QR-Code-Betrug (Quishing): So Schützen Sie Sich Wirksam 2026

QR-Codes sind praktisch, allgegenwärtig – und zunehmend eine Falle. Vom Parkautomaten bis zur Restaurant-Speisekarte scannen wir die quadratischen Muster fast täglich. Kriminelle haben diese Gewohnheit längst erkannt und nutzen sie für eine neue Betrugsmasche namens Quishing (QR-Code-Phishing). Das Bundesamt für Sicherheit in der Informationstechnik (BSI) und der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) warnen seit 2023 verstärkt vor dieser Entwicklung. In diesem Leitfaden erfahren Sie, wie QR-Code-Betrug funktioniert, welche Varianten es gibt und mit welchen konkreten Schutzmaßnahmen Sie sich und Ihr Unternehmen absichern.

Was ist QR-Code-Betrug (Quishing)?

QR-Code-Betrug, auch Quishing genannt (eine Kombination aus „QR" und „Phishing"), ist eine Betrugsform, bei der Kriminelle manipulierte QR-Codes einsetzen, um Opfer auf gefälschte Webseiten zu locken, Schadsoftware zu verbreiten oder sensible Daten abzugreifen. Der Code selbst ist dabei lediglich ein Transportmittel – die eigentliche Gefahr lauert auf der Zielseite.

Besonders tückisch: Ein QR-Code ist für das menschliche Auge nicht lesbar. Während Sie eine verdächtige URL in einer E-Mail prüfen können, sehen Sie beim QR-Code erst nach dem Scan, wohin Sie geleitet werden – und auch dann oft nur verkürzt. Das macht diese Angriffsform so wirksam.

Warum Quishing 2026 so stark zunimmt

Gewohnheitseffekt: Seit der Corona-Pandemie scannen Menschen QR-Codes ohne zu zögern.
Umgehung von Filtern: E-Mail-Sicherheitssysteme analysieren Texte und Links, erkennen Bilder mit QR-Codes aber oft nicht.
Mobile Nutzung: Smartphones zeigen URLs verkürzt an und haben oft weniger Sicherheitsfunktionen als Desktop-Browser.
Vertrauen in offizielle Stellen: QR-Codes auf Behördenbriefen, Rechnungen oder Parkautomaten wirken seriös.

Die häufigsten Quishing-Maschen im Überblick

1. Manipulierte Parkautomaten

In Städten wie Berlin, München und Hamburg wurden 2024 und 2025 wiederholt Parkautomaten mit überklebten QR-Codes entdeckt. Statt zur offiziellen Bezahl-App führt der Scan auf eine täuschend echte Kopie, die Kreditkartendaten abgreift.

2. Gefälschte Behördenpost

Betrüger versenden Briefe im Namen von Finanzämtern, Krankenkassen oder sogar dem BfDI. Der enthaltene QR-Code führt angeblich zu einem Formular, tatsächlich aber auf eine Phishing-Seite, die Login-Daten oder Ausweiskopien verlangt.

3. Quishing per E-Mail

Besonders im Unternehmensumfeld beliebt: Eine E-Mail fordert zur „Multi-Faktor-Authentifizierung" oder „Passwortbestätigung" auf. Statt eines Links enthält sie einen QR-Code – der dann auf dem Smartphone geöffnet wird, wo der Unternehmensschutz oft nicht greift.

4. Restaurant- und Café-Codes

Auf Tischen überklebte Speisekarten-QR-Codes leiten auf Seiten, die angebliches „WLAN-Login" oder „Bestellsystem" vortäuschen und persönliche Daten abfragen.

5. Fake-Spendenaufrufe

Nach Katastrophen tauchen in öffentlichen Räumen Plakate mit QR-Codes für vermeintliche Hilfsorganisationen auf. Das Geld landet auf Konten der Täter.

6. Kryptowährungs-Betrug

QR-Codes mit Wallet-Adressen werden ausgetauscht, sodass Überweisungen an Betrüger statt an den beabsichtigten Empfänger gehen.

Technische Angriffswege: Was passiert nach dem Scan?

Ein manipulierter QR-Code kann unterschiedliche Aktionen auslösen. Die folgende Tabelle zeigt die häufigsten Szenarien und ihre Risiken:

Angriffsart	Was passiert	Risiko
Phishing-Weiterleitung	Öffnet gefälschte Login-Seite (Bank, PayPal, Microsoft 365)	Diebstahl von Zugangsdaten
Drive-by-Download	Lädt automatisch App oder Schadsoftware herunter	Malware, Spyware, Ransomware
Payment-Umleitung	Leitet zu gefälschtem Zahlungsdienst	Finanzieller Verlust, Kartendatendiebstahl
WLAN-Konfiguration	Verbindet Gerät mit bösartigem Hotspot	Man-in-the-Middle-Angriffe
Kontakt-/Kalender-Injection	Fügt Einträge mit Schad-Links hinzu	Spätere Täuschung, Spam
SMS-/Anruf-Trigger	Löst kostenpflichtige SMS oder Anruf aus	Premium-Dienst-Abzocke

10 konkrete Schutzmaßnahmen gegen QR-Code-Betrug

Der beste Schutz ist eine Kombination aus Aufmerksamkeit, technischen Hilfsmitteln und klaren Verhaltensregeln. Beachten Sie die folgenden Punkte, bevor Sie einen QR-Code scannen:

URL-Vorschau aktivieren: Nutzen Sie eine Scanner-App oder Kamerafunktion, die die Ziel-URL vor dem Öffnen anzeigt. iOS und moderne Android-Versionen tun dies standardmäßig – prüfen Sie die Adresse genau.
Auf Überklebungen achten: Prüfen Sie physische QR-Codes (Parkautomaten, Plakate, Speisekarten) auf Aufkleber. Fühlt sich der Code wie eine zweite Schicht an, scannen Sie ihn nicht.
Keine QR-Codes aus E-Mails scannen: Seriöse Unternehmen verlangen keine Authentifizierung per QR-Code aus E-Mails. Im Zweifel die Website manuell im Browser öffnen.
Domain sorgfältig prüfen: Achten Sie auf Tippfehler („paypa1.com"), ungewöhnliche Endungen oder verdächtige Subdomains („paypal.com.login-service.xyz").
Keine Apps direkt installieren: Wenn ein QR-Code zur Installation einer App auffordert, laden Sie die App ausschließlich aus dem offiziellen App Store oder Google Play.
Zahlungsdaten nicht auf Scan-Ziellseiten eingeben: Zahlen Sie Parkgebühren, Rechnungen & Co. lieber über die offizielle App oder Website des Anbieters.
Zwei-Faktor-Authentifizierung einsetzen: Auch wenn Zugangsdaten abgegriffen werden, verhindert 2FA den unbefugten Zugriff. Mehr dazu in unserem Leitfaden zur Passwortsicherheit.
Sichere DNS-Dienste nutzen: Verschlüsselte DNS-Anbieter (z. B. Cloudflare 1.1.1.1, Quad9) blockieren bekannte Phishing-Domains bereits auf Netzwerkebene.
Mobilbrowser mit Schutzfunktionen verwenden: Browser wie Firefox Focus oder Brave warnen vor bekannten Betrugsseiten und blockieren Tracker.
Mitarbeiter schulen: Im Unternehmenskontext sind regelmäßige Awareness-Schulungen Pflicht – gerade zum Thema Quishing in E-Mails.

So erkennen Sie seriöse QR-Code-Links

Nicht jeder QR-Code ist gefährlich – im Gegenteil, die meisten sind legitim. Folgende Merkmale sprechen für einen vertrauenswürdigen Code:

Direkte HTTPS-Verbindung zu einer bekannten Domain (z. B. https://www.bahn.de).
Übereinstimmung mit dem Kontext: Der QR-Code auf einem Deutsche-Bahn-Ticket führt auch zu bahn.de – nicht zu einer fremden Domain.
Keine Weiterleitungen über fragwürdige Shortener-Dienste. Wenn ein Link-Verkürzer verwendet wird, sollte es ein etablierter, transparenter Dienst sein. Seriöse Kurz-URL-Anbieter wie Lunyb bieten Vorschau- und Sicherheitsfunktionen, damit Nutzer vor dem Weiterleiten erkennen können, wohin der Link führt.
Gültiges TLS-Zertifikat ohne Browser-Warnung.
Impressum und Datenschutzerklärung auf der Zielseite vorhanden.

Praktisches Prüf-Beispiel

Sie scannen einen QR-Code am Parkautomaten. Die Vorschau zeigt: https://parken-bezahlen24.ru/munich. Alarmzeichen:

Unbekannte Domain – offizielle Anbieter heißen z. B. EasyPark, PayByPhone oder Parkster.
Länderdomain „.ru" – völlig untypisch für deutsche Parkgebühren.
Allgemeiner Name ohne Städtebezug.

→ Nicht öffnen. Zahlen Sie stattdessen in bar oder über die offizielle App des Betreibers.

Was tun, wenn Sie auf QR-Code-Betrug hereingefallen sind?

Falls Sie den Verdacht haben, einen bösartigen QR-Code gescannt und möglicherweise Daten eingegeben zu haben, handeln Sie schnell:

Internetverbindung trennen: Schalten Sie WLAN und Mobilfunk aus, um weitere Datenübertragung zu stoppen.
Passwörter ändern: Beginnen Sie mit den wichtigsten Konten (E-Mail, Banking, Hauptdienste). Prüfen Sie außerdem, ob Ihre Zugangsdaten bereits in Leaks auftauchen – unser Artikel Wurde mein Passwort geleakt? hilft dabei.
Bank informieren: Bei eingegebenen Kreditkarten- oder Kontodaten umgehend die Bank kontaktieren und Karte sperren lassen.
Gerät auf Malware prüfen: Nutzen Sie einen aktuellen Virenscanner. Bei Android: ggf. in den sicheren Modus booten und verdächtige Apps deinstallieren.
Anzeige erstatten: Melden Sie den Vorfall bei der Polizei (Online-Wache des jeweiligen Bundeslandes) und bei der Verbraucherzentrale.
BfDI informieren: Bei Verdacht auf Datenschutzverletzungen durch ein Unternehmen ist eine Meldung an den BfDI oder die Landesdatenschutzbehörde möglich.
Betrugsseite melden: Google Safe Browsing, Microsoft SmartScreen und APWG (Anti-Phishing Working Group) nehmen Meldungen entgegen und sperren die Seiten schneller.

Quishing im Unternehmensumfeld: Besondere Risiken

Unternehmen sind doppelt gefährdet: Zum einen können Mitarbeiter auf Quishing-E-Mails hereinfallen und dadurch Zugangsdaten zu internen Systemen preisgeben. Zum anderen drohen bei Datenschutzverletzungen hohe Bußgelder nach DSGVO – bis zu 20 Millionen Euro oder 4 % des Jahresumsatzes.

Empfohlene organisatorische Maßnahmen

E-Mail-Gateways erweitern: Moderne Sicherheitslösungen können QR-Codes in E-Mails extrahieren und die enthaltenen URLs analysieren.
Mobile Device Management (MDM): Dienstliche Smartphones sollten zentral verwaltet werden, inklusive URL-Filter und App-Whitelisting.
Phishing-Simulationen: Regelmäßige Tests mit simulierten Quishing-Angriffen stärken die Aufmerksamkeit der Mitarbeiter.
Klare Meldewege: Mitarbeiter müssen wissen, wohin sie verdächtige E-Mails oder QR-Codes melden können.
Verschlüsselte Kommunikation: Sensible Daten sollten ohnehin nur über Ende-zu-Ende-verschlüsselte Kanäle übertragen werden. Mehr dazu in unserem Beitrag zur Ende-zu-Ende-Verschlüsselung.

Rechtlicher Rahmen

In Deutschland regelt die DSGVO den Umgang mit personenbezogenen Daten. Wird ein Mitarbeiter Opfer von Quishing und werden dadurch Kundendaten kompromittiert, muss das Unternehmen den Vorfall innerhalb von 72 Stunden an die zuständige Datenschutzbehörde melden. In der Schweiz gelten vergleichbare Pflichten nach dem neuen Datenschutzgesetz (DSG).

Sichere QR-Codes selbst erstellen

Wenn Sie als Unternehmen oder Privatperson QR-Codes verteilen – etwa für Marketing, WLAN-Zugang oder digitale Visitenkarten –, sollten Sie einige Regeln beachten, um Ihre Kunden zu schützen:

Eigene Domain nutzen: Verlinken Sie direkt auf Ihre bekannte Hauptdomain, nicht auf fremde Shortener-Dienste.
Transparente Kurz-Links: Wenn Sie Platz sparen müssen, nutzen Sie einen seriösen Link-Verkürzer mit Vorschau- und Statistikfunktion.
Codes schützen: Laminieren Sie physische QR-Codes oder platzieren Sie sie hinter Glas, um Überklebung zu erschweren.
Regelmäßig prüfen: Kontrollieren Sie Ihre öffentlich zugänglichen Codes stichprobenartig auf Manipulationen.
Alternativen anbieten: Geben Sie zusätzlich zur QR-Code-Variante auch die vollständige URL an, damit Nutzer wählen können.

Übrigens: Wenn Sie mehrere Links bündeln möchten (z. B. für Social-Media-Profile oder Kampagnen), ist eine Link-in-Bio-Seite die sicherere Alternative zu unübersichtlichen QR-Code-Sammlungen.

Ausblick: Wie entwickelt sich QR-Code-Betrug weiter?

Sicherheitsforscher gehen davon aus, dass Quishing-Angriffe 2026 und darüber hinaus weiter zunehmen werden. Besonders folgende Trends zeichnen sich ab:

KI-generierte Phishing-Seiten: Perfekte Kopien bekannter Marken, die kaum vom Original zu unterscheiden sind.
Dynamische QR-Codes: Angreifer ändern das Ziel nach erster Prüfung – so umgehen sie automatische Scanner.
Deepfake-Kombinationen: QR-Codes in Videos oder bei Live-Events, die auf gefälschte Spendenseiten führen.
Internet of Things: Smart-Home-Geräte und Ladesäulen mit QR-Codes bieten neue Angriffsflächen.

Die gute Nachricht: Auch Schutzmechanismen entwickeln sich weiter. Moderne Browser und mobile Betriebssysteme integrieren zunehmend Echtzeit-URL-Prüfung. Entscheidend bleibt jedoch das Verhalten jedes einzelnen Nutzers – Technologie allein kann menschliche Aufmerksamkeit nicht ersetzen.

Fazit

QR-Code-Betrug ist eine ernstzunehmende Bedrohung, aber kein unausweichliches Schicksal. Mit gesunder Skepsis, einer sorgfältigen URL-Prüfung vor dem Öffnen und den beschriebenen technischen und organisatorischen Maßnahmen können Sie das Risiko auf ein Minimum reduzieren. Besonders wichtig ist, die eigene Routine zu hinterfragen: Nicht jeder QR-Code verdient einen Scan, und nicht jede Scan-Zielseite verdient Ihre Daten. Bleiben Sie wachsam, schulen Sie Ihr Umfeld – und melden Sie verdächtige Codes, damit andere nicht Opfer werden.

Häufig gestellte Fragen (FAQ)

Kann allein das Scannen eines QR-Codes mein Smartphone infizieren?

In der Regel nicht. Ein QR-Code enthält nur Text – meist eine URL. Erst wenn Sie den Link öffnen und auf der Zielseite eine App installieren, Daten eingeben oder einen Download bestätigen, entsteht das eigentliche Risiko. Moderne Smartphones zeigen die URL vor dem Öffnen an. Es gab jedoch in der Vergangenheit seltene Fälle, in denen Sicherheitslücken in QR-Scanner-Apps ausgenutzt wurden – halten Sie Ihr System daher stets aktuell.

Welche Scanner-App ist besonders sicher?

Die eingebauten Kamera-Funktionen von iOS und modernen Android-Versionen (ab Android 9) sind in der Regel sicher und zeigen die URL vor dem Öffnen an. Zusätzliche Apps aus dem Store sind meist nicht notwendig und können ihrerseits Datenschutzprobleme verursachen. Falls Sie dennoch eine App nutzen möchten, achten Sie auf Open-Source-Lösungen mit Vorschau-Funktion und ohne Werbung.

Sind QR-Codes auf offiziellen Dokumenten wie Ausweisen sicher?

Ja, QR-Codes auf amtlichen Dokumenten (Impfpass, Ticket, Rechnung von bekannten Unternehmen) sind grundsätzlich sicher, sofern das Dokument nicht gefälscht ist. Prüfen Sie dennoch die Ziel-URL. Behörden leiten Sie typischerweise auf eine Domain mit „.bund.de", einer Landesdomain oder der offiziellen Firmendomain weiter – niemals auf unbekannte Drittanbieter.

Wie erkenne ich einen manipulierten QR-Code am Parkautomaten?

Achten Sie auf Aufkleber, die über den eigentlichen Code geklebt wurden – oft sind Ränder, abweichende Farben oder Blasen sichtbar. Fühlen Sie vorsichtig mit dem Finger: Eine zweite Schicht lässt sich oft ertasten. Zusätzlich sollte die Zahlungs-URL zur offiziellen App des Betreibers (z. B. EasyPark, PayByPhone) führen. Im Zweifel nutzen Sie Münzen oder die offizielle App des Parkdienstes, die Sie selbst installiert haben.

Was mache ich, wenn ich einen betrügerischen QR-Code in der Öffentlichkeit entdecke?

Entfernen Sie den Aufkleber nach Möglichkeit (oder überdecken Sie ihn) und melden Sie den Vorfall dem Betreiber des Standorts (Parkraumbewirtschaftung, Restaurant, Verkehrsbetrieb) sowie der örtlichen Polizei. Fotografieren Sie den Code vorher als Beweismittel. Melden Sie die betrügerische URL zusätzlich an Google Safe Browsing und die Verbraucherzentrale. So schützen Sie andere Passanten vor dem gleichen Betrug.