Betrug mit QR-Codes (Quishing): Link prüfen und nach dem Scannen richtig handeln
Ein QR-Code kann zu einer gefälschten Anmeldung, einer betrügerischen Bezahlseite oder einem schädlichen Download führen. Der Code beweist weder, wer ihn erstellt hat, noch dass sein Ziel sicher ist.
Haben Sie einen QR-Code gescannt?
Entscheidend ist, was danach passiert ist. Wählen Sie die passende Situation.
Nur Linkvorschau
Kamera oder Scanner haben die Adresse angezeigt, aber Sie haben die Website nicht geöffnet.
Vorgehen ansehen →Seite geöffnet, keine Daten eingegeben
Die Website wurde geöffnet, aber Sie haben nichts eingegeben, bestätigt oder heruntergeladen.
Vorgehen ansehen →Passwort oder Kartendaten eingegeben
Sie haben Zugangsdaten, Kartendaten oder andere sensible Angaben eingegeben.
Vorgehen ansehen →Zahlung, Download oder Zugriff
Sie haben einen Vorgang bestätigt, eine App installiert oder Berechtigungen erteilt.
Sofortmaßnahmen öffnen →Warum QR-Codes Betrügern helfen
Quishing ist Phishing über einen QR-Code. Die Adresse steckt in einem Bild. Häufig wechseln Menschen vom Computer zum Smartphone, wo die vollständige Domain schwerer zu prüfen ist.
Verbirgt die tatsächliche Adresse
Das Ziel steht nicht direkt im Nachrichtentext. Es wird erst nach dem Scannen sichtbar.
Verlagert den Vorgang aufs Smartphone
Auf einem kleineren Bildschirm lässt sich eine veränderte oder betrügerische Domain leichter übersehen.
Kann manche E-Mail-Prüfungen umgehen
Der Link steckt in einem Bild, einem PDF-Anhang oder einem Dokument statt in einer üblichen Textschaltfläche.
Ahmt einen bekannten Dienst nach
Eine gefälschte Seite kann das richtige Logo, passende Farben und professionelles Design verwenden.
Ein Bild macht einen Link nicht vertrauenswürdig
Ein QR-Code kann einen Phishing-Link verbergen und Sie auf ein anderes Gerät führen. Halten Sie inne und prüfen Sie das Ziel, statt einer unerwarteten Aufforderung automatisch zu folgen.
Weitere Hinweise: NCSC (Englisch)So läuft Betrug mit QR-Codes ab
Zuerst schafft der Täter einen glaubwürdigen Grund zum Scannen. Danach versucht er, ein Passwort, Kartendaten, eine Zahlungsfreigabe oder Gerätezugriff zu erhalten.
E-Mail, PDF oder aufgeklebter Code
Der Code kommt per Nachricht oder Dokument oder erscheint auf einem Plakat, Automaten oder einer Rechnung.
Dringende Aufforderung
Angeblich ist Ihr Konto gefährdet, ein Paket wartet oder eine Zahlung muss bestätigt werden.
Scannen mit dem Smartphone
Der QR-Code verbirgt die Adresse und verlagert den Vorgang auf ein Mobilgerät.
Gefälschte Website
Die Seite imitiert eine Bank, einen Paketdienst, Microsoft, eine Behörde oder einen anderen Dienst.
Aufforderung zur Dateneingabe
Die Seite verlangt ein Passwort, Kartendaten, eine Verifizierung oder eine Installation.
Missbrauch von Konto oder Geld
Der Angreifer nutzt die Daten zur Kontoübernahme, für eine Zahlung oder weiteren Betrug.
Wo betrügerische QR-Codes auftauchen können
QR-Codes sind nicht an sich gefährlich. Das Risiko hängt von Quelle, Zieladresse und der Aufforderung nach dem Öffnen ab.
E-Mail oder PDF
Die Nachricht behauptet, Ihr Passwort laufe ab, Ihr Konto müsse verifiziert werden, ein Dokument warte auf Ihre Unterschrift oder es gebe ungewöhnliche Aktivitäten.
Parkautomat oder Plakat
Ein Aufkleber kann den ursprünglichen QR-Code verdecken. Sie glauben, eine Parkgebühr zu bezahlen oder offizielle Informationen aufzurufen.
Paket oder Nachzahlung
Mit dem Code sollen Sie angeblich eine Adresse ändern, ein Paket bestätigen oder einen kleinen Betrag nachzahlen.
Rechnung und QR-Zahlung
Ein gefälschtes oder verändertes Dokument kann Kontonummer, Betrag und weitere Zahlungsdaten vorgeben.
Falscher Bankmitarbeiter
Der QR-Code soll angeblich eine Zahlung stornieren, einen Kunden verifizieren oder Geld auf ein sicheres Konto verschieben.
Ticket, Anmeldung oder Gewinnspiel
Der Code kann Teil eines gefälschten Tickets, Rabatts, Events, Gutscheins oder Spendenaufrufs sein.
Was Sie vor dem Öffnen prüfen sollten
Sie müssen den QR-Code nicht technisch analysieren. Unterbrechen Sie Ihre spontane Reaktion und stellen Sie sich einige einfache Fragen.
Wer hat mir den Code geschickt?
Kennen Sie den Absender und haben Sie überprüft, ob sein Konto möglicherweise übernommen wurde?
Habe ich diese Aufforderung erwartet?
Haben Sie ein Dokument, ein Paket, eine Zahlung oder eine Einstellungsänderung angefordert?
Welche Adresse wird geöffnet?
Prüfen Sie die vollständige Domain auf Tippfehler, zusätzliche Wörter und eine ungewöhnliche Endung.
Verlangt die Seite Passwort, Karte oder Zahlung?
Eine unerwartete Aufforderung zu sensiblen Angaben ist ein Grund, die Seite zu schließen und den Vorgang anders zu prüfen.
Kann ich den Dienst direkt öffnen?
Nutzen Sie die offizielle App, ein eigenes Lesezeichen oder eine selbst eingegebene Adresse.
microsoft.com
microsoft-kontopruefung.example
Über einen unerwarteten QR-Code weder anmelden noch bezahlen
Ein QR-Code bietet keinen besonderen Schutz. Er ersetzt lediglich die manuelle Eingabe eines Links, von Zahlungsdaten oder einer anderen Anweisung.
Kein Passwort eingeben
Öffnen Sie die Anmeldung direkt über die offizielle App oder eine bekannte Website.
Keine Kartendaten eingeben
Eine unerwartete Aufforderung zu einer kleinen Zahlung kann dazu dienen, vollständige Kartendaten zu stehlen.
Keine unerwarteten Vorgänge bestätigen
Bestätigen Sie keine Zahlung, keinen neuen Empfänger und keine Anmeldung, die Sie nicht selbst veranlasst haben.
Keine App oder kein Profil herunterladen
Installieren Sie auf Anweisung der Seite keine Datei, kein Zertifikat, Konfigurationsprofil oder Programm.
Keinen Fernzugriff erlauben
Ein QR-Code ist kein Grund, den Bildschirm zu teilen oder einer fremden Person die Gerätesteuerung zu erlauben.
Keine Kryptowährung oder Codes senden
Ein Freigabecode, eine Seed-Phrase oder eine Kryptoüberweisung ist keine gewöhnliche Verifizierung.
Was tun, wenn Sie den QR-Code bereits gescannt haben?
Das Scannen allein muss noch keinen Schaden bedeuten. Entscheidend ist, ob Sie eine Seite geöffnet, Daten eingegeben, einen Vorgang bestätigt oder Zugriff erlaubt haben.
Ich habe nur die Linkvorschau angesehen
- Öffnen Sie den Link nicht.
- Schließen Sie die QR-Code-Vorschau.
- Dokumentieren Sie bei Bedarf die Nachricht oder den aufgeklebten Code.
- Prüfen Sie die Aufforderung über einen anderen Kanal.
Ich habe die Seite geöffnet, aber nichts eingegeben
- Schließen Sie die Seite.
- Laden Sie nichts herunter und erteilen Sie keine Berechtigungen.
- Prüfen Sie Ihre Downloads.
- Aktualisieren Sie Browser und Betriebssystem.
Ich habe mein Passwort eingegeben
- Ändern Sie das betroffene Passwort über die offizielle App oder eine bekannte Website auf einem sicheren Gerät.
- Ist Ihr E-Mail-Konto betroffen, sichern Sie es zuerst.
- Beenden Sie andere aktive Sitzungen.
- Aktivieren Sie die Mehrfaktor-Authentifizierung.
- Ändern Sie wiederverwendete Passwörter auch bei anderen Diensten.
Ich habe meine Kartendaten eingegeben
- Kontaktieren Sie Ihre Bank sofort über ihre offizielle Rufnummer.
- Sperren Sie die Karte nach den Anweisungen Ihrer Bank.
- Prüfen Sie Ihre Kartenumsätze.
- Reagieren Sie nicht auf weitere Aufforderungen des Täters.
Ich habe eine Zahlung bestätigt oder Geld gesendet
- Kontaktieren Sie sofort Ihre Bank.
- Erklären Sie, dass Sie einen Betrug vermuten.
- Bewahren Sie Betrag, Empfänger und Transaktionszeit auf.
- Senden Sie keine weitere Zahlung.
- Melden Sie den Betrugsverdacht der örtlich zuständigen Polizei.
Ich habe eine App installiert oder Zugriff erlaubt
- Trennen Sie das Gerät vom Internet.
- Beenden Sie die Fernzugriffssitzung.
- Kontaktieren Sie Ihre Bank von einem anderen sicheren Gerät aus.
- Ändern Sie wichtige Passwörter auf einem sicheren Gerät.
- Folgen Sie der Anleitung für Vorfälle mit Fernzugriff.
Nach der Dateneingabe schnell handeln
Beenden Sie die Kommunikation und bestätigen Sie nichts Weiteres. Kontaktieren Sie je nach Situation Ihre Bank oder den offiziellen Support über Ihnen bekannte Kontaktdaten.
Was Sie aufbewahren sollten
Teilen Sie sensible Angaben nicht öffentlich. Bewahren Sie nur Unterlagen auf, die Ihrer Bank, dem Dienstanbieter oder der Polizei helfen können.
QR-Code und ursprüngliche Nachricht
Screenshot des Codes, ursprüngliche E-Mail, SMS, PDF oder Foto des Aufklebers.
Adresse und Absender
URL der Seite, E-Mail-Adresse, Rufnummer, Profil und Zeitpunkt des Kontakts.
Zahlung, Datei oder App
Zahlungsbestätigung, Kontonummer sowie Name einer heruntergeladenen Datei oder installierten App.
Betrug mit QR-Codes — FAQ
Ist jeder QR-Code gefährlich?
Nein. QR-Codes sind eine verbreitete Technologie. Gefährlich kann der Inhalt sein, zu dem ein bestimmter Code führt.
Kann schon das Scannen mein Smartphone kompromittieren?
Die reine Anzeige einer Linkvorschau bedeutet normalerweise keine Kompromittierung. Das Risiko steigt beim Öffnen einer Seite, Herunterladen einer Datei, Installieren einer App oder Eingeben von Daten.
Wie erkenne ich das Ziel eines QR-Codes?
Prüfen Sie vor dem Öffnen die Adressvorschau. Achten Sie auf den genauen Domainnamen, Tippfehler, zusätzliche Wörter und eine ungewöhnliche Endung.
Kann ich mit einem QR-Code sicher bezahlen?
QR-Zahlungen können seriös sein. Nutzen Sie eine vertrauenswürdige Quelle und prüfen Sie vor der Freigabe Betrag, Währung, Empfänger und Kontonummer. Wählen Sie bei Unklarheiten einen anderen Zahlungsweg.
Kann ein QR-Code in einem PDF betrügerisch sein?
Ja. Logo, Unterschrift oder professionelles PDF-Design beweisen weder die Echtheit des Dokuments noch der Zieladresse.
Warum sendet der Täter keinen normalen Link?
Ein QR-Code verbirgt die Adresse in einem Bild und führt häufig aufs Smartphone, wo die vollständige Domain schwerer zu prüfen ist.
Was, wenn mein Arbeitgeber oder ein bekannter Kontakt den Code geschickt hat?
Prüfen Sie die Aufforderung über einen anderen bekannten Kanal. Das Konto des echten Absenders könnte übernommen oder seine Identität nachgeahmt worden sein.
Wo kann ich einen betrügerischen QR-Code melden?
Wenden Sie sich je nach Situation an Dienstanbieter, Bank, Standortbetreiber, Arbeitgeber, Paketdienst oder örtliche Polizei. Sie können auch DPP einen Hinweis senden.
Betrügerischen QR-Code entdeckt?
Senden Sie DPP einen Link, Screenshot oder eine kurze Beschreibung. Eine Meldung an dieses tschechische Projekt ersetzt weder den Kontakt zur Bank noch eine Anzeige bei der Polizei. Das Meldeformular ist derzeit auf Tschechisch.
Weitere Hinweise und Navigation
Verlinkte Detailanleitungen und Werkzeuge sind derzeit auf Tschechisch, sofern noch keine Übersetzung vorliegt.
Europäisches Verbraucherzentrum: Quishing (Deutsch)
Zurück zur Betrugsübersicht