Falsche QR-Codes: So schützen Sie sich vor dem Betrug

Dass Betrüger das Internet für kriminelle Aktivitäten nutzen, dürfte die wenigsten überraschen. Neuer ist die Methode des "Quishings": Dabei werden QR-Codes genutzt, um an das Geld von potenziellen Opfern zu kommen.

Beim Quishing - eine Zusammensetzung aus "QR-Code" und "Phishing" - gehen Täter dabei besonders perfide vor: Wie die Verbraucherzentralen berichten, werden manipulierte QR-Codes an Ladesäulen angebracht, mit gefälschten Strafzetteln verbreitet und neuerdings als Bankbriefe an Haushalte verschickt.

Scannt man einen gefälschten QR-Code und folgt dem dazugehörigen Link, landet man auf einer gefälschten Banking-Seite, auf der man sich einloggen soll, berichtet das Landeskriminalamt (LKA) Niedersachsen. Opfer würden anschließend durch verschiedene Prozesse geführt, bis sie ihr echtes Onlinebanking freischalteten.

Das Vertrauen der Opfer versuchen Kriminelle offenbar mit gefälschten Bankbriefen zu gewinnen: Wie das LKA Niedersachsen erklärt, werden dazu neben der korrekten Empfängeradresse auch die Logos und die korrekte Anschrift des Bankinstituts verwendet. Dem LKA Niedersachsen liegen bereits vermeintliche Briefe der Targo-Bank, der Deutschen Bank sowie der Commerzbank vor - dabei handelt es sich um Fälschungen.

Eine Sprecherin der Commerzbank teilte auf Anfrage von ZDFheute mit, das genannte Brief-Phishing sei ihrem Geldinstitut bekannt: "Es handelt sich nicht um ein neues Phänomen." Mit Hilfe "vielfältiger Maßnahmen" erkenne man neu gestartete Phishing-Kampagnen zeitnah, so die Sprecherin. Zudem verhindere man "aktiv die Verwertung durch die Phishing-Täter". Kundinnen und Kunden werden auf der Internetseite der Commerzbank gewarnt. Zu Schäden macht das Unternehmen keine Angaben.

Die Verbraucherzentrale berichtet von einem Fall aus München: Dort hat eine Frau im August 2024 einen Brief der Commerzbank erhalten, der sie aufforderte, ein "photoTAN-Verfahren zur Sicherheit Ihrer Bankgeschäfte" zu aktualisieren. Dazu enthielt der Brief einen auffällig platzierten QR-Code, der auf eine Internetseite von mutmaßlichen kriminellen Abzockern führte. Weil die Frau zuvor keine Kundin der Commerzbank war, wurde sie stutzig.

Auf die Frage, woher die Täter an die Daten ihrer Opfer kommen, gibt es laut dem LKA Niedersachsen mehrere Antworten: So ist es möglich, dass Kontaktdaten durch Hackerangriffe in die Hände der Kriminellen gerieten - oder das Opfer in vergangenen Phishing-Aktionen seine Informationen auf dubiosen Plattformen mitteilte. Auch die Kombination verschiedener Datenbestände sei denkbar.

Doch Täter nutzen nicht nur täuschend echte Fake-Briefe, um Opfer auf ihre Seite zu locken: Wie die Verbraucherzentrale berichtet, werden manipulierte QR-Codes auch an Ladesäulen für E-Autos angebracht. Besonders gefährlich: Kriminelle haben dabei offenbar reale Codes für das Bezahlen des Ladevorgangs überklebt, sodass Menschen nicht auf die echte Bezahlseite des Anbieters geführt werden - sondern in die Hände von Betrügern.

Auch gefälschte Strafzettel können zur Falle werden: Dass einige Städte das Bezahlen von Strafzetteln per QR-Code anbieten, nutzen auch hier Kriminelle für sich, indem sie falsche Strafzettel mit manipulierten Codes an parkenden Autos anbringen - so geschehen in Berlin, berichten Verbraucherschützer.

Zum Erfolg der Täter ist bisher wenig bekannt: Zumindest in Niedersachsen hätten Betroffene den Betrug rechtzeitig bemerkt, so das LKA - hier gebe es noch keine finanziellen Schäden.