QR-Codes zu scannen ist bequem, weil du keine lange Webadresse eintippen musst. Genau darin steckt auch das Risiko: Der Code selbst verrät dir mit bloßem Auge nicht, wohin er führt. Nach dem Scan sollte deshalb nicht automatisch der nächste Tipp folgen.
Bei einem Code auf einer Speisekarte ist das Risiko meist überschaubarer als bei einem überklebten Aufkleber auf einer Ladesäule oder einem unerwarteten Bankbrief. Der praktische Sicherheitscheck dauert trotzdem nur ein paar Sekunden.
Die wichtigste Regel: Erst die Zieladresse ansehen
Die Polizei warnt aktuell vor Quishing, also Phishing über manipulierte QR-Codes. In ihrer Warnung vom 16. Oktober 2026 nennt sie unter anderem Parkautomaten, Ladesäulen, falsche Strafzettel, Gastronomie und Paketbenachrichtigungen als typische Einsatzorte für betrügerische Codes.[1]
Nach dem Scan prüfst du deshalb die eingeblendete Adresse, bevor du sie öffnest. Stimmt die Domain exakt mit dem erwarteten Anbieter überein? Gibt es Buchstabendreher, zusätzliche Wörter vor oder nach dem eigentlichen Namen oder eine völlig fremde Domain?
Die Verbraucherzentrale empfiehlt ebenfalls, QR-Codes nur zu öffnen, wenn du die Herkunft einschätzen kannst und die Zieladresse vorher kontrollierst.[2]
HTTPS ist kein Echtheitssiegel
Ein Schloss im Browser bedeutet, dass die Verbindung verschlüsselt ist. Es beweist nicht, dass die Seite vom echten Anbieter stammt. Das Schweizer Bundesamt für Cybersicherheit weist ausdrücklich darauf hin, dass auch betrügerische Seiten heute häufig verschlüsselte Verbindungen nutzen.[3]
Wie erkenne ich einen überklebten QR-Code?
Gerade an öffentlichen Geräten lohnt ein kurzer Blick auf die Oberfläche. Fühlbare Kanten, ein Sticker über einem aufgedruckten Code oder ein schief aufgeklebtes Etikett sind Gründe, nicht zu scannen.
Die Polizei nennt physische Überklebungen ausdrücklich als Warnsignal.[1] Bei Parkautomaten und Ladesäulen ist die Alternative oft einfacher: offizielle App öffnen, Stations- oder Zonennummer eingeben oder einen anderen angebotenen Zahlungsweg nutzen.
Wenn der Code auf einem Brief von Bank, Behörde oder Paketdienst sitzt und du die Nachricht nicht erwartet hast, öffne die offizielle App oder Website selbst. Nutze nicht die Telefonnummer oder Webadresse aus dem verdächtigen Schreiben, um dessen Echtheit zu prüfen.
Braucht man zum QR-Codes scannen noch eine Extra-App?
Bei vielen aktuellen Smartphones nein. Auf dem iPhone können QR-Codes direkt mit der Kamera-App oder dem Code-Scanner im Kontrollzentrum erfasst werden.[4] Google beschreibt für Pixel-Smartphones ebenfalls das Scannen über die Kamera-App und die Schnelleinstellungen.[5]
Eine zusätzliche Scanner-App ist also nicht automatisch nötig. Sie kann sinnvoll sein, wenn dein Gerät die Zieladresse nicht vor dem Öffnen anzeigt oder besondere Funktionen gebraucht werden.
Ich würde keine beliebige QR-App installieren, nur weil sie sich „Security Scanner“ nennt. Zusätzliche Apps bekommen selbst Berechtigungen und verarbeiten möglicherweise Scanverläufe. Für normale Codes reicht die eingebaute Kamera bei unterstützten Geräten meist aus.
Was ist bei QR-Codes zum Bezahlen anders?
Hier würde ich strenger sein. Wenn nach dem Scan direkt Karten-, Bank- oder Login-Daten abgefragt werden, muss die Domain zweifelsfrei stimmen. Bei einem Parkautomaten oder Ladepunkt ist die offizielle App oft der bessere Weg.
Die aktuelle Polizeiwarnung empfiehlt bei Zahlungen ausdrücklich, wenn möglich direkt die offizielle App des jeweiligen Anbieters zu verwenden und Stations- oder Zonendaten manuell einzugeben.[1]
Ein hübsches Logo auf der Webseite ist kein Beweis. Phishing-Seiten können Aussehen, Schrift und Farben echter Anbieter sehr überzeugend kopieren.
Was ist, wenn der QR-Code eine App installieren will?
Dann breche ich den Vorgang erst einmal ab. Eine Speisekarte, ein Parkautomat oder ein Paketbrief sollte nicht spontan eine unbekannte APK-Datei oder ein fremdes Installationspaket auf dein Smartphone laden.
Die Polizei nennt unerwartete App- oder Dateiinstallationen ebenfalls als Warnsignal.[1] Wenn eine App tatsächlich erforderlich ist, öffne lieber selbst den offiziellen App Store und suche dort nach dem Anbieter.
So umgehst du zumindest den direkten Download über eine unbekannte Webseite.
QR-Code in einer E-Mail oder auf einem Bankbrief
Quishing funktioniert auch deshalb gut, weil QR-Codes normale Linkfilter umgehen können und das eigentliche Ziel erst auf dem Smartphone sichtbar wird. Die Verbraucherzentrale dokumentiert entsprechende Maschen mit Bankbriefen, E-Mails und angeblichen Zahlungsaufforderungen.[2]
Wenn eine Bank dich angeblich auffordert, über einen QR-Code ein Sicherheitsverfahren, TAN-Verfahren oder Konto zu bestätigen, öffne dein Banking auf dem gewohnten Weg. Gibt es dort keine entsprechende Nachricht, wird nicht gescannt.
Unser eigener Beitrag Quishing erkennen geht ausführlicher auf gefälschte Briefe, Parkautomaten und manipulierte Bezahlcodes ein.
Sind selbst erstellte QR-Codes gefährlich?
Nicht automatisch. Ein QR-Code kann einfach Text, WLAN-Zugangsdaten oder einen Link enthalten. Problematisch wird es, wenn du sensible Informationen öffentlich in den Code packst oder auf eine Seite verlinkst, deren Zugriff nicht geschützt ist.
Einen QR-Code mit privater Handynummer, Wohnadresse oder anderen Notfalldaten würde ich deshalb nicht außen auf einen Schulranzen oder eine Jacke kleben. Wer den Code findet, kann die Information genauso lesen wie die Person, für die sie gedacht war.
Für WLAN-Gäste ist ein QR-Code zu Hause dagegen praktisch. Er sollte nur nicht öffentlich am Gartenzaun hängen.
Warum scannt mein Handy den Code nicht?
Oft liegt es an banalen Dingen: Spiegelung, schlechtes Licht, zu kleiner Code, zu wenig Abstand oder eine verschmierte Kameralinse. Apple und Google empfehlen, den gesamten Code sauber im Kamerabild zu erfassen; Google nennt zusätzlich gute Beleuchtung und eine saubere Linse als typische Hilfen.[4][5]
Wenn ein Code auf einem gebogenen oder beschädigten Untergrund sitzt, kann die Erkennung trotzdem scheitern. Dann lieber nach einer ausgeschriebenen Webadresse oder einer offiziellen App suchen, statt fünf verschiedene Scanner zu installieren.
Was tun, wenn ich Daten auf einer falschen Seite eingegeben habe?
Dann zählt Tempo. Die Polizei empfiehlt bei eingegebenen Zugangsdaten, Passwörter sofort zu ändern und betroffene Anbieter zu informieren. Bei Karten- oder Bankdaten sollen Karte beziehungsweise Zugang gesperrt und unberechtigte Vorgänge kontrolliert werden.[1]
Für Zahlungskarten steht in Deutschland der Sperr-Notruf 116 116 zur Verfügung. Zusätzlich kann eine Anzeige bei der Polizei sinnvoll sein, besonders wenn Geld abgeflossen ist oder persönliche Daten missbraucht wurden.[1]
QR-Codes sind nicht das Problem, blindes Öffnen schon
Ich nutze QR-Codes weiterhin gern. Speisekarten, Tickets, WLAN-Zugänge und Geräteinfos sind damit schnell erreichbar. Der Sicherheitsaufwand besteht im Grunde aus einem zusätzlichen Blick.
Bei einem bekannten Code schaue ich kurz auf die Zieladresse. Bei Zahlung, Login oder persönlichen Daten prüfe ich deutlich strenger und nutze im Zweifel die offizielle App oder tippe die bekannte Adresse selbst ein.
Der Code spart das Tippen. Die Entscheidung, ob die Seite vertrauenswürdig ist, nimmt er dir nicht ab.
Quellen
- Polizeiliche Kriminalprävention: Quishing – Wenn ein QR-Code zur Falle wird (abgerufen am 29.10.2026)
- Verbraucherzentrale: Quishing mit falschen QR-Codes (abgerufen am 29.10.2026)
- Schweizer Bundesamt für Cybersicherheit: Betrügerische Websites erkennen (abgerufen am 29.10.2026)
- Apple Support: QR-Code mit iPhone oder iPad scannen (abgerufen am 29.10.2026)
- Google Pixel-Hilfe: QR-Codes mit dem Smartphone scannen (abgerufen am 29.10.2026)
