Prof. Dr. Dennis-Kenji Kipker forscht und berät als Direktor des cyberintelligence.institute international zu Cybersicherheit, digitaler Resilienz sowie IT-Recht in China und den USA. Er ist Teil unseres Expertennetzwerks EXPERTS Circle.

Wie Betrüger QR-Codes im Alltag ausnutzen

Besonders häufig sind überklebte Codes an Parkscheinautomaten oder Ladesäulen: 
Der Aufkleber sieht zwar offiziell aus, führt aber zu einer Fake-Version der eigentlichen Bezahlseite. Auch falsche Zettel am Auto oder im Briefkasten sind beliebt: angebliche Strafzettel, Paketbenachrichtigungen oder „Kontosicherheits“-Briefe, die zum Scan auffordern. 

Parkautomat, Restaurant, Briefkasten: Die häufigsten Quishing-Fallen

Die einfachste Variante ist ein Sticker: Ein echter QR-Code wird überklebt. Der Scan führt dann nicht zur Stadt, zum Betreiber oder zur bekannten App, sondern zu einer täuschend echten Kopie. Dort sollen Sie Zahlungsdaten eingeben oder sich anmelden. Oft wird dann eine plausible Geschichte erzählt: „Zahlung fehlgeschlagen, bitte erneut versuchen“ – während die persönlichen Daten in Wirklichkeit längst abgegriffen sind. 

Warum Quishing am Smartphone besonders erfolgreich ist

Am Smartphone ist die Falle besonders wirksam: Der Bildschirm ist klein, die Adresse wird gekürzt angezeigt, und ein professionelles Design wirkt vertraut. Dazu kommt sozialer Druck: Der Parkschein läuft, die Schlange steht hinter Ihnen, das Restaurant wartet. Wer dann Karten- oder Login-Daten eingetippt hat, verliert nicht nur Geld. 

Vier einfache Regeln: So erkennen Sie gefährliche QR-Codes sofort

Wenn ein QR-Code im öffentlichen Raum klebt, lohnt sich ein kurzer Blick:

1. Wirkt der Code wie ein Aufkleber über einem anderen? Dann nicht scannen.
2. Nutzen Sie für Zahlungen möglichst den direkten Weg: offizielle App öffnen oder die bekannte Webadresse selbst eintippen.
3. Lassen Sie sich die Zieladresse anzeigen, bevor Sie sie öffnen (viele Kamera-Apps und Scanner zeigen den Link an). Achten Sie auf Tippfehler, zusätzliche Wörter, fremde Länder-Domains oder Kurzlinks, die das Ziel verschleiern.
4. Wenn Sie irgendwo „sofort handeln“ sollen, gilt: Stopp. Seriöse Anbieter setzen selten auf Druck, erst recht nicht über einen QR-Code.

Schon gescannt? Diese Schritte sollten Sie sofort einleiten

Schließen Sie die Seite sofort, wenn etwas nicht passt und geben Sie keine Daten ein. Haben Sie bereits bezahlt oder Zugangsdaten eingegeben, handeln Sie zügig: 

• Karte sperren lassen bzw. Bank kontaktieren.
• Passwörter ändern (zuerst das betroffene Konto, dann die E-Mail als Schlüssel-Account) und wo möglich Zwei-Faktor-Anmeldung aktivieren.
• Behalten Sie Kontoumsätze im Blick.

Diese Gewohnheiten helfen gegen Quishing

Die beste Abwehr gegen die aktuelle Quishing-Welle ist einfach und effektiv:  Halten Sie Smartphone und Apps aktuell und nutzen Sie einen Passwortmanager und, wo verfügbar, Passkeys oder Zwei-Faktor-Methoden.