Der Fall
Ein Unternehmen im Main-Tauber-Kreis hat nach Angaben des Polizeipräsidiums Heilbronn in der vergangenen Woche gefälschte Bankschreiben erhalten. Die Briefe seien optisch kaum von echten zu unterscheiden gewesen. Ein Konto bei der genannten Bank führt das Unternehmen nicht.
Die Fälschungen enthielten laut Polizei die tatsächliche Absenderadresse und die Kontaktdaten der Bank. Lediglich die E-Mail-Adresse sei geringfügig vom Original abgewichen.
Das Polizeipräsidium Heilbronn bestätigte den Fall und warnt vor der Betrugsmasche, die als Quishing bezeichnet wird.
Das Vorgehen der Täter
- Die Täter versenden nach Polizeiangaben professionell gestaltete Briefe im Namen bekannter Banken – mit Logo, Adresse und Kontaktdaten der Institute
- In den Schreiben wird behauptet, zum 1. Januar 2026 seien europaweit verschärfte gesetzliche Vorgaben zur Betrugsprävention in Kraft getreten
- Die Empfänger sollen ihre Geräte durch das Scannen eines QR-Codes registrieren, angeblich um ihr Konto zu schützen
- Der QR-Code führt auf eine nachgebaute Phishing-Webseite, auf der Zugangsdaten und TANs abgefangen werden
- Mit den erbeuteten Daten können die Täter auf das Bankkonto der Betroffenen zugreifen
Merkmale der gefälschten Schreiben
Kein Konto bei der Bank
Erhalten Sie Post von einer Bank, bei der Sie kein Konto führen, handelt es sich um einen Betrugsversuch.
Abweichende E-Mail-Adresse
Die E-Mail-Adresse im Schreiben weicht geringfügig vom Original ab, etwa durch einen zusätzlichen Buchstaben oder eine andere Domain-Endung.
Druck durch Gesetzesänderung
Das Schreiben erzeugt Zeitdruck durch angebliche neue gesetzliche Vorgaben und droht mit einer Kontosperrung.
QR-Code als einzige Handlung
Das Schreiben zielt allein darauf ab, den QR-Code scannen zu lassen. Banken fordern dies nach Angaben der Polizei nicht per Brief.
Betroffene Banken
Polizei und Landeskriminalamt (LKA) dokumentieren gefälschte Schreiben im Namen mehrerer Banken:
- • Volksbanken Raiffeisenbanken (VR Bank)
- • ING-DiBa
- • ApoBank
- • Deutsche Bank
- • DKB (Deutsche Kreditbank)
Die Täter nutzen nach Einschätzung der Ermittler vermutlich Kundendaten aus früheren Phishing-Angriffen oder Datenlecks, um die Briefe gezielt zu versenden.
Empfehlungen der Polizei
- • Die Polizei rät, QR-Codes aus Briefen nicht zu scannen, ohne die Echtheit des Schreibens zu prüfen
- • Kontaktieren Sie Ihre Bank über die offizielle Telefonnummer auf der Bankkarte, nicht über die Nummer im Schreiben
- • Geben Sie keine sensiblen Daten wie Passwörter, TANs oder PINs auf Webseiten ein, die über QR-Codes erreicht werden
- • Erstatten Sie Anzeige bei der Polizei und legen Sie den Originalbrief als Beweismittel vor
- • Wer bereits Daten eingegeben hat, sollte umgehend die Bank informieren und das Konto sperren lassen (Sperr-Notruf: 116 116)
QRTrust: QR-Code-Prüfung vor dem Öffnen
QRTrust prüft QR-Codes, bevor der hinterlegte Link geöffnet wird. Die Anwendung analysiert die Ziel-URL in mehreren Schritten und meldet bekannte Phishing-Seiten, bevor die Webseite aufgerufen wird.
Die Prüfung erfolgt gegen eine Datenbank mit über 1 Million bekannten Phishing-URLs sowie über eine musterbasierte Analyse für neue Bedrohungen. Der Dienst ist DSGVO-konform und wird in Deutschland gehostet.
QR-Code mit QRTrust prüfen →Quellen
Über QRTrust
QRTrust ist die erste deutsche QR-Code-Sicherheitsplattform, entwickelt in Dortmund. KI-gestützte Echtzeit-Erkennung, eine lokale Bedrohungsdatenbank und mehrstufige Sicherheitsprüfungen schützen Bürger, Behörden und Unternehmen vor Quishing-Angriffen. DSGVO-konform, gehostet in Deutschland.