„Quishing“: Betrug mit QR-Codes und Links in SMS

„Quishing“: Betrug mit QR-Codes und Links in SMS

Du scannst einen QR-Code, und das Handy öffnet sofort eine Website. Du hast keine Adresse gelesen, nichts eingetippt, nicht entschieden, wohin es geht: Der QR-Code hat für dich entschieden. Genau diese Bequemlichkeit nutzt Quishing (QR + Phishing) aus: QR-Codes und Kurzlinks, die ihr Ziel verbergen, um dich auf gefälschte Seiten zu locken, wo man dir Daten oder Geld stiehlt.

Quishing ist keine eigene Technik neben dem Smishing (etwa den gefälschten Nachrichten rund um Maut und Vignette, vor denen die ASFINAG warnt): Es ist derselbe Betrug mit besser verstecktem Link. Wo dir ein falsches Maut- oder Paket-SMS bei genauem Hinsehen noch eine verdächtige Domain zeigt, zeigt dir der QR-Code gar nichts – bis du ihn schon gescannt hast.

Wo gefälschte QR-Codes auftauchen

• Parkscheinautomaten und Kurzparkzonen. Aufkleber mit einem falschen QR-Code, über den echten Code der Stadt oder der Park-App geklebt. Du scannst, landest auf einer Seite, die das Bezahlen des Parkens nachahmt, und gibst deine Kartendaten ein.
• Speisekarten und Gastgärten. Ein QR-Code, über das Original geklebt. Hier geht es meist darum, dir eine gefälschte App unterzujubeln oder dich unter irgendeinem Vorwand auf eine Phishing-Seite zu führen.
• Strafzettel und Zettel an der Windschutzscheibe. Gefälschte Strafzettel mit QR-Code „zum schnellen Bezahlen“. Derselbe Köder wie bei gefälschten Maut-Nachrichten, nur auf Papier. Prüf eine angebliche Strafe immer bei der Stelle, die sie ausgestellt haben soll – mit Kontaktdaten, die du selbst nachschlägst.
• Pakete und Zustellungen. QR-Codes auf Aufklebern oder in SMS („Scannen Sie, um Ihre Zustellung neu zu planen“), eine Variante des Paketbetrugs, den wir in unseren Situationsleitfäden erklären. Die Österreichische Post warnt auf ihrer Sicherheitsseite selbst vor Phishing in ihrem Namen.
• E-Mails und SMS mit QR-Code. Die Nachricht fordert dich auf, einen QR-Code zu scannen, statt auf einen Link zu tippen, manchmal unter dem Vorwand der „Zwei-Faktor-Authentifizierung“ oder der „Sicherheit“. Das dient auch dazu, Phishing-Filter zu umgehen, die zwar Links prüfen, aber keine Bilder.
• Kryptowährungen und Zahlungen. QR-Codes, die angeblich eine Empfangsadresse oder eine „Rückerstattung“ enthalten. Einmal überwiesenes Geld kommt nicht zurück.

Die Regel: Schau dir das Ziel an, bevor du es öffnest

Bei einem normalen Link kannst du die Adresse lesen, bevor du tippst. Bei einem QR-Code nicht – also musst du diesen Schritt selbst einbauen:

1. Scannen, aber noch nicht öffnen. Die meisten Handys zeigen die vollständige Adresse an, bevor sie die Seite öffnen. Das ist der Moment der Entscheidung: Lies sie ganz und in Ruhe.
2. Prüf die Domain. Sie muss die offizielle des Dienstes sein, ohne zusätzliche Bindestriche oder seltsame Endungen. Führt dich der QR-Code am Parkscheinautomaten auf eine Domain, die nicht zur Stadt oder zur offiziellen App gehört, ist er gefälscht.
3. Wenn etwas nicht passt: nicht öffnen, sondern selbst zum offiziellen Kanal gehen. Öffne die offizielle App des Parkdienstes, deiner Bank oder des Shops und erledige es dort. Es ist dieselbe Methode, mit der du auch einen Anruf oder ein SMS deiner Bank prüfst (siehe unsere Situationsleitfäden).
4. Misstrau QR-Codes, die dich zur Eile drängen. „Jetzt scannen“, „letzte Mahnung“, „Ihr Paket wird heute zurückgeschickt“. Zeitdruck ist die Handschrift des Betrugs, beim QR-Code genauso wie beim SMS.

Und ein Tipp für aufgeklebte QR-Codes auf der Straße: Achte darauf, ob ein Aufkleber über einem anderen klebt. Wirkt der QR-Code am Automaten wie nachträglich angebracht oder verdeckt er einen anderen Code, nutz ihn nicht. Zahl über die offizielle App, die du schon installiert hast.

Was tun, wenn du schon gescannt und Daten eingegeben hast

• Du hast deine Kartendaten auf der Seite eingegeben: Ruf sofort deine Bank an, lass die Karte sperren und eine neue ausstellen. Behalte die Abbuchungen der nächsten Wochen im Auge.
• Du hast über den QR-Code eine App installiert: Deinstallier sie, lass einen Virenscan laufen und prüf, welche Berechtigungen du ihr gegeben hast (SMS, Bedienungshilfen und Benachrichtigungen sind die gefährlichen).
• Du hast nur gescannt und wieder geschlossen: Mit großer Wahrscheinlichkeit ist nichts passiert. Scannen allein installiert nichts und gibt keine Daten preis; das Risiko beginnt erst, wenn du auf der Seite etwas tust.
• Erstatte Anzeige bei einer Polizeiinspektion, mit Fotos des QR-Codes (wenn er auf der Straße klebte: Foto des Aufklebers und des Standorts) und Screenshots der Seite. Zusätzlich nimmt die Meldestelle des Bundeskriminalamts Hinweise auf Internetbetrug unter [email protected] entgegen.
• Wenn dich der QR-Code per SMS oder Anruf erreicht hat, melde die Nummer im Verzeichnis der Spam-Nummern und bei der Meldestelle Rufnummernmissbrauch der RTR.

Kurze Fragen

Kann das Scannen eines QR-Codes mein Handy hacken? Das Scannen allein nicht: Ein QR-Code enthält nur Text (meist eine Adresse). Die Gefahr liegt in der Seite, zu der er führt, und in dem, was du dort tust: Daten eingeben, Dateien herunterladen oder Berechtigungen erteilen. Deshalb ist die beste Verteidigung, das Ziel zu prüfen, bevor du es öffnest.

Sind Kurzlinks (bit.ly und ähnliche) dasselbe? Dasselbe Problem, ja: Sie verbergen das Ziel. Seriöse Linkkürzer bieten oft eine Vorschau (bei manchen mit einem „+“ am Ende der Adresse), aber die praktische Regel bleibt gleich: Wenn du nicht weißt, wohin der Link führt, und er dich zum Tippen drängt, tipp nicht und geh selbst zum offiziellen Kanal.

Kann mir meine Bank einen echten QR-Code schicken? Ja, zum Beispiel um die App zu verknüpfen oder einen Vorgang zu bestätigen ... innerhalb von Abläufen, die DU selbst gestartet hast. Ein QR-Code „von der Bank“, der dich erreicht, ohne dass du etwas angefordert hast, fällt unter die allgemeine Regel: nicht verwenden und selbst die offizielle App öffnen.

Wie schütze ich ältere Menschen davor? Mit einem Satz: „Zahl nie über einen QR-Code auf der Straße; nimm die App, die du schon hast.“ Parkscheinautomaten sind ein typischer Berührungspunkt. Weitere Anleitungen, die du gemeinsam mit ihnen durchgehen kannst, findest du in unseren Situationsleitfäden.

Die Zusammenfassung passt in eine Zeile: Ein QR-Code ist ein Link, den du nicht lesen kannst – also lies ihn, bevor du ihn öffnest. Scannen, Adresse ansehen, und wenn es nicht die offizielle Domain ist: schließen und selbst zum offiziellen Kanal gehen. Diese eine Sekunde Pause nimmt dem Quishing die Wirkung.