Die Polizei Wuppertal warnt vor einer Betrugsmasche mit QR-Codes, die sich gegen Verkäufer auf Online-Kleinanzeigen-Plattformen richtet. Im ersten Halbjahr 2025 wurden nach Angaben der Behörde drei Fälle im Märkischen Kreis dokumentiert.
QR-Codes statt Überweisung
In Iserlohn, Meinerzhagen und Altena (Märkischer Kreis) wurden im ersten Halbjahr 2025 drei Betrugsfälle gemeldet. Betroffen waren nach Angaben der Polizei Verkäufer auf Kleinanzeigen-Portalen.
Die Polizei teilte mit, ein angeblicher Käufer melde sich auf eine Anzeige, etwa für eine Kamera, Schuhe oder einen Lego-Bausatz. Statt einer Überweisung sende er einen QR-Code und erkläre, dies sei der schnellste Weg zur Bezahlung.
Die dokumentierten Fälle
- •Iserlohn (Januar 2025): Ein Kameraverkäufer scannte einen zugesandten QR-Code und gelangte auf eine gefälschte Zahlungsseite.
- •Meinerzhagen (Februar 2025): Ein Schuhverkäufer erhielt einen Code über WhatsApp und gab seine Bankdaten ein.
- •Altena (März 2025): Ein Lego-Verkäufer wurde über einen manipulierten Code zur Eingabe seiner Login-Daten aufgefordert.
Ablauf des Betrugs
Schritt 1: Kontaktaufnahme
Der Täter antwortet nach Angaben der Polizei auf eine Kleinanzeige und gibt sich als seriöser Käufer aus. Die Kommunikation läuft häufig über WhatsApp oder E-Mail.
Schritt 2: QR-Code statt Überweisung
Statt einer Banküberweisung sendet der Täter einen QR-Code. Laut Polizei behauptet er, damit lasse sich die Zahlung bestätigen oder das Geld schneller empfangen.
Schritt 3: Gefälschte Zahlungsseite
Der QR-Code führt auf eine nachgebaute Webseite eines bekannten Zahlungsdienstleisters wie PayPal oder Klarna. Logo, Farben und Aufbau ähneln dem Original.
Schritt 4: Datendiebstahl
Die Betroffenen werden aufgefordert, zur angeblichen Verifizierung Bankdaten oder Login-Informationen einzugeben. Damit erhalten die Täter Zugriff auf das Konto.
Schritt 5: Unberechtigte Abbuchung
Statt einer Gutschrift wird das Konto des Verkäufers belastet. Häufig folgen mehrere Abbuchungen, bevor der Betrug auffällt.
Warum die Masche funktioniert
Vertrauen in den Verkaufsprozess
Verkäufer erwarten eine Zahlung, keine Aufforderung zur Dateneingabe. Die Aussicht auf eine schnelle Bezahlung senkt die Aufmerksamkeit.
Nachgebaute Zahlungsseiten
Die gefälschten Zahlungsseiten sind kaum von echten Webseiten zu unterscheiden. Auch die Internetadresse wirkt auf den ersten Blick echt, etwa 'paypa1-secure.com' statt 'paypal.com'.
Zeitdruck und Manipulation
Nach Angaben der Polizei setzen die Täter Verkäufer unter Zeitdruck, etwa mit Formulierungen wie 'Ich brauche den Artikel dringend'.
Kommunikation außerhalb der Plattform
Wechselt die Kommunikation von der Kleinanzeigen-Plattform zu WhatsApp oder E-Mail, greifen die Sicherheitsmechanismen des Anbieters nicht mehr.
Empfehlungen der Polizei
Die Polizei Wuppertal rät Verkäufern auf Online-Plattformen zu folgenden Vorsichtsmaßnahmen:
1. Auf der Plattform bleiben
Führen Sie Verkaufsverhandlungen innerhalb der Kleinanzeigen-Plattform. Wechseln Sie nicht zu WhatsApp, E-Mail oder anderen Kanälen.
2. Keine QR-Codes für Zahlungen
Seriöse Käufer überweisen per Banküberweisung oder nutzen die Bezahlfunktion der Plattform. Für Zahlungsempfänger sind QR-Codes nicht üblich.
3. Internetadressen prüfen
Prüfen Sie nach dem Scannen eines QR-Codes die Adresse der Zielseite. Achten Sie auf Tippfehler, zusätzliche Zeichen oder ungewöhnliche Domains.
4. Keine Login-Daten eingeben
Um Geld zu empfangen, ist keine Anmeldung und keine Verifizierung erforderlich. Wer nach Login-Daten fragt, handelt nach Einschätzung der Polizei in betrügerischer Absicht.
5. Bei Zeitdruck misstrauisch bleiben
Betrüger drängen zur Eile. Seriöse Käufer warten auf eine reguläre Überweisung.
QRTrust: Prüfung von QR-Codes vor dem Öffnen
QRTrust prüft die Ziel-URL eines QR-Codes, bevor die Seite geöffnet wird. Der Dienst gleicht Adressen in Echtzeit mit Datenbanken bekannter Phishing-Seiten ab – unabhängig davon, ob der Code aus einer Kleinanzeige, von einem Parkautomaten oder aus einem Brief stammt.
Funktionen im Überblick
- Scan von QR-Codes im Browser statt mit der Kamera-App
- Abgleich gegen 50.000+ bekannte Phishing-URLs
- KI-gestützte Erkennung verdächtiger Muster, etwa Tippfehler in Domain-Namen
- Redirect-Verfolgung: Weiterleitungen werden aufgelöst und die finale Ziel-URL angezeigt
- Warnhinweis vor dem Aufruf der Seite
Nutzung
- qrtrust.de im Browser öffnen (funktioniert auf jedem Smartphone)
- "QR-Code scannen" antippen
- Kamera auf den Code halten
- Ergebnis abwarten: Grün (sicher), Gelb (unsicher), Rot (Gefahr)
- Nur bei grünem Ergebnis fortfahren
Integration für Kleinanzeigen-Plattformen
Plattformen wie eBay Kleinanzeigen, Vinted oder Kleinanzeigen.de können QRTrust über Schnittstellen einbinden:
API-Integration
QRTrust stellt eine REST-API bereit, die sich in bestehende Sicherheitssysteme einbinden lässt. Verdächtige QR-Codes können automatisch blockiert werden.
Browser-Extension
Eine Browser-Extension prüft QR-Codes auf Webseiten automatisch.
Whitelisting
Plattformen können offizielle QR-Codes, etwa für Zahlungen, als sicher hinterlegen lassen.
Hinweise für Betroffene
Wer einen verdächtigen QR-Code gescannt und Daten eingegeben hat, dem rät die Polizei zu folgenden Schritten:
1. Bank kontaktieren
Kontaktieren Sie Ihre Bank und lassen Sie Ihre Karte sperren. Bei schnellem Handeln lassen sich Transaktionen in vielen Fällen noch stoppen.
2. Passwörter ändern
Ändern Sie alle Passwörter, die Sie auf der gefälschten Seite eingegeben haben, insbesondere für Online-Banking und E-Mail.
3. Polizei informieren
Erstatten Sie Anzeige bei Ihrer örtlichen Polizei oder online über die Onlinewache NRW. Sichern Sie Beweise wie Screenshots, Chat-Verläufe und Telefonnummern.
4. Plattform informieren
Melden Sie den Betrug der Kleinanzeigen-Plattform. Diese kann das Konto des Täters sperren und andere Nutzer warnen.
5. Phishing-URL melden
Melden Sie die gefälschte Website bei Google Safe Browsing, damit sie in Warnlisten aufgenommen wird.
Einordnung: QR-Code-Betrug erreicht den Online-Handel
Die Fälle aus dem Märkischen Kreis zeigen, dass Quishing nicht mehr auf Parkautomaten und Behördenpost beschränkt ist. Betrüger nutzen zunehmend Situationen, in denen QR-Codes gescannt werden – inzwischen auch beim Online-Verkauf.
Die Polizei rät Verkäufern, auf der Plattform zu bleiben, keine QR-Codes für Zahlungen zu akzeptieren und bei Zeitdruck misstrauisch zu sein.
Wer die Ziel-Adresse eines QR-Codes vor dem Öffnen prüft, kann Betrugsversuche erkennen, bevor Schaden entsteht.
Über QRTrust
QRTrust ist die erste deutsche QR-Code-Sicherheitsplattform, entwickelt in Dortmund. KI-gestützte Echtzeit-Erkennung, eine lokale Bedrohungsdatenbank und mehrstufige Sicherheitsprüfungen schützen Bürger, Behörden und Unternehmen vor Quishing-Angriffen. DSGVO-konform, gehostet in Deutschland.