«Quishing»: Betrug mit QR-Codes und Links in SMS

«Quishing»: Betrug mit QR-Codes und Links in SMS

Du scannst einen QR-Code, und das Handy öffnet direkt eine Website. Du hast keine Adresse gelesen, nichts eingetippt und nicht entschieden, wohin es geht: Der QR-Code hat für dich entschieden. Genau diese Bequemlichkeit nutzt Quishing (QR + Phishing) aus: QR-Codes und Kurzlinks, die ihr Ziel verbergen und dich auf gefälschte Websites führen, wo man dir Daten oder Geld stiehlt. In der Schweiz begegnen dir QR-Codes auch beim Bezahlen, etwa auf der QR-Rechnung oder bei TWINT; umso wichtiger ist es, vor dem Scannen kurz innezuhalten.

Quishing ist keine eigene Technik neben dem Smishing (Phishing per SMS), sondern derselbe Betrug mit besser verstecktem Link. Wo dir eine gefälschte Bussen- oder Paket-SMS bei genauem Hinsehen noch eine verdächtige Domain zeigt, zeigt dir der QR-Code gar nichts, bis du ihn schon gescannt hast.

Wo falsche QR-Codes auftauchen

• Parkuhren und Parkplätze. Aufkleber mit einem falschen QR-Code, geklebt über den echten Code der Stadt oder der Park-App. Du scannst, landest auf einer Seite, die das Bezahlen der Parkgebühr imitiert, und gibst deine Kartendaten ein.
• Menükarten in Restaurants und Bars. Ein QR-Code, über das Original geklebt. Hier ist das Ziel meist, dir eine gefälschte App unterzujubeln oder dich unter einem Vorwand auf eine Phishing-Seite zu locken.
• Bussenzettel und Hinweise an der Windschutzscheibe. Gefälschte Bussen mit QR-Code «zum schnellen Bezahlen». Derselbe Köder wie die gefälschte Bussen-SMS, nur auf Papier. Ob eine Busse echt ist, klärst du bei der Behörde, die sie angeblich ausgestellt hat, über deren offizielle Website, die du selbst aufrufst, nie über den QR-Code.
• Pakete und Lieferungen. QR-Codes auf Aufklebern oder in SMS («Scanne, um die Zustellung neu zu planen»), eine Variante des Paketbetrugs mit angeblichen Gebühren.
• E-Mails, SMS und Briefe mit QR-Code. Die Nachricht bittet dich, einen QR-Code zu scannen, statt auf einen Link zu tippen, manchmal unter dem Vorwand der «Zwei-Faktor-Authentifizierung» oder der «Sicherheit». So umgehen die Absender auch Anti-Phishing-Filter, die Links prüfen, aber keine Bilder. Auch eine QR-Rechnung, die du nicht erwartest, verdient einen zweiten Blick: Prüfe Empfänger und Betrag, bevor du sie in der Bank-App bezahlst.
• Kryptowährungen und Zahlungen. QR-Codes, die angeblich eine Empfangsadresse oder eine «Rückerstattung» enthalten. Einmal überwiesenes Geld kommt nicht zurück. Bei Kleinanzeigen sind zudem Betrügereien mit TWINT-QR-Codes und -Links verbreitet: Scanne keinen Code und öffne keinen Link, den dir dein Gegenüber aus einem Inserat schickt, und wickle Zahlungen nur direkt in der App ab.

Die Regel: Schau dir das Ziel an, bevor du die Seite öffnest

Bei einem normalen Link kannst du die Adresse lesen, bevor du tippst. Beim QR-Code nicht, also musst du diesen Schritt von Hand einbauen:

1. Scanne, aber öffne noch nichts. Die meisten Handys zeigen die vollständige URL an, bevor sie die Seite öffnen. Das ist der Moment der Entscheidung: Lies sie ganz und ohne Eile.
2. Prüfe die Domain. Es muss die offizielle Domain des Dienstes sein, ohne zusätzliche Bindestriche oder seltsame Endungen. Führt dich der QR-Code an der Parkuhr auf eine Domain, die weder zur Stadt noch zur offiziellen App gehört, ist er gefälscht.
3. Wenn etwas nicht passt, geh nicht hinein, sondern selbst zum offiziellen Kanal. Öffne die offizielle App des Parkdienstes, der Bank oder des Shops und erledige den Vorgang dort. Es ist dieselbe Methode wie bei einem verdächtigen Anruf oder einer SMS deiner Bank: Nachricht schliessen und selbst den offiziellen Weg wählen.
4. Misstraue QR-Codes, die drängen. «Jetzt scannen», «letzte Mahnung», «Ihr Paket wird heute retourniert». Zeitdruck ist die Handschrift des Betrugs, beim QR-Code genauso wie bei der SMS.

Und ein praktischer Tipp für QR-Codes im öffentlichen Raum: Achte darauf, ob ein Aufkleber über einem anderen klebt. Sitzt der QR-Code an der Parkuhr auf einem Aufkleber, der nachträglich angebracht wirkt, oder verdeckt er einen anderen Code, nutze ihn nicht. Bezahle über die offizielle App, die du schon installiert hast, oder direkt am Automaten.

Was tun, wenn du schon gescannt und Daten eingegeben hast

• Du hast auf der Zielseite Kartendaten eingegeben: Ruf sofort deine Bank an, lass die Karte sperren und eine neue ausstellen. Behalte die Belastungen der nächsten Wochen im Auge.
• Du hast über den QR-Code eine App installiert: Deinstalliere sie, lass einen Virenscan laufen und prüfe die Berechtigungen, die du ihr gegeben hast (SMS, Bedienungshilfen und Benachrichtigungen sind die gefährlichen).
• Du hast nur gescannt und wieder geschlossen: Fast sicher ist nichts passiert. Scannen allein installiert nichts und verrät keine Daten; das Risiko beginnt, wenn du mit der Seite interagierst.
• Melde und zeige an: Hast du Geld verloren, erstatte Strafanzeige bei der Kantonspolizei (den nächsten Posten findest du über Suisse ePolice), mit Fotos des QR-Codes (bei einem Aufkleber auch mit einem Foto des Standorts) und Screenshots der Website. Den Betrugsversuch kannst du dem Bundesamt für Cybersicherheit (BACS) über das Meldeformular melden, die gefälschte Website auf antiphishing.ch.
• Hat dich der QR-Code per SMS oder Anruf erreicht, melde die Nummer im Verzeichnis der Spam-Nummern.

Kurze Fragen

Kann das Scannen eines QR-Codes mein Handy hacken? Das Scannen allein nicht: Der QR-Code enthält nur Text (meist eine URL). Die Gefahr liegt in der Website, auf die er dich führt, und in dem, was du dort tust: Daten eingeben, Dateien herunterladen oder Berechtigungen erteilen. Deshalb lautet die Abwehr, das Ziel zu prüfen, bevor du die Seite öffnest.

Sind Kurzlinks (bit.ly und ähnliche) dasselbe? Dasselbe Problem, ja: Sie verbergen das Ziel. Seriöse Linkverkürzer erlauben eine Vorschau (viele mit einem «+» am Ende der URL), aber die praktische Regel bleibt gleich: Wenn du nicht weisst, wohin der Link führt, und er dich zum Tippen drängt, tippe nicht und geh selbst zum offiziellen Kanal.

Kann mir meine Bank einen echten QR-Code schicken? Ja, zum Beispiel um die App zu verknüpfen oder Vorgänge zu bestätigen, aber nur innerhalb von Abläufen, die DU gestartet hast. Ein Bank-QR-Code, der dich erreicht, ohne dass du etwas angefordert hast, fällt unter die allgemeine Regel: nicht nutzen und selbst die offizielle App öffnen.

Wie schütze ich ältere Menschen davor? Mit einem Satz: «Bezahle nie, indem du einen QR-Code auf der Strasse scannst; nutze die App, die du schon hast.» Parkuhren sind ein typischer Berührungspunkt. Weitere Tipps findest du in unseren Situationsleitfäden.

Die Zusammenfassung passt in eine Zeile: Ein QR-Code ist ein Link, den du nicht lesen kannst, also lies ihn, bevor du die Seite öffnest. Scannen, URL anschauen, und wenn es nicht die offizielle Domain ist, schliessen und selbst den offiziellen Kanal wählen. Diese eine Sekunde Pause entschärft das ganze Quishing.