Quishing

Quishing ist eine Form von Phishing, bei der ein QR-Code statt eines klassischen Links benutzt wird. Das Wort setzt sich aus „QR-Code" und „Phishing" zusammen. Du scannst den Code mit dem Handy, landest auf einer gefälschten Webseite und sollst dort vertrauliche Daten eingeben.

QR-Codes verbergen ihr Ziel: Anders als bei einem Link siehst du vor dem Scannen nicht, wohin er führt. Manche Smartphones öffnen die Seite sogar sofort, ohne die Adresse vorher zu zeigen. Genau das machen sich Betrüger zunutze – digital und offline. Polizei und Verbraucherzentralen warnen verstärkt vor Quishing, weil QR-Codes im Alltag normal wirken.

Bekannte Quishing-Maschen

• Kleinanzeigen-Zahlung: Ein Käufer schickt dir per WhatsApp oder Portal-Nachricht einen QR-Code: „Scannen Sie hier, um die sichere Zahlung einzurichten." Dahinter steckt keine echte Käuferschutz-Seite, sondern ein Formular für Bank- oder Kartendaten. Typisch bei Fake-Kleinanzeigen.
• Gefälschte Rechnung per Brief oder E-Mail: Ein QR-Code soll die „Rechnung schnell bezahlen" – die Zahlung landet bei Betrügern. Mehr im Begriff Fake-Rechnung.
• Bank-Brief mit „Sicherheits-Update": Schreiben im Namen bekannter Banken fordern, per QR-Code das Online-Banking oder photoTAN zu „aktualisieren". Oft generische Anrede und umständliche Formulierungen. Der Code führt auf eine Fake-Login-Seite; eingegebene Zugangsdaten landen bei Betrügern.
• Phishing-Mail mit QR-Code: Seltener als klassische Links, aber vorhanden – z. B. angebliche Bank-Mails oder Geschenk-/Umfrage-Mails, die über den Code auf eine Betrugsseite führen.
• Überklebte Parkautomaten: Betrüger kleben einen eigenen QR-Code über den echten Aufkleber. Wer zahlt, überweist an die Falschen statt an die Kommune.
• Überklebte E-Ladesäulen: An Ladesäulen kleben Fake-Codes über den echten Bezahl-QR. Besser App oder Ladekarte nutzen und überklebte Aufkleber nicht scannen.
• Fake-Strafzettel: Unter dem Scheibenwischer liegt ein gefälschter Parkzettel mit QR-Code zum „sofort Bezahlen". Im Zweifel bei der Polizei nachfragen, statt zu scannen.
• Fake-Plakate im ÖPNV: Plakate in Bus oder Bahn locken mit Ticket-Verlosungen und fordern, einen QR-Code zu scannen – dahinter steckt Datendiebstahl, kein Verkehrsunternehmen.
• Paket-Aufkleber: Gefälschte „Zustellbenachrichtigung" mit QR-Code an der Tür oder im Briefkasten – oft im Zusammenhang mit Paketbetrug.

Quishing und Smishing – der Unterschied

• Smishing: Der Link kommt als URL in einer SMS – du tippst darauf.
• Quishing: Der Link steckt in einem QR-Code – du scannst ihn mit der Kamera.

Beides ist Phishing, nur der Weg zur Betrugsseite ist anders.

So schützt du dich

• Scanne keine QR-Codes, die dir Fremde schicken oder die überklebt wirken – an Automaten, Ladesäulen, Plakaten und Strafzetteln genau hinschauen.
• Nutze einen Scanner, der die Zieladresse vorher anzeigt, bevor die Seite öffnet.
• Lies die Adresse Zeichen für Zeichen. beispiel.de/seite gehört zu beispiel.de – beispiel.de-seite.com gehört zu einer ganz anderen Domain. Das ist oft Typosquatting.
• Gib niemals Bank- oder Kartendaten auf einer per QR-Code geöffneten Seite ein.
• Bei zweifelhaften Briefen: nicht die Nummer aus dem Schreiben anrufen. Echte Kontaktwege selbst recherchieren oder im echten Online-Banking nachschauen, ob etwas offen ist.
• Echte Bezahlfunktionen brauchen keinen QR-Code, den dir ein Käufer zuschickt.

Was tun, wenn du Daten eingegeben hast?

• Karte sofort sperren lassen und deine Bank informieren – bundesweit z. B. über den Sperr-Notruf 116116.
• Passwörter ändern, falls du dort Zugangsdaten eingegeben hast.
• Anzeige bei der Polizei erstatten und Screenshots sichern.
• Die Plattform informieren, wenn der Code über Kleinanzeigen oder Messenger kam.

Im Zweifel kopiere die hinter dem Code liegende Adresse und lass sie vom FAKE-Checker prüfen. Aktuelle Wellen und Warnungen: Phishing-Radar der Verbraucherzentrale.