Quishing – wenn QR-Codes zur Betrugsfalle werden

QR-Codes sind aus dem Alltag kaum noch wegzudenken. Sie ermöglichen einen schnellen Zugriff auf Informationen, Webseiten oder Bezahlvorgänge. Genau diese Bequemlichkeit machen sich Cyberkriminelle zunutze: Beim sogenannten Quishing werden manipulierte oder gefälschte QR-Codes eingesetzt, um Daten oder Geld zu stehlen. Polizei und Sicherheitsbehörden warnen daher verstärkt vor dieser Betrugsmasche.

Was bedeutet Quishing?

Der Begriff Quishing setzt sich aus QR-Code und Phishing zusammen.

Während beim klassischen Phishing meist gefälschte E-Mails mit schädlichen Links versendet werden, nutzen Täter beim Quishing QR-Codes, um ihre Opfer auf manipulierte Webseiten zu lotsen.

Das Ziel ist immer dasselbe:

➡️ Passwörter, Bankdaten oder andere sensible Informationen abzugreifen oder Schadsoftware auf dem Gerät zu installieren.

Warum QR-Codes besonders gefährlich sind

QR-Codes werden von vielen Sicherheitslösungen lediglich als harmloses Bild erkannt. Der darin enthaltene Link wird oft nicht automatisch geprüft, wie es bei klassischen E-Mail-Links der Fall ist.

Dadurch können betrügerische Webseiten unbemerkt geöffnet werden – insbesondere auf Smartphones, wo URLs nur verkürzt angezeigt werden.

Wie funktioniert Quishing?

Kriminelle setzen QR-Codes gezielt in alltäglichen Situationen ein, zum Beispiel durch:

• gefälschte Briefe angeblicher Banken oder Behörden
• überklebte QR-Codes an Ladesäulen, Parkautomaten oder Fahrkartenautomaten
• falsche Strafzettel oder angebliche Zahlungsaufforderungen
• Plakate in Bussen und Bahnen
• gefälschte Paketbenachrichtigungen oder Abholscheine

Nach dem Scannen führen die QR-Codes häufig auf täuschend echt gestaltete Kopien bekannter Webseiten. Dort werden Nutzerinnen und Nutzer aufgefordert, Login-, Zahlungs- oder Kontodaten einzugeben oder eine „dringende Aktion“ durchzuführen.

Typische Einsatzorte von QR-Codes

QR-Codes werden legitim genutzt, um:

• lange Internetadressen zu vermeiden
• digitale Speisekarten oder Tickets bereitzustellen
• Zahlungsprozesse zu starten
• Kontaktdaten auf Visitenkarten zu teilen

Gerade weil QR-Codes so verbreitet und akzeptiert sind, fällt es vielen Menschen schwer, echte von gefälschten Codes zu unterscheiden.

Fünf Tipps der Polizei zum Schutz vor Quishing

1. QR-Codes genau prüfen
   Achten Sie darauf, ob der Code zur offiziellen Beschilderung gehört oder ob er als Aufkleber überklebt wurde. Überklebungen sind ein deutliches Warnsignal.
2. URL vor dem Öffnen kontrollieren
   Lassen Sie sich nach dem Scannen die Internetadresse anzeigen und prüfen Sie diese sorgfältig. Besonders auf kleinen Displays kann der gefährliche Teil leicht übersehen werden.
3. Apps direkt nutzen
   Wenn Sie eine offizielle App (z. B. Parken, Bezahlen, Paketdienst) installiert haben, öffnen Sie diese direkt und geben Codes oder Daten manuell ein.
4. Nicht unter Druck setzen lassen
   Kriminelle arbeiten häufig mit Dringlichkeit oder Drohungen. Seriöse Anbieter setzen Sie nicht unter Zeitdruck.
5. Im Zweifel nicht scannen
   Wenn Ihnen etwas ungewöhnlich vorkommt, verzichten Sie auf das Scannen des QR-Codes.

Was tun, wenn man Opfer von Quishing geworden ist?

• Karte sofort sperren
  Bei Eingabe von Zahlungsdaten umgehend Debit- oder Kreditkarte sperren, z. B. über den Sperr-Notruf 116 116.
• Anzeige erstatten
  Melden Sie den Vorfall bei der Polizei – persönlich oder über die Onlinewache. Lassen Sie bei Bedarf auch eine KUNO-Sperre für Ihre Karte einrichten.
• Kontobewegungen prüfen
  Kontrollieren Sie Kontoauszüge und Kreditkartenabrechnungen auf unbefugte Abbuchungen.
• Smartphone absichern
  Nutzen Sie Sicherheits-Apps und halten Sie Ihr Gerät stets aktuell, um sich vor gefälschten Webseiten zu schützen.

Fazit: Wachsamkeit ist der beste Schutz

Quishing zeigt, dass Cyberkriminelle immer neue Wege finden, Vertrauen auszunutzen. Ein kurzer Moment der Aufmerksamkeit kann jedoch verhindern, dass sensible Daten in falsche Hände geraten.

Weitere Informationen über Quishing

• Bundesamt für Sicherheit in der Informationstechnik

Quelle: Polizeiliche Kriminalprävention der Länder und des Bundes (ProPK)