Quishing: Wie Betrüger QR-Codes missbrauchen — und woran sich sichere Codes erkennen lassen

Der Parkschein ist bezahlt, glaubt man — tatsächlich sind die Kreditkartendaten gerade auf dem Server von Betrügern gelandet. Möglich macht das ein Aufkleber: ein gefälschter QR-Code, über den echten Code des Automaten geklebt. „Quishing“ nennt sich diese Masche, ein Kofferwort aus QR und Phishing. Verbraucherzentralen und Polizeibehörden warnen seit geraumer Zeit vor solchen Fällen an Parkautomaten, an Ladesäulen und in gefälschten Bankbriefen. Grund zur Panik ist das nicht — wohl aber ein Anlass, die eigenen Scan-Gewohnheiten zu überprüfen.

Warum ausgerechnet QR-Codes? Weil sie das perfekte Versteck sind. Ein Link in einer E-Mail lässt sich lesen, bevor man ihn anklickt; ein QR-Code ist für das menschliche Auge ein bedeutungsloses Muster. Wohin er führt, erfährt man erst nach dem Scan. Dazu kommt der Kontext: Ein Code an einem offiziellen Automaten erbt dessen Glaubwürdigkeit — kaum jemand rechnet damit, dass die Stadtverwaltung überklebt wurde. Und der Aufwand der Täter ist minimal: Ein Bogen Klebeetiketten und ein beliebiger Code-Generator genügen. Die Technik selbst ist dabei so neutral wie Papier und Druckerschwärze — jeder kann mit jedem Werkzeug einen Code auf jede beliebige Adresse erzeugen.

Die bekannten Maschen ähneln sich. An Parkautomaten und E-Ladesäulen führen überklebte Codes auf täuschend echte Bezahlseiten, die Kreditkartendaten abfragen. In gefälschten Briefen, die angeblich von Banken stammen, ersetzt der QR-Code den klassischen Phishing-Link — Papier wirkt vertrauenswürdig und umgeht jeden Spamfilter. Auch fingierte Strafzettel mit der Aufforderung, bequem per Code zu zahlen, sind dokumentiert, ebenso Aufkleber auf Paketbenachrichtigungen. Das Ziel ist stets dasselbe: Zahlungsdaten oder Zugangsdaten, eingesammelt auf einer nachgebauten Website.

So unterschiedlich die Kulissen sind, die Dramaturgie ähnelt sich. Fast immer arbeitet die Masche mit Zeitdruck: Das Konto werde gesperrt, der Wagen abgeschleppt, die Mahngebühr fällig, wenn nicht binnen Minuten gehandelt wird. Dazu kommt häufig ein ungewöhnlicher Weg für einen alltäglichen Vorgang — die Bank, die plötzlich per Brief zum Scannen auffordert, die Behörde, die Zahlungen über eine unbekannte Seite abwickelt. Beides sind klassische Signale des Social Engineering, und beide funktionieren unabhängig von der Technik: Der QR-Code ist nur der Träger. Wer sich angewöhnt, gerade bei empfundenem Zeitdruck langsamer zu werden, entzieht der Masche ihren wichtigsten Hebel — kein seriöser Anbieter bestraft es, wenn eine Zahlung fünf Minuten später über den offiziellen Weg erfolgt.

Der wichtigste Schutz ist längst eingebaut, wird aber selten bewusst genutzt: die Link-Vorschau. Moderne Telefone zeigen nach dem Scan zunächst die Zieladresse an, bevor sie eine Seite öffnen. Diese Sekunde ist die entscheidende. Lesen lohnt sich genau — und zwar von hinten: Ausschlaggebend ist die eigentliche Domain unmittelbar vor der Endung, nicht der Anfang der Adresse. „ihrebank.bezahl-service.example“ gehört nicht der Bank, sondern dem Betreiber von „bezahl-service.example“. Auch Zeichendreher, zusätzliche Bindestriche und ungewöhnliche Endungen sind Warnsignale.

Zwei Feinheiten machen das Lesen schwerer, als es klingt. Erstens kürzen manche Kamera-Apps lange Adressen in der Vorschau ab — sichtbar ist dann nur der harmlos wirkende Anfang, nicht die entscheidende Domain. Wer unsicher ist, lässt sich die vollständige Adresse anzeigen, bevor er sie öffnet. Zweitens existieren Domains mit Schriftzeichen aus anderen Alphabeten, die lateinischen Buchstaben zum Verwechseln ähnlich sehen; viele Browser stellen solche Adressen zum Schutz in einer technischen Schreibweise mit dem Präfix „xn--“ dar. Wer eine solche Zeichenfolge in der Vorschau sieht, obwohl er eine vertraute Marke erwartet, hat allen Grund zur Vorsicht. Kurzlink-Dienste schließlich verbergen das eigentliche Ziel vollständig — bei allem, was mit Geld oder Zugangsdaten zu tun hat, ist das Abtippen der bekannten Adresse der sicherste Weg.

Der zweite Blick gilt dem Code selbst. Klebt er auf dem Automaten, statt aufgedruckt oder hinter Folie zu liegen? Steht er schief, überlappt er andere Beschriftungen, hebt er sich fühlbar von der Oberfläche ab? Ein Etikett über dem Original ist das häufigste Muster beim Quishing im öffentlichen Raum. Im Zweifel gilt: den offiziellen Weg nehmen — die App des Betreibers, die aufgedruckte Servicenummer oder das Terminal selbst.

Drittens: Sensible Vorgänge haben nach einem Scan im öffentlichen Raum nichts verloren. Wer nach dem Scannen eines Codes Zahlungsdaten, Passwörter oder eine TAN eingeben soll, bricht besser ab und tippt die bekannte Adresse selbst ein oder nutzt die offizielle App. Bei Briefen mit QR-Code hilft ein Anruf bei der Bank — über die Nummer auf der Bankkarte, nicht über die im Brief. Seriöse Institute akzeptieren diesen Umweg klaglos; wer auf Eile drängt, macht sich verdächtig.

Ein verbreiteter Irrtum verdient eine eigene Warnung: Das Schloss-Symbol im Browser ist kein Gütesiegel. Es zeigt nur, dass die Verbindung verschlüsselt ist — nicht, mit wem man verschlüsselt kommuniziert. Phishing-Seiten nutzen heute fast durchgängig HTTPS. Die Frage ist also nie, ob eine Seite ein Schloss hat, sondern wem die Domain gehört.

Einen Unterschied macht auch das Werkzeug in der eigenen Hand. Die Kamera-Apps moderner Telefone zeigen die Zieladresse an und warten auf eine bewusste Bestätigung — genau dieses Innehalten ist der Schutzmechanismus. Scanner-Apps von Drittanbietern öffnen Links dagegen teils automatisch, blenden Werbung ein oder verlangen Berechtigungen, die mit dem Scannen nichts zu tun haben. Wer eine solche App nutzt, prüft am besten, ob sich das automatische Öffnen abschalten lässt — oder verzichtet ganz darauf: Für den Alltag genügt die vorinstallierte Kamera vollständig. Wo sie fehlt, etwa auf älteren Geräten, ist eine Scanner-App mit Vorschaufunktion und sparsamen Berechtigungen die richtige Wahl.

Zur Wahrheit gehört allerdings auch: Nicht jede Weiterleitung ist verdächtig. Viele legitime Codes aus Werbung und Handel führen zunächst über die Kurzdomain eines QR-Dienstes, bevor sie am Ziel ankommen — so funktionieren dynamische Codes, deren Ziel nachträglich änderbar bleibt und deren Scans für die Reichweitenmessung gezählt werden. Ein Zwischenschritt über eine unbekannte Kurzadresse ist deshalb für sich genommen kein Beweis für Betrug — so wenig wie sein Fehlen ein Beweis für Sicherheit ist.

Wie Anbieter mit dieser Transparenzfrage umgehen können, zeigt der deutsche QR-Dienst QR2GO: Er stellt für jeden Code mehrere Weiterleitungsmodi zur Wahl — eine sichtbare Weiterleitung, bei der der Zwischenschritt erkennbar bleibt, eine verdeckte Variante mit Zählung und einen Direktmodus ohne Umweg. Für Verbraucherinnen und Verbraucher bleibt die Lehre trotzdem dieselbe: Entscheidend ist nicht der Weg, sondern das Ziel — welche Adresse am Ende im Browser steht und was die Seite dort verlangt.

Verhindern kann ein Generator den Missbrauch nämlich nicht — kein Anbieter kontrolliert, wo ein einmal erzeugter Code aufgeklebt wird, und Betrüger können jedes beliebige Werkzeug verwenden. Der Schutz liegt deshalb nicht in der Technik, sondern in der Gewohnheit: Zieladresse lesen, Kontext prüfen, bei Geld und Passwörtern misstrauisch werden. Es ist dieselbe Wachsamkeit, die sich bei E-Mail-Links längst eingebürgert hat — nur dass sie beim QR-Code erst nach dem Scan beginnen kann.

Eine eigene Facette hat das Thema im Berufsalltag. Sicherheitsbehörden und Verbraucherschützer beobachten seit einiger Zeit Phishing-Mails, die statt eines Links einen QR-Code enthalten — mit einem kalkulierten Seiteneffekt: Der Code wird mit dem privaten Telefon vom Bildschirm abgescannt, und damit verlässt der Angriff den gesicherten Firmenrechner samt seiner Filter und Schutzprogramme. Die Anmeldemaske, die dann auf dem Handy erscheint, ähnelt dem Portal des Arbeitgebers oft bis ins Detail. Die Gegenregel ist einfach und lässt sich im Team verankern: Dienstliche Zugangsdaten werden grundsätzlich nicht auf Seiten eingegeben, die über einen gescannten Code erreicht wurden — und verdächtige Nachrichten gehören an die IT-Abteilung gemeldet, nicht in den Papierkorb.

Wichtig für die Einordnung: Der Scan selbst richtet in aller Regel noch keinen Schaden an. Gefährlich wird es erst, wenn die geöffnete Seite zu Eingaben auffordert, Downloads anbietet oder zur Installation einer App drängt. Wer eine verdächtige Seite einfach schließt und nichts eingegeben hat, muss meist nichts weiter befürchten — ein prüfender Blick auf die nächsten Kontoauszüge schadet trotzdem nie.

Ist doch etwas passiert, zählt Tempo. Wurden Kartendaten eingegeben, sollte die Karte unverzüglich gesperrt werden — in Deutschland zentral über den Sperr-Notruf 116 116 oder direkt bei der Bank. Betroffene Passwörter gehören sofort geändert, bei Wiederverwendung auch auf allen anderen Diensten. Eine Anzeige bei der Polizei ist auch bei kleinen Beträgen sinnvoll, weil sie Ermittlungsmuster sichtbar macht; die Verbraucherzentralen sammeln Phishing-Meldungen zusätzlich. Kontobewegungen sollten in den Folgewochen aufmerksam geprüft werden.

Auch die Gegenseite kann etwas tun. Unternehmen, die Codes öffentlich aushängen, stärken das Vertrauen, indem sie die Zieladresse in Klartext daneben drucken — wer will, kann sie abtippen, und alle anderen können zumindest die Vorschau damit vergleichen. Ein konsistentes Erscheinungsbild mit Farben und Logo hilft ebenfalls, ist aber kein Beweis, denn Gestaltung lässt sich kopieren. Wirksamer ist die regelmäßige Kontrolle vor Ort — ein überklebter Code fällt beim wöchentlichen Rundgang auf — und eine Platzierung, die das Überkleben zumindest erschwert.

Für Betreiber von Automaten und Ladesäulen lässt sich das zu einem festen Ablauf verdichten: eine Übersicht führen, welcher Code an welchem Standort hängt und wohin er führt; das Personal so einweisen, dass ein fremder Aufkleber beim Leeren oder Warten auffällt; und einen einfachen Meldeweg für Hinweise aus der Kundschaft schaffen. Wird eine Manipulation entdeckt, gilt: den falschen Code sofort abdecken oder entfernen, den Zustand vorher fotografieren, Anzeige erstatten — und am Automaten gut sichtbar darauf hinweisen, dass Zahlungen nur über die offiziellen Wege erfolgen sollten. Wer die Kundschaft zusätzlich über die eigenen Kanäle informiert, begrenzt den Schaden und gewinnt Vertrauen zurück.

Am Ende ist Quishing keine neue Gefahr, sondern eine alte in neuem Gewand: Phishing folgt der Aufmerksamkeit, und die Aufmerksamkeit ist beim QR-Code angekommen. Die Antwort bleibt unverändert — ein kurzer prüfender Blick, bevor Daten fließen. Wer die Zieladresse eines gescannten Codes so aufmerksam liest wie den Absender einer verdächtigen E-Mail, hat der Masche das meiste von ihrem Schrecken genommen.