Geschrieben von Ein QR-Code wirkt bequem: Kamera öffnen, kurz scannen, fertig. Genau diese Gewohnheit macht die kleinen Quadrate für Betrüger interessant. Beim sogenannten Quishing werden manipulierte QR-Codes eingesetzt, um Menschen auf gefälschte Webseiten zu locken und dort Zugangsdaten oder Zahlungsinformationen abzugreifen.
Die Verbraucherzentrale warnt inzwischen nicht nur vor QR-Codes in E-Mails. Gefälschte Codes wurden auch auf Briefen, Parkautomaten, Ladesäulen, falschen Strafzetteln und Plakaten eingesetzt.
Warum QR-Codes besonders tückisch sind
Bei einem normalen Link kannst du die Internetadresse zumindest sehen. Ein QR-Code versteckt sie zunächst im Muster. Manche Smartphones zeigen die Zieladresse vor dem Öffnen an, andere öffnen sie sehr schnell.
Deshalb gilt: Nicht der QR-Code selbst ist gefährlich – entscheidend ist, wohin er führt.
1. Schau dir den Ort des QR-Codes an
Ein Aufkleber auf einem Parkautomaten oder einer Ladesäule lässt sich relativ leicht über einen echten Code kleben. Prüfe deshalb, ob der Code wie Teil des Originals aussieht oder wie nachträglich aufgeklebt.
Bei Briefen sollte die Frage lauten: Hast du überhaupt mit dieser Bank, Behörde oder Firma zu tun? Unerwartete Aufforderungen zur „Sicherheitsaktualisierung“ sind ein Warnsignal.
2. Zieladresse vor dem Öffnen lesen
Wenn dein Smartphone eine Vorschau der URL anzeigt, schau sie dir genau an. Betrüger verwenden Adressen, die bekannten Marken ähneln, aber zusätzliche Wörter, Bindestriche oder andere Domains enthalten.
Die Verbraucherzentrale nennt als Beispiel Adressen, die auf den ersten Blick wie eine Bankdomain wirken, hinter dem eigentlichen Domainnamen aber noch Zusätze tragen.
3. Bei Bank, Paketdienst oder Behörde lieber selbst die Seite öffnen
Wenn der QR-Code angeblich zu einer Bank, einem Bezahldienst oder einer Behörde führt, öffne die bekannte Website lieber selbst über Browser oder App. So umgehst du den unbekannten Link vollständig.
4. Keine Zugangsdaten nach unerwartetem Scan eingeben
Ein QR-Code, der dich direkt zu Login, Kreditkarteneingabe oder TAN-Freigabe führt, sollte besonders kritisch geprüft werden. Breche im Zweifel ab und rufe den Dienst auf dem gewohnten Weg auf.
5. Zeitdruck ist ein typisches Warnsignal
„Konto wird gesperrt“, „Gebühr sofort bezahlen“ oder „Sicherheitsverfahren heute bestätigen“ sollen dich zum schnellen Handeln bringen. Genau dann lohnt sich eine Pause.
6. QR-Codes auf Rechnungen und Briefen ebenfalls prüfen
Papier wirkt seriös, ist aber kein Sicherheitsmerkmal. Die Verbraucherzentrale berichtet ausdrücklich von gefälschten Bankbriefen mit QR-Codes. Auch gedruckte Schreiben können Teil eines Betrugsversuchs sein.
7. Öffentliche Codes können manipuliert werden
Bei Parkautomaten, Ladesäulen oder Plakaten sollte ein zusätzlicher Aufkleber misstrauisch machen. Wenn möglich, nutze die offizielle App des Anbieters oder gib die Internetadresse selbst ein.
Was tun, wenn du bereits Daten eingegeben hast?
Ändere betroffene Passwörter sofort über die echte Website oder App. Wenn Bank- oder Kreditkartendaten betroffen sind, kontaktiere das Institut unverzüglich. Prüfe Kontobewegungen und sichere Belege.
Eine ausführliche Übersicht über aktuelle QR-Code-Maschen bietet die Verbraucherzentrale zum Thema Quishing.
Die wichtigste Regel: QR-Code wie einen unbekannten Link behandeln
Ein QR-Code ist nichts anderes als ein anderer Weg, eine Adresse zu öffnen. Wenn du bei einem Link in einer verdächtigen E-Mail nicht klicken würdest, solltest du auch den entsprechenden QR-Code nicht bedenkenlos scannen.
Weitere Grundlagen zu Phishing, Passwörtern und Zwei-Faktor-Anmeldung findest du in unserem Ratgeber „Sicher im Internet“. Für betrügerische Shops passt außerdem der geplante Beitrag „Fake-Shops erkennen“.