Sind QR-Codes sicher? QR-Code-Betrug erkennen und vermeiden

So funktioniert QR-Code-Betrug

Der Trick ist immer derselbe: Ein offiziell aussehender QR-Code führt dich an einen Ort, den du nicht erwartet hast. Häufige Varianten:

• Aufkleber über echten Codes an Parkscheinautomaten, Ladesäulen, Leihfahrrädern und E-Scootern, Restauranttischen oder Plakaten, die zu einer gefälschten Bezahlseite führen.
• E-Mails und Briefe mit QR-Code („Dein Paket wartet“, „Bestätige dein Bankkonto“, „Dein Passwort läuft heute ab“), die eine gefälschte Login-Seite öffnen.
• Gefälschte Strafzettel oder Rechnungen an der Windschutzscheibe oder im Briefkasten, mit einem Code zum Bezahlen.
• Codes, die mehr tun als eine Seite öffnen: einen Anruf oder eine SMS an eine teure Sondernummer starten, sich mit einem unbekannten WLAN verbinden oder eine App installieren.

Bevor du einen gescannten Link öffnest

Dein Handy zeigt die Adresse an, bevor es sie öffnet. Nimm dir zwei Sekunden, um sie zu lesen.

• Passt die Adresse zum angeblichen Absender? Eine Bank, ein Parkplatzbetreiber oder ein Geschäft nutzt seine bekannte Domain – keinen seltsamen Namen, keine zufälligen Buchstaben und keinen Tippfehler-Trick wie paypa1.
• Ist es ein Kurzlink (bit.ly o. Ä.) und wird eine Zahlung verlangt? Sei besonders vorsichtig, denn das tatsächliche Ziel siehst du nicht.
• Ist der Code ein Aufkleber auf einem anderen Code? Sieh genau hin – besonders bei Codes, über die du bezahlen sollst.
• Kam er unerwartet per E-Mail, Brief oder SMS? Scanne ihn nicht. Geh stattdessen selbst auf die Website oder in die App des Unternehmens.

Warnzeichen nach dem Öffnen

• Die Seite fragt nach deinem Passwort, deiner PIN, Kartennummer oder deinem Online-Banking-Login, obwohl du nur die Speisekarte sehen oder fürs Parken zahlen wolltest.
• Sie macht Druck: „Zahle innerhalb von 24 Stunden“, „Dein Konto wird gesperrt“.
• Sie fordert dich auf, eine App oder ein „Sicherheitsupdate“ zu installieren.
• Sie startet eine SMS oder einen Anruf an eine Nummer, die du nicht kennst.

Für Zahlungen an öffentlichen Orten ist die offizielle App des Betreibers oder das Zahlungsterminal selbst am sichersten – nicht ein Code, den du nicht überprüfen kannst.

Wenn du deine Daten schon eingegeben hast

1. Karten- oder Bankdaten: Ruf sofort deine Bank an und lass die Karte sperren. Prüfe die letzten Zahlungen.
2. Ein Passwort: Ändere es auf der echten Website und überall dort, wo du dasselbe Passwort verwendet hast. Aktiviere die Zwei-Faktor-Authentifizierung.
3. Eine App installiert: Deinstalliere sie und führe die Sicherheitsprüfung deines Handys aus.
4. Melde es dem nachgeahmten Unternehmen und der Polizei bzw. den Verbraucher- oder Cybersicherheitsstellen deines Landes (in Deutschland etwa der Verbraucherzentrale oder über die Online-Wache der Polizei). Sag auch dem Betreiber des Ortes Bescheid, an dem du den falschen Aufkleber gefunden hast.

Für Unternehmen: QR-Codes, denen man vertraut

Je bekannter die Betrugsmaschen werden, desto eher zögern vorsichtige Kundinnen und Kunden beim Scannen. Diese Gewohnheiten sorgen dafür, dass deine Codes vertrauenswürdig aussehen und bleiben:

• Lass Codes auf deine eigene Domain zeigen (deinladen.de/speisekarte), damit die sichtbare Adresse eindeutig deine ist.
• Druck die Webadresse zusätzlich neben den Code, damit man vergleichen kann. Mit der Beschreibungsoption im Generator druckst du Text unter den Code.
• Verwende statische Codes. Codes von dynamischen QR-Diensten laufen über den Server eines anderen, der später etwas anderes anzeigen könnte. Siehe Statische vs. dynamische QR-Codes.
• Setze dein Logo in den Code (Generator-Optionen → Logo in der Mitte), damit ein schlichter Aufkleber darüber auffällt.
• Erschwere Manipulationen: Bring Codes hinter Glas an oder laminiere sie, oder druck sie als Teil des Schildes statt als separaten Aufkleber.
• Prüfe öffentliche Codes regelmäßig, vor allem alles, was mit Zahlungen zu tun hat, und scanne sie ab und zu selbst.
• Frag niemals nach Passwörtern oder Kartendaten auf der Seite, die ein Code öffnet, wenn die Kundschaft dort nicht eindeutig mit einer Zahlung rechnet.

Mehr dazu: QR-Code scannen mit iPhone und Android.

Du willst sehen, wohin ein Code führt, ohne ihn zu öffnen? Füge einen Screenshot in den QR-Code-Leser ein.