Ihr gemeinnütziger Verein für Information, Beratung, Bildung und Interessenvertretung.

 

"Quishing": Falsche QR-Codes in Bank-Briefen und im Straßenverkehr

Stand:
Cyberkriminelle kombinieren digitale Betrugsmaschen mit klassischen Informationswegen. Mit QR-Codes wollen sie auf gefälschte Internetseiten locken und Geld stehlen. Sie verschicken falsche Bank-Briefe, überkleben Codes auf E-Ladesäulen und verteilen gefälschte Strafzettel.
Miniaturfiguren bauen aus kleinen Papierschnipseln einen QR-Code

Das Wichtigste in Kürze:

  • Weil man bei QR-Codes nicht sofort sehen kann, welche Infos sie enthalten, werden sie von Kriminellen missbraucht.
  • Die betrügerischen Codes kommen nicht über digitale Kommunikationswege, sondern per Briefpost, an Ladesäulen für E-Autos sowie auf gefälschten Strafzetteln.
  • Schützen Sie sich, indem Sie einen QR-Code nur dann scannen, wenn Sie sich über dessen Echtheit sicher sind und vorher prüfen können, wo er hinführt.
On

Viele Quadrate in einem Quadrat: Das ist ein QR-Code. Die Quadrate enthalten Informationen, die zum Beispiel mit einem Smartphone erfasst werden können. Oft sind es Internet-Adressen, um auf einfache Weise eine Internetseite zu öffnen. Tückisch dabei ist, dass nicht alle Smartphones anzeigen, was im QR-Code steht, bevor sie die entsprechende Aktion ausführen. Während einige zunächst die Internet-Adresse zeigen und fragen, ob die Seite geöffnet werden soll, öffnen andere so eine Seite sofort. Falls Ihr Gerät das macht, sollten Sie sich eine App installieren, die erst den Link anzeigt.

Kriminelle machen sich die Technik zunutze und missbrauchen QR-Codes für ihre Zwecke. Das wird als "Quishing" bezeichnet – eine Zusammensetzung der Worte "QR-Code" und "Phishing" – also Fischen nach Passworten. Drei Beispiele:

Falsche Briefe von angeblichen Banken

Einen Brief von der Commerzbank erhielt Ende August 2024 eine Verbraucherin aus München und wandte sich ans Phishing-Radar der Verbraucherzentrale NRW. Die Frau hat gar kein Konto bei der Bank und war deshalb zu Recht erstaunt darüber, dass sie ein "photoTAN-Verfahren zur Sicherheit Ihrer Bankgeschäfte" aktualisieren soll. Dazu enthielt der Brief einen auffällig platzierten QR-Code. Allerdings führt er auf eine Internetseite, die die Kriminellen betreiben. Dort eingetippte Daten (wie zum Beispiel Zugangsdaten zum Online-Banking) würden also in deren Hände gelangen. In manchen Fällen werden auf diese Weise direkt Geldtransfers veranlasst, warnt das Landeskriminalamt Nordrhein-Westfalen.

Diesen Brief hat die Münchnerin erhalten und den QR-Code in der Mitte abgedeckt:

Foto eines falschen Briefs mit Commerzbank-Logo.

Dass solche Aufforderungen als Betrugsversuche per E-Mail verschickt werden, ist nicht neu – wenn auch selten mit QR-Code. Das Phishing-Radar zeigt laufend entsprechende Beispiele. Nun haben Kriminelle ihren Text offenbar mit einem QR-Code ausgedruckt und verschicken ihn per Post. Denn die echte Commerzbank hat mit dem Brief nichts zu tun. Genauso wenig wie die anderen Banken, in deren Namen ebenfalls Briefe verschickt werden. Auffällig ist unter anderem, dass das Schreiben mit "Sehr geehrte Kontoinhaberin, sehr geehrter Kontoinhaber" beginnt und nicht mit dem richtigen Namen der angeschriebenen Person. Auch die eher umständliche Formulierung am Ende ist ungewöhnlich: "Vielen Dank für Ihr Verständnis und Ihre sofortige Kooperation in dieser Angelegenheit."

Wohin führt der QR-Code?

Das sehen Sie hier:

Auf dem Bildschirm eines Smartphones ist die Info eines gescannten QR-Codes zu lesen: https:// commerzbank .de-id-j5tr60xmvzw7gih4sdg6p4bae0cbb...

Auch hierbei haben sich die Kriminellen Mühe gegeben. Augenscheinlich führt der Code sogar auf die Internetseite der Commerzbank – beginnt die Adresse doch mit https:// und wird mit commerzbank.de fortgesetzt. Aber: Hinter dem .de befindet sich ein Bindestrich (-). Die echte Seite der Commerzbank wäre es nur dann, wenn hinter dem .de ein Schrägstrich (/) oder überhaupt nichts stehen würde!

Falsche QR-Codes an Ladesäulen für E-Autos

Ebenfalls im August 2024 gab es Warnungen in verschiedenen Medien vor falschen QR-Codes auf E-Ladesäulen. Dort sind die kleinen Quadrate oft zu finden, damit man zum Laden des Elektroautos direkt bezahlen kann. Kriminelle haben offenbar Codes überklebt, sodass Menschen nicht auf die echte Bezahlseite des Anbieters geführt wurden. Der ADAC rät in solchen Fällen unter anderem, keinen überklebten QR-Code zu scannen. Verfügt die Ladesäule über ein Display, sollte der Code von dort gescannt werden.

In der Regel können Ladesäulen auch mit einer App oder Ladekarte anderer Anbieter genutzt werden. Dabei muss kein vorhandener QR-Code gescannt werden.

Falsche Strafzettel für Falschparker

In einigen Städten bieten Ordnungsamt oder Polizei auf Strafzetteln einen QR-Code an, über den Autofahrer:innen bei einem Parkverstoß direkt bezahlen können. Das nutzen auch Kriminelle aus, die falsche Strafzettel unter die Scheibenwischer parkender Fahrzeuge klemmen. Berichte darüber gab es in der Vergangenheit unter anderem aus Berlin. Unser Rat: Gehen Sie im Zweifel mit dem vermeintlichen Strafzettel zur Polizei, um den Sachverhalt zu klären.

Tipps zum Schutz vor Quishing

  • Scannen Sie einen QR-Code nur, wenn Sie sich sicher sind, dass er seriös ist. Inzwischen erkennen viele Smartphones einen QR-Code über die Kamera-App. Die sollten Sie aber nur nutzen, wenn die Infos des Codes (z.B. Internet-Adresse) zunächst angezeigt und nicht direkt geöffnet werden. Sehen Sie sich die Adresse genau an und lassen Sie die Internetseite nur dann öffnen, wenn Sie sicher sind, dass sie dem echten Anbieter gehört.
  • Zeigt Ihre Kamera oder Ihr QR-Code-Scanner vor dem Öffnen einer Internetseite die Adresse nicht an, informieren Sie sich über seriöse Apps, die das machen, installieren eine auf Ihrem Gerät und nutzen die zum Scannen eines QR-Codes.
  • Achten Sie in einer Internet-Adresse genau auf die Satzzeichen! Die Adresse "beispiel.de/123" führt tatsächlich auf eine Unterseite des Auftritts "Beispiel.de". Die Schreibweise "beispiel.de-123.com" hingegen würde auf eine Unterseite des Auftritts "de-123.com" führen.
  • Wenn Sie einen zweifelhaften Brief bekommen haben, rufen Sie beim Absender an. Verlassen Sie sich dabei nicht auf eine im Brief angegebene Telefonnummer, sondern recherchieren Sie auf seriösen Internetseiten, ob die Nummer auch dort in Verbindung mit dem Unternehmen zu finden ist. Bei einem Brief Ihrer Bank könnten Sie in Ihr echtes Online-Banking gucken und prüfen, ob Sie dort eine Nachricht mit Handlungsbedarf finden.
  • Prüfen Sie bei einer Ladesäule, ob der QR-Code überklebt wurde. Falls das so ist, scannen Sie ihn nicht!
  • Wenn Sie auf den Betrug hereingefallen sind, wenden Sie sich umgehend an die Polizei! Falls Sie Geld bezahlt haben, informieren Sie umgehend Ihre Bank oder rufen Sie den Sperr-Notruf 116116 an!

Ratgeber-Tipps

Ratgeber Photovoltaik
Wer ein Stück weit unabhängig von den Preiskapriolen der Energieversorger werden will, kümmert sich um die Anschaffung…
Handbuch Pflege
Als pflegebedürftig gelten Menschen, die wegen einer Krankheit oder Behinderung für mindestens sechs Monate Hilfe im…
Düstere Schwarz-Weiß-Aufnahme eines Mannes, der vor einem Laptop sitzt

Betrug: Phishing-Mails und falsche SMS von Ministerien und Behörden

Aktuelle Entwicklungen machen sich Kriminelle schnell zu Nutze. So auch zu den Themen Inflation, Energiekrise und nationale Sicherheit. Der Betrug kommt per SMS, E-Mail oder auf falschen Internetseiten. In diesem Artikel warnen wir vor verschiedenen aktuellen Betrugsmaschen.
Ein Mann hält ein Smartphone in der Hand und tippt mit dem Zeigefinger darauf.

bonify-App: Datenschutz im Auge behalten

Was ist die neue bonify-App und wie will die App Menschen dabei unterstützen, die eigene Kreditwürdigkeit zu verbessern? Wir beantworten die wichtigsten Fragen und erläutern, warum wir das kritisch sehen.
Schmuckbild

Abzocke auf online-wohngeld.de: Hier wird kein Wohngeld beantragt!

Auf der Website online-wohngeld.de könnten Verbraucher:innen den Eindruck bekommen, dass sie dort Wohngeld beantragen können. Das ist jedoch nicht der Fall und kostet auch noch Geld!