In diesem Artikel

QR-Code scannen, kurz bezahlen und weiter.

Genau weil QR-Codes so praktisch sind, hinterfragen wir oft weniger, wohin sie uns eigentlich führen.

Das nutzen Betrüger beim sogenannten QR-Phishing oder Quishing aus.

Was ist QR-Phishing?

Bei QR-Phishing platzieren Betrüger einen QR-Code, der auf eine gefälschte oder manipulierte Webseite führt.

Das Ziel ist ähnlich wie bei klassischem Phishing.

Du sollst beispielsweise:

  • Zugangsdaten eingeben
  • Kreditkartendaten übermitteln
  • eine Zahlung bestätigen
  • persönliche Daten preisgeben
  • eine App oder Datei herunterladen

Der Unterschied:

Statt auf einen sichtbaren Link zu klicken, scannst du einen QR-Code.

Warum sind QR-Codes besonders praktisch für Betrüger?

Bei einer normalen Internetadresse kannst du zumindest versuchen zu erkennen, wohin ein Link führt.

Bei einem QR-Code siehst du das Ziel zunächst nicht.

Du siehst nur das bekannte schwarz-weisse Muster.

Dadurch fehlt ein wichtiger Hinweis, den du bei einer normalen URL möglicherweise bereits vor dem Klick bemerken würdest.

QR-Phishing an Parkautomaten

Ein besonders anschauliches Beispiel sind öffentliche Parkautomaten.

Betrüger können einen eigenen QR-Code ausdrucken und über den offiziellen Code kleben.

Du scannst ihn und landest auf einer Webseite, die wie ein normaler Bezahldienst aussieht.

Dort sollst du beispielsweise deine Kreditkartendaten eingeben.

Das Schweizer Bundesamt für Cybersicherheit hat wiederholt vor solchen manipulierten QR-Codes an Parkautomaten gewarnt.

Schau dir öffentliche QR-Codes kurz an

Bevor du einen QR-Code an einem Parkautomaten, Plakat oder einem anderen öffentlichen Ort scannst, lohnt sich ein kurzer Blick.

  • Wirkt der QR-Code wie ein zusätzlicher Sticker?
  • Wurde möglicherweise etwas überklebt?
  • Passt das Design zum restlichen Schild oder Automaten?
  • Gibt es eine alternative offizielle Bezahlmöglichkeit?

Manchmal kannst du sogar fühlen, ob ein Aufkleber über dem ursprünglichen Code angebracht wurde.

Prüfe nach dem Scannen die URL

Viele Smartphones zeigen nach dem Scannen zunächst die Internetadresse an.

Nutze diesen Moment.

Prüfe:

  • Welche Domain wird geöffnet?
  • Passt sie zur erwarteten Organisation?
  • Gibt es ungewöhnliche Schreibweisen?
  • Sollst du direkt sensible Daten eingeben?

Wenn du unsicher bist, öffne die Webseite nicht.

Nutze lieber die offizielle App oder rufe die bekannte Webseite selbst auf.

Vorsicht bei Login- und Zahlungsseiten

Besonders aufmerksam solltest du werden, wenn du nach dem Scannen plötzlich:

  • ein Passwort eingeben
  • Kreditkartendaten angeben
  • eine Zahlung bestätigen
  • eine App installieren
  • persönliche Informationen übermitteln

sollst.

Ein QR-Code macht eine Webseite nicht vertrauenswürdiger.

QR-Phishing kann auch per Brief kommen

Ein QR-Code auf Papier wirkt häufig vertrauenswürdiger als ein Link in einer verdächtigen E-Mail.

Auch das kann ausgenutzt werden.

In der Schweiz wurden bereits Phishing-Briefe mit QR-Codes beobachtet, die Empfänger auf betrügerische Seiten führen sollten. Das BACS dokumentierte unter anderem entsprechende Fälle im Zusammenhang mit angeblichen E-Banking-Aufforderungen.

Deshalb gilt auch bei einem professionell aussehenden Brief:

Der Kommunikationskanal allein beweist nicht, dass eine Anfrage echt ist.

Ein QR-Code kann mehr als nur Webseiten öffnen

QR-Codes können nicht nur URLs enthalten.

Je nach Inhalt können sie auch zu:

  • App-Downloads
  • WLAN-Verbindungen
  • Dateien
  • anderen Aktionen

führen.

Deshalb solltest du vor der Bestätigung kurz prüfen, welche Aktion dein Smartphone tatsächlich ausführen möchte.

Was, wenn du bereits einen verdächtigen QR-Code gescannt hast?

Nur das Scannen bedeutet nicht automatisch, dass etwas passiert ist.

Entscheidend ist wieder, was danach passiert ist.

Nur gescannt oder Webseite geöffnet

Schliesse die Seite und führe keine weiteren Aktionen aus.

Passwort eingegeben

Ändere das betroffene Passwort über die offizielle Webseite oder App.

Kreditkartendaten eingegeben

Kontaktiere deine Bank oder deinen Kartenanbieter möglichst schnell über einen offiziellen Kontaktweg.

App oder Datei installiert

Das Risiko ist höher. Bei einem Geschäftsgerät solltest du sofort die interne IT oder Security informieren.

Weitere Schritte findest du im Artikel „Auf Phishing geklickt – was jetzt?“

Die einfache QR-Code-Regel

Du musst QR-Codes nicht grundsätzlich meiden.

Merke dir nur:

1. Öffentliche QR-Codes kurz auf Manipulation prüfen.

2. Nach dem Scannen die Zieladresse anschauen.

3. Bei Passwörtern, Zahlungen oder persönlichen Daten besonders vorsichtig sein.

Ein QR-Code ist praktisch.

Aber sicher wird er nicht dadurch, dass du den Link dahinter nicht sehen kannst.