QR-Code-Betrug: So Schützen Sie Sich vor Quishing (Leitfaden 2026)

QR-Codes sind aus dem Alltag nicht mehr wegzudenken – ob auf Speisekarten, Parkscheinautomaten, in Werbeanzeigen oder auf Paketen. Doch mit ihrer Verbreitung wächst auch eine neue Betrugsform: das sogenannte Quishing. Kriminelle manipulieren oder ersetzen QR-Codes, um Nutzer auf gefälschte Webseiten zu locken, Zugangsdaten abzugreifen oder Schadsoftware zu installieren.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) und der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) warnen seit 2023 verstärkt vor dieser Angriffsform. Allein in Deutschland verdoppelte sich die Zahl der gemeldeten QR-Code-Betrugsfälle zwischen 2023 und 2025. In diesem Leitfaden erfahren Sie, wie Sie QR-Code-Betrug erkennen, welche typischen Maschen es gibt und wie Sie sich effektiv schützen können.

Was ist QR-Code-Betrug (Quishing)?

QR-Code-Betrug – auch als Quishing (Kombination aus „QR-Code“ und „Phishing“) bezeichnet – ist eine Betrugsmethode, bei der Kriminelle manipulierte QR-Codes einsetzen, um Nutzer auf betrügerische Webseiten umzuleiten. Ziel ist es, sensible Daten wie Passwörter, Kreditkarteninformationen oder Bankdaten zu stehlen oder Schadsoftware auf dem Endgerät zu installieren.

Der Trick funktioniert, weil QR-Codes für Menschen nicht lesbar sind. Wir sehen nur ein Muster aus schwarzen und weißen Quadraten – nicht aber die dahinterliegende URL. Erst nach dem Scannen wird die Zieladresse sichtbar, und selbst dann oft nur unvollständig oder verkürzt.

Warum ist Quishing so gefährlich?

Blindes Vertrauen: Viele Nutzer scannen QR-Codes gedankenlos, ohne die Zieladresse zu prüfen.
Umgehung von Sicherheitsfiltern: E-Mail-Filter erkennen QR-Codes in Bildanhängen oft nicht als Phishing-Versuch.
Mobile Endgeräte: Smartphones zeigen URLs häufig verkürzt an, wodurch verdächtige Zeichen leicht übersehen werden.
Physische Manipulation: Betrüger können echte QR-Codes im öffentlichen Raum einfach überkleben.

Die häufigsten QR-Code-Betrugsmaschen 2026

Betrüger haben ihre Methoden verfeinert. Die folgenden Szenarien treten aktuell besonders häufig auf:

1. Manipulierte Parkscheinautomaten

In vielen deutschen Städten – darunter Berlin, München und Frankfurt – wurden 2024 und 2025 gefälschte QR-Code-Aufkleber an Parkautomaten entdeckt. Nutzer scannen den Code, um bargeldlos zu bezahlen, landen aber auf einer täuschend echten Webseite, die Kreditkartendaten abgreift.

2. Gefälschte Rechnungen und Mahnungen

Kriminelle versenden E-Mails oder Briefe mit vermeintlichen Rechnungen von bekannten Unternehmen (DHL, Amazon, Finanzamt). Statt eines Zahlungslinks enthält das Schreiben einen QR-Code, der auf eine Phishing-Seite führt.

3. „Quishing“ per E-Mail

Angreifer versenden E-Mails, die vorgeben, von Microsoft, Google oder der Hausbank zu stammen. Der Text fordert zu einer angeblichen Sicherheitsüberprüfung auf – der QR-Code führt zu einer gefälschten Login-Seite.

4. Restaurant-Speisekarten

Besonders perfide: Betrüger kleben eigene QR-Codes über die legitimen Codes in Restaurants. Gäste denken, sie öffnen die Speisekarte, geraten aber auf betrügerische Bestellportale, die Zahlungsdaten abfragen.

5. Gefälschte Ladesäulen für E-Autos

Ein neueres Phänomen: Manipulierte QR-Codes an öffentlichen Ladesäulen leiten E-Auto-Besitzer auf gefälschte Bezahlseiten um. Der Ladevorgang beginnt nie – die Kreditkartendaten sind dennoch weg.

6. „Gewinnspiele“ und Werbeplakate

Plakate mit Aufschriften wie „Scannen Sie und gewinnen Sie ein iPhone“ locken zu vermeintlichen Gewinnspielen. Tatsächlich werden persönliche Daten abgefragt oder Abo-Fallen installiert.

So erkennen Sie einen betrügerischen QR-Code

Ein manipulierter QR-Code sieht optisch identisch aus wie ein legitimer. Dennoch gibt es Warnsignale, auf die Sie achten sollten:

Physische Warnsignale

Aufkleber über Aufkleber: Ein QR-Code, der offensichtlich über einen anderen geklebt wurde, ist hochverdächtig.
Schlechte Druckqualität: Verpixelte oder unscharfe Codes deuten auf nachträgliche Manipulation hin.
Fehlende Beschriftung: Legitime QR-Codes sind meist mit Logo, Firmenname oder Kontext versehen.
Ungewöhnliche Platzierung: Ein QR-Code an einer ungewöhnlichen Stelle (z. B. an einer Straßenlaterne) sollte skeptisch machen.

Digitale Warnsignale nach dem Scannen

Verdächtige URL: Prüfen Sie die Domain sorgfältig. „amaz0n-security.de“ oder „paypal-verify.net“ sind Fälschungen.
Ungewöhnliche Weiterleitungen: Mehrfache Weiterleitungen sind ein Warnsignal.
Fehlendes HTTPS: Legitime Seiten nutzen heute standardmäßig HTTPS.
Aufforderung zur App-Installation: Werden Sie zur Installation einer unbekannten App aufgefordert, brechen Sie ab.
Sofortige Datenabfrage: Passwort- oder Kreditkartenabfragen ohne Kontext sind hochverdächtig.

Vergleich: Sichere vs. unsichere QR-Code-Nutzung

Merkmal	Sicheres Verhalten	Unsicheres Verhalten
URL-Vorschau	Immer vor dem Öffnen prüfen	Sofort öffnen ohne Kontrolle
Quelle des Codes	Vertrauenswürdig (offizielle Webseite, Original-Verpackung)	Öffentlicher Raum, unbekannte Aufkleber
Zahlungsvorgänge	Nur über offizielle Apps der Anbieter	Kreditkartendaten auf Scan-Seite eingeben
App-Installation	Nur aus App Store / Google Play	APK-Downloads oder Drittquellen
Sensible Daten	Manuell die offizielle Seite aufrufen	Login-Daten auf gescannter Seite eingeben
Scanner-App	Native Kamera-App mit URL-Vorschau	Unbekannte Drittanbieter-Scanner

7 Schritte zum wirksamen Schutz vor QR-Code-Betrug

Diese praktischen Maßnahmen minimieren Ihr Risiko drastisch:

Nutzen Sie die native Kamera-App: iOS- und Android-Kameras zeigen die URL vor dem Öffnen an. Vermeiden Sie Drittanbieter-Scanner, die diese Vorschau nicht bieten oder eigene Werbung einblenden.
Prüfen Sie die URL akribisch: Achten Sie auf Tippfehler, ungewöhnliche Endungen (.xyz, .top) oder verdächtige Subdomains. „sparkasse.de.login-verify.com“ ist keine Sparkassen-Seite.
Öffnen Sie sensible Seiten manuell: Für Online-Banking, PayPal oder Behörden-Portale: Geben Sie die Adresse immer selbst im Browser ein oder nutzen Sie ein Lesezeichen.
Verkürzte URLs prüfen: Viele Betrüger nutzen URL-Kürzer, um die Zielseite zu verschleiern. Nutzen Sie einen seriösen Dienst wie Lunyb, der Vorschau- und Sicherheitsfunktionen bietet. Vermeiden Sie unbekannte Kürzungsdienste. Einen Überblick über vertrauenswürdige Anbieter finden Sie in unserem großen Vergleich der besten URL-Kürzungsdienste 2026.
Aktivieren Sie die Zwei-Faktor-Authentifizierung (2FA): Selbst wenn Ihre Zugangsdaten in falsche Hände geraten, bietet 2FA eine zusätzliche Schutzschicht.
Halten Sie Ihr System aktuell: Sicherheitsupdates für Betriebssystem und Browser schließen bekannte Schwachstellen, die beim Öffnen manipulierter Seiten ausgenutzt werden könnten.
Setzen Sie auf sichere DNS-Dienste: Verschlüsseltes DNS (DNS over HTTPS) mit Filterfunktion – etwa von Quad9 oder Cloudflare – blockiert bekannte Phishing-Domains automatisch, bevor Ihr Browser sie überhaupt lädt.

Was tun bei Verdacht auf QR-Code-Betrug?

Sollten Sie einen manipulierten QR-Code gescannt oder Daten eingegeben haben, handeln Sie sofort:

Sofortmaßnahmen

Verbindung trennen: Schließen Sie sofort den Browser-Tab und trennen Sie das Gerät bei Verdacht auf Schadsoftware vom Netz.
Passwörter ändern: Ändern Sie umgehend die Passwörter aller betroffenen Konten – vor allem, wenn Sie diese eingegeben haben.
Bank kontaktieren: Bei eingegebenen Zahlungsdaten sofort die Bank informieren und die Karte sperren lassen (Sperrnotruf: 116 116).
Gerät prüfen: Führen Sie einen vollständigen Virenscan durch. Bei Android-Geräten prüfen Sie kürzlich installierte Apps und deinstallieren Verdächtiges.
Anzeige erstatten: Melden Sie den Vorfall bei der Polizei. Die Online-Wache Ihres Bundeslands nimmt Anzeigen auch digital entgegen.

Wo Sie QR-Code-Betrug melden können

Verbraucherzentrale: Über den Phishing-Radar unter verbraucherzentrale.de
BSI: Bei größeren Vorfällen: meldestelle@bsi.bund.de
Polizei: Online-Wache Ihres Bundeslands oder Anzeige vor Ort
Betroffenes Unternehmen: Informieren Sie das imitierte Unternehmen, damit Warnungen veröffentlicht werden können

QR-Code-Betrug und DSGVO: Ihre Rechte

Wenn Ihre personenbezogenen Daten durch Quishing in falsche Hände geraten sind, greift die Datenschutz-Grundverordnung (DSGVO). Sie haben das Recht, Auskunft über die Verarbeitung Ihrer Daten zu verlangen und Löschung zu fordern. Unternehmen, die von einem Datenleck betroffen sind, müssen dies binnen 72 Stunden der Aufsichtsbehörde melden.

Die Datenschutz-Grundverordnung gilt in ganz Deutschland und der EU. Für Nutzer in der Schweiz gelten teils andere Regelungen – die Unterschiede erklären wir in unserem Artikel DSG vs. DSGVO: Die Unterschiede verstehen.

QR-Codes im öffentlichen WLAN – doppeltes Risiko

Besonders riskant wird das Scannen von QR-Codes in öffentlichen Netzen: Cafés, Bahnhöfe oder Flughäfen. Angreifer können hier nicht nur manipulierte Codes platzieren, sondern auch den Netzwerkverkehr mitlesen. Wenn Sie unterwegs QR-Codes scannen müssen, achten Sie unbedingt auf HTTPS-Verbindungen und vermeiden Sie sensible Vorgänge wie Online-Banking. Mehr dazu lesen Sie in unserem Ratgeber Öffentliches WLAN: Ist es sicher?.

QR-Code-Sicherheit für Unternehmen

Nicht nur Privatpersonen sind betroffen. Unternehmen, die QR-Codes in Marketing, Zahlungsabwicklung oder interner Kommunikation nutzen, tragen Verantwortung:

Empfehlungen für Unternehmen

Manipulationssichere Anbringung: QR-Codes auf Produkten oder Automaten sollten laminiert oder gesiegelt sein.
Regelmäßige Kontrollen: Prüfen Sie öffentlich zugängliche QR-Codes regelmäßig auf Überkleber.
Eigene Kurzdomain: Nutzen Sie eine Marken-Kurzdomain (z. B. mit einem seriösen Dienst wie Lunyb), damit Kunden Betrugsversuche leichter erkennen.
Mitarbeiterschulungen: Sensibilisieren Sie Ihr Team für Quishing-Angriffe per E-Mail.
Sicherheits-E-Mail-Filter: Moderne Filter erkennen QR-Codes in Anhängen und prüfen Zielseiten automatisch.

Die Zukunft der QR-Code-Sicherheit

Technologische Weiterentwicklungen versprechen mehr Sicherheit: Signierte QR-Codes mit kryptografischer Signatur, QR-Codes mit integriertem Hash und KI-gestützte Scanner, die verdächtige Ziele automatisch erkennen. Bis diese Standards flächendeckend verbreitet sind, bleibt die Wachsamkeit des Nutzers die wichtigste Verteidigungslinie.

Das BSI arbeitet derzeit an Empfehlungen für standardisierte Sicherheits-QR-Codes für Behörden und Zahlungsdienstleister. Erste Pilotprojekte laufen in Bayern und Nordrhein-Westfalen.

FAQ – Häufig gestellte Fragen zum QR-Code-Betrug

Kann ein QR-Code allein durch das Scannen mein Smartphone infizieren?

Ein QR-Code selbst enthält keine Schadsoftware – er ist nur eine kodierte Information (meist eine URL). Gefährlich wird erst die dahinterliegende Webseite, die versuchen kann, Schwachstellen auszunutzen oder zur Installation schädlicher Apps aufzufordern. Ein aktuelles Betriebssystem und die Vorschau der URL vor dem Öffnen bieten zuverlässigen Schutz.

Sind QR-Codes auf offiziellen Behördendokumenten sicher?

QR-Codes auf offiziellen Dokumenten (z. B. Steuerbescheiden oder Behördenschreiben) sind grundsätzlich seriös. Prüfen Sie jedoch bei postalischer Zusendung immer den Absender und die Zieldomain nach dem Scannen. Bei Zweifeln rufen Sie die Behörde direkt an – niemals über eine im Schreiben angegebene Nummer.

Woran erkenne ich eine gefälschte Login-Seite nach dem QR-Scan?

Achten Sie auf die exakte Domain (nicht nur den Anfang der URL), das gültige Sicherheitszertifikat (Schloss-Symbol im Browser), die Rechtschreibung und ungewöhnliche Formularfelder. Legitime Anbieter fragen niemals Passwort und TAN auf derselben Seite ab. Im Zweifel schließen Sie die Seite und rufen Sie das Portal manuell über die offizielle Adresse auf.

Sind QR-Code-Scanner-Apps aus dem App Store sicher?

Nicht alle. Selbst im offiziellen App Store gibt es Scanner-Apps mit übermäßiger Werbung, Trackern oder unnötigen Berechtigungen. Nutzen Sie am besten die integrierte Kamera-App Ihres Smartphones. Diese ist bei modernen iPhones und Android-Geräten (ab Android 8) standardmäßig QR-Code-fähig und zeigt die URL sicher an.

Muss ich einen QR-Code-Betrugsfall melden, auch wenn kein Schaden entstanden ist?

Ja, eine Meldung ist auch ohne konkreten Schaden sinnvoll. Sie hilft den Ermittlungsbehörden, Muster zu erkennen, und schützt andere potenzielle Opfer. Meldungen können anonym über die Online-Wache der Polizei oder die Verbraucherzentrale erfolgen. Bei manipulierten QR-Codes im öffentlichen Raum sollten Sie zusätzlich den Betreiber (z. B. Kommune oder Restaurant) informieren.

Fazit

QR-Code-Betrug ist eine der am schnellsten wachsenden Cyberbedrohungen unserer Zeit. Die gute Nachricht: Mit gesundem Misstrauen, technischer Vorsicht und den in diesem Leitfaden vorgestellten Maßnahmen können Sie sich effektiv schützen. Prüfen Sie jede URL, öffnen Sie sensible Seiten manuell, und nutzen Sie vertrauenswürdige Tools zur URL-Verwaltung.

Der wichtigste Rat bleibt: Ein QR-Code ist ein Vertrauensvorschuss – gewähren Sie ihn nur dort, wo Sie die Quelle wirklich kennen.