QR-Code-Betrug: So Schützen Sie Sich vor Quishing 2026

QR-Code-Betrug – auch als Quishing bekannt – gehört zu den am schnellsten wachsenden Cyberbedrohungen in Deutschland. Kriminelle nutzen manipulierte QR-Codes, um Nutzer auf gefälschte Webseiten zu locken, Zugangsdaten zu stehlen oder Schadsoftware zu installieren. Allein 2024 verzeichnete das Bundeskriminalamt (BKA) einen deutlichen Anstieg von Fällen, bei denen QR-Codes an Parkautomaten, in E-Mails oder auf Rechnungen manipuliert wurden.

In diesem umfassenden Leitfaden erfahren Sie, wie QR-Code-Betrug funktioniert, welche Varianten besonders gefährlich sind und mit welchen konkreten Maßnahmen Sie sich – privat wie beruflich – wirksam schützen können.

Was ist QR-Code-Betrug (Quishing)?

Quishing ist eine Phishing-Variante, bei der QR-Codes als Köder dienen. Statt klickbarer Links in E-Mails verwenden Angreifer QR-Codes, die beim Scannen auf betrügerische Webseiten weiterleiten oder schädliche Aktionen auslösen.

Der Begriff setzt sich aus "QR-Code" und "Phishing" zusammen. Die Methode ist deshalb so effektiv, weil Nutzer die Ziel-URL vor dem Scannen nicht sehen können und Sicherheitsfilter in E-Mail-Systemen Bilder mit QR-Codes häufig nicht analysieren.

Warum QR-Codes bei Kriminellen so beliebt sind

Unsichtbare Ziel-URL: Anders als bei einem Textlink erkennt der Nutzer die Zieladresse erst nach dem Scannen.
Umgehung von Sicherheitsfiltern: E-Mail-Gateways scannen QR-Codes als Bild – nicht als Link.
Hohes Vertrauen der Nutzer: QR-Codes gelten seit der Corona-Pandemie als alltäglich und harmlos.
Mobile Endgeräte: Smartphones haben oft schwächere Schutzmechanismen als Desktop-Rechner.
Einfache Manipulation: Ein QR-Code-Aufkleber lässt sich physisch über einen echten kleben.

Die häufigsten Formen von QR-Code-Betrug

Kriminelle setzen QR-Codes in verschiedenen Szenarien ein. Ein Überblick über die derzeit gängigsten Betrugsvarianten:

1. Manipulierte Parkautomaten

Besonders häufig: Betrüger kleben eigene QR-Codes über die offiziellen Codes an Parkautomaten. Nutzer werden auf gefälschte Bezahlseiten geleitet, geben Kreditkartendaten ein – und die Daten landen direkt bei den Tätern. Städte wie Berlin, München und Hamburg warnen aktiv davor.

2. Falsche Rechnungen per Post oder E-Mail

Angebliche Rechnungen von Banken, Energieversorgern oder Behörden enthalten einen QR-Code für die "schnelle Zahlung". Der Code führt auf eine täuschend echte Login-Seite, die Zugangsdaten zum Online-Banking abgreift.

3. Gefälschte Ladesäulen für E-Autos

An öffentlichen Ladestationen werden QR-Codes manipuliert, um die Bezahlung über betrügerische Portale abzuwickeln. Der Fahrer glaubt, die Ladung zu starten – stattdessen werden seine Zahlungsdaten entwendet.

4. Restaurant- und Speisekarten-QR-Codes

In Gaststätten tauschen Täter die QR-Codes auf Tischen aus. Statt der digitalen Speisekarte öffnet sich eine Malware-Downloadseite oder ein Formular, das persönliche Daten abfragt.

5. Fake-Spendenaufrufe und Flyer

Nach Katastrophen oder während politischer Ereignisse tauchen gefälschte Spendenaufrufe mit QR-Codes auf. Das Geld fließt nicht an Hilfsorganisationen, sondern direkt an Betrüger.

6. QR-Codes in Phishing-E-Mails

Statt verdächtiger Links enthalten E-Mails nur noch ein QR-Code-Bild – oft getarnt als Microsoft-365-Sicherheitswarnung oder DHL-Benachrichtigung. Der Scan führt zur Credential-Harvesting-Seite.

So erkennen Sie einen betrügerischen QR-Code

Betrügerische QR-Codes lassen sich an bestimmten Warnsignalen erkennen. Achten Sie auf folgende Hinweise:

Physische Warnzeichen

Aufkleber über Aufklebern: Prüfen Sie, ob der QR-Code auf einem anderen Aufkleber angebracht wurde.
Abweichendes Design: Weicht die Schriftart, Farbe oder Platzierung vom restlichen Automaten ab?
Beschädigte Oberfläche: Kratzer rund um den Code können auf Manipulation hindeuten.
Fehlendes Logo: Offizielle QR-Codes enthalten meist Firmen- oder Behördenlogos.

Digitale Warnzeichen nach dem Scannen

Unerwartete Domain: Die URL passt nicht zum Anbieter (z. B. "parken-berlin-pay.net" statt "berlin.de").
Rechtschreibfehler in der URL: "amaz0n.com" oder "paypaI.com" (mit großem i statt L).
Verkürzte Links von unbekannten Diensten: Nutzen Sie einen URL-Entschlüsseler, bevor Sie fortfahren.
Sofortige Aufforderung zu Zahlungen oder Logins: Besonders bei vermeintlichen Behördenseiten.
Fehlendes HTTPS-Schloss: Zahlungsseiten ohne gültiges Zertifikat sind ein No-Go.
Download-Aufforderungen: Eine seriöse Webseite verlangt keinen App-Download per QR-Code.

Praktische Schutzmaßnahmen für Verbraucher

Mit einigen einfachen Verhaltensregeln minimieren Sie das Risiko, Opfer von QR-Code-Betrug zu werden.

Vor dem Scannen

Herkunft prüfen: Scannen Sie keine QR-Codes aus unerwarteten E-Mails, Flyern oder Briefen.
Physische Integrität kontrollieren: Betasten Sie den Code – lässt er sich ablösen, ist Vorsicht geboten.
Alternative Wege nutzen: Geben Sie Zahlungen lieber über die offizielle App oder Webseite ein.

Beim und nach dem Scannen

URL-Vorschau aktivieren: Moderne iOS- und Android-Kameras zeigen die Ziel-URL vor dem Öffnen an. Prüfen Sie diese immer.
Keine sensiblen Daten eingeben: Vermeiden Sie Logins, Kreditkartendaten oder TANs auf per QR-Code aufgerufenen Seiten.
Zwei-Faktor-Authentifizierung nutzen: Selbst wenn Zugangsdaten gestohlen werden, bleibt Ihr Konto geschützt.
Sichere Passwörter verwenden: Mehr dazu in unserem ultimativen Leitfaden zur Passwortsicherheit 2026.

Technische Schutzmaßnahmen

Mobile Sicherheitssoftware: Nutzen Sie eine Antivirus-App mit URL-Scanner.
Browser mit Phishing-Schutz: Firefox, Brave und Safari warnen vor bekannten Betrugsseiten.
Verschlüsseltes DNS (DoH/DoT): Blockiert bekannte Phishing-Domains schon auf Netzwerkebene.
Betriebssystem aktuell halten: Sicherheitsupdates schließen Schwachstellen, die über QR-Codes ausgenutzt werden könnten.

Vergleich: Sichere vs. unsichere QR-Code-Nutzung

Szenario	Sicher ✅	Unsicher ❌
Parken bezahlen	Offizielle App herunterladen und direkt nutzen	QR-Code am Automaten scannen und Kartendaten eingeben
Bankgeschäfte	URL manuell im Browser eingeben	QR-Code aus E-Mail scannen
Restaurant-Menü	Papiermenü anfordern oder Restaurant-Webseite direkt aufrufen	QR-Code vom Tisch scannen und Login eingeben
Spenden	Direkt über die Webseite der Organisation	Spontan über QR-Code auf Flyer
Paketverfolgung	Sendungsnummer manuell auf der Logistik-Webseite eingeben	QR-Code in "Benachrichtigung" scannen

Schutzmaßnahmen für Unternehmen

Unternehmen sind doppelt betroffen: Als Opfer von Quishing-Angriffen auf Mitarbeiter und als Marke, deren Reputation durch gefälschte QR-Codes beschädigt werden kann.

Organisatorische Maßnahmen

Mitarbeiterschulungen: Regelmäßige Awareness-Trainings zum Thema Quishing.
Richtlinien definieren: Klare Vorgaben, welche QR-Codes im geschäftlichen Kontext erlaubt sind.
Meldewege etablieren: Ein einfaches Verfahren, mit dem Mitarbeiter verdächtige QR-Codes melden können.
Phishing-Simulationen: Testen Sie die Wachsamkeit mit kontrollierten Quishing-Tests.

Technische Maßnahmen

E-Mail-Gateways mit QR-Code-Analyse: Moderne Lösungen können QR-Codes in Bildern dekodieren und die Ziel-URL prüfen.
Markenschutz-Monitoring: Überwachen Sie, ob Ihre QR-Codes an öffentlichen Orten manipuliert werden.
Vertrauenswürdige Kurzlink-Dienste: Nutzen Sie Dienste wie Lunyb, die Link-Analytics und Missbrauchsschutz bieten, statt generische Weiterleitungen zu verwenden.
Signierte Codes mit Logo: Firmenlogos erschweren Fälschungen und erhöhen das Vertrauen.

QR-Codes rechtssicher und datenschutzkonform erstellen

Beim Erstellen eigener QR-Codes sollten Unternehmen die Anforderungen der DSGVO beachten. Das betrifft insbesondere die Protokollierung von Scans, die Weitergabe von Daten an Drittanbieter und die Transparenz gegenüber Nutzern. Eine ausführliche Anleitung finden Sie in unserem Artikel QR Code kostenlos erstellen.

Was tun, wenn Sie Opfer geworden sind?

Haben Sie den Verdacht, einen betrügerischen QR-Code gescannt und Daten preisgegeben zu haben, sollten Sie sofort handeln.

Sofortmaßnahmen (innerhalb der ersten Stunden)

Bank kontaktieren: Lassen Sie Karten sperren und beobachten Sie Transaktionen.
Passwörter ändern: Beginnen Sie mit E-Mail, Online-Banking und sozialen Netzwerken.
2FA aktivieren: Falls noch nicht geschehen, umgehend für alle wichtigen Konten einrichten.
Gerät auf Malware prüfen: Nutzen Sie eine aktuelle Sicherheits-App für einen vollständigen Scan.
Datenlecks prüfen: Checken Sie, ob Ihre Zugangsdaten im Umlauf sind – unser Leitfaden Wurde mein Passwort geleakt? hilft dabei.

Mittelfristige Maßnahmen

Anzeige erstatten: Bei der örtlichen Polizei oder online über die Internetwache Ihres Bundeslandes.
Betrug melden: Weitere Hinweise finden Sie in unserer Anleitung zum Melden von Betrugsnummern.
Verbraucherzentrale informieren: Die Verbraucherzentrale sammelt Fälle und warnt die Öffentlichkeit.
SCHUFA-Abfrage: Prüfen Sie auf unberechtigte Einträge, falls Identitätsdiebstahl vermutet wird.
Datenschutzbehörde (BfDI oder Landesbehörde): Bei Verstößen gegen die DSGVO können Sie eine Beschwerde einreichen.

QR-Code-Betrug in Zahlen: Die Lage in Deutschland

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stuft Quishing als eine der am stärksten wachsenden Bedrohungen 2024/2025 ein. Laut Branchenberichten:

Verdreifachung der gemeldeten Quishing-Fälle zwischen 2023 und 2024.
Über 60 % aller Phishing-Mails an deutsche Unternehmen enthielten 2024 QR-Codes statt klassischer Links.
Der durchschnittliche finanzielle Schaden pro Opfer liegt laut Verbraucherzentrale bei rund 800 Euro.
Besonders betroffen: Nutzer zwischen 30 und 55 Jahren – also diejenige Gruppe, die mobile Bezahlvorgänge intensiv nutzt.

Mit zunehmendem Einsatz von Künstlicher Intelligenz durch Betrüger werden gefälschte Zielseiten immer schwerer von Originalen zu unterscheiden. Mehr dazu, wie KI Datenschutz und Sicherheit verändert, lesen Sie in unserem Beitrag KI und Datenschutz: Was sich 2026 ändert.

Checkliste: Ihr persönlicher QR-Code-Schutz

☐ Kamera-Einstellung so konfigurieren, dass URLs vor dem Öffnen angezeigt werden
☐ Keine QR-Codes aus unerwarteten E-Mails oder Briefen scannen
☐ Physische QR-Codes an öffentlichen Orten auf Aufkleber-Überlagerung prüfen
☐ Sensible Transaktionen nur über offizielle Apps oder manuell eingegebene URLs
☐ Zwei-Faktor-Authentifizierung für alle wichtigen Konten
☐ Mobile Sicherheits-App mit Phishing-Schutz installieren
☐ Betriebssystem und Browser regelmäßig aktualisieren
☐ Passwörter regelmäßig überprüfen und erneuern
☐ Verschlüsseltes DNS auf dem Smartphone aktivieren
☐ Bei Verdacht sofort Bank, Polizei und Verbraucherzentrale informieren

Fazit

QR-Code-Betrug ist keine theoretische Bedrohung mehr – er ist Alltag. Vom Parkautomaten bis zur gefälschten Rechnung versuchen Kriminelle, das Vertrauen in diese praktische Technologie auszunutzen. Die gute Nachricht: Mit gesundem Misstrauen, aktivierter URL-Vorschau, Zwei-Faktor-Authentifizierung und einer bewussten Nutzung lassen sich die meisten Angriffe zuverlässig abwehren.

Unternehmen sollten ihre Mitarbeiter aktiv schulen, moderne E-Mail-Gateways mit QR-Code-Analyse einsetzen und bei der Erstellung eigener Codes auf vertrauenswürdige Dienste setzen. So schützen Sie nicht nur Ihre Daten, sondern auch Ihre Marke und Ihre Kunden.

Häufig gestellte Fragen (FAQ)

Kann allein das Scannen eines QR-Codes mein Smartphone infizieren?

In der Regel nicht direkt. Ein QR-Code enthält meist nur Text oder eine URL. Gefährlich wird es erst, wenn Sie die geöffnete Webseite besuchen, dort Daten eingeben oder eine Datei herunterladen. Bei nicht gepatchten Browsern können jedoch sogenannte Drive-by-Downloads durch bloßen Seitenaufruf Schadcode ausführen – halten Sie Ihr Betriebssystem daher stets aktuell.

Wie erkenne ich einen manipulierten QR-Code an einem Parkautomaten?

Prüfen Sie, ob der QR-Code auf einem Aufkleber angebracht wurde, der über dem Original klebt. Fehlende Logos, abweichendes Design, Blasen unter der Folie oder eine ungewöhnliche Positionierung sind klare Warnzeichen. Nutzen Sie im Zweifel die offizielle App des Parkbetreibers – diese ist immer die sicherere Alternative.

Welche Rolle spielt die DSGVO bei QR-Code-Betrug?

Werden durch Quishing personenbezogene Daten erbeutet, handelt es sich um einen meldepflichtigen Datenschutzvorfall nach Art. 33 DSGVO. Unternehmen müssen den Vorfall binnen 72 Stunden an die zuständige Datenschutzbehörde melden. Betroffene Verbraucher können sich an den BfDI oder die Landesdatenschutzbehörde wenden.

Sind QR-Codes auf Rechnungen von Banken grundsätzlich sicher?

Nein. Auch wenn deutsche Banken häufig GiroCode-Standards nutzen, kursieren viele gefälschte Rechnungen mit manipulierten QR-Codes. Scannen Sie Zahlungs-QR-Codes nur, wenn Sie die Rechnung erwartet haben und der Absender eindeutig verifiziert ist. Prüfen Sie Empfänger-IBAN und Betrag immer manuell in Ihrer Banking-App, bevor Sie die Zahlung freigeben.

Was ist der Unterschied zwischen Phishing und Quishing?

Phishing bezeichnet den Oberbegriff für den Diebstahl von Zugangsdaten über gefälschte Nachrichten, meist per E-Mail mit klickbaren Links. Quishing ist eine Unterform, bei der statt eines Links ein QR-Code eingesetzt wird. Da QR-Codes als Bilder vorliegen, umgehen sie viele klassische Spam- und Link-Filter – was Quishing besonders gefährlich macht.