Bericht über eine wachsende Betrugsmasche

tagesschau.de hat gemeinsam mit dem Rundfunk Berlin-Brandenburg (rbb) einen Ratgeber zum QR-Code-Betrug veröffentlicht. Wie tagesschau.de berichtete, verbreite sich die Betrugsmasche „Quishing“ zunehmend. Betroffen seien nicht mehr nur Online-Nutzer, sondern alle, die im Alltag QR-Codes scannen.

Der Begriff „Quishing“ setzt sich aus „QR-Code“ und „Phishing“ zusammen. Nach Angaben des rbb platzieren Kriminelle manipulierte QR-Codes an Orten, an denen Nutzer ihnen vertrauen: an Parkautomaten, E-Ladesäulen, auf Restauranttischen, in E-Mails und in gefälschten Briefen von Banken und Behörden. Wer einen solchen Code scanne, gelange nicht auf die echte Seite, sondern auf eine nachgebaute Phishing-Seite, die Login-, Bank- und Kreditkartendaten abgreife.

Einem QR-Code sei nicht anzusehen, wohin er führe, heißt es in dem Bericht. Der Betrug falle deshalb häufig erst auf, wenn das Geld bereits abgebucht sei.

Ablauf der Betrugsmasche

  1. Kriminelle erstellen eine Kopie einer bekannten Webseite, etwa einer Park-App, eines Ladesäulen-Betreibers oder des Online-Bankings.
  2. Sie erzeugen einen QR-Code, der auf die gefälschte Seite verweist, und drucken ihn als Aufkleber oder als offiziell wirkendes Schreiben.
  3. Der gefälschte Code wird über den Original-Code geklebt – an Parkautomaten, Ladesäulen oder Aushängen – oder per Brief und E-Mail verschickt.
  4. Betroffene scannen den Code, um zu bezahlen oder einer vermeintlichen Aufforderung nachzukommen, und geben auf der gefälschten Seite ihre Daten ein.
  5. Mit den erbeuteten Zugangs- und Zahlungsdaten buchen die Täter Geld ab, lösen Abbuchungen aus oder verkaufen die Daten weiter.

Merkmale manipulierter QR-Codes

Überklebter QR-Code

Ein Aufkleber, der über einem anderen Code klebt, sich an den Rändern löst oder schief sitzt, gilt als verdächtig. Originale QR-Codes sind nach Angaben von Verbraucherschützern meist aufgedruckt oder eingraviert und nicht nachträglich aufgeklebt.

Unerwartete Datenabfrage

Fragt eine Seite nach dem Scannen unvermittelt Login-Daten, PIN, TAN oder Kreditkartendaten ab, deutet das auf Betrug hin. Seriöse Anbieter verlangen solche Angaben nach eigenen Angaben nicht ohne vorherige Anmeldung.

Abweichende oder kryptische URL

Tippfehler-Domains, fremde Endungen oder kryptische Zeichenfolgen statt des bekannten Markennamens in der Scan-Vorschau gelten als deutliches Betrugszeichen.

Zeitdruck und Drohungen

Formulierungen wie „letzte Mahnung“ oder „Konto wird gesperrt“ sollen Druck erzeugen. Banken und Behörden fordern nach Angaben von Verbraucherschützern nicht per QR-Code unter Zeitdruck zur Zahlung auf.

Steigende Fallzahlen in Ballungsräumen

In Großstädten wie Berlin gehören QR-Codes zum Alltag: Parkschein per App, Tickets für BVG und Bahn, Speisekarten im Restaurant, Laden von E-Autos und E-Scootern. Diese hohe QR-Dichte macht Ballungsräume nach Einschätzung von Ermittlern für Kriminelle interessant. Polizei und Verbraucherzentralen verzeichnen bundesweit steigende Fallzahlen; dokumentierte Fälle reichen von Berlin und Brandenburg über Hannover, Frankfurt und Köln bis Dortmund. In einem von der Verbraucherzentrale Brandenburg dokumentierten Fall lösten gescannte Zahlungslinks ungewollte PayPal-Zahlungen von über 3.000 Euro aus.

Empfehlungen von Polizei und Verbraucherschützern

  • • Die Polizei rät, QR-Codes nur zu scannen, wenn die Quelle eindeutig vertrauenswürdig ist, und Aufkleber an Automaten und Ladesäulen auf Manipulation zu prüfen.
  • • Kontrollieren Sie die URL in der Scan-Vorschau, bevor Sie die Seite öffnen. Im Zweifel empfehlen Verbraucherschützer, die Adresse manuell im Browser einzugeben.
  • • Geben Sie keine Login-, Bank- oder Kreditkartendaten auf einer Seite ein, die Sie über einen QR-Code erreicht haben.
  • • Nutzen Sie für Bank- und Bezahlvorgänge die offizielle App oder die direkt eingegebene Webadresse – nicht einen QR-Code aus Brief, E-Mail oder von einem Aufkleber.
  • • Halten Sie das Betriebssystem Ihres Smartphones aktuell. Betroffene sollten ihre Bank informieren, die Karte über den Sperr-Notruf 116 116 sperren lassen und Anzeige bei der Polizei (110) erstatten.

QRTrust: Prüfung der Ziel-URL vor dem Öffnen

QRTrust prüft die Ziel-URL eines QR-Codes, bevor die Seite geöffnet wird. Die Analyse gleicht jede URL in Echtzeit mit PhishTank, Google Safe Browsing, einer lokalen Bedrohungsdatenbank und einem eigenen KI-Modell ab und folgt dabei bis zu fünf Weiterleitungen bis zur tatsächlichen Zielseite.

Das Ergebnis zeigt, wohin ein QR-Code tatsächlich führt, bevor Daten eingegeben werden. Der Dienst ist DSGVO-konform und wird in Deutschland gehostet.

QR-Code mit QRTrust prüfen →

Quellen

Über QRTrust

QRTrust ist die erste deutsche QR-Code-Sicherheitsplattform, entwickelt in Dortmund. KI-gestützte Echtzeit-Erkennung, eine lokale Bedrohungsdatenbank und mehrstufige Sicherheitsprüfungen schützen Bürger, Behörden und Unternehmen vor Quishing-Angriffen. DSGVO-konform, gehostet in Deutschland.