Fremde QR-Codes sicher prüfen: So erkennen Sie Quishing

Ein QR-Code auf einem Parkautomaten, einer Speisekarte oder einem Brief ist praktisch: Sie müssen keine lange Adresse abtippen. Doch das Muster verrät Ihnen nicht, welche Seite oder Aktion dahintersteckt. Ich zeige Ihnen, wie Sie fremde QR-Codes vorsichtig prüfen, typische Betrugsversuche erkennen und nach einem verdächtigen Scan richtig reagieren.

Fremde QR-Codes prüfen: Die Kurzfassung

• Prüfen Sie Herkunft und Anlass, bevor Sie einen Code scannen.
• Achten Sie auf überklebte Etiketten und unerwartete Zahlungsaufforderungen.
• Lassen Sie sich den Inhalt beziehungsweise die Zieladresse zunächst anzeigen, ohne eine Aktion automatisch auszuführen.
• Kontrollieren Sie die tatsächliche Domain. HTTPS und ein bekanntes Logo beweisen keine Echtheit.
• Bei Zweifeln öffnen Sie die bekannte Anbieter-App oder fragen über unabhängig bekannte Kontaktdaten nach.

Warum können QR-Codes gefährlich sein?

Ein QR-Code speichert Informationen, beispielsweise eine Webadresse, Kontaktdaten oder einen WLAN-Zugang. Je nach Inhalt und Scanner kann Ihr Gerät anschließend eine Webseite öffnen oder eine weitere Aktion anbieten. Das Codebild selbst ist kein Gütesiegel. Auch eine professionell gedruckte Grafik kann auf eine betrügerische Seite führen.

Kriminelle nutzen diese Eigenschaft für Phishing: Sie locken auf nachgebaute Anmelde- oder Zahlungsseiten und versuchen dort, Passwörter, Bestätigungscodes oder Bankdaten abzugreifen. Phishing über QR-Codes wird auch Quishing genannt. Andere Angriffe verleiten zur Installation schädlicher Apps oder zur Freigabe eines Zugangs.

Wo sollten Sie besonders aufmerksam sein?

Parkautomaten, Ladesäulen und öffentliche Aushänge

Ein echter Code kann mit einem anderen Aufkleber überdeckt werden. Auffällige Kanten, mehrere Etikettenlagen oder ein unpassender Aufkleber sind Warnsignale. Allerdings sind auch seriöse Codes häufig aufgeklebt. Eine Klebekante allein beweist deshalb keinen Betrug; umgekehrt ist ein sauberer Druck kein Echtheitsnachweis.

Briefe, E-Mails und Nachrichten

Eine angebliche Bank oder Behörde fordert Sie auf, einen Code zu scannen und sofort Daten zu bestätigen? Hinterfragen Sie das Anliegen. Briefpapier, Logos und persönliche Anrede lassen sich nachahmen. Ich empfehle Ihnen, solche Aufforderungen über die bekannte App oder einen unabhängig gewählten Kontaktweg zu prüfen.

Verkaufsplattformen und unerwartete Zahlungen

Seien Sie skeptisch, wenn Sie zum Empfang einer Zahlung plötzlich einen fremden Code scannen, Kartendaten eingeben oder eine Bankfreigabe bestätigen sollen. Bleiben Sie im vorgesehenen Ablauf der Plattform. Eine Nachricht, die Sie auf einen anderen Zahlungsweg drängt, verdient besondere Aufmerksamkeit.

So prüfen Sie einen QR-Code Schritt für Schritt

1. Prüfen Sie Quelle und Zusammenhang

Passt der Code zum Ort und zum erwarteten Vorgang? Wer hat ihn angebracht oder geschickt? Kontrollieren Sie bei einem Aufsteller oder Automaten die Umgebung auf sichtbare Veränderungen. Bei Unklarheiten fragen Sie das Personal oder den Betreiber. Verwenden Sie keine Kontaktadresse allein deshalb, weil sie neben dem verdächtigen Code steht.

2. Nutzen Sie eine Vorschau statt automatischer Aktionen

Verwenden Sie möglichst die eingebaute Kamera oder einen vertrauenswürdigen Scanner. Eine zusätzliche App ist häufig nicht nötig. Achten Sie darauf, dass der Inhalt zunächst angezeigt wird und das Gerät nicht automatisch eine Webseite oder Aktion startet. Die verfügbaren Einstellungen unterscheiden sich je nach Gerät und App. Wenn keine brauchbare Vorschau möglich ist, wählen Sie lieber einen anderen Zugangsweg.

3. Lesen Sie die tatsächliche Zieladresse

Bei einem Weblink ist der Hostname wichtig: Er steht in einfachen Adressen nach https:// und vor dem nächsten Schrägstrich. Ein bekannter Name an anderer Stelle reicht nicht. Die folgenden nicht anklickbaren Beispiele nutzen reservierte Beispieldomains:

• https://service.example.com/bezahlen liegt unter der Domain example.com.
• https://example.com.pruefung.example.net/bezahlen liegt unter example.net. Das vorangestellte example.com ändert daran nichts.
• https://example.net/example.com enthält den vertraut wirkenden Namen nur im Pfad.

Achten Sie auf Buchstabendreher, ähnlich aussehende Zeichen und unerwartete Zusätze. Mehrteilige Domain-Endungen machen pauschale Regeln wie „die letzten zwei Wörter zählen“ unzuverlässig. Bei gekürzten oder abgeschnittenen Adressen können Sie das Ziel oft nicht ausreichend beurteilen. Ein Kurzlink ist nicht automatisch schädlich, verschleiert aber zunächst die endgültige Adresse.

4. Hinterfragen Sie die angebotene Aktion

Eine Speisekarte sollte nicht ohne nachvollziehbaren Grund Ihre Bankdaten verlangen. Ein Code kann auch eine WLAN-Verbindung, eine Nachricht, eine Anmeldung oder eine Gerätekopplung anstoßen. Bestätigen Sie nur Vorgänge, die Sie selbst beabsichtigen und verstehen. Bei einer Zahlung kontrollieren Sie zusätzlich Empfänger, Betrag und Verwendungszweck in der vertrauenswürdigen Zahlungsanwendung.

5. Kontrollieren Sie nach dem Öffnen erneut

Weiterleitungen können zu einer anderen Adresse führen als zunächst angezeigt. Prüfen Sie deshalb die endgültige Adresse vor einer Anmeldung oder Dateneingabe nochmals. HTTPS bedeutet, dass die Verbindung verschlüsselt ist; es bestätigt nicht die Ehrlichkeit des Betreibers. Brechen Sie bei unerwarteten Downloads, Berechtigungsanfragen oder Freigaben ab.

Im Zweifel: Den Anbieter selbst aufrufen

Sie müssen einen verdächtigen Code nicht vollständig untersuchen. Öffnen Sie stattdessen die bereits installierte offizielle App oder eine bekannte, geprüfte Adresse. Beim Parken oder Laden können Sie gegebenenfalls die Stations- oder Zonennummer in der Anbieter-App eingeben. Prüfen Sie dabei, dass diese zum Standort passt. Umgehen Sie keine Browserwarnungen, um den Vorgang fortzusetzen.

Vorsicht mit Online-Prüfdiensten

Wenn Sie ein Codebild bei einem externen Dienst hochladen, geben Sie diesem möglicherweise auch den enthaltenen Inhalt weiter. Das können private Einladungslinks, Zugangsdaten oder personenbezogene Informationen sein. Ich empfehle Ihnen daher, vertrauliche Codes nicht ungeprüft hochzuladen. Auch das Ergebnis eines Sicherheitschecks ist nur ein Hinweis und keine Garantie für die Zielseite.

Verdächtigen QR-Code bereits gescannt: Was tun?

Nur den Inhalt angezeigt oder eine Seite geöffnet

Das reine Anzeigen des Inhalts ist nicht dasselbe wie eine Zahlung oder Anmeldung. Schließen Sie eine verdächtige Seite und bestätigen Sie nichts Weiteres. Prüfen Sie, ob Downloads oder Berechtigungsfreigaben erfolgt sind. Halten Sie Gerät und Browser aktuell. Ein geöffneter Link bedeutet nicht automatisch, dass Ihr Konto übernommen wurde.

Passwort eingegeben oder Zugang freigegeben

Ändern Sie das betroffene Passwort über die echte App oder Webseite, möglichst von einem vertrauenswürdigen Gerät. Ersetzen Sie es auch bei anderen Konten, falls Sie es dort wiederverwendet haben. Kontrollieren Sie angemeldete Geräte, aktive Sitzungen, verbundene Apps und Wiederherstellungsdaten. Widerrufen Sie unbekannte Kopplungen oder Zugriffe. Wenn Sie keinen Zugang mehr haben, nutzen Sie die Wiederherstellung des echten Anbieters.

Zahlungsdaten eingegeben oder Geld überwiesen

Kontaktieren Sie umgehend Ihre Bank oder den Zahlungsdienst über bekannte Kontaktdaten. Besprechen Sie notwendige Sperren und weitere Schritte. Sichern Sie Nachrichten, die Zieladresse und Zahlungsbelege, ohne den Vorgang erneut auszuführen. Bei einem Betrugsfall erstatten Sie Anzeige. Eine Rückzahlung lässt sich nicht pauschal zusagen.

Eine verdächtige App installiert

Nutzen Sie das möglicherweise betroffene Gerät vorerst nicht für weitere sensible Anmeldungen. Holen Sie fachkundige Hilfe; bei einem Arbeitsgerät informieren Sie sofort Ihre IT. Wichtige Zugangsdaten sollten Sie auf einem anderen, vertrauenswürdigen Gerät ändern.

Eigene QR-Codes verantwortungsvoll erstellen

Mit meinem QR-Code-Generator können Sie eigene Codes für Webadressen, Texte und WLAN-Zugänge erstellen. Das Tool erzeugt Codes; es prüft keine fremden Codes auf Sicherheit. Testen Sie Ihre Ausgabe und nennen Sie beim Veröffentlichen nach Möglichkeit zusätzlich die Zieladresse in lesbarer Form. WLAN-Codes gehören nur in die Hände berechtigter Personen, da sich die enthaltenen Zugangsdaten auslesen lassen.

Meine Empfehlung für den Alltag

Behandeln Sie einen fremden QR-Code wie einen unbekannten Link: Prüfen Sie den Anlass, sehen Sie sich das Ziel an und bestätigen Sie keine unerwartete Aktion. Bei Geld, Zugangsdaten oder Kontofreigaben ist der unabhängig gewählte Weg zum Anbieter die bessere Alternative.

Quellen und weiterführende Hilfe

• Polizeiliche Kriminalprävention: Quishing und typische Betrugssituationen
• Cybersicherheitsagentur Baden-Württemberg: Vorsicht beim Scannen von QR-Codes
• Canadian Centre for Cyber Security: QR-Code-Risiken und Geräteeinstellungen (englisch)
• FBI/IC3: Manipulierte QR-Codes und Vorsichtsmaßnahmen (englisch)
• Google: Ein kompromittiertes Konto absichern

Markenhinweis: „QR Code“ ist eine eingetragene Marke der DENSO WAVE INCORPORATED.