Was ist Quishing? So funktioniert der Betrug mit QR-Codes

Ein QR-Code am Parkautomaten sieht harmlos aus. Genau darauf setzen Betrüger. Beim Quishing führt das kleine Quadrat nicht zur Bezahlseite, sondern direkt in eine Falle.

Der Begriff Quishing verbindet „QR“ mit „Phishing“. Kriminelle nutzen manipulierte QR-Codes, um dich auf gefälschte Webseiten zu locken. Dort sollen Zugangsdaten, Kreditkartennummern oder Bankdaten abgegriffen werden. Manche Codes können auch einen unerwünschten Download starten.

So funktioniert Quishing im Alltag

Ein QR-Code verrät vor dem Scannen nicht, welches Ziel dahintersteckt. Betrüger kleben deshalb eigene Aufkleber über echte Codes an Parkautomaten oder Ladesäulen. Sie verschicken Codes außerdem in angeblichen Bankbriefen, Rechnungen und E-Mails. Nach dem Scan erscheint eine Seite, die dem Original oft erstaunlich ähnlich sieht.

Die Masche ist eine Variante von Phishing. Statt auf einen sichtbaren Link zu klicken, scannst du ein Bild. Dadurch fällt die falsche Adresse weniger schnell auf. Zeitdruck verstärkt den Effekt: Angeblich läuft ein Parkticket ab, ein Konto muss bestätigt oder eine offene Rechnung sofort bezahlt werden.

Woran du einen falschen QR-Code erkennst

• Am Automaten klebt ein Aufkleber über einem zweiten Code.
• Ein Brief fordert ungewöhnlich dringend zum Scannen auf.
• Die Vorschau zeigt eine unbekannte oder falsch geschriebene Internetadresse.
• Nach dem Scan werden PIN, TAN oder vollständige Kartendaten verlangt.
• Die Seite möchte eine App außerhalb des offiziellen App-Stores installieren.

Scanne einen Code nur, wenn seine Herkunft nachvollziehbar ist. Prüfe die angezeigte Adresse, bevor du sie öffnest. Bei Zahlungen solltest du die bekannte App oder die selbst eingegebene Webseite des Anbieters nutzen. Wie das Quadrat technisch arbeitet, erklären wir in unserem Beitrag über den QR-Code.

Was du nach einem verdächtigen Scan tun solltest

Hast du nur gescannt, aber nichts eingegeben und nichts heruntergeladen, schließe die Seite. Wurden Zugangsdaten übermittelt, ändere das Passwort über die echte Webseite. Nutzt du dasselbe Passwort mehrfach, musst du es auch bei den anderen Diensten ersetzen. Eine aktivierte Zwei-Faktor-Authentisierung kann verhindern, dass ein gestohlenes Passwort allein genügt.

Bei übermittelten Bank- oder Kartendaten solltest du sofort deine Bank kontaktieren, Karten sperren lassen und verdächtige Buchungen dokumentieren. Erstatte bei einem Schaden Anzeige. Informiere außerdem den Betreiber des Automaten oder die Firma, deren Name missbraucht wurde. So kann der falsche Code schneller entfernt werden.

Unterm Strich: Nicht jeder QR-Code ist gefährlich. Behandle ihn aber wie einen unbekannten Link. Erst Ziel prüfen, dann öffnen und sensible Daten niemals unter Zeitdruck eingeben.

Häufige Fragen zu Quishing

Kann ein QR-Code allein mein Handy infizieren?

Das bloße Bild tut zunächst nichts. Gefährlich wird das Ziel, das sich nach dem Scannen öffnet. Dort können Betrüger dich zur Eingabe von Daten oder zu einem Download verleiten. Installiere nichts und prüfe die Adresse, bevor du weitergehst.

Was soll ich tun, wenn ich Bankdaten eingegeben habe?

Kontaktiere sofort deine Bank über eine selbst geprüfte Telefonnummer, sperre betroffene Karten oder Zugänge und ändere kompromittierte Passwörter. Sichere Belege und erstatte bei einem finanziellen Schaden Anzeige. Warte nicht darauf, ob vielleicht doch nichts passiert.

Wie erkenne ich einen überklebten QR-Code?

Prüfe am Automaten, ob der Code wie ein zusätzlicher Aufkleber wirkt, Kanten abstehen oder ein zweiter Code darunterliegt. Im Zweifel nutzt du die offizielle App oder gibst die bekannte Webadresse des Anbieters selbst ein.

Ist Bezahlen per QR-Code grundsätzlich unsicher?

Nein. Ein QR-Code ist nur eine Methode, Informationen zu übertragen. Entscheidend sind Quelle, Zieladresse und der anschließende Bezahlvorgang. Bestätige keine Zahlung, deren Empfänger oder Betrag du nicht eindeutig geprüft hast.