Spam und PhishingRatgeber
Betrug mit QR-Codes: wie Quishing funktioniert und wie du dich schützt
Beim Quishing führen manipulierte QR-Codes auf gefälschte Seiten, die Zugangsdaten, Kartendaten oder Geld abgreifen. Sie tauchen in Briefen, Mails, an Parkautomaten, Ladesäulen und auf falschen Strafzetteln auf. Scanne nur Codes, deren Echtheit du sicher einschätzen kannst, prüfe die Adresse vor dem Öffnen und lass nach einer Dateneingabe sofort Karten und Zugänge sperren.
Einem QR-Code sieht man nicht an, wohin er führt. Kriminelle verteilen deshalb manipulierte Codes, die auf gefälschte Internetseiten leiten, um Daten oder Geld zu erbeuten [2]. Die Masche heißt Quishing, eine Wortkreuzung aus "QR-Code" und "Phishing" [1]. Die Polizeiliche Kriminalprävention zählt Parkscheinautomaten, Ladesäulen, Strafzettel, Tischaufsteller in Restaurants, Mietfahrzeuge und E-Scooter sowie Briefe und Paketkarten zu den typischen Orten [1].
So funktioniert Quishing
Hinter dem Code steckt eine Internetadresse. Sie führt auf eine Seite, die einem offiziellen Portal täuschend ähnlich sieht und dort Passwörter, Logins oder Bankverbindungen abfragt [1]. Schutzprogramme erfassen die in QR-Codes versteckten Adressen oft nicht, anders als schädliche Links in E-Mails [1]. Das BSI erklärt das damit, dass Virenscanner einen QR-Code als harmloses Bild einstufen [6]. QR steht für "Quick Response", also schnelle Antwort [3]. Quishing kann nach Einschätzung des BSI überall lauern, wo QR-Codes zur Information oder zum Bezahlen eingesetzt werden [5].
Gescannt wird meist mit dem Smartphone. Nach einer Warnung des BSI vom 01.04.2026 nutzen Angreifer Smartphones gezielt als Einfallstor und umgehen so klassische Sicherheitsbarrieren [4]. Dieselbe Warnung beschreibt eine Welle von Quishing mit Nachrichten, die mit künstlicher Intelligenz geschrieben sind und deshalb sprachlich einwandfrei wirken; betroffen seien besonders Kundinnen und Kunden deutscher Banken [4].
Wo falsche QR-Codes auftauchen
Die Verbraucherzentrale beschreibt Fälle per Mail, per Post und im öffentlichen Raum [2]. Die Maschen ähneln sich: Ein Code soll eine Zahlung, eine Freischaltung oder eine Aktualisierung erledigen und führt stattdessen auf eine Fälschung.
Briefe und Mails im Namen von Banken
Kriminelle verschicken gefälschte Schreiben im Namen von Banken, etwa zur angeblichen Aktualisierung des E-Bankings oder eines photoTAN-Verfahrens [2]. Der Code im Brief führt auf eine Phishing-Seite; in manchen Fällen werden direkt Geldtransfers ausgelöst [2]. Auffällig sind laut Verbraucherzentrale eine allgemeine Anrede wie "Sehr geehrte Kontoinhaberin, sehr geehrter Kontoinhaber", umständliche Schlussformeln und Briefe von einer Bank, bei der man gar kein Konto hat [2]. Auch per Mail kommen solche Aufforderungen; erste Fälle gab es nach Angaben der Verbraucherzentrale Anfang 2021 [2]. Quishing per Mail ist laut Verbraucherzentrale eher selten, zuletzt ging es dort um angebliche Umfragen mit Dankesgeschenk im Namen eines Automobilclubs [2]. Die Verbraucherzentrale Niedersachsen verweist bei gefälschten Bankbriefen auf eine Warnung des Landeskriminalamts Niedersachsen und rät, die Bank bei Zweifeln über selbst recherchierte Kontaktdaten zu fragen und nicht über die im Brief genannten [3].
Parkautomaten und Ladesäulen
An Parkscheinautomaten kleben Täter gefälschte Codes über die Originale [1]. Der ADAC berichtet von Fällen, in denen der Aufkleber auf eine nachgebaute Seite eines Park-App-Anbieters führte, die eine Sofortzahlung vortäuschte und Kreditkartendaten abgreifen sollte [7]. Die Fälschung war nach Angaben der Verbraucherzentrale an fehlenden Umlauten zu erkennen und daran, dass sich längere Parkzeiten wählen ließen, als die Zone erlaubt [2]. An Ladesäulen für Elektroautos werden echte Bezahlcodes ebenfalls überklebt [2, 3]. Wer den falschen Code scannt, gibt auf einer täuschend echten Seite unwissentlich seine Kontodaten preis [3]. Fälle an Parkautomaten wurden laut ADAC unter anderem aus Bad Harzburg, Goslar, Celle und Hannover sowie aus Köln und Dortmund gemeldet [7].
Restaurants, Mietfahrzeuge und Paketkarten
Die Polizei nennt weitere Stellen, an denen gefälschte Codes kleben oder liegen [1]. In der Gastronomie sind es präparierte Aufkleber auf Tischaufstellern, über die man angeblich bestellen oder bezahlen soll. Bei Mietfahrzeugen und E-Scootern sollen falsche Codes das Fahrzeug angeblich freischalten. Briefe und Paketkarten fordern über einen Code vermeintliche Zoll- oder Zustellgebühren [1]. In allen Fällen gilt dieselbe Prüfung: Stammt der Code sicher vom Anbieter, und passt die Adresse dahinter?
Strafzettel, Plakate und Ablesebriefe
Falsche Knöllchen mit QR-Code werden unter Scheibenwischer geklemmt und versprechen eine schnelle Überweisung [1, 3]. Die Verbraucherzentrale nennt außerdem gefälschte Plakate in Bussen und Bahnen, die ein Deutschlandticket versprechen und hinter dem Code persönliche Daten abfragen; diese Plakate bestanden aus zwei zusammengeklebten DIN-A4-Blättern [2]. Die Verbraucherzentrale Niedersachsen beschreibt einen Ablesebrief für Wasser und Strom, dessen Code statt zur Zählerstandsmeldung auf eine Werbeseite führte; ein Verbraucher schloss dort ein Abo bei einem Videoportal ab [3].
Woran du einen manipulierten Code erkennst
Ein nachträglich aufgeklebter Sticker ist ein Warnzeichen. Die Polizei nennt einen überklebten Code mit fühlbaren Rändern "ein klares Warnsignal" [1]. Das BSI rät, öffentliche Codes nicht ungeprüft zu scannen und darauf zu achten, ob sie nachträglich aufgeklebt, schief, doppelt oder überklebt sind [5]. Laut ADAC empfiehlt das Landeskriminalamt Niedersachsen, genau hinzusehen und eine Ecke des Aufklebers anzuheben, um einen darunterliegenden Code zu entdecken [7].
Die zweite Prüfung gilt der Adresse, die nach dem Scan erscheint. Sie muss exakt zum Anbieter passen; achte auf Buchstabendreher, Sonderzeichen und verdächtige Zusätze [1]. Die Verbraucherzentrale zeigt als Beispiel eine Fälscherseite, bei der hinter der Endung ".de" ein Bindestrich mit weiteren Zeichen folgt; bei einer echten Adresse steht dort nur ein Schrägstrich oder gar nichts [2]. Kurzlinks, deren Ziel du nicht siehst, und fremde Domains sind Grund für Misstrauen [3, 5].
Auch die Seite selbst verrät Fälschungen. Seriöse Zahlungsdienste zeigen nach Angaben der Polizei zuerst Tarif- oder Produktinformationen, bevor sie Bezahldaten verlangen [1]. Fehlt eine verschlüsselte HTTPS-Verbindung oder wirkt das Design fehlerhaft, brichst du den Vorgang ab [1].
| Ort | Warnzeichen | Sicherer Weg |
|---|---|---|
| Brief oder Mail einer Bank | allgemeine Anrede, Bank ohne eigenes Konto, Aufforderung zur Aktualisierung [2] | Bank über selbst recherchierte Nummer anrufen [3] |
| Parkautomat | Aufkleber über dem Original, fehlende Umlaute, unrealistische Parkdauer [1, 2] | offizielle App aus dem App-Store, Zonennummer selbst eingeben [1, 7] |
| Ladesäule | überklebter Code [3] | Code auf dem Display, App oder Ladekarte nutzen [5] |
| Strafzettel | QR-Code mit Bitte um schnelle Zahlung [1] | im Zweifel bei der Polizei nachfragen [3] |
| Plakat in Bus oder Bahn | zusammengeklebte Blätter statt großem Druck [2] | beim Fahrpersonal nachfragen [2] |
Sicher scannen und bezahlen
Die Verbraucherzentrale rät, einen QR-Code nur dann zu scannen, wenn du dir über seine Echtheit sicher bist [2]. Dazu gehört, dass du die Adresse vor dem Öffnen sehen kannst. Zeigt die Kamera-App sie nicht an, empfiehlt die Verbraucherzentrale einen Scanner, der das tut [2]. Das BSI rät, Links nicht automatisch öffnen zu lassen und Adressen wenn möglich von Hand einzugeben [4, 5].
Für Bezahlvorgänge im öffentlichen Raum empfiehlt die Polizei die offizielle App des Anbieters, in die du Zonen- oder Stationsnummer selbst eintippst [1]. Der ADAC rät, Park-Apps aus dem App-Store von Apple oder Google zu laden und nicht über einen QR-Code; wo möglich, zahlst du bar oder mit Karte direkt am Automaten [7]. An Ladesäulen nutzt du im Zweifel den Code auf dem Display, die App oder die Ladekarte [5]. Hast du Zweifel, scannst du nicht und wählst einen anderen Bezahlweg [1].
Bei Post und Mails hilft ein Rückruf. Das BSI rät, in verdächtigen E-Mails keine QR-Codes zu scannen, so seriös die Nachricht auch wirkt, und die Organisation auf einem anderen Weg, etwa telefonisch, zu fragen [6]. Die Telefonnummer suchst du selbst heraus, statt die aus dem Schreiben zu verwenden [2, 3]. Ob deine Bank wirklich etwas von dir will, siehst du auch im echten Online-Banking, das du selbst aufrufst [2]. Weitere Merkmale gefälschter Nachrichten zeigt Phishing-Mails erkennen, Phishing per SMS erklärt der Ratgeber Phishing und Smishing auf handy.rocks.
Wenn du schon Daten eingegeben hast
Für den Schadensfall nennt die Polizei vier Schritte [1]:
- Debit- oder Kreditkarte über den Sperr-Notruf 116 116 sperren lassen [1]. Er ist rund um die Uhr erreichbar und sperrt neben Karten auch das Online-Banking [8].
- Passwörter der betroffenen Konten ändern, zuerst das E-Mail-Konto, dann Online-Banking und Zahlungsdienste, und wo möglich die Anmeldung in zwei Schritten einschalten [1].
- Anzeige bei der Polizei oder über die Onlinewache erstatten und für die Debitkarte zusätzlich eine KUNO-Meldung veranlassen, die die Karte für Lastschriften sperrt [1].
- Kontoauszüge prüfen und unberechtigte Lastschriften im Online-Banking zurückbuchen lassen [1].
Das BSI rät Betroffenen, sofort die Bank zu kontaktieren und Anzeige zu erstatten [4]. Die Verbraucherzentrale nennt dafür die Onlinewache der Polizei deines Bundeslands und rät, Zugangsdaten sofort zu ändern, vor allem für das Online-Banking [2]. Wie du nach einem Klick auf eine gefälschte Seite weiter vorgehst, beschreibt Auf einen Phishing-Link geklickt. Die Reihenfolge aller Schritte nach einem Betrug zeigt der Notfallplan nach Betrug.
Gefälschte Codes und Phishing-Seiten kannst du anonym beim Phishing-Radar der Verbraucherzentrale Nordrhein-Westfalen melden [1]. Andere Meldewege für Spam und Phishing stehen unter Spam und Phishing melden.
- Behörde Quishing: Wenn ein QR-Code zur Falle wird. Polizeiliche Kriminalprävention der Länder und des Bundes. Stand 16.10.2026. abgerufen am 29.10.2026
- Organisation "Quishing": Falsche QR-Codes in Mails, Briefen, ÖPNV und Straßenverkehr. Verbraucherzentrale Bundesverband, verbraucherzentrale.de. Stand 23.10.2025. abgerufen am 29.10.2026
- Organisation Betrug mit QR-Codes: Quishing, so schützen Sie sich. Verbraucherzentrale Niedersachsen. Stand 03.02.2025. abgerufen am 29.10.2026
- Behörde KI-gestützte QR-Code-Betrügereien (Newsletter Einfach Cybersicher). Bundesamt für Sicherheit in der Informationstechnik. Stand 01.04.2026. abgerufen am 29.10.2026
- Behörde Quishing: Gefahren durch QR-Codes erkennen und vermeiden (Newsletter Einfach Cybersicher). Bundesamt für Sicherheit in der Informationstechnik. Stand 03.06.2026. abgerufen am 29.10.2026
- Behörde Passwortdiebstahl durch Phishing. Bundesamt für Sicherheit in der Informationstechnik. Stand ohne Datum. abgerufen am 29.10.2026
- Organisation Dreister Betrug mit QR-Codes: Quishing an Parkautomaten. ADAC. Stand 27.06.2025. abgerufen am 29.10.2026
- Organisation Sperr-Notruf 116 116. Sperr-Notruf 116 116 e.V.. Stand ohne Datum. abgerufen am 29.10.2026
Zuletzt geprüft am 30.10.2026, nächste Prüfung spätestens im Oktober 2027. Fehler entdeckt? Schreib uns.
