QR-Code-Betrug erkennen: Codes sicher mit dem Handy scannen

Am Parkautomaten klebt ein QR-Code mit dem Hinweis „Hier bequem bezahlen“. Auf einem Brief steht, Sie müssten schnell Ihre Daten bestätigen. Und auf einem Paketzettel verspricht ein Code die Sendungsverfolgung. Das kann praktisch sein, aber genau solche Situationen nutzen Betrüger aus. Sie kleben eigene Codes über echte Hinweise oder verschicken Briefe und E-Mails mit Codes, die zu gefälschten Internetseiten führen.

Diese Betrugsmasche heißt „Quishing“. Das Wort setzt sich aus „QR-Code“ und „Phishing“ zusammen. Phishing bedeutet: Kriminelle versuchen, über täuschend echte Seiten an Passwörter, Bankdaten oder persönliche Angaben zu gelangen. Der QR-Code ersetzt dabei den sonst üblichen Internetlink. Wir zeigen Ihnen in Ruhe, worauf Sie achten und wie Sie sicher handeln.

Warum QR-Codes ein Sicherheitsrisiko sein können

Ein QR-Code ist ein quadratisches Muster aus schwarzen und weißen Punkten. Ihr Handy kann daraus zum Beispiel eine Internetadresse, eine Telefonnummer oder eine Zahlungsinformation lesen.

Das Problem: Sie sehen dem Muster nicht an, wohin es führt. Ein echter und ein betrügerischer QR-Code können nahezu gleich aussehen. Betrüger setzen darauf, dass viele Menschen den Code einfach scannen und die anschließend geöffnete Seite für vertrauenswürdig halten.

Besonders häufig tauchen betrügerische Codes in diesen Situationen auf:

• Auf Briefen, die angeblich von Banken, Paketdiensten, Energieversorgern oder Behörden stammen
• Auf Parkautomaten und Ladesäulen für Elektroautos
• Auf Plakaten, Aushängen oder Tischaufstellern
• Auf Paketzetteln und Benachrichtigungskarten
• In E-Mails, SMS oder Messenger-Nachrichten
• In Kleinanzeigen, wenn angebliche Käufer eine Zahlung „bestätigen“ wollen

Wichtig: Ein QR-Code ist nicht automatisch gefährlich. Viele Codes führen tatsächlich zur gewünschten Seite. Sie sollten aber immer kurz prüfen, bevor Sie etwas öffnen oder eingeben.

Schritt 1: Schauen Sie auf die Umgebung des Codes

Nehmen Sie sich vor dem Scannen ein paar Sekunden Zeit. Oft erkennen Sie einen Betrugsversuch schon daran, wie und wo der Code angebracht wurde.

Bei einem Parkautomaten oder einer Ladesäule prüfen Sie zuerst, ob der Code wie ein nachträglicher Aufkleber aussieht. Achten Sie auf schiefe Kanten, Luftblasen, unterschiedliche Schriftarten oder einen Code, der über einen anderen Hinweis geklebt wurde. Wenn Sie unsicher sind, zahlen Sie lieber direkt am Automaten, mit der bekannten App des Anbieters oder über dessen offizielle Internetseite.

Bei Briefen hilft ein Blick auf den Absender. Haben Sie überhaupt eine Bestellung, Rechnung oder Anfrage erwartet? Passt die Anschrift? Gibt es eine persönliche Anrede oder steht dort nur „Sehr geehrter Kunde“? Druckfehler, Drohungen und Zeitdruck sind ebenfalls Warnzeichen.

Typische Formulierungen sind etwa:

• „Ihre Zahlung ist fehlgeschlagen.“
• „Bestätigen Sie Ihre Daten innerhalb von 24 Stunden.“
• „Ihre Sendung kann sonst nicht zugestellt werden.“
• „Scannen Sie den Code, um eine Sperrung zu vermeiden.“

Seriöse Unternehmen können zwar gelegentlich zu einer Handlung auffordern. Sie drängen Sie aber nicht mit unklaren Drohungen dazu, über einen beliebigen QR-Code Zugangsdaten oder Zahlungsdaten einzugeben.

Schritt 2: Code mit der Kamera scannen, aber noch nicht öffnen

Auf den meisten Smartphones genügt die Kamera-App zum Scannen. Öffnen Sie die Kamera und halten Sie sie auf den QR-Code. Meist erscheint nach einem Moment ein Hinweis mit einer Internetadresse.

Tippen Sie nicht sofort darauf. Lesen Sie zunächst die angezeigte Adresse.

Eine Adresse besteht oft aus mehreren Teilen. Entscheidend ist der Name direkt vor der Endung wie „.de“, „.com“ oder „.org“.

Angezeigte Adresse	Einschätzung
www.beispielbank.de	Kann zur Bank gehören, weitere Prüfung ist trotzdem sinnvoll
beispielbank-konto.com	Verdächtig, weil die Adresse nicht zur bekannten Bankadresse passt
beispielbank.sicher-anmelden.net	Gehört zu „sicher-anmelden.net“, nicht zu „beispielbank“
bit.ly/abc123	Verkürzte Adresse, das eigentliche Ziel ist zunächst nicht erkennbar

Betrüger verwenden oft Namen, die nur auf den ersten Blick echt wirken. Ein einzelner Buchstabe, ein zusätzliches Wort oder eine fremde Endung kann den Unterschied machen.

Wenn die Adresse nicht eindeutig zum genannten Unternehmen passt, öffnen Sie sie nicht. Schließen Sie einfach die Kamera-App. Allein das Scannen löst normalerweise noch keine Zahlung aus. Riskant wird es meist erst, wenn Sie die Seite öffnen, Daten eingeben oder einen Download bestätigen.

Schritt 3: Öffnen Sie wichtige Seiten lieber selbst

Geht es um Geld, ein Kundenkonto, Ihre Gesundheit oder persönliche Daten, wählen Sie den sicheren Umweg: Öffnen Sie die Internetseite oder App selbst.

Wenn ein Brief angeblich von Ihrer Bank stammt, starten Sie Ihre Banking-App wie gewohnt. Prüfen Sie dort, ob wirklich eine Nachricht oder Aufgabe für Sie hinterlegt ist. Nutzen Sie nicht den QR-Code auf dem Brief.

Bei einem Paketdienst tippen Sie die bekannte Internetadresse selbst in den Browser ein oder verwenden die offizielle App. Dort können Sie mit Ihrer Sendungsnummer nachsehen, ob es tatsächlich ein Problem gibt.

Dasselbe gilt für Behörden, Krankenkassen, Energieanbieter und Mobilfunkunternehmen. Ein echter Vorgang sollte sich meist auch im bekannten Kundenkonto finden lassen. Bei Unsicherheit hilft ein Anruf unter einer Telefonnummer, die Sie selbst auf der offiziellen Website oder auf einer früheren Rechnung gefunden haben.

Schritt 4: Prüfen Sie die geöffnete Seite sehr genau

Manchmal haben Sie einen Code bereits geöffnet. Das ist kein Grund zur Panik. Geben Sie jetzt noch keine Daten ein, sondern prüfen Sie die Seite.

Achten Sie auf diese Warnzeichen:

• Die Adresse im Browser passt nicht genau zum Unternehmen.
• Die Seite fordert sofort Passwort, Kreditkartendaten oder TAN an.
• Sie sollen eine kleine Gebühr für eine angebliche Zustellung zahlen.
• Es gibt auffällige Rechtschreibfehler oder seltsame Formulierungen.
• Ein Countdown setzt Sie unter Zeitdruck.
• Sie sollen eine App oder Datei herunterladen.
• Sie werden gebeten, Ihre Bankkarte an das Handy zu halten oder eine TAN weiterzugeben.

Eine TAN ist eine einmalige Sicherheitsnummer für Bankgeschäfte. Sie sollten eine TAN nur eingeben, wenn Sie selbst gerade bewusst einen Auftrag in Ihrer Banking-App oder auf der echten Bankseite gestartet haben. Ein QR-Code auf einem Brief oder an einem Automaten ist kein Grund, eine TAN einzugeben.

Auch ein Schloss-Symbol im Browser ist kein Beweis für Seriosität. Es zeigt nur, dass die Verbindung verschlüsselt ist. Betrügerische Seiten können ebenfalls eine verschlüsselte Verbindung nutzen.

Was Sie bei QR-Codes an Parkautomaten tun können

Parkautomaten sind ein beliebtes Ziel für aufgeklebte Codes, weil viele Menschen schnell bezahlen möchten. Bevor Sie einen Code verwenden, vergleichen Sie ihn mit den Angaben am Automaten.

Prüfen Sie insbesondere:

• Steht am Automaten ein Name des Parkplatzbetreibers?
• Gibt es eine offizielle App, die dort genannt wird?
• Ist der QR-Code fest aufgedruckt oder sichtbar aufgeklebt?
• Passt die im Handy angezeigte Internetadresse zum Betreiber?
• Werden Sie auf einer Seite aufgefordert, ungewöhnlich viele Daten einzugeben?

Müssen Sie sofort parken und sind unsicher, wählen Sie eine andere angebotene Zahlungsart. Falls möglich, machen Sie ein Foto vom verdächtigen Aufkleber und informieren Sie den Betreiber des Parkplatzes.

Wenn Sie Daten eingegeben oder bezahlt haben

Sie haben einen verdächtigen QR-Code genutzt und danach Daten eingegeben? Dann handeln Sie zügig, aber ruhig.

• Ändern Sie das betroffene Passwort sofort auf der echten Website oder in der offiziellen App.
• Haben Sie dieses Passwort auch anderswo verwendet, ändern Sie es dort ebenfalls.
• Informieren Sie bei Bankdaten oder einer freigegebenen Zahlung umgehend Ihre Bank.
• Prüfen Sie Ihre Kontobewegungen und bewahren Sie Nachrichten oder Screenshots als Nachweis auf.
• Haben Sie eine unbekannte App installiert, löschen Sie sie und prüfen Sie Ihr Handy auf weitere ungewöhnliche Apps.
• Lassen Sie sich nicht von weiteren Anrufen oder Nachrichten unter Druck setzen.

Eine ausführliche Hilfe zu verdächtigen Nachrichten und falschen Internetseiten finden Sie in unserem Beitrag Phishing und Betrug erkennen. Für Ihre wichtigsten Zugänge empfehlen wir außerdem, sichere Passwörter zu erstellen und zu merken. Noch bequemer und sicherer können auf vielen Geräten sogenannte Passkeys sein. Dabei bestätigen Sie die Anmeldung zum Beispiel mit Fingerabdruck oder Gerätecode. Lesen Sie dazu unsere Anleitung Passkeys auf dem Smartphone einrichten.

Die kurze QR-Code-Checkliste für den Alltag

Bevor Sie einen Code verwenden, gehen Sie diese Fragen durch:

• Erwarte ich diesen Brief, das Paket oder die Zahlungsaufforderung?
• Wirkt der QR-Code aufgedruckt oder wurde er nachträglich überklebt?
• Passt die angezeigte Internetadresse wirklich zum genannten Anbieter?
• Fordert die Seite unerwartet Geld, Passwörter oder eine TAN?
• Kann ich die Angelegenheit direkt in der bekannten App oder auf der offiziellen Website prüfen?
• Spüre ich Zeitdruck? Dann halte ich an und kontrolliere besonders sorgfältig.

Aktualisieren Sie Ihr Smartphone regelmäßig, damit Sicherheitslücken geschlossen werden. Wie Sie dabei vorgehen, erklären wir verständlich in Updates richtig machen: einfach erklärt.

Wer das Thema systematisch lernen möchte, findet passende Seminare bei cmt.de.

Merken Sie sich vor allem diesen einfachen Grundsatz: Ein QR-Code ist kein Vertrauensbeweis. Prüfen Sie den Absender, lesen Sie die Internetadresse und geben Sie sensible Daten nur auf Seiten ein, die Sie selbst bewusst geöffnet haben.