescannt hast.

Was ist Quishing

Ein QR-Code ist ein Behälter für eine kurze Zeichenkette. Meistens steht darin eine Internetadresse, manchmal auch ein WLAN-Zugang, eine Telefonnummer oder Überweisungsdaten. Deine Kamera liest das Muster, setzt die Zeichen zusammen und bietet dir an, was dazu passt, bei einer Adresse also, sie im Browser zu öffnen. Das ist bequem, und die Bequemlichkeit ist gewollt. Niemand soll an einem Parkautomaten eine lange Adresse abtippen.

Beim Quishing tauschen Kriminelle den Inhalt dieses Behälters aus. Auf einem Automaten überkleben sie den echten Code mit einem eigenen, in einem Brief drucken sie ihren Code gleich selbst. Die Seite, auf der du landest, sieht aus wie die des Parkbetreibers oder deiner Bank. Was du dort eingibst, landet bei den Tätern: Kartennummer mit Prüfziffer, Onlinebanking-Zugang, manchmal nur Name, Anschrift und Telefonnummer, die sich weiterverkaufen lassen.

Warum das funktioniert

Der erste Grund liegt im Muster selbst. Das Bundesamt für Sicherheit in der Informationstechnik nennt es in seinem Lagebericht als eine der größten Schwierigkeiten, dass das menschliche Auge QR-Codes nicht lesen kann und viele Scanner die Adresse nur verkürzt anzeigen. Bei einer E-Mail kannst du mit dem Mauszeiger über einen Link fahren und das Ziel prüfen. Beim Quadratmuster auf Papier hast du bis zum Scan gar nichts in der Hand.

Der zweite Grund ist das Gerät. Ein QR-Code wird mit dem Handy gescannt, auch wenn er in einer Mail auf dem Rechner steht. Damit wandert der Vorgang vom Computer, der vielleicht einen Mailfilter und einen großen Bildschirm hat, auf das kleine Display, auf dem die Adressleiste nach dem Laden oft gar nicht mehr zu sehen ist. Auch Mailfilter selbst tun sich schwer: Sie prüfen Links im Text, ein Bild mit Quadraten sieht für viele von ihnen aus wie ein Bild.

Der dritte Grund ist Vertrauen in Dinge, die man anfassen kann. Ein Aufkleber am städtischen Automaten wirkt amtlich, ein Brief auf Papier wirkt seriöser als eine Mail. Dass jemand Geld für Porto ausgibt, um dich zu betrügen, rechnet man einfach nicht ein. Und QR-Codes sind seit Jahren mit schnellem Bezahlen verbunden, das BSI weist genau darauf hin: Ein wenig Zeitdruck oder Unaufmerksamkeit reicht.

Die dokumentierten Maschen im Alltag

Die folgenden Fälle stammen aus Warnungen der Verbraucherzentrale, des BSI und der Landeskriminalämter. Sie zeigen, wie breit die Masche inzwischen gestreut ist.

Parkscheinautomaten. Das Landeskriminalamt Niedersachsen warnte im November 2024 vor überklebten Codes an Parkautomaten in Hannover. Sie führten auf eine Seite, die aussah wie die eines bekannten Handyparken-Anbieters. Auffällig waren laut der Warnung fehlende Umlaute und die Möglichkeit, längere Parkzeiten zu buchen, als in der Zone erlaubt sind. Das BSI berichtet in seinem Lagebericht von solchen Vorfällen in mehreren deutschen Großstädten, bei denen Automaten der örtlichen Stadtwerke betroffen waren.

Ladesäulen für E-Autos. Seit August 2024 gibt es Warnungen vor überklebten Codes an Ladesäulen, über die man direkt bezahlen kann. Der ADAC rät, einen überklebten Code gar nicht zu scannen und, falls die Säule ein Display hat, den Code von dort zu nehmen. Laden lässt sich in der Regel auch mit Ladekarte oder App, ohne irgendeinen Code.

Briefe von angeblichen Banken. Ende August 2024 meldete eine Frau aus München dem Phishing-Radar der Verbraucherzentrale einen Brief, angeblich von der Commerzbank. Sie sollte per QR-Code ihr photoTAN-Verfahren aktualisieren. Sie hatte bei dieser Bank nicht einmal ein Konto. Weitere Briefe mit wechselnden Banknamen folgten, bis in dieses Jahr hinein. Das Landeskriminalamt Nordrhein-Westfalen warnte, dass über solche Seiten teils direkt Überweisungen angestoßen werden.

Falsche Strafzettel. Manche Städte drucken auf Knöllchen einen Code, über den man das Verwarngeld gleich bezahlen kann. Das haben Betrüger kopiert und falsche Zettel unter Scheibenwischer geklemmt, Berichte gab es unter anderem aus Berlin. Die Verbraucherzentrale rät, im Zweifel mit dem Zettel zur Polizei zu gehen.

E-Mails mit Code statt Link. Erste Mails mit schädlichem QR-Code tauchten im Phishing-Radar Anfang 2021 auf, damals mit Banklogos und der Aufforderung, ein Sicherheitsverfahren zu erneuern. Bei Privatleuten ist das bis heute eher die Ausnahme neben der klassischen Link-Mail, zuletzt etwa mit angeblichen Dankesgeschenken des ADAC für eine Umfrage. Das BSI warnt allerdings, dass gerade Bankkunden zunehmend mit Nachrichten angegriffen werden, die sauber formuliert sind und die typischen Tippfehler nicht mehr haben.

Plakate in Bus und Bahn. Im Dezember 2024 warnte die Düsseldorfer Rheinbahn vor falschen Plakaten in ihren Fahrzeugen, die Deutschlandtickets verlosten. Der Code führte zu einem Formular, das Name, Anschrift, Mail und Telefonnummer abfragte. Aufgefallen ist die Sache an einem Detail: Die Plakate bestanden aus zwei zusammengeklebten A4-Blättern.

Das Muster hinter allen fünf ist dasselbe, das wir bei der Betrugs-SMS beschrieben haben: eine Situation, in der du ohnehin etwas erledigen willst, und ein bequemer Weg, der dir dafür angeboten wird. Beim Quishing ist dieser Weg nur noch schwerer zu prüfen.

Die Adresse lesen, bevor du tippst

Die gute Nachricht steckt in der Kamera selbst. Aktuelle iPhones und die meisten Android-Geräte öffnen einen gescannten Link nicht sofort. Sie blenden die Adresse ein, meist als kleines Feld am unteren Bildrand, und warten, bis du darauf tippst. In diesem Moment ist der Code kein Rätsel mehr. Du siehst, wohin er führt, und kannst dich entscheiden.

Manche Kameras zeigen nur die Domain, also den Namen der Seite ohne den Rest dahinter. Das reicht, denn die Domain ist der Teil, auf den es ankommt. Worauf du achtest:

• Passt der Name zum Absender? Wer an einem städtischen Automaten parkt, erwartet die Seite der Stadt oder eines bekannten Parkanbieters. Eine Fantasie-Domain mit angehängten Wörtern wie parken, pay oder secure ist keine.
• Was steht direkt hinter der Endung? Die Verbraucherzentrale hat einen falschen Bankbrief entschlüsselt, dessen Adresse mit dem echten Banknamen und .de begann. Direkt danach kam ein Bindestrich. Eine Adresse der Form bankname.de-irgendwas.com gehört zu irgendwas.com. Echt wäre sie nur, wenn nach dem .de ein Schrägstrich oder gar nichts folgt.
• Ist es ein Kurzlink? Ein Dienst, der lange Adressen kürzt, verbirgt das eigentliche Ziel ein zweites Mal. Für einen Parkautomaten oder eine Bank gibt es keinen Grund dafür.
• Was verlangt die Seite als Erstes? Login, Kartennummer, eine App zum Herunterladen, eine Frist von wenigen Minuten. Je schneller eine Seite an deine Daten will, desto mehr Grund hast du, sie zu schließen.

Dazu kommt der Blick auf den Code selbst, und den empfiehlt auch das BSI. Ein Code, der ins Gehäuse gedruckt oder graviert ist, wurde mit dem Automaten geliefert. Ein Aufkleber kann von jedem stammen. Wenn einer über dem anderen sitzt, sich an den Rändern wellt oder schief klebt, brauchst du die Adresse gar nicht erst zu prüfen.

Eine Grenze gehört ehrlich dazu. Eine saubere Adresse beweist nicht, dass alles in Ordnung ist. Täter registrieren Domains, die dem Original zum Verwechseln ähnlich sehen, mit vertauschten Buchstaben oder einer anderen Endung. Wie weit solche Nachahmung technisch reicht, haben wir beim Thema Spoofing beschrieben. Die Adresse zu lesen, fängt die grobe Masse ab. Gegen die feine Fälschung hilft nur der zweite Weg.

Der zweite Weg: selbst hingehen

Die verlässlichste Regel gegen Quishing ist schlicht: Nimm den Weg nicht, den dir der Code anbietet, sondern den, den du ohnehin kennst.

Beim Parken heißt das: am Automaten mit Münzen oder Karte zahlen oder die Handyparken-App nutzen, die du schon installiert hast, und die Zone dort von Hand auswählen. Ein Code am Automaten spart dir ein paar Sekunden. Die sind es nicht wert, wenn er überklebt sein könnte.

Beim Laden gilt dasselbe. Ladekarte oder App des eigenen Anbieters, und wenn die Säule ein Display hat, lieber den Code dort als den auf dem Gehäuse.

Bei Briefen von der Bank meldest du dich auf dem gewohnten Weg im Onlinebanking an und schaust nach, ob dort eine Nachricht mit Handlungsbedarf wartet. Oder du rufst an, und zwar unter der Nummer von deiner Karte oder aus deinen alten Unterlagen, nie unter der aus dem Brief. Auf die Telefonnummer im Brief solltest du dich laut Verbraucherzentrale nicht verlassen.

Bei Strafzetteln klärst du die Sache mit dem Ordnungsamt oder der Polizei, wenn dir der Zettel komisch vorkommt. Ein echtes Verwarngeld läuft dir nicht davon, weil du einen Tag später überweist.

Bei Mails mit Code tippst du die Adresse des angeblichen Absenders selbst ein. Ist dort nichts zu tun, war auch in der Mail nichts zu tun.

Und eine Regel gilt überall: Installiere keine App, auf die dich ein QR-Code schickt. Apps kommen aus dem offiziellen Store, und dort suchst du sie selbst über den Namen. Das betrifft vor allem Android, wo die Installation aus fremden Quellen technisch möglich ist.

Was es nicht braucht, ist eine besondere Scanner-App mit eingebauter “Sicherheitsprüfung”. Solche Apps verlangen oft weitreichende Berechtigungen und finanzieren sich über Werbung oder Daten. Die Kamera, die du schon hast, zeigt dir die Adresse, und lesen musst du sie in jedem Fall selbst.

Wenn du schon gescannt hast

Zuerst die Entwarnung, weil sie meistens zutrifft: Scannen allein richtet keinen Schaden an. Auch eine geöffnete Seite übernimmt dein Telefon nicht im Vorbeigehen, solange du dort nichts eingibst und nichts installierst. Was die Täter brauchen, ist deine Mitwirkung. Wie weit sie gekommen sind, bestimmt, was jetzt zu tun ist.

Nur gescannt oder die Seite kurz geöffnet. Fenster schließen, nichts eintippen, fertig. Wenn der Code auf einem Automaten klebt, sag dem Betreiber oder dem Ordnungsamt Bescheid. Die Nummer steht meist auf dem Gerät selbst.

Zugangsdaten eingegeben. Ändere das Passwort des betroffenen Dienstes sofort, über die offizielle App oder die selbst eingetippte Adresse. Hast du dasselbe Passwort anderswo benutzt, ändere es dort auch. Wo es geht, schalte die Anmeldung mit zweitem Faktor ein.

Kartendaten oder Bankzugang eingegeben. Ruf deine Bank an oder wähle den Sperr-Notruf 116 116, bundesweit und rund um die Uhr erreichbar. Sieh deine Umsätze der letzten Tage durch und widersprich allem, was du nicht selbst ausgelöst hast. Bei einer Überweisung zählt Zeit, in den ersten Stunden lässt sie sich manchmal noch aufhalten.

Etwas installiert. Nimm das Gerät vom Netz, deinstalliere die App und prüfe in den Einstellungen, ob sie Rechte als Geräteadministrator oder für Bedienungshilfen bekommen hat. Die entziehst du zuerst. Die Passwörter änderst du danach von einem anderen Gerät aus. Welche Anzeichen darauf hindeuten, dass mehr passiert ist, steht im Text wurde ich gehackt.

Geld ist weg. Dann gehört der Fall zur Polizei. Anzeige erstatten kannst du bei jeder Dienststelle oder online über die Internetwache deines Bundeslandes. Heb auf, was du hast: ein Foto vom Aufkleber oder den Brief selbst, die Adresse der Seite, Kontoauszüge. Den falschen Brief kannst du außerdem an das Phishing-Radar der Verbraucherzentrale NRW schicken, von dort stammen viele der öffentlichen Warnungen.

Was du nicht tun solltest: auf der verdächtigen Seite nach einem Kontakt suchen, um die Sache zu klären. Wer dort antwortet, gehört zu den Tätern und hat nur eine zweite Gelegenheit bekommen.

Was bleibt

Quishing ist ein alter Trick in neuer Verpackung. Der Betrug selbst läuft wie jedes Phishing, nur dass der Link nicht mehr zu lesen ist, bis du dein Telefon darauf richtest. Das ist gleichzeitig die Stelle, an der du ihn stoppen kannst. Die Kamera zeigt dir die Adresse, und du entscheidest, ob du tippst.

Im Alltag reicht eine Gewohnheit. Wenn ein Code dich zum Bezahlen, Anmelden oder Installieren bringen will, frag dich, ob du den Weg dorthin nicht auch ohne ihn kennst. Meistens kennst du ihn, sei es die Parkapp, die ohnehin auf dem Handy liegt, oder das Onlinebanking im Lesezeichen. Der Code ist dann nur eine Abkürzung, die du nicht brauchst, und die leider nicht immer der angebracht hat, dem der Automat gehört.

Häufige Fragen

Was ist Quishing?

Quishing ist Phishing über einen QR-Code. Das Wort setzt sich aus QR und Phishing zusammen. Statt eines Links, den du lesen könntest, bekommst du ein Quadratmuster, hinter dem eine Internetadresse steckt. Sie führt auf eine nachgebaute Seite, auf der du Bank-Zugangsdaten, Kartennummern oder persönliche Angaben eintippen sollst. Die Codes kleben auf Parkautomaten und Ladesäulen, stehen in gefälschten Bankbriefen, auf falschen Strafzetteln oder in E-Mails.

Ist es gefährlich, einen QR-Code nur zu scannen?

In aller Regel nicht. Ein QR-Code enthält nur Text, meistens eine Internetadresse, und dein Telefon liest diesen Text aus. Die meisten Kamera-Apps zeigen die Adresse an und warten, bis du sie antippst. Gefährlich wird es erst danach: wenn du die Seite öffnest und dort Daten eintippst, bezahlst oder eine Datei installierst. Wer nur gescannt, die Adresse gelesen und dann abgebrochen hat, hat nichts preisgegeben.

Wie erkenne ich einen gefälschten QR-Code?

Am Ort und an der Adresse. Ein Aufkleber, der über einem aufgedruckten Code sitzt, schief klebt oder sich an den Rändern löst, ist ein Warnzeichen. Entscheidend ist aber die Adresse, die dein Telefon nach dem Scannen anzeigt: Passt die Domain zum angeblichen Absender, und steht direkt hinter der Endung .de ein Schrägstrich oder etwas anderes? Kurzlinks, unbekannte Domains und eine Seite, die sofort Login oder Zahlung verlangt, sind Gründe, nicht weiterzumachen.

Was tun, wenn ich einen betrügerischen QR-Code gescannt habe?

Das hängt davon ab, wie weit du gekommen bist. Nur gescannt oder die Seite kurz geöffnet: Fenster schließen, nichts eingeben, fertig. Zugangsdaten eingegeben: sofort das Passwort über die offizielle App oder die selbst eingetippte Adresse ändern. Kartendaten oder Bankzugang eingegeben: Bank anrufen oder den Sperr-Notruf 116 116 wählen, Umsätze prüfen, Anzeige bei der Polizei erstatten, auch online über die Internetwache deines Bundeslandes.

Verschickt meine Bank Briefe mit QR-Code?

Manche Banken nutzen QR-artige Grafiken, etwa zur Aktivierung eines TAN-Verfahrens, aber nur in Vorgängen, die du selbst angestoßen hast. Ein unerwarteter Brief, der dich per QR-Code auffordert, ein Sicherheitsverfahren zu aktualisieren, gehört zu den Maschen, vor denen Verbraucherzentralen und Landeskriminalämter warnen. Scann ihn nicht. Melde dich stattdessen wie gewohnt im Onlinebanking an oder ruf die Bank unter der Nummer an, die du selbst kennst, etwa von der Rückseite deiner Karte.