Digi Nachrichten Audio

Artikel anhören

17:56 Min.Synthetische Stimme

Quishing ist Phishing per QR-Code. Der Angriff funktioniert deshalb so gut, weil der Code auf den ersten Blick nur ein Bild ist und viele Menschen ihn im Alltag nebenbei scannen: beim Abholen eines Briefes, am Parkautomaten, an der Ladesäule, an Aushängen in Behördennähe oder bei einer vermeintlichen Zahlungsaufforderung. Die eigentliche Zielseite liegt erst hinter dem Scan. Genau dort setzen Betrüger an. Sie nutzen die Gewohnheit, QR-Codes als praktisch und harmlos wahrzunehmen, und lenken Sie auf eine täuschend echte Seite, die Zugangsdaten, Kartendaten oder andere Zahlungsinformationen abgreifen soll.

Die offizielle Lageeinschätzung von Polizei und BSI ist klar: Quishing ist kein Randphänomen, sondern eine aktuelle Betrugsmasche. Die Hinweise in diesem Artikel sind deshalb bewusst praktisch gehalten. Sie sollen Ihnen helfen, einen QR-Code vor dem Scannen einzuordnen, eine Zieladresse nach dem Scan zu prüfen und im Ernstfall ruhig und geordnet zu reagieren. Das ist allgemeine Information, keine rechtliche oder medizinische Beratung. Wenn Sie bereits Daten eingegeben oder eine Zahlung ausgelöst haben, zählt vor allem schnelles, aber kontrolliertes Handeln.

Warum Quishing so gut funktioniert

QR-Codes sind bequem, weil sie lange Webadressen vermeiden und den Weg zur Zielseite verkürzen. Genau diese Bequemlichkeit ist das Problem. Während viele Menschen bei einer E-Mail inzwischen auf den Absender, die Formulierungen oder den Link achten, wird ein QR-Code oft nur als technischer Zwischenschritt wahrgenommen. Das BSI weist darauf hin, dass QR-Codes als Bilder verarbeitet werden und die darin enthaltenen Links nicht automatisch so geprüft werden wie manche anderen verdächtigen Inhalte. Die Polizei beschreibt deshalb Quishing als Phishing-Masche mit QR-Codes, die zu gefälschten Seiten führt.

Hinzu kommt der psychologische Druck. Betrüger arbeiten gern mit kurzen Fristen, drohenden Sperren oder dem Eindruck, eine kleine Formalität müsse schnell erledigt werden. Das funktioniert bei Briefen ebenso wie in öffentlichen Räumen. Ein Scan ist in Sekunden erledigt, eine Entscheidung auf der falschen Seite dauert aber oft länger und wirkt im Moment der Eingabe noch plausibel. Quishing lebt davon, dass der kritische Blick nicht auf die Zielseite, sondern auf die Situation davor gerichtet sein soll. Gerade deshalb hilft eine einfache Regel: Nicht der QR-Code selbst ist vertrauenswürdig, sondern nur der Kontext, in dem er eingebettet ist.

Für Sie bedeutet das: Sie brauchen keine komplizierte Technik, sondern eine kleine, wiederholbare Prüfroutine. Wer die Umgebung, den Absender und die Zieladresse kontrolliert, erkennt viele Fälle rechtzeitig. Wer dagegen nur auf das bekannte Logo oder die vermeintliche Dringlichkeit schaut, übersieht die entscheidenden Details. Genau dort setzt dieser Ratgeber an.

Wo Quishing im Alltag auftaucht

Besonders häufig begegnen Ihnen QR-Codes an Orten, an denen Sie ohnehin unter Zeitdruck sind. Dazu gehören Parkscheinautomaten, Ladepunkte für Elektrofahrzeuge, Empfangsbereiche, Kassen, Plakate und vermeintliche Benachrichtigungen in Briefen. Polizei und BSI nennen ausdrücklich Fälle, in denen gefälschte Codes auf Parkautomaten oder in Briefen auftauchen. Auch das BSI verweist auf manipulierte QR-Codes an öffentlichen Ladepunkten, die Nutzer auf gefälschte Seiten lenken können. Der Zweck ist in allen Fällen ähnlich: Sie sollen eine Zahlung anstoßen, eine Identität bestätigen oder Zugangsdaten preisgeben.

Im Briefkasten ist die Lage oft besonders unangenehm, weil Schreiben mit offizieller Anmutung Vertrauen erzeugen. Ein QR-Code kann dort so wirken, als solle er nur eine Information ergänzen oder einen Zahlvorgang vereinfachen. In Wirklichkeit kann er Sie auf eine Seite führen, die wie das Portal einer Bank, eines Paketdienstes, einer Behörde oder eines Zahlungsdienstes aussieht. Die Polizei weist darauf hin, dass Phishing auch per Brief funktioniert und QR-Codes dabei für gefälschte Verifizierungen missbraucht werden können. Wenn ein Schreiben Sie unter Druck setzt, sofort zu handeln, ist das bereits ein Warnsignal.

Im öffentlichen Raum ist die Rolle des physischen Umfelds entscheidend. Ein sauber wirkender Aufkleber kann trotzdem ein Fremdkörper sein. Ein QR-Code, der nicht Teil der offiziellen Beschilderung oder des eigentlichen Druckbilds ist, verdient Misstrauen. Gerade an Park- und Ladesystemen überkleben Täter laut Polizei und BSI gern originale Codes. Deshalb reicht es nicht, dass eine Oberfläche professionell aussieht. Sie müssen prüfen, ob der Code tatsächlich zum Betreiber passt und ob der Weg zur Zahlung oder Anmeldung logisch ist.

QR-Code vor dem Scannen prüfen

Die wichtigste Entscheidung fällt vor dem Scan. Fragen Sie sich zuerst, ob Sie den QR-Code überhaupt brauchen. Wenn die offizielle App eines Anbieters bereits installiert ist, ist der direkte Weg oft sicherer als der Umweg über einen Code. Die Polizei empfiehlt bei Parkvorgängen ausdrücklich, eine vorhandene App direkt zu nutzen und den Zonencode manuell einzugeben, falls das vorgesehen ist. Das senkt das Risiko, von einem manipulierten Aufkleber auf eine falsche Seite geleitet zu werden.

Prüfen Sie dann die Umgebung. Gehört der QR-Code sichtbar zum Schild, zum Automaten oder zum Aushang, oder sieht er aus wie ein später hinzugefügter Sticker? Wirkt die Kante des Aufklebers unruhig, überklebt er einen anderen Code oder steht er schief neben dem eigentlichen Hinweis? Solche Spuren sind keine Beweise, aber sie sind ein Grund, nicht spontan zu scannen. Das gilt auch für Briefe: Ist der QR-Code direkt in ein offizielles Layout eingebunden oder wirkt er wie ein nachträglich aufgeklebtes Element? Wenn etwas nicht sauber zusammenpasst, ist der sichere Schritt, den Code zu ignorieren und den Anbieter über einen selbst gewählten, bekannten Weg zu kontaktieren.

Im Zweifel ist Nichtscannen die beste Entscheidung. Das BSI und die Polizei empfehlen beide, QR-Codes zu hinterfragen und bei Unsicherheit nicht zu öffnen. Ein fehlender Scan kostet nur einen Moment. Ein unsicherer Scan kann dagegen zu einem Kontoverlust, zu unberechtigten Zahlungen oder zu einer langwierigen Kontowiederherstellung führen. Das ist keine Übervorsicht, sondern eine sinnvolle Alltagshaltung.

URL nach dem Scannen prüfen

Wenn Sie einen QR-Code doch scannen, sollte die App oder der Browser die Zieladresse so anzeigen, dass Sie sie vor dem Öffnen kontrollieren können. Genau diese Vorschau ist wichtig. Schauen Sie nicht nur auf das Logo oder auf den Seitentitel, sondern auf die vollständige Domain. Betrüger arbeiten häufig mit ähnlichen Schreibweisen, zusätzlichen Wörtern, Unterstrichen, gekürzten Adressen oder fremden Domains, die nur im ersten Blick legitim wirken. Eine bekannte Marke im Seitendesign sagt nichts über die echte Betreiberadresse aus.

Lesen Sie die URL langsam von links nach rechts. Prüfen Sie, ob die zentrale Domain wirklich zum Anbieter passt. Vorsicht ist besonders dann geboten, wenn der Link auf eine Login-Seite, eine Zahlungsseite oder eine Eingabemaske führt, die Sie gar nicht erwartet haben. Wenn Sie sich unsicher sind, brechen Sie ab und öffnen Sie die bekannte Website des Anbieters manuell, also über eine selbst eingegebene Adresse oder über die offizielle App aus dem Store. Das ist der sauberste Weg, um nicht auf eine nachgebaute Oberfläche hereinzufallen.

Achten Sie außerdem auf den Zweck der Seite. Eine legitime Park- oder Ladeanwendung verlangt nicht plötzlich eine vollständige Kontoanmeldung, wenn Sie eigentlich nur einen kurzen Zahlungsvorgang auslösen wollten. Eine angebliche Verifizierungsseite, die Sie ohne erkennbaren Anlass zu Bankdaten, Kartendaten oder Ausweisdaten auffordert, ist besonders verdächtig. Je weniger Sie auf der Seite erwartet haben, desto strenger sollten Sie prüfen. Wenn möglich, vergleichen Sie die Zieladresse mit einer bereits bekannten offiziellen Anbieteradresse, die Sie selbst gespeichert haben.

Bei Parken, Laden und Bezahlen besonders streng sein

Quishing ist im Zahlungsumfeld besonders gefährlich, weil schon kleine Beträge Vertrauen erzeugen. Gerade am Parkautomaten oder an der Ladesäule denken viele Menschen: Das ist ja nur ein kurzer Vorgang. Genau darauf setzen Täter. Die Polizei nennt manipulierte Bezahl-QR-Codes an Parkscheinautomaten ausdrücklich als aktuelle Masche. Das BSI warnt zugleich vor Angriffen an der öffentlichen Ladeinfrastruktur, bei denen QR-Codes oder andere gefälschte Zugänge genutzt werden können. Für Sie heißt das: Auch kleine Zahlungen brauchen dieselbe Sorgfalt wie große.

Prüfen Sie bei Parken und Laden zuerst das Schild des Betreibers. Stimmen Name, Logo und Tarifhinweise mit dem Automaten oder der Säule überein? Gibt es eine offizielle App des Betreibers oder des bekannten Dienstes, die Sie bereits aus dem Store kennen? Nutzen Sie diese dann direkt. Wenn eine Zahlung über QR-Code angeboten wird, kontrollieren Sie vor dem Öffnen, ob der Code Teil der offiziellen Gestaltung ist oder eher wie ein später aufgeklebter Fremdkörper wirkt. Lassen Sie sich auch nicht von einem vermeintlich bekannten Zahlungslogo beruhigen. Das Logo kann missbräuchlich verwendet werden.

Wenn Sie bereits auf der Seite sind, prüfen Sie zusätzlich die Eingabefelder. Wird nur eine Parknummer, eine Ladesäulenkennung oder eine reguläre Zahlung verlangt, oder sollen Sie plötzlich Zugangsdaten, Verifizierungscodes oder vollständige Kartendaten eingeben? Ein unerwarteter Wechsel von einer einfachen Zahlung zu einer umfassenden Identitätsprüfung ist ein Warnsignal. Nutzen Sie lieber die offizielle App, den offiziellen Automaten oder eine alternative Zahlmethode vor Ort. Wenn etwas nicht plausibel ist, brechen Sie ab und zahlen Sie nur über einen Weg, den Sie selbst initiiert haben.

Wenn Sie schon geklickt oder gezahlt haben

Wenn Sie merken, dass Sie auf einer verdächtigen Seite waren oder Daten eingegeben haben, gehen Sie nicht weiter in die Interaktion mit der Seite hinein. Schließen Sie den Vorgang, notieren Sie sich nach Möglichkeit die URL und sichern Sie Belege wie Screenshots. Danach zählt die Reihenfolge der Maßnahmen. Am wichtigsten ist zuerst der betroffene Zugang oder die betroffene Zahlungsquelle. Wenn ein Konto, eine Bankverbindung oder eine Karte betroffen sein könnte, handeln Sie sofort über die offiziellen Kontaktwege Ihres Anbieters oder über den Sperr-Notruf 116 116, sofern Ihre Karte dort unterstützt wird. Polizei und BaFin empfehlen ausdrücklich, Zahlungskarten oder Online-Banking-Zugänge schnell zu sperren.

Als Nächstes sichern Sie die betroffenen Konten von einem Gerät aus, dem Sie vertrauen. Ändern Sie das Passwort des Kontos, das zuerst betroffen ist. Wenn Ihre E-Mail-Adresse damit verbunden ist, schützen Sie auch dieses Konto sofort, weil E-Mail oft der Schlüssel zur Wiederherstellung anderer Zugänge ist. Prüfen Sie anschließend, ob dieselbe Kennung oder dasselbe Passwort noch an anderer Stelle verwendet wird. Falls ja, ändern Sie diese Zugänge ebenfalls. Das BSI empfiehlt im Ernstfall, Passwörter der möglicherweise betroffenen Konten zu ändern und bei finanziellen Schäden Anzeige zu erstatten.

Bei Zahlungen gilt: Beobachten Sie die Kontobewegungen in den folgenden Tagen besonders aufmerksam. Prüfen Sie Online-Banking, Kartenumsätze und etwaige Reservierungen. Wenn Sie eine debit- oder Kreditkarte genutzt haben, dokumentieren Sie unklare Beträge und wenden Sie sich an Ihr Kreditinstitut. Die Polizei weist darauf hin, dass bei Debitkarten zusätzlich eine KUNO-Meldung sinnvoll sein kann. Wenn Sie den Eindruck haben, dass eine Zahlung über einen gefälschten QR-Code ausgelöst wurde, ist außerdem eine Strafanzeige sinnvoll. Das ist kein bürokratischer Reflex, sondern Teil der Schadensbegrenzung und der Beweissicherung.

Praktische Checkliste für Konten und Zahlungen

Die folgende Reihenfolge hat sich als nüchterner Erstplan bewährt. Sie ersetzt keine individuelle Beratung, gibt Ihnen aber einen klaren Ablauf, wenn Sie nach einem Scan unsicher sind oder wenn Sie bereits etwas eingegeben haben.

Vorgang stoppen: Keine weitere Eingabe, keine weitere Bestätigung, keine Rückfrage über denselben Link.
Belege sichern: Screenshot der Zielseite, Foto des QR-Codes, Datum, Ort und wenn möglich der Name des angeblichen Absenders oder Betreibers.
Betroffenen Zugang bestimmen: Ging es um E-Mail, Online-Banking, Karte, Zahlungsdienst oder eine andere Anmeldung?
Passwort des betroffenen Kontos ändern: Von einem vertrauten Gerät aus und nicht über den verdächtigen Link.
E-Mail zuerst sichern: Wenn die betroffene Adresse auch für andere Konten genutzt wird, dort ebenfalls Passwörter und Wiederherstellungswege prüfen.
Bank oder Kartenanbieter kontaktieren: Offizielle Servicenummer, App oder Sperr-Notruf 116 116 nutzen, falls anwendbar.
Kontobewegungen kontrollieren: Kartenumsätze, Überweisungen, Lastschriften und Reservierungen prüfen.
Bei Debitkarten KUNO prüfen: Mit der Polizei oder der Bank klären, ob eine entsprechende Meldung veranlasst werden soll.
Anbieterwege aktualisieren: App neu aus dem offiziellen Store laden, gespeicherte Anmeldedaten prüfen und zweifelhafte Sitzungen abmelden.
Anzeige erstatten: Wenn Daten oder Geld betroffen sind, den Vorfall bei der Polizei melden.

Falls Sie sich bei der Reihenfolge unsicher sind, beginnen Sie mit dem Zugang, der finanziell am meisten Schaden anrichten kann: E-Mail, Bankzugang oder Kartenumgebung. Danach sichern Sie die übrigen Konten. Je schneller Sie den Weg zu neuen Bestätigungen und Wiederherstellungslinks kontrollieren, desto kleiner bleibt die Angriffsfläche. Eine ruhige Reihenfolge ist hier wichtiger als hektisches Klicken.

Wenn Sie nur einen verdächtigen QR-Code gesehen, aber nichts eingegeben haben, genügt oft das Ignorieren und Melden des Vorfalls. Wenn Sie dagegen Daten, PINs, TANs oder Kartendaten eingegeben haben, behandeln Sie den Fall wie einen echten Sicherheitsvorfall. Das ist keine Übertreibung, sondern die vernünftige Einstufung, weil die Zielseite gerade auf diese Daten aus war. Eine schnelle Sperrung ist dann meist hilfreicher als langes Beobachten.

Ein hilfreicher Vier-Schritte-Check für den Alltag

Damit Quishing nicht nur ein theoretisches Risiko bleibt, können Sie sich eine einfache Routine merken. Erstens: Kontext prüfen. Ist der QR-Code wirklich an der Stelle, an der Sie ihn erwarten würden? Zweitens: Quelle prüfen. Gehört der Code sichtbar zum offiziellen Schreiben, Automaten oder Aushang? Drittens: Ziel prüfen. Passt die angezeigte URL zum Anbieter und zum Anlass? Viertens: Vorgang trennen. Wenn etwas nicht passt, öffnen Sie die bekannte Website oder App selbst und geben Sie die Adresse manuell ein. Diese vier Schritte sind kurz genug für den Alltag und streng genug für die meisten Betrugsversuche.

Gerade in Briefen und an öffentlich zugänglichen Geräten hilft es, eine innere Pause einzubauen. Wenn ein Schreiben oder eine Zahlungssituation drängt, ist das kein Zeichen für Sicherheit, sondern oft das Gegenteil. Niemand verliert durch eine Minute Nachdenken legitime Ansprüche. Sie gewinnen aber die Chance, einen Manipulationsversuch zu erkennen, bevor er Geld oder Zugang kostet. Wer QR-Codes mit derselben Nüchternheit behandelt wie unbekannte Links, ist im Alltag deutlich besser geschützt.

Quellen und weiterführende Informationen

Die folgenden offiziellen Quellen bilden die Grundlage dieses Beitrags und eignen sich für eine vertiefende Prüfung einzelner Punkte:

Häufige Fragen

Woran erkenne ich Quishing am ehesten?

Am häufigsten an einer unerwarteten QR-Nutzung, einer drängenden Aufforderung, einem möglichen Sticker über dem Originalcode und einer Zieladresse, die nicht zum Anbieter passt.

Soll ich QR-Codes in Briefen grundsätzlich meiden?

Nicht grundsätzlich, aber besonders streng prüfen. Wenn der Brief Sie unter Zeitdruck setzt oder die Zielseite nicht exakt plausibel ist, sollten Sie lieber den offiziellen Kontaktweg selbst aufrufen.

Was ist bei Parkautomaten und Ladesäulen am wichtigsten?

Prüfen Sie, ob der QR-Code Teil der offiziellen Beschilderung ist, und nutzen Sie nach Möglichkeit die bekannte App oder die manuelle Eingabe statt eines unbekannten Codes.

Was mache ich sofort nach einer verdächtigen Zahlung?

Zahlung stoppen, Belege sichern, Karte oder Online-Banking über den offiziellen Weg sperren lassen, Kontobewegungen prüfen und bei Bedarf Anzeige erstatten.

Muss ich auch mein E-Mail-Konto schützen?

Ja. E-Mail ist oft der Schlüssel zur Wiederherstellung anderer Konten. Wenn Zugangsdaten betroffen sein könnten, sichern Sie zuerst das E-Mail-Konto und ändern Sie anschließend weitere betroffene Passwörter.

Wie gehe ich vor, wenn ich nichts eingegeben habe?

Dann reicht meist das Schließen der Seite, das Ignorieren weiterer Nachrichten und gegebenenfalls das Melden des Vorfalls. Trotzdem sollten Sie den QR-Code notieren, wenn ein offizieller Betreiber informiert werden muss.

Quishing erkennen: QR-Codes sicher scannen, bevor Sie zahlen oder Daten eingeben