QR-Codes sind praktisch. Parkschein, Ladesäule, Speisekarte, Paketverfolgung: einmal scannen, und die Seite öffnet sich. Genau das nutzen Betrüger. Sie kleben eigene Codes über echte, legen gefälschte Strafzettel hinter den Scheibenwischer oder schicken Briefe, die wie von der Bank aussehen. Wer unbedacht scannt, landet auf einer täuschend echten Website und gibt Zahlungsdaten preis.
Die gute Nachricht: Sie müssen nicht auf QR-Codes verzichten. Die wichtigere Nachricht: Ein kurzer Blick vor dem Scannen verhindert den meisten Schaden.
Kurz erklärt: Quishing ist QR-Code-Phishing. Der Code selbst ist nur ein Kurzlink. Er führt Sie auf eine Internetseite. Ist der Code manipuliert, ist auch die Seite falsch. Ziel sind in der Regel Zugangsdaten, Kreditkartennummern oder eine direkte Zahlung.
Wo Quishing im Alltag auftaucht
Betrüger setzen QR-Codes dort ein, wo Sie sowieso schnell handeln wollen: beim Parken, beim Laden des E-Autos, bei einem vermeintlichen Knöllchen oder bei einem Brief, der nach offizieller Post aussieht.
| Situation | Typisches Vorgehen | Besser so |
|---|---|---|
| Parkautomat oder Ladesäule | Echter Code wird überklebt | Code auf dem Display nutzen oder per App/Ladekarte zahlen |
| Strafzettel am Auto | Gefälschter Zettel mit Zahlungs-QR | Zettel genau prüfen, im Zweifel bei der Gemeinde oder Polizei nachfragen |
| Brief „von der Bank“ | Allgemeine Anrede, QR-Code zur „Bestätigung“ | Nicht scannen. Bank selbst anrufen, Nummer nicht vom Brief übernehmen |
| E-Mail oder WhatsApp | Dringlichkeit plus Code | Offizielle App oder Website selbst öffnen, nicht den Code |
Die Verbraucherzentrale warnt ausdrücklich vor überklebten Codes an Ladesäulen und vor gefälschten Strafzetteln. Der ADAC rät dasselbe: Einen aufgeklebten Code nicht scannen. Hat die Säule ein Display, den Code dort verwenden. Oft reicht auch die Lade-App oder eine Ladekarte, ganz ohne QR-Code.
Der DHL-Fall: Vorsicht ja, Panik nein
Anfang 2026 kursierten Warnungen vor angeblich gefälschten DHL-Abholzetteln mit QR-Code. Viele haben die Zettel aus gutem Grund nicht gescannt. Die Prüfung durch DHL und den ARD-faktenfinder zeigte später: Die bekannt gewordenen Karten waren echte Zustellbenachrichtigungen. Die Codes führten auf offizielle DHL-Seiten und verlangten keine persönlichen Daten.
Das ändert nichts an der Grundregel. Offizielle Stellen fragen über einen QR-Code auf einem Zettel praktisch nie nach PIN, TAN, Passwort oder Kreditkarte. Tut eine Seite das trotzdem, ist sie falsch. Zur Sendungsverfolgung nutzen Sie die DHL-App oder die Website, die Sie selbst eintippen.
So erkennen Sie einen gefährlichen QR-Code
Sie müssen kein Technikprofi sein. Ein paar Checks reichen.
- Sitzt der Code wie ein Aufkleber darüber? Dann nicht scannen.
- Öffnet die Kamera zuerst nur den Link? Lesen Sie die Adresse, bevor Sie bestätigen. Kurze Links (bit.ly und ähnlich) verstecken das Ziel.
- Wird eine Zahlung oder ein Login verlangt, obwohl Sie nur parken, laden oder ein Paket erwarten? Abbrechen.
- Steht im Brief „Sehr geehrte Kontoinhaberin, sehr geehrter Kontoinhaber“ statt Ihres Namens? Typisch für Fälschungen.
- Wirkt die Website fast wie die Bank, weicht die Adresse aber ab? Nicht eingeben, Fenster schließen.
Praxistipp: In den Kamera-Einstellungen vieler Smartphones lässt sich einstellen, dass gescannte Codes nicht sofort öffnen. Zuerst den Link lesen, dann entscheiden.
Checkliste: Sicher mit QR-Codes
- Nur scannen, wenn Sie den Absender oder das Gerät kennen.
- Überklebte Codes an Automaten ignorieren.
- Zieladresse lesen, bevor die Seite lädt.
- Niemals PIN, TAN, Passwort oder Kartendaten über einen ungeprüften Code eingeben.
- Bank, Versanddienst oder Gemeinde selbst kontaktieren, nicht über Nummer oder Link auf dem Schreiben.
- Parken und Laden nach Möglichkeit in der offiziellen App bezahlen.
- Im Zweifel: nicht scannen. Ein Parkschein am Automaten oder ein Anruf kostet weniger als ein geplündertes Konto.
Häufige Fehler
Fehler 1: Aus Gewohnheit sofort scannen
QR-Codes fühlen sich harmlos an. Genau deshalb funktionieren sie für Betrüger. Zwei Sekunden Blick auf den Aufkleber und die Adresse reichen oft.
Fehler 2: Der Seite vertrauen, weil das Logo stimmt
Gefälschte Seiten kopieren Farben und Logo. Entscheidend ist die Adresse in der Zeile oben, nicht das Bild auf der Seite.
Fehler 3: Nach dem Schaden nichts tun
Wenn Sie Daten eingegeben haben: Sofort die Bank oder Kreditkarte sperren lassen, Passwörter ändern, Anzeige bei der Polizei erstatten. Je schneller, desto besser.
Wann professionelle Hilfe sinnvoll ist
Wenn auf dem Smartphone oder PC plötzlich Warnungen erscheinen, unbekannte Lastschriften auftauchen oder Sie unsicher sind, ob eine Seite Daten abgezogen hat, sollten Sie das Gerät nicht weiter für Banking nutzen. Computerfuchs24 prüft Smartphone und Computer, räumt zweifelhafte Apps und schützt die Zugänge.
Das gilt auch vorbeugend: Bildschirmzeit und Jugendschutz, sichere Browser-Einstellungen, Passwortmanager und ein Blick darauf, welche Apps QR-Codes sofort öffnen.
Fazit
QR-Codes sind nützlich, aber sie sind nur ein Link in Quadratform. Scannen Sie nicht aus Routine, vor allem nicht an Automaten, auf Strafzetteln oder in Briefen, die zur Zahlung oder Anmeldung auffordern. Zwei Checks schützen fast immer: Sitzt der Code lose darüber, und wohin führt die Adresse wirklich?
Sie sind unsicher bei einem Code, einem merkwürdigen Brief oder einem Gerät nach einem Fehlklick? Computerfuchs24 hilft Ihnen persönlich in Winterbach, Schorndorf und im Rems-Murr-Kreis. Wir schauen uns das in Ruhe an, verständlich und vor Ort.
Quellen und weiterführende Informationen: Verbraucherzentrale Niedersachsen zu Quishing: verbraucherzentrale-niedersachsen.de | Verbraucherzentrale Berlin zu Quishing: verbraucherzentrale-berlin.de | ARD-faktenfinder zu DHL-Abholzetteln: tagesschau.de
Neueste Kommentare