QR-Code-Betrug (Quishing): So Schützen Sie Sich Wirksam 2026

QR-Codes sind aus dem Alltag nicht mehr wegzudenken – ob im Restaurant, auf Parkautomaten oder in E-Mails. Doch genau diese Bequemlichkeit machen sich Kriminelle zunutze: „Quishing" – die Kombination aus QR-Code und Phishing – gehört 2026 zu den am schnellsten wachsenden Betrugsmaschen in Deutschland. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) und die Verbraucherzentralen warnen zunehmend vor manipulierten QR-Codes, die auf gefälschte Webseiten führen oder Schadsoftware installieren. In diesem Ratgeber erfahren Sie, wie QR-Code-Betrug funktioniert, woran Sie ihn erkennen und wie Sie sich Schritt für Schritt schützen.

Was ist QR-Code-Betrug (Quishing)?

Quishing ist eine Form des Phishings, bei der Angreifer manipulierte QR-Codes verwenden, um Opfer auf betrügerische Webseiten zu leiten, Zugangsdaten abzugreifen oder Schadsoftware zu installieren. Da der eigentliche Link im QR-Code nicht sichtbar ist, ist diese Betrugsform besonders tückisch.

Anders als bei klassischen Phishing-E-Mails, in denen verdächtige URLs oft erkennbar sind, verbirgt sich hinter einem QR-Code eine Blackbox: Erst nach dem Scannen zeigt sich das Ziel – und oft ist es dann bereits zu spät. Kriminelle nutzen aus, dass Nutzer QR-Codes reflexartig scannen, ohne die Herkunft zu hinterfragen.

Warum QR-Code-Betrug 2026 explodiert

Weite Verbreitung: QR-Codes finden sich auf Speisekarten, Rechnungen, Plakaten und sogar auf offiziellen Behördenschreiben.
Fehlendes Misstrauen: Viele Menschen halten QR-Codes für harmlos.
Mobile Endgeräte: Auf dem Smartphone sind URLs schlechter überprüfbar als am Desktop.
Umgehung von Spamfiltern: QR-Codes in E-Mails passieren häufig unerkannt Sicherheitsfilter.

Wie funktioniert QR-Code-Betrug im Detail?

Der Ablauf eines Quishing-Angriffs folgt in der Regel einem klaren Muster. Wer die einzelnen Schritte kennt, kann Angriffe frühzeitig erkennen.

Erstellung des manipulierten Codes: Angreifer generieren einen QR-Code, der auf eine gefälschte Webseite verweist – oft eine täuschend echte Kopie einer Bank, eines Paketdienstes oder einer Behörde.
Platzierung im Umfeld des Opfers: Der Code wird per E-Mail, Brief, Aufkleber (z. B. über echten Codes an Parkautomaten) oder in sozialen Medien verbreitet.
Scan durch das Opfer: Der Nutzer scannt den Code, meist ohne Verdacht zu schöpfen.
Weiterleitung auf Fake-Seite: Das Ziel ist eine Phishing-Website, die zur Eingabe von Zugangsdaten, TAN-Nummern oder Kreditkartendaten auffordert.
Datendiebstahl oder Malware-Installation: Die abgegriffenen Daten werden für Kontoplünderungen, Identitätsdiebstahl oder weitere Angriffe missbraucht.

Die häufigsten QR-Code-Betrugsmaschen 2026

1. Fake-Parkautomaten

Kriminelle kleben eigene QR-Codes über die offiziellen Codes an Parkautomaten. Wer scannt, landet auf einer täuschend echten Bezahlseite – und übergibt seine Kreditkartendaten direkt an die Täter. Besonders betroffen sind Innenstädte in Berlin, München, Hamburg und Frankfurt.

2. Gefälschte Bank-E-Mails mit QR-Code

Eine angebliche Nachricht Ihrer Bank fordert Sie auf, per QR-Code die „neue Sicherheitsapp" einzurichten. Der Code führt zu einer Fake-App, die Ihre Online-Banking-Zugangsdaten und TANs abfängt.

3. Falsche Paketbenachrichtigungen

Sie erhalten einen Brief oder eine SMS mit QR-Code, um eine angebliche Zollgebühr zu bezahlen. Die Bezahlseite ist gefälscht und dient dem Kreditkartendiebstahl.

4. Manipulierte Restaurant-Speisekarten

An Tischen werden Aufkleber mit betrügerischen QR-Codes angebracht. Statt der Speisekarte öffnet sich eine Phishing-Seite oder eine Malware-Download-Aufforderung.

5. Krypto-Betrug per QR-Code

Angebliche Investment-Chancen mit QR-Code führen zu Wallets der Betrüger. Einmal überwiesenes Krypto-Geld ist praktisch unwiederbringlich verloren.

6. Fake-Ladeninhaber und Spendenaufrufe

Auf Plakaten, Flyern oder Straßenbetteleien verwenden Betrüger QR-Codes, die auf gefälschte Spendenkonten führen.

Warnzeichen: So erkennen Sie einen betrügerischen QR-Code

Nicht jeder QR-Code ist ein Angriff – aber bestimmte Merkmale sollten Sie stets misstrauisch machen.

Warnzeichen	Was es bedeutet	Risikostufe
Aufkleber über einem anderen QR-Code	Überklebter Originalcode – klassisches Betrugsmuster	Sehr hoch
QR-Code in unerwarteter E-Mail	Möglicher Phishing-Versuch	Hoch
URL beginnt nicht mit HTTPS	Unverschlüsselte Datenübertragung	Hoch
URL enthält ungewöhnliche Domain (z. B. .xyz, .top)	Häufig bei Betrugsseiten	Hoch
Aufforderung zur sofortigen Zahlung	Typischer Zeitdruck-Trick	Sehr hoch
Rechtschreibfehler auf Zielseite	Deutliches Zeichen für Fälschung	Hoch
Aufforderung zum App-Download außerhalb Store	Malware-Gefahr	Sehr hoch

10 Regeln zum Schutz vor QR-Code-Betrug

Mit diesen konkreten Verhaltensregeln minimieren Sie das Risiko drastisch:

URL vor dem Öffnen prüfen: Moderne Smartphones zeigen die Ziel-URL vor dem Aufruf an. Lesen Sie diese immer sorgfältig.
Aufkleber-Manipulation prüfen: Achten Sie darauf, ob der QR-Code aufgeklebt und der ursprüngliche überdeckt wurde. Ein Fingernagel-Test genügt oft.
Keine sensiblen Daten nach QR-Scan eingeben: Banken, Behörden und seriöse Unternehmen fragen niemals Passwörter oder TANs nach einem QR-Scan ab.
Offizielle Apps verwenden: Öffnen Sie Ihre Bank- oder Behörden-App direkt – nicht über einen QR-Code aus einer E-Mail.
HTTPS-Verbindung prüfen: Achten Sie im Browser auf das Schloss-Symbol und eine korrekt geschriebene Domain.
Keine Apps außerhalb offizieller Stores: Installieren Sie Apps ausschließlich aus Google Play oder dem App Store.
Bei Zweifel: Nicht scannen: Verwenden Sie stattdessen die offizielle Website oder Telefon-Hotline.
QR-Scanner mit Sicherheitsprüfung: Nutzen Sie Scanner-Apps, die URLs vor dem Öffnen auf bekannte Bedrohungen prüfen.
Regelmäßige Updates: Halten Sie Betriebssystem und Sicherheits-Apps auf dem neuesten Stand.
Sensibilisierung im Umfeld: Klären Sie Familie, Kollegen und besonders ältere Angehörige auf.

URL-Verkürzer und QR-Codes: Chance und Risiko

Verkürzte URLs und QR-Codes werden häufig kombiniert – etwa in Marketingmaterialien. Das birgt Chancen, aber auch Risiken: Ein verkürzter Link verschleiert das eigentliche Ziel zusätzlich.

Für seriöse Anwendungen empfiehlt sich ein transparenter, DSGVO-konformer Dienst wie Lunyb, der detaillierte Statistiken, Klickschutz und die Möglichkeit bietet, verdächtige Links zu deaktivieren. Als Nutzer sollten Sie bei fremden Kurz-URLs stets vorsichtig sein und im Zweifel Vorschau-Tools verwenden, die das eigentliche Ziel anzeigen, bevor Sie klicken.

So prüfen Sie eine verkürzte URL sicher

Kopieren Sie die URL, ohne sie aufzurufen.
Nutzen Sie Vorschau-Dienste (z. B. checkshorturl.com) zur Auflösung.
Prüfen Sie die aufgelöste Domain auf Plausibilität.
Verwenden Sie zusätzlich Reputationsdienste wie VirusTotal oder Google Safe Browsing.

Was tun, wenn Sie bereits gescannt haben?

Sollten Sie versehentlich einen betrügerischen QR-Code gescannt haben, handeln Sie schnell und strukturiert:

Keine Daten eingeben: Verlassen Sie die Seite sofort.
App-Installation verhindern: Brechen Sie jeden Download ab.
Passwörter ändern: Sollten Sie Zugangsdaten eingegeben haben, ändern Sie diese umgehend – auch bei Diensten mit demselben Passwort.
Bank informieren: Bei eingegebenen Kreditkarten- oder Bankdaten sofort Karte sperren lassen (Sperr-Notruf 116 116).
Gerät auf Malware prüfen: Führen Sie einen vollständigen Virenscan durch. Anzeichen für eine Infektion finden Sie in unserem Ratgeber „Ist mein Handy gehackt? 10 Warnzeichen".
Zwei-Faktor-Authentifizierung aktivieren: Für alle betroffenen Konten.
Anzeige erstatten: Bei der örtlichen Polizei oder online über die Internetwache Ihres Bundeslandes.
Verbraucherzentrale informieren: Damit andere gewarnt werden können.

QR-Code-Betrug im Unternehmensumfeld

Unternehmen sind besonders attraktive Ziele für Quishing-Angriffe. Ein einziger unaufmerksamer Mitarbeiter kann kompletten Zugang zu Firmensystemen ermöglichen.

Typische Angriffsvektoren gegen Firmen

Fake-MFA-Aufforderungen: E-Mails mit QR-Code zur angeblichen Neueinrichtung der Multi-Faktor-Authentifizierung.
HR- und Rechnungsphishing: Angebliche Personaldokumente oder Rechnungen mit QR-Code.
Manipulierte Konferenzunterlagen: QR-Codes auf Plakaten oder Unterlagen bei Messen führen zu Malware.

Schutzmaßnahmen für Unternehmen

Regelmäßige Awareness-Schulungen mit realen Beispielen.
Mobile Device Management (MDM) mit URL-Filterung.
Klare Richtlinien für den Umgang mit QR-Codes in geschäftlichen E-Mails.
Simulierte Phishing-Kampagnen zur Sensibilisierung.
Meldeprozesse für verdächtige QR-Codes etablieren.

Weiterführende Informationen zur rechtssicheren Umsetzung finden Sie im DSGVO-Leitfaden 2026 sowie im Ratgeber Datenschutz für Schweizer Unternehmen.

Vergleich: Sichere vs. unsichere QR-Code-Nutzung

Aspekt	Sichere Nutzung	Unsichere Nutzung
Herkunft des Codes	Bekannter Absender, offizielles Material	Unbekannt, aufgeklebt, aus fremder E-Mail
URL-Vorschau	Wird gelesen und geprüft	Wird direkt geöffnet
Zielseite	HTTPS, bekannte Domain	HTTP oder unbekannte Domain
Dateneingabe	Nur über eigenständig geöffnete Apps	Direkt nach QR-Scan
App-Downloads	Nur aus offiziellen Stores	Über direkten Download-Link
Gerätesicherheit	Aktuelles OS, Virenscanner	Veraltete Software

Rechtliche Grundlagen und Anlaufstellen in Deutschland

QR-Code-Betrug fällt in Deutschland unter mehrere Straftatbestände, darunter Computerbetrug (§ 263a StGB), Ausspähen von Daten (§ 202a StGB) und Fälschung beweiserheblicher Daten (§ 269 StGB). Betroffene sollten stets Anzeige erstatten – auch bei geringen Schäden, um die statistische Erfassung und Strafverfolgung zu unterstützen.

Wichtige Anlaufstellen

BSI (Bundesamt für Sicherheit in der Informationstechnik): Informationen und Warnmeldungen unter bsi.bund.de.
Verbraucherzentrale: Konkrete Hilfe bei finanziellen Schäden.
BfDI: Zuständig bei Datenschutzverletzungen.
Polizei-Beratungsstelle „Polizeiliche Kriminalprävention": polizei-beratung.de.
Online-Wachen der Länderpolizeien: Anzeigenerstattung digital.

Sollten personenbezogene Daten unrechtmäßig veröffentlicht worden sein, können Sie zusätzlich Ihr Recht auf Vergessenwerden gegenüber Suchmaschinen geltend machen.

Prävention: Sicherheitskultur im Alltag

Der beste Schutz vor QR-Code-Betrug ist eine dauerhafte Sicherheitskultur. Diese entwickelt sich nicht über Nacht, sondern durch bewusste Routinen:

Skepsis als Standard: Fragen Sie sich vor jedem Scan: Wer hat diesen Code platziert und warum?
Zwei-Sekunden-Regel: Prüfen Sie jede URL für mindestens zwei Sekunden, bevor Sie sie öffnen.
Passwort-Manager nutzen: Diese füllen Zugangsdaten nur auf der echten Domain automatisch ein – ein gutes Warnsignal.
Regelmäßige Sicherheits-Audits: Kontoübersichten, Kreditkartenabrechnungen und Login-Historien monatlich prüfen.
Weiterbildung: Informieren Sie sich regelmäßig über neue Betrugsmaschen, etwa in unserem Ratgeber zu Phishing-Angriffen.

Fazit

QR-Code-Betrug ist eine der raffiniertesten Cyberbedrohungen unserer Zeit – gerade weil er die Bequemlichkeit ausnutzt, die QR-Codes eigentlich bieten sollen. Wer die typischen Muster kennt, URLs konsequent prüft und im Zweifel lieber einmal mehr misstrauisch ist, kann sich effektiv schützen. Kombinieren Sie technische Schutzmaßnahmen mit einem gesunden Bewusstsein, und Sie werden zum schlechtesten Ziel für Angreifer. Für Unternehmen gilt zusätzlich: Awareness-Schulungen und klare Richtlinien sind Pflicht – nicht Kür.

Häufig gestellte Fragen (FAQ)

Kann ein QR-Code allein schon mein Smartphone infizieren?

Ein QR-Code selbst enthält nur einen Link oder Text und kann Ihr Gerät nicht direkt infizieren. Die Gefahr entsteht erst, wenn die dahinterliegende Webseite Schadcode ausliefert oder Sie zur Installation einer Malware-App verleitet werden. Aktuelle Betriebssysteme und Browser bieten hier grundlegenden Schutz, der aber nicht unfehlbar ist.

Wie erkenne ich, ob ein QR-Code an einem Parkautomaten manipuliert wurde?

Achten Sie auf Aufkleber, die nicht bündig mit der Oberfläche abschließen, unterschiedliche Materialien oder Codes, die auf offensichtlich neuen Aufklebern sitzen. Zusätzlich gilt: Offizielle Parkautomaten leiten meist auf Domains mit dem Namen der Stadt oder des Anbieters. Bei Unsicherheit nutzen Sie die App des Anbieters oder den Barzahlungsschacht.

Sind QR-Codes in E-Mails grundsätzlich gefährlich?

Nein, aber sie sollten immer mit erhöhter Aufmerksamkeit behandelt werden. Seriöse Unternehmen versenden selten QR-Codes zur Kontoverwaltung oder Anmeldung per E-Mail. Kommt eine solche Aufforderung, gehen Sie stattdessen direkt über die offizielle Website oder App des Anbieters.

Welche QR-Scanner-App ist am sichersten?

Die integrierten Kameras von iOS und Android bieten grundlegende Sicherheit, da sie die URL vor dem Öffnen anzeigen. Zusätzliche Sicherheit bieten spezialisierte Scanner mit Malware- und Phishing-Erkennung. Wichtig ist, dass die App aus einem offiziellen Store stammt und aktiv gepflegt wird.

Was tue ich, wenn ich bereits Kreditkartendaten auf einer gefälschten Seite eingegeben habe?

Sperren Sie Ihre Karte sofort über den zentralen Sperr-Notruf 116 116. Informieren Sie anschließend Ihre Bank, um unautorisierte Buchungen rückgängig zu machen. Erstatten Sie Anzeige bei der Polizei und beobachten Sie Ihre Kontobewegungen mindestens sechs Monate lang engmaschig. Aktivieren Sie außerdem alle verfügbaren Sicherheitsfeatures Ihrer Bank.