Quishing: Betrug mit gefälschten QR-Codes

Blog| Lesezeit: 4 Minuten
Veröffentlicht: 22. Juli 2025 |Zuletzt bearbeitet: 19. August 2025

Gefälschte QR-Codes sind eine raffinierte neue Betrugsmethode. Beim sogenannten Quishing werden ahnungslose Personen auf gefälschte Websites gelockt. Betrüger wollen so persönliche Daten abgreifen, Geld stehlen oder schädliche Software verbreiten.

Quishing ist eine relativ neue Form des Phishings. Der Begriff setzt sich aus «QR-Code» und «Phishing» zusammen. Dabei nutzen Kriminelle gefälschte QR-Codes. Sie wollen damit an Ihre persönlichen Daten kommen und Finanzbetrug begehen. Aber auch Schad-Software kann installiert werden, wenn Sie einen falschen QR-Code scannen.

Doch Quishing ist gar nicht so leicht zu erkennen. Wir zeigen, welche Arten von Quishing es gibt, wie Sie gefälschte QR-Codes erkennen und sich vor QR-Betrug schützen können.

Wo gibt es Quishing?

Gefälschte QR-Codes finden sich heute bereits in vielen verschiedenen Bereichen unserer Alltags.

Sehr häufig gibt es Quishing bei Parkuhren: Betrüger überkleben dabei echte QR-Codes und leiten Zahlungen so auf gefälschte Websites um. Meist buchen sie dann einen viel höheren Betrag ab als die Parkgebühr. Und Ihnen droht zudem eine Parkbusse, weil Sie die Parkgebühr nicht bezahlt haben.

Gefälschte QR-Codes gibt es auch bei Ladesäulen für E-Autos. Betrüger legen ausserdem gefälschte Parkbussen mit QR-Codes hinter Scheibenwischer von Autos.

In Bussen und Bahnen bewerben sie auf illegal gehängten Plakaten angebliche Gewinnspiele oder Umfragen. Ziel der Betrüger sind hier meist Ihre persönlichen Daten.

Quishing-Gauner nutzen ebenso den Postweg. Sie verschicken auf gefälschtem Briefpapier von Banken QR-Codes. Diese führen auf betrügerische Websites, die täuschend echt aussehen.

Quishing gibt es darüber hinaus bei unerwarteten Paketen. Der Zustelldienst besteht darauf, dass Sie das Paket entgegennehmen und dazu einen QR-Code scannen. Dann müssen Sie vielleicht Ihre Kontakt- und Kreditkartendaten eingeben.

Falsche QR-Codes werden aber auch mit E-Mails oder SMS verschickt. Seriöse Anbieter verwenden aber in der Regel keine QR-Codes in E-Mails oder SMS.

Auf Auktions- und Kleinanzeigenportalen gaukeln Betrüger ausserdem Interesse am Kauf von Waren vor. Dann schicken sie im Chat oder über WhatsApp eine gefälschte Zahlungsbestätigung mit einem QR-Code. Sie sollen damit eine Käuferschutzzahlung (sicher bezahlen) akzeptieren. Stattdessen werden Sie auf eine täuschend echte Kopie einer Bezahl-App wie etwa Twint umgeleitet. Hier greifen die Betrüger Ihre Kontodaten ab und machen in Ihrem Namen Überweisungen. Teilweise leiten sie Beträge so lange um, bis sich die Wege nicht mehr zurückverfolgen lassen.

Auch bei öffentlichen WLAN sollten Sie vorsichtig sein. Kriminelle platzieren an Orten wie Bahnhöfen, Cafés, Hotels oder Flughäfen QR-Codes, die angeblich zum schnellen Einloggen ins kostenlose WLAN führen sollen. Nach dem Scannen werden Sie aber auf eine gefälschte Website geleitet, auf der Sie sensible Daten wie E-Mail-Adressen, Passwörter oder sogar Bankdaten eingeben sollen. Sie sollten insbesondere in den Ferien bei QR-Codes vorsichtig sein.

Wie erkenne ich gefälschte QR-Codes?

Gefälschte QR-Codes sind schwer zu erkennen. Es gibt aber einige Anzeichen für möglichen Betrug. Darauf sollten Sie achten:

1. Sichtbare Manipulationen: Prüfen Sie, ob der QR-Code überklebt, beschädigt oder nicht sauber angebracht ist.
2. Ungewöhnliche Platzierung: Ist ein QR-Code an einer ungewöhnlichen Stelle angebracht oder ist ein Plakat über ein anderes geklebt, ist Vorsicht geboten.
3. Verdächtige URL (Webadresse): Tippfehler, Zahlen oder Sonderzeichen können auf gefälschte Webadressen hindeuten.
4. Fehlendes Logo: Fehlt das Logo der Parking- oder Bezahl-App neben dem QR-Code, handelt es sich meist um eine Fälschung.
5. Ungewöhnliche Versprechen: Sehr hohe Rabatte oder besonders verlockende, günstige Angebote gehören zu den Maschen von Quishing-Betrügern.
6. Besondere Eile: Kriminelle versuchen nicht selten, besonderen Druck durch grosse Dringlichkeit für Handlungen aufzusetzen.
7. Unerwartete Aufforderungen: Achtung bei Aufforderungen, sensible Daten anzugeben oder Zahlungen vorzunehmen. Seien Sie misstrauisch, wenn Sie den Grund dafür nicht kennen.

Newsletter abonnieren

Sie möchten keine Beiträge mehr verpassen? Dann abonnieren Sie unseren monatlichen Newsletter!

Jetzt abonnieren

 

 

Wie schütze ich mich vor Quishing?

Mit den folgenden Tipps können Sie sich gegen QR-Betrug schützen:

1. QR-Codes nur von vertrauenswürdigen Quellen scannen: Seien Sie besonders vorsichtig bei Codes an öffentlichen Orten oder bei unerwarteten Briefen.
2. Niemals nicht erwartete Pakete annehmen: Wenn Sie bei einem unerwarteten Paket einen QR-Code sannen sollen, lehnen Sie den Empfang der Sendung ab und melden Sie den Vorfall dem Paketzusteller.
3. URL immer prüfen: Lassen Sie sich vor dem Öffnen einer Website die Adresse anzeigen und achten Sie auf kleine, aber wichtige Unterschiede, falsche Schreibweisen etc.
4. Das Aussehen der Website prüfen: Gefälschte Websites sehen den echten oft täuschend ähnlich. Achten Sie sorgfältig auf mögliche Hinweise auf Fälschungen.
5. Sichere Apps nutzen: Verwenden Sie QR-Code-Scanner, die vor dem Öffnen die URL anzeigen. Viele Standard-Kamera-Apps bieten diese Funktion bereits, ansonsten gibt es spezielle QR-Scanner-Apps. Verwenden Sie bei Bezahl-Apps wie Twint immer die Scan-Funktion der App, nicht die Kamera.
6. Keine persönlichen Daten preisgeben: Wenn Sie auf einer Website nach persönlichen und sensiblen Daten (E-Mail-Adressen, Kreditkartendaten, Passwörter, PIN, etc.) gefragt werden, brechen Sie sofort den Vorgang ab.
7. Alternative Zahlungsmethoden wählen: Nutzen Sie bei Unsicherheit lieber Debit- oder Kreditkarten oder das gute alte Bargeld.
8. Smartphone-Betriebssystem auf aktuellem Stand halten: Installieren Sie immer Betriebssystem-Updates und Sicherheits-Patches des Geräteherstellers.
9. Besondere Vorsicht ausserhalb der Geschäftszeiten: Am Abend oder am Wochenende sind viele Hotlines von Banken nicht erreichbar. Wenn Sie dann Opfer eines Betrugs werden und erst am Montag Ihre Bankkonten sperren können, kann es schon längst zu spät sein.
10. Polizei und Bank informieren: Haben Sie den Verdacht auf einen Betrug oder sind Sie bereits auf einen Betrug hereingefallen, melden Sie dies sofort Ihrer Bank und der Polizei.

Auch bei QR-Codes immer vorsichtig sein

Quishing ist eine relativ neue Betrugsmasche. Sie kann grossen Schaden anrichten. Viele Menschen misstrauen E-Mails, in denen sie zum Anklicken eines Links aufgefordert werden. Ein QR-Code auf Parkuhren, Plakaten, in Briefen oder Restaurants etc. wirkt weniger verdächtig. Seien Sie deshalb grundsätzlich genauso vorsichtig bei QR-Codes wie bei Phishing-Mails und achten Sie darauf, ob es Anzeichen für Fälschungen gibt.  

Markus Häfliger

PR-Fachmann

Markus Häfliger ist PR-Fachmann und schreibt seit 2018 für iWay. Als ehemaliger IT-Journalist liest er sich in jedes Thema ein. Ihn fasziniert, wie IT unser Leben durchdringt und stets spannend bleibt.