powered by

Gefälschte QR-Codes: So funktioniert Quishing und so schützen Sie sich vor Betrug

von belmedia Redaktion

QR-Codes sind schnell, praktisch und längst Teil des Schweizer Alltags. Sie stehen an Parkuhren, auf Rechnungen, Speisekarten, Plakaten oder Paketbenachrichtigungen. Genau diese Gewohnheit nutzen Kriminelle aus: Gefälschte Codes führen auf täuschend echt gestaltete Internetseiten, die Kreditkartendaten, Passwörter oder Sicherheitscodes abfragen.

Diese Betrugsform wird Quishing genannt: eine Kombination aus «QR-Code» und «Phishing». Besonders tückisch ist, dass einem QR-Code von aussen nicht anzusehen ist, welches Ziel er enthält. Mit einigen einfachen Kontrollen lässt sich das Risiko jedoch deutlich reduzieren.

Was bedeutet Quishing?

Beim klassischen Phishing verschicken Betrüger eine E-Mail oder SMS mit einem schädlichen Link. Beim Quishing wird dieser Link in einem QR-Code versteckt. Das Smartphone erkennt den Code und zeigt eine Internetadresse oder eine andere Aktion an. Wer diese ungeprüft öffnet, kann auf einer gefälschten Website landen.

Die Seite imitiert beispielsweise:

  • eine Bank oder einen Kreditkartenanbieter,
  • einen Paket- oder Postdienst,
  • eine Bezahl-App,
  • eine Parkgebühren-Plattform,
  • einen Onlineshop oder Kleinanzeigen-Dienst,
  • ein Hotel, Restaurant oder öffentliches WLAN,
  • eine Kryptowährungsbörse oder ein Krypto-Wallet.

Anschliessend werden Anmelde-, Zahlungs- oder persönliche Daten verlangt. Teilweise sollen Betroffene auch eine App oder Datei installieren. Das Bundesamt für Cybersicherheit BACS weist darauf hin, dass QR-Codes neben Webadressen weitere Befehle enthalten können: etwa vorbereitete Nachrichten, WLAN-Zugangsdaten oder Links zu Apps und Dateien.

Wie funktioniert ein Quishing-Angriff?

Ein typischer Angriff läuft in vier Schritten ab:

  1. Der gefälschte QR-Code wird platziert. Kriminelle versenden ihn per E-Mail oder Brief, drucken ihn auf einen Flyer oder kleben ihn über einen echten Code an einer Parkuhr, Ladesäule oder Werbetafel.
  2. Ein glaubwürdiger Anlass erzeugt Vertrauen. Angeblich muss eine Parkgebühr bezahlt, ein Paket bestätigt, eine Rechnung beglichen oder ein Konto aktualisiert werden.
  3. Der Code führt auf eine gefälschte Website. Logos, Farben und Eingabefelder sehen dem echten Anbieter häufig täuschend ähnlich.
  4. Die Täter verlangen Daten oder eine Bestätigung. Das Opfer gibt Kreditkartendaten, E-Banking-Zugangsdaten oder einen per SMS erhaltenen Sicherheitscode ein. Damit können die Täter eine Belastung auslösen oder ein Konto übernehmen.

Das blosse Scannen eines QR-Codes verursacht in den meisten Fällen noch keinen finanziellen Schaden. Gefährlich wird es, wenn die angezeigte Seite geöffnet, eine Datei installiert, eine Zahlung bestätigt oder eine vertrauliche Information eingegeben wird.

Warum sind gefälschte QR-Codes so überzeugend?

Ein ausgeschriebener Link lässt sich zumindest grob beurteilen. Bei einem QR-Code bleiben das Ziel und die enthaltene Aktion zunächst verborgen. Viele Menschen haben sich zudem daran gewöhnt, Codes ohne längere Kontrolle zu scannen.

Betrüger kombinieren diese technische Intransparenz mit psychologischen Tricks:

  • Zeitdruck: «Zahlen Sie innerhalb von 30 Minuten.»
  • Angst: «Ihr Konto wird gesperrt.»
  • Neugier: «Scannen Sie den Code, um Ihre Lieferung zu sehen.»
  • Belohnung: «Sie haben einen Gutschein gewonnen.»
  • Autorität: Der Absender gibt sich als Bank, Behörde, Polizei oder bekannter Dienstleister aus.
  • Bequemlichkeit: Der QR-Code verspricht eine besonders schnelle Zahlung oder Anmeldung.

Auch professionell verwendete Logos sind kein Echtheitsbeweis. Logos und Unternehmensfarben lassen sich problemlos kopieren und sogar direkt in einen QR-Code integrieren. Cybercrimepolice.ch warnt deshalb ausdrücklich davor, optisch angepassten Codes automatisch zu vertrauen.

Wie Betrüger mit Zeitdruck, bekannten Absendern und täuschend echten Internetseiten arbeiten, erklärt auch der belmedia-Beitrag «Phishing: Warum ein einziger Klick teuer werden kann».

Manipulierte QR-Codes an Schweizer Parkuhren

Eine besonders greifbare Form des Quishings betrifft Parkuhren. Im Dezember 2024 warnte Cybercrimepolice.ch vor manipulierten QR-Codes in verschiedenen Schweizer Städten. Kriminelle hatten die offiziellen Bezahlcodes mit eigenen Aufklebern überdeckt.

Nach dem Scannen landeten Automobilisten auf einer nachgebauten Bezahlseite. Dort wurden zunächst das Kontrollschild und die gewünschte Parkdauer abgefragt. Danach sollten Kreditkartendaten sowie ein Sicherheitscode eingegeben werden. Die vertraute Gestaltung liess die Website wie einen echten Parkdienst erscheinen.

Vor dem Scannen eines öffentlich angebrachten Codes lohnt sich daher eine kurze physische Kontrolle: Ist der Code Teil des ursprünglichen Schildes, oder wurde ein Aufkleber darübergeklebt? Gibt es ungewöhnliche Ränder, eine andere Druckqualität oder mehrere übereinanderliegende Etiketten? Im Zweifelsfall sollte die offizielle Park-App manuell geöffnet oder eine andere Zahlungsmöglichkeit verwendet werden.

Eine Frau bedient neben einer Parkuhr ihr Smartphone. Bei öffentlich angebrachten QR-Codes lohnt sich vor dem Scannen ein Blick auf die Oberfläche: Nachträglich aufgeklebte oder beschädigte Etiketten können den offiziellen Bezahlcode verdecken.

Quishing per Brief und E-Mail

Quishing findet nicht nur im öffentlichen Raum statt. Gefälschte QR-Codes werden auch in E-Mails und Briefen verschickt. Die Nachricht kann wie eine Rechnung, Paketbenachrichtigung, Behördeninformation oder Sicherheitswarnung aussehen.

Im Juni 2026 berichtete das BACS beispielsweise über gefälschte Abholungseinladungen mit QR-Code. Im August 2026 warnte die Behörde zudem vor Briefen, die ein dringendes Update für Krypto-Wallets verlangten. Die Codes führten auf Phishing-Seiten, auf denen die Wiederherstellungsphrase des Wallets eingegeben werden sollte. Wer diese Wörter preisgibt, ermöglicht den Tätern die vollständige Übernahme des Wallets.

Ein Brief ist daher nicht automatisch vertrauenswürdiger als eine E-Mail. Hochwertiges Papier, ein bekanntes Logo und eine Schweizer Absenderadresse können gefälscht sein.

Quishing bei QR-Rechnungen und Zahlungen

QR-Rechnungen haben den Schweizer Zahlungsverkehr vereinfacht. Der Code überträgt unter anderem Zahlungsempfänger, Kontoangaben, Referenz und Betrag in die Banking-App. Die Zahlung wird jedoch erst nach der Freigabe ausgeführt.

Genau diese Freigabe ist der entscheidende Kontrollpunkt. Vor der Bestätigung sollten mindestens folgende Angaben geprüft werden:

  • Stimmt der Name des Zahlungsempfängers?
  • Entspricht der Betrag der erwarteten Rechnung?
  • Ist die IBAN plausibel beziehungsweise bereits bekannt?
  • Passt die Referenz zum Auftrag oder Vertrag?
  • Wurde die Rechnung tatsächlich erwartet?
  • Stimmen die Angaben im Einzahlungsteil und in der Banking-App überein?

Besondere Vorsicht ist geboten, wenn eine bereits erhaltene Rechnung nachträglich «korrigiert» wird oder ein Geschäftspartner plötzlich eine neue Bankverbindung nennt. In diesem Fall sollte die Änderung über eine bereits bekannte Telefonnummer verifiziert werden: nicht über Kontaktdaten aus der verdächtigen Nachricht.

Bei Bezahl-Apps gilt dieselbe Regel: Name beziehungsweise Händler, Betrag und Zahlungszweck müssen vor der Bestätigung kontrolliert werden. Ein QR-Code kann eine Zahlung vorbereiten, darf sie aber nicht der Aufmerksamkeit der zahlenden Person entziehen.

Eine Frau scannt mit dem Smartphone den Code auf einer Papierrechnung. Bevor die Zahlung freigegeben wird, sollten Empfänger, Betrag, IBAN und Referenz mit dem erwarteten Auftrag verglichen werden.

Quishing auf Kleinanzeigen-Plattformen

Auch beim privaten Verkauf von Waren kommen gefälschte QR-Codes zum Einsatz. Ein angeblicher Käufer meldet sich über die Chatfunktion und behauptet, die Ware bereits bezahlt zu haben. Der Verkäufer müsse nur noch einen QR-Code scannen, um das Geld zu «empfangen».

Der Code führt zu einer gefälschten Seite eines Paketdienstes, einer Bank oder einer Bezahlplattform. Dort werden Kreditkartendaten und manchmal ein SMS-Code verlangt. Tatsächlich wird kein Geld empfangen. Stattdessen bestätigen die Betroffenen eine Belastung oder geben den Tätern Zugriff auf ihr Konto.

Ein wichtiger Grundsatz lautet: Wer Geld erhalten soll, muss dafür normalerweise weder vollständige Kreditkartendaten noch E-Banking-Passwörter oder SMS-Sicherheitscodes auf einer fremden Website eingeben. Bei Unsicherheit sollte die offizielle App des Zahlungsdienstes direkt geöffnet werden.

Woran erkennt man einen verdächtigen QR-Code?

Kein einzelnes Merkmal beweist einen Betrug. Treffen mehrere Warnzeichen zusammen, sollte der Code jedoch nicht verwendet werden.

Auch eine Internetadresse mit «https» und Schlosssymbol ist kein Beweis für die Echtheit. Diese Merkmale zeigen lediglich an, dass die Verbindung verschlüsselt ist. Betrüger können ebenfalls verschlüsselte Websites betreiben.

Dass gefälschte E-Mails, QR-Codes, SMS und Internetseiten auch in der Schweiz zu zahlreichen Anzeigen führen, zeigt die belmedia-Meldung über die Phishing-Welle in der Zentralschweiz.

So scannen Sie QR-Codes sicher

Mit einer kurzen Routine lassen sich viele Quishing-Versuche erkennen.

1. Herkunft kontrollieren

Scannen Sie nur Codes, deren Zweck und Anbieter nachvollziehbar sind. Ein Code in einer unerwarteten E-Mail, einem überraschenden Brief oder einer privaten Chatnachricht verdient besondere Skepsis.

2. Öffentliche Codes genau ansehen

Prüfen Sie Parkuhren, Ladesäulen, Plakate und Restauranttische auf nachträglich angebrachte Aufkleber. Berühren Sie den Rand vorsichtig, wenn nicht erkennbar ist, ob der Code zur ursprünglichen Oberfläche gehört.

3. Zieladresse vor dem Öffnen lesen

Die Kamera oder Scanner-App sollte zuerst anzeigen, wohin der Code führt. Achten Sie besonders auf den eigentlichen Domainnamen. Bei bank-schweiz.sicher-zahlen.example wäre beispielsweise example die entscheidende Domain: nicht «bank-schweiz».

Verkürzte Links erschweren die Kontrolle. Wenn das Ziel nicht eindeutig erkennbar ist, sollte der Link geschlossen bleiben.

4. Offizielle Website oder App selbst aufrufen

Bei Banken, Paketdiensten, Behörden und Bezahlplattformen ist es sicherer, die bekannte Webadresse manuell einzugeben oder die bereits installierte App zu öffnen. Dort lässt sich prüfen, ob tatsächlich eine Nachricht, Rechnung oder Sicherheitswarnung vorliegt.

5. Keine vertraulichen Daten eingeben

Auf einer per QR-Code geöffneten Seite sollten keine E-Banking-Passwörter, Kreditkartendaten, Wiederherstellungsphrasen oder Sicherheitscodes eingegeben werden. Besonders Recovery-Wörter eines Krypto-Wallets dürfen niemals weitergegeben werden.

6. Zahlung vollständig prüfen

Empfänger, Betrag und Zweck müssen unmittelbar vor der Freigabe kontrolliert werden. Auch die SMS oder Push-Mitteilung der Bank verdient Aufmerksamkeit: Sie zeigt häufig, welche Aktion tatsächlich bestätigt wird.

7. Keine unbekannten Apps installieren

Ein QR-Code sollte nicht dazu führen, dass eine App von einer fremden Website heruntergeladen werden muss. Apps gehören ausschliesslich aus offiziellen Stores beziehungsweise über die verifizierte Website des Anbieters installiert.

Das Video «Betrug mit QR-Codes: Achtung, Phishing!» von Marktcheck/SWR zeigt anhand konkreter Fälle, wie manipulierte QR-Codes auf gefälschte Bezahlseiten führen und welche Kontrollen vor dem Öffnen helfen.

Was tun, wenn ein verdächtiger Code gescannt wurde?

Wurde der Code lediglich gescannt, aber die angezeigte Seite nicht geöffnet, besteht normalerweise kein weiterer Handlungsbedarf. Die Vorschau sollte geschlossen und der Code nicht erneut verwendet werden.

Wurde die Website geöffnet, aber es wurden weder Daten eingegeben noch Dateien heruntergeladen, sollte die Seite geschlossen werden. Gegebenenfalls ist der Browser-Download zu löschen. Zudem sollte kontrolliert werden, ob eine App, ein Kalenderereignis oder ein unbekanntes Profil hinzugefügt wurde.

Wenn eine Datei oder App installiert wurde, sollte das Gerät vorübergehend vom Internet getrennt und von einer fachkundigen Stelle geprüft werden. Bis zur Klärung eignet sich das möglicherweise betroffene Gerät nicht für E-Banking oder andere sensible Anmeldungen.

Was tun, wenn Daten eingegeben oder Zahlungen bestätigt wurden?

Jetzt zählt schnelles Handeln. Welche Schritte erforderlich sind, hängt von den preisgegebenen Informationen ab.

Kreditkarten- oder Bankdaten eingegeben

  • Sofort die Bank oder den Kartenanbieter kontaktieren.
  • Die betroffene Karte beziehungsweise den E-Banking-Zugang sperren lassen.
  • Aktuelle und vorgemerkte Transaktionen prüfen.
  • Unberechtigte Belastungen beanstanden.
  • Betroffene Passwörter über ein vertrauenswürdiges Gerät ändern.

Passwort eingegeben

Das Passwort muss sofort auf der echten Website geändert werden. Wurde dasselbe Passwort für weitere Konten verwendet, muss es dort ebenfalls ersetzt werden. Wenn möglich, sollte eine Mehrfaktor-Authentifizierung aktiviert werden. Unbekannte Geräte und Sitzungen sind abzumelden.

SMS-Code oder Push-Bestätigung freigegeben

Das zuständige Finanzinstitut muss unverzüglich informiert werden. Ein Sicherheitscode bestätigt unter Umständen bereits eine Zahlung, Kartenregistrierung oder Anmeldung. Auf eine sichtbare Kontobelastung zu warten, kostet wertvolle Zeit.

Recovery-Phrase eines Krypto-Wallets preisgegeben

Das Wallet gilt als kompromittiert. Vorhandene Vermögenswerte sollten möglichst umgehend in ein neu eingerichtetes Wallet mit einer neuen Wiederherstellungsphrase übertragen werden. Bei Unsicherheit ist Unterstützung durch eine seriöse Fachperson sinnvoll. Die alte Phrase darf nicht weiterverwendet werden.

Das Motiv verbindet Smartphone, Kreditkarte und eine eingeblendete Betrugswarnung. Wurden Kartendaten oder ein Sicherheitscode preisgegeben, sollte die Bank sofort informiert werden: auch dann, wenn noch keine Belastung sichtbar ist.

Beweise sichern und Vorfall melden

Screenshots, Internetadresse, Absender, Telefonnummern, Zahlungsbelege und der ursprüngliche Brief oder QR-Aufkleber sollten aufbewahrt werden. Manipulierte Codes an öffentlichen Einrichtungen gehören dem Betreiber und der örtlichen Polizei gemeldet.

Cybervorfälle können über das Meldeformular des BACS gemeldet werden. Bei einem finanziellen Schaden empfiehlt Cybercrimepolice.ch zusätzlich eine Strafanzeige bei der zuständigen Kantonspolizei.

So können Unternehmen ihre QR-Codes schützen

Quishing betrifft auch Unternehmen, Gemeinden, Restaurants und Parkplatzbetreiber. Folgende Massnahmen erschweren eine unbemerkte Manipulation:

  • QR-Codes fest in Schilder oder Geräte integrieren statt lose aufkleben,
  • Aufkleber mit Manipulationsschutz verwenden,
  • Codes und Zieladressen regelmässig kontrollieren,
  • die offizielle Domain gut sichtbar neben den Code drucken,
  • Kunden erklären, welche Daten niemals verlangt werden,
  • verdächtige Meldungen rasch untersuchen,
  • kompromittierte Zieladressen deaktivieren und öffentlich warnen,
  • Zahlungen mit einer eindeutigen Empfängeranzeige versehen.

Auch Mitarbeitende sollten wissen, dass QR-Codes in E-Mails Sicherheitsfilter umgehen können. Der Code darf daher nicht allein aufgrund einer bekannten Absenderanzeige oder eines Firmenlogos als vertrauenswürdig gelten.

Die wichtigsten Schutzregeln auf einen Blick

  • QR-Code und Umgebung vor dem Scannen kontrollieren.
  • Angezeigte Internetadresse vor dem Öffnen sorgfältig lesen.
  • Banken, Behörden und Zahlungsdienste über die offizielle App oder eine selbst eingegebene Adresse aufrufen.
  • Keine Passwörter, Kreditkartendaten, SMS-Codes oder Recovery-Wörter auf einer QR-Code-Seite eingeben.
  • Empfänger und Betrag vor jeder Zahlung prüfen.
  • Keine unbekannten Apps oder Dateien installieren.
  • Bei Zeitdruck oder Drohungen besonders skeptisch sein.
  • Verdächtige Codes dem Betreiber oder dem BACS melden.
  • Bei preisgegebenen Finanzdaten sofort Bank oder Kartenanbieter kontaktieren.
  • Bei finanziellem Schaden Beweise sichern und Anzeige erstatten.

Aufmerksamkeit ist der wirksamste Schutz

QR-Codes sind nicht grundsätzlich unsicher. Sie verbergen jedoch ihr Ziel, bis sie gescannt werden: Genau das macht sie für Phishing-Angriffe attraktiv. Ein professionelles Design, ein bekanntes Logo oder ein Platz auf einer offiziellen Parkuhr garantieren nicht, dass der Code echt ist.

Der wirksamste Schutz besteht aus wenigen Sekunden Aufmerksamkeit: Code auf Manipulationen prüfen, Zieladresse lesen und Zahlungsdaten vor der Freigabe vergleichen. Sobald eine Seite Passwörter, Kreditkartendaten, Sicherheitscodes oder eine Wiederherstellungsphrase verlangt, sollte der Vorgang abgebrochen werden.

Wer bereits Daten preisgegeben hat, sollte nicht abwarten. Karten und Zugänge lassen sich sperren, Passwörter ändern und betrügerische Transaktionen möglicherweise stoppen: aber nur, wenn Bank, Anbieter oder Polizei schnell informiert werden.

 

Bildquellen: Titelbild: Adobe Stock/Koonsiri; Bild 1: Adobe Stock/VAKSMANV; Bild 2: Shutterstock/Sshisu_ka; Bild 3: Shutterstock/pixadot.studio