Quishing – Wenn QR-Codes zur Betrugsfalle werden

Kurz das Smartphone draufhalten, schon ist bezahlt, die Speisekarte geöffnet oder das Paket unterwegs verfolgt. QR-Codes gehören längst zu unserem Alltag. Genau das machen sich auch Kriminelle zunutze: Sie manipulieren QR-Codes, um Menschen auf betrügerische Websites zu locken.

Der Name QR steht für „Quick Response", also schnelle Antwort. Ein QR-Code ist im Grunde ein Muster aus schwarzen und weißen Quadraten, dass Informationen wie eine Internetadresse speichert. Wohin er tatsächlich führt, sieht man ihm von außen nicht an, und genau das macht ihn zur idealen Tarnung. Dieser Artikel zeigt, wo manipulierte QR-Codes typischerweise auftauchen, woran Sie sie erkennen und wie Sie sich davor schützen.

Was bedeutet Quishing?

Quishing setzt sich aus „QR-Code" und „Phishing" zusammen: Kriminelle manipulieren QR-Codes oder ersetzen sie durch gefälschte Codes. Wer einen solchen Code scannt, landet auf einer betrügerischen Website. Dort versuchen Kriminelle in der Regel, Zahlungsdaten abzugreifen. In manchen Fällen wird auch versucht, Schadsoftware auf dem Gerät zu installieren.

Wo tauchen manipulierte QR-Codes typischerweise auf?

• Öffentliche Parkautomaten und Ladesäulen für E-Autos: Bezahlen per Smartphone funktioniert hier häufig über einen QR-Code. Kriminelle können den echten Code mit einem eigenen überkleben. Wer ihn scannt, wird auf eine gefälschte Zahlungs- oder Phishing-Seite weitergeleitet.
• Briefe, E-Mails und SMS: Auch hier setzen Kriminelle QR-Codes ein, um ihren Betrug zu verschleiern. Ein Beispiel: ein angeblich gesperrtes Bankkonto, das sich angeblich nur durch Scannen eines QR-Codes und Eingabe persönlicher Daten wieder freischalten lässt. Eine andere Masche sind gefälschte Schreiben der Post, die eine offene Versandgebühr behaupten und zur Zahlung per QR-Code auffordern.
• Plakate und Flyer: Kriminelle platzieren QR-Codes auch auf Plakaten, Flyern oder anderen Aushängen, etwa mit dem Versprechen auf ein Gewinnspiel oder ein vermeintliches Jobangebot. Tatsächlich führt der Scan auf eine betrügerische Website.

Warum funktioniert die Masche so gut?

QR-Codes sind praktisch, mittlerweile überall zu finden und wirken deshalb unverdächtig. Beim Scannen denken die wenigsten an Betrug. Erschwerend kommt hinzu, dass sich einem QR-Code nicht ansehen lässt, wohin er führt, und dass Unstimmigkeiten in der Webadresse auf dem kleinen Smartphone-Bildschirm noch leichter übersehen werden.

Vorsicht auch bei QR-Code-Scanner-Apps: Nicht jede App ist vertrauenswürdig. Manche davon enthalten aufdringliche Werbung, enthalten Abofallen oder können unerwünschte Software herunterladen. Nutzen Sie daher möglichst die integrierte Kamera-Funktion Ihres Smartphones, statt eine zusätzliche Scanner-App zu installieren.

Gefälschte QR-Codes erkennen

Quishing ist tükisch. Es gibt jedoch einige Hinweise, die dabei helfen können, einen manipulierten QR-Code zu erkennen:

• Wirkt der Code aufgeklebt? Prüfen Sie, ob er über etwas anderem klebt oder Teil des Originaldrucks ist.
• Ist die Situation plausibel? Ein QR-Code an einer unerwarteten Stelle oder in einer unerwarteten Nachricht sollte Sie aufmerksam machen.
• Zieladresse prüfen: Viele Smartphones zeigen nach dem Scannen zunächst die Zieladresse an. Lesen Sie diese genau, bevor Sie die Seite öffnen.
• Stimmt die Webadresse wirklich? Achten Sie auf leicht abgewandelte Schreibweisen bekannter Namen, etwa vertauschte Buchstaben oder ungewöhnliche Endungen.
• Werden sensible Daten verlangt? Wenn eine QR-Code-Seite nach Zugangsdaten, PINs oder Kreditkartennummern fragt, sollten Sie vorsichtig sein und die Seite schließen.
• Soll eine App installiert werden? Seien Sie besonders vorsichtig, wenn der Scan zur Installation einer App auffordert. Dahinter kann sich Schadsoftware verbergen.

Unsicher? Öffnen Sie die offizielle App oder Website manuell über die bekannte Adresse, statt den QR-Code zu verwenden.

Betrügerischen QR-Code gescannt? Das könnten Sie tun!

• Seite schließen: Schließen Sie die betrügerische Website oder App sofort. 
• Bank kontaktieren: Wurden Zahlungsdaten eingegeben, informieren Sie umgehend Ihre Bank und lassen Sie gegebenenfalls die Karte sperren.
• Passwörter ändern: Wurden Zugangsdaten preisgegeben, ändern Sie diese sofort. Verwenden Sie dasselbe Passwort auch bei anderen Diensten, ändern Sie es dort ebenfalls. Aktivieren Sie, wo möglich, eine Zwei-Faktor-Authentifizierung.
• Anzeige erstatten: Melden Sie den Vorfall bei der Polizei.

Wie Sie vermeiden, in die Falle zu tappen!

Die wirksamste Waffe gegen Betrugsversuche ist: Wissen. Wer die gängigsten Tricks kennt, erkennt Warnsignale schneller und kann besser reagieren. Bleiben Sie deshalb stets up to date – am besten mit den Info-Angeboten von Watchlist Internet