Das Wichtigste auf einen Blick
- Einem QR-Code sieht man sein Ziel nicht an. Erst die angezeigte Adresse verrät, wohin er führt.
- Typische Fallen sind Aufkleber an Parkautomaten und Ladesäulen, falsche Bankbriefe, falsche Strafzettel und Fotos im Kleinanzeigen-Chat.
- Eine allgemeine Anrede wie „Sehr geehrte Kontoinhaberin“ in einem Bankbrief ist ein Warnzeichen.
- Wer sicher parken oder laden will, nutzt die App des Anbieters, die Ladekarte oder den Automaten selbst.
- Nach einem Betrug zählt Tempo: Bank anrufen, Karte sperren, zum Beispiel über den Sperr-Notruf 116 116, und Anzeige erstatten.
Quishing ist Betrug mit gefälschten QR-Codes. Das Wort setzt sich aus QR-Code und Phishing zusammen. Täter überkleben Codes an Parkautomaten und Ladesäulen oder verschicken sie per Brief und E-Mail. Wer scannt, landet auf einer nachgebauten Seite, die Kreditkartendaten, Passwörter oder den Zugang zum Online-Banking abgreift. Prüfen Sie deshalb vor dem Öffnen die angezeigte Adresse. Haben Sie schon bezahlt oder Daten eingegeben, informieren Sie sofort Ihre Bank und erstatten Sie Anzeige.
Was ist Quishing?
Ein QR-Code ist ein gedrucktes Quadrat, das meist eine Internetadresse enthält. Die Kamera des Smartphones liest ihn, ein Tipp öffnet die Seite. Genau diese Bequemlichkeit nutzen Betrüger. Sie bringen einen eigenen Code in Umlauf, der auf eine gefälschte Seite führt.
Der Unterschied zur klassischen Phishing-Mail: Bei einem Link in einer Mail lässt sich die Adresse oft vorab lesen. Beim QR-Code ist das Ziel verborgen, bis Sie ihn gescannt haben. Darauf weist die Kartengesellschaft EURO Kartensysteme hin. Dazu kommt, dass ein Code auf einem Automaten oder im Briefkopf schnell vertrauenswürdig wirkt.
Das Ziel ist fast immer dasselbe: Kreditkartendaten, Anmeldedaten und PINs. Das Landeskriminalamt Niedersachsen beschreibt Fälle, in denen Opfer auf einer gefälschten Banking-Seite Schritt für Schritt dazu gebracht wurden, ihr echtes Online-Banking freizuschalten. Manche Codes sollen auch Schadsoftware auf das Handy bringen.
Auch Betriebe sind Ziel von Angriffen, siehe unseren Beitrag zu den gehackten Kühlanlagen.
Wo tauchen gefälschte QR-Codes auf?
| Ort | So läuft die Masche | Besser so |
|---|---|---|
| Parkautomat | Ein Aufkleber überdeckt den echten Code, die Seite fragt nach Kreditkartendaten. Die Polizei Frankfurt berichtete von solchen Fällen. | Mit App, Bargeld oder Karte direkt am Automaten zahlen |
| Ladesäule | Überklebter Code führt auf eine falsche Bezahlseite. | Code auf dem Display der Säule nutzen, Lade-App oder Ladekarte |
| Brief der Bank | Ein Schreiben fordert zu einer Sicherheitsprüfung per QR-Code auf, oft ohne Ihren Namen. | Bank über die bekannte Nummer anrufen, nicht über die im Brief |
| Strafzettel | Falscher Zettel unter dem Scheibenwischer, Bezahlung per Code. | Daten prüfen, im Zweifel zur Polizei |
| Angebliche Anmeldebestätigung, Passwort-Änderung oder Rechnung. | Offizielle Seite selbst im Browser aufrufen | |
| Kleinanzeigen | Angeblicher Käufer schickt im Chat ein Foto mit Code für den Käuferschutz. | Nur über die Funktionen des Portals bezahlen |
| Speisekarte, Plakat, Flyer | Überklebter oder selbst gedruckter Code. | Bei Abweichungen beim Personal oder Absender nachfragen |
Quelle: EURO Kartensysteme, Verbraucherzentrale Niedersachsen, hessenschau, ZDF
Woran erkenne ich einen gefälschten QR-Code?
Premiumpresse
Woran erkenne ich einen gefälschten QR-Code?
https://www.premiumpresse.de/quishing-gefaelschte-qr-codes-erkennen/ · Stand 6. November 2026
Vor dem Scannen
Nach dem Scannen, vor dem Öffnen
Auf der geöffneten Seite
Dient der Orientierung und ersetzt keine Rechtsberatung.
QR-Code am Parkautomaten und an der Ladesäule: So zahlen Sie sicher
An Parkautomaten und Ladesäulen muss es oft schnell gehen, und genau das ist der Punkt. Am sichersten ist der Weg ganz ohne Code. Der ADAC rät, direkt über die Park-App zu zahlen oder am Automaten mit Bargeld oder Karte. Auch das Landeskriminalamt Hessen nennt die Bezahl-App als sicherste Lösung.
An der Ladesäule gilt: Hat sie ein Display, scannen Sie den Code dort. Viele Säulen lassen sich außerdem mit Ladekarte oder App eines Anbieters starten. Dann brauchen Sie den Code gar nicht. Einen sichtbar überklebten Code sollten Sie nicht scannen, sondern dem Betreiber melden.
Falscher Brief von der Bank: Was tun?
In den Beratungsstellen des hessischen Landeskriminalamts ging es bisher vor allem um gefälschte Bankbriefe. Warnzeichen ist die Anrede ohne Ihren Namen. Ein weiteres ist der Druck, jetzt sofort per Code etwas bestätigen zu müssen.
Rufen Sie Ihre Bank an, aber nicht über die Nummer oder den Code aus dem Brief. Nehmen Sie die Nummer von Ihrer Karte, aus Ihren Unterlagen oder von der Seite, die Sie selbst aufgerufen haben. Heben Sie den Brief auf. Er kann für eine Anzeige wichtig sein.
Echte Post kann trotzdem kommen, etwa beim Meldedatenabgleich für den Rundfunkbeitrag.
Betrug auf Kleinanzeigen: Der Code im Chat
Die Verbraucherzentrale Niedersachsen warnt Verkäufer vor einem Foto mit angeblicher Zahlungsbestätigung und QR-Code, das im Chat ankommt. Wer scannt, soll auf einer fremden Seite seine Kartendaten eingeben. Eine Frau verlor so beim Verkauf einer Laptoptasche nach Angaben der Verbraucherschützer 5.000 Euro. Echte Käuferschutz-Anfragen laufen über das Portal selbst. Informieren Sie sich vor dem Verkauf, wie die Bezahlung dort abläuft.
QR-Code gescannt, was jetzt?
Wichtig ist, was Sie nach dem Scan getan haben. Das bloße Scannen ohne Öffnen oder Eingabe ist etwas anderes als eine Zahlung.
- Nur gescannt, nichts eingegebenSchließen Sie die Seite und geben Sie nichts ein. Wurde eine Datei oder App geladen, öffnen Sie sie nicht.
- Bank sofort anrufenHaben Sie Kartendaten oder Banking-Zugänge eingegeben oder Geld gezahlt, kontaktieren Sie sofort Ihre Bank und versuchen Sie, Buchungen zu stoppen.
- Karte oder Zugang sperrenDas geht auch über den Sperr-Notruf 116 116, wenn Ihr Institut angeschlossen ist. Ist es das nicht, nutzen Sie die Sperrnummer der Bank.
- Passwörter ändernÄndern Sie betroffene Zugänge von einem anderen, sicheren Gerät aus. Aktivieren Sie die Zwei-Faktor-Anmeldung, wo es sie gibt.
- Anzeige erstattenGehen Sie zur Polizei und nehmen Sie Fotos des Codes, den Brief und Ihre Kontoauszüge mit. Melden Sie Betrüger auch beim Portal.
- Betreiber informierenMelden Sie einen überklebten Code am Automaten oder an der Ladesäule dem Betreiber, damit niemand sonst hereinfällt.
Was Betriebe bei eigenen QR-Codes beachten sollten
Achtung
Aushänge kontrollieren
Wer Codes an der Tür, auf Tischen oder an Automaten nutzt, sollte sie regelmäßig auf Aufkleber prüfen. Das Vorbild ist EasyPark: Codes fest eingedruckt und das öffentlich sagen.
Gut zu wissen
Rechnungen
Weisen Sie Kunden darauf hin, wenn Sie Bezahlcodes auf Rechnungen drucken, und nennen Sie die Kontoverbindung im Klartext daneben.
Gut zu wissen
Beschäftigte
Gefälschte Codes kommen auch per E-Mail als Passwort-Änderung oder Rechnung. Das gehört in die nächste Unterweisung zu Phishing.
Einordnung
Quishing ist keine ausgeklügelte Technik, sondern alter Betrug in neuer Verpackung. Der Code nimmt Ihnen nur den Moment, in dem Sie die Adresse lesen würden. Wer sich angewöhnt, sie zu prüfen und bei Zahlungen die App oder den Automaten zu nehmen, schließt die meisten Fälle aus. Wie viele Schäden es tatsächlich gibt, bleibt unklar: Unsere Quellen nennen Warnungen und Einzelfälle, aber keine Gesamtzahl. Auch die Mitteilung von EURO Kartensysteme spricht nur davon, dass die Masche zunimmt.
Häufige Fragen
Was ist Quishing?
Quishing ist Betrug mit gefälschten QR-Codes. Der Code führt auf eine nachgebaute Seite, die Kartendaten, Passwörter oder Zugänge zum Online-Banking abgreift. Das Wort setzt sich aus QR-Code und Phishing zusammen.
Ist das bloße Scannen eines QR-Codes gefährlich?
Gefährlich wird es meist erst, wenn Sie die Seite öffnen und Daten eingeben oder eine Datei laden. Prüfen Sie deshalb die angezeigte Adresse. Bei einem Download außerhalb offizieller Stores brechen Sie sofort ab.
Was tun, wenn ich auf einen QR-Code hereingefallen bin?
Kontaktieren Sie sofort Ihre Bank und lassen Sie Buchungen stoppen. Sperren Sie die Karte, ändern Sie betroffene Passwörter und erstatten Sie Anzeige bei der Polizei.
Wie zahle ich am Parkautomaten sicher?
Der ADAC rät zur App des Parkdienstes oder zur Zahlung mit Bargeld oder Karte direkt am Automaten. Scannen Sie keinen sichtbar überklebten Code.
Woran erkenne ich einen gefälschten Bankbrief?
Warnzeichen sind eine allgemeine Anrede ohne Ihren Namen und die Aufforderung, sofort per Code etwas zu bestätigen. Fragen Sie bei der Bank über eine selbst herausgesuchte Nummer nach.
Quellen
- EURO Kartensysteme, Mitteilung vom 04.11.2026
- Verbraucherzentrale Niedersachsen: Betrug mit QR-Codes
- hessenschau: Polizei warnt vor Quishing, 17.12.2024
- ZDFheute: So schützen Sie sich, 27.02.2025
- Deutsche Handwerks Zeitung (dpa): QR-Codes auf Kleinanzeigenportalen, 23.01.2025
Stand: 6. November 2026. Redaktion Premiumpresse. Der Abschnitt „Einordnung“ ist eine Einschätzung der Redaktion. Der Beitrag ersetzt keine Rechts- oder Finanzberatung.
