Ratgeber · QR-Code-Betrug

QR-Code-Betrug erkennen: So schützt du dich vor Quishing

Ein QR-Code ist ein Link, den du nicht lesen kannst. Genau das nutzen Betrüger: Sie kleben eigene Codes über echte, verschicken sie in Briefen und Mails oder hängen sie als Plakat auf. Wer scannt, landet auf einer Fälschung, die Zugangsdaten oder Zahlungsdaten abgreifen soll. Die Masche heißt Quishing, Phishing per QR-Code.

Wo dir gefälschte QR-Codes begegnen

• Parkautomaten, Ladesäulen, Fahrkartenautomaten: Ein Aufkleber verdeckt den echten Code und leitet zu einer falschen Bezahlseite.
• Briefe und Mails: „Aktualisieren Sie Ihre Daten“, dazu ein QR-Code statt eines Links. Mail-Filter erkennen ihn schlechter als einen normalen Link.
• Plakate und Flyer: Gewinnspiele, Rabatte oder „kostenlose“ Apps.
• Restaurants und Cafés: Ein Sticker auf dem Tisch, der die echte Speisekarte ersetzt und zur Zahlung auffordert.

Daran erkennst du einen verdächtigen Code

1. Der Code sieht aufgeklebt aus. Ein Sticker mit Rand oder Kante auf einem Automaten oder Schild ist ein Alarmsignal.
2. Die Adresse dahinter passt nicht zum Absender, oder es ist ein Kurzlink, der das Ziel versteckt.
3. Du sollst dich anmelden, zahlen oder eine App installieren. Vor allem, wenn der Code aus einem Brief oder einer Mail stammt, die du nicht erwartet hast.
4. Zeitdruck. „Nur heute“ oder „sonst wird dein Konto gesperrt“.

So gehst du sicher vor

1. Erst die Adresse ansehen. Die iPhone-Kamera zeigt nach dem Scannen eine Link-Vorschau. Tippe erst, wenn die Adresse zum Absender passt.
2. Nie einen Code für Login oder Zahlung nutzen, der dir unaufgefordert geschickt wurde. Öffne stattdessen die App oder Website selbst.
3. Prüfen lassen: Scanne den Code mit VaultAI. Die App zeigt dir die Zieladresse und bewertet sie, bevor du sie öffnest.
4. Bei Automaten den Code kurz abtasten: Lässt sich ein Sticker abziehen, ist es eine Fälschung. Melde das dem Betreiber.

Schon gescannt und Daten eingegeben?

• Zahlungsdaten eingegeben: Sofort die Bank anrufen und die Karte sperren lassen (Sperr-Notruf 116 116).
• Zugangsdaten eingegeben: Passwort beim betroffenen Dienst ändern, überall wo du dasselbe nutzt, und Zwei-Faktor-Authentifizierung aktivieren.
• App installiert: Gerät in den Flugmodus, App löschen, im Zweifel auf Werkseinstellungen zurücksetzen.
• Anzeige erstatten bei der Online-Wache deines Bundeslands.

Mehr zum Thema: Fake-Paket-SMS erkennen und Bank-Phishing erkennen.

Hinweis: Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Trotz sorgfältiger Recherche übernehmen wir keine Gewähr für Vollständigkeit und Aktualität, denn Betrugsmaschen ändern sich laufend. Bei einem konkreten Schadensfall wende dich an deine Bank (Sperr-Notruf 116 116) und an die Polizei (Notruf 110 oder die Online-Wache deines Bundeslands).