Quishing erkennen und verdächtige QR-Codes prüfen

Ein QR-Code wirkt erst einmal ziemlich neutral. Kamera draufhalten, antippen, fertig. Genau das macht ihn für Betrugsversuche interessant: Anders als bei einem ausgeschriebenen Link siehst du dem schwarz-weißen Quadrat nicht an, wohin es dich schicken will.

Beim Quishing verstecken Kriminelle einen Phishing-Link hinter einem QR-Code. Nach dem Scan landet man beispielsweise auf einer nachgebauten Banking-, Bezahl- oder Login-Seite. Dort sollen Passwörter, Kartendaten oder andere persönliche Informationen eingegeben werden.

Quishing erkennen bedeutet deshalb nicht, den QR-Code selbst irgendwie lesen zu können. Viel wichtiger sind der Ort, an dem er auftaucht, die Geschichte drumherum und vor allem die Internetadresse, die dein Smartphone nach dem Scan anzeigt.

Der QR-Code selbst verrät dir fast nichts

Ein gefälschter QR-Code kann genauso sauber gedruckt sein wie ein echter. Logo, Farben und Gestaltung daneben können ebenfalls professionell aussehen. Rechtschreibfehler sind deshalb kein zuverlässiger Filter mehr.

Auch das BSI warnt inzwischen davor, Phishing allein an schlechtem Deutsch erkennen zu wollen. Betrügerische Nachrichten können täuschend echt aussehen, unter anderem weil Kriminelle KI zur Formulierung einsetzen. Links hinter QR-Codes sollten deshalb genauso kritisch geprüft werden wie Links in E-Mails oder SMS.^[1]

Mein kurzer Quishing-Check

Bevor ich einen unbekannten QR-Code öffne, würde ich mir vier Fragen stellen:

Passt der Code überhaupt hierher? Ein zusätzlicher Aufkleber auf einem Automaten wäre zum Beispiel verdächtig.
Warum soll ich ihn scannen? Besonders vorsichtig wäre ich bei angeblicher Kontosperrung, dringender Verifizierung oder einer unerwarteten Zahlung.
Welche Internetadresse zeigt das Smartphone an? Nicht sofort öffnen, sondern erst lesen.
Kann ich dasselbe über die offizielle App oder Webseite erledigen? Wenn ja, ist der QR-Code meist gar nicht nötig.

Achte nach dem Scan zuerst auf die Internetadresse

Viele Smartphones zeigen den hinterlegten Link zunächst als Vorschau an. Genau hier solltest du kurz stoppen.

Angenommen, du erwartest eine Seite unter:

beispielbank.de

Dann wäre eine Adresse wie:

beispielbank.de-konto.com

nicht einfach eine Unterseite dieser Bank. Entscheidend ist hier die eigentliche Domain vor der Endung .com. Die Verbraucherzentrale weist bei Quishing ausdrücklich auf solche Konstruktionen hin, weil kleine Bindestriche, Zusätze und ähnlich aussehende Adressen auf dem Smartphone leicht übersehen werden.^[2]

Eine echte Unterseite könnte dagegen beispielsweise mit beispielbank.de/... weitergehen.

Schau auch nach Buchstabendrehern, zusätzlichen Wörtern und ungewöhnlichen Domain-Endungen. Ein bekanntes Logo auf der geöffneten Seite ändert daran nichts – das lässt sich kopieren.

Überklebte QR-Codes sind ein deutliches Warnsignal

Quishing findet nicht nur digital statt. Gerade bei QR-Codes im öffentlichen Raum lohnt sich ein kurzer Blick auf den Aufkleber selbst.

Die Verbraucherzentrale führt mehrere reale Varianten auf: manipulierte QR-Codes an Ladesäulen für Elektroautos, überklebte Codes an Parkautomaten, falsche Strafzettel und sogar gefälschte Plakate in Bussen und Bahnen.^[2]

Die Polizeiliche Kriminalprävention rät ebenfalls dazu, darauf zu achten, ob ein QR-Code Bestandteil der ursprünglichen Beschilderung ist oder nachträglich aufgeklebt wurde.^[3]

Fühl ruhig einmal mit dem Finger darüber. Siehst du unter einem Aufkleber einen zweiten Code, stehen Kanten ab oder wirkt der Sticker nachträglich angebracht, würde ich ihn nicht verwenden.

Bei Park- und Ladesäulen ist häufig die offizielle App des Betreibers die bessere Alternative. Wenn dort eine Standort- oder Säulennummer eingegeben werden kann, brauchst du den aufgeklebten QR-Code überhaupt nicht.

Quishing kann auch per Brief kommen

Ein Brief auf Papier genießt bei vielen Menschen noch einen kleinen Vertrauensbonus. Genau deshalb funktioniert die Masche auch dort.

Bekannt sind Schreiben, die angeblich von Banken stammen und beispielsweise eine Aktualisierung des Online-Bankings oder eines Sicherheitsverfahrens verlangen. Der passende QR-Code führt dann nicht zur Bank, sondern zu einer nachgebauten Webseite.^[2]

In so einer Situation würde ich überhaupt nicht versuchen herauszufinden, ob der QR-Code vielleicht doch stimmt. Öffne stattdessen deine Banking-App selbst oder tippe die dir bekannte Adresse der Bank in den Browser ein. Dort kannst du prüfen, ob tatsächlich eine Nachricht oder ein Handlungsbedarf vorliegt.

Dasselbe gilt für Krankenkassen, Paketdienste, Verkehrsunternehmen oder andere Anbieter: Den zweiten Kommunikationsweg selbst öffnen, statt dem Weg zu folgen, den das verdächtige Schreiben vorgibt.

Auch ein QR-Code in einer echten Mail kann verdächtig sein

Bei einer normalen Phishing-Mail lässt sich der Mauszeiger am Computer oft über einen Link bewegen, um dessen Ziel zu sehen. Ein QR-Code nimmt dir diese kleine Kontrollmöglichkeit zunächst weg.

Die Polizeiliche Kriminalprävention weist außerdem darauf hin, dass Sicherheitslösungen Links in QR-Code-Bildern nicht unbedingt genauso erkennen wie klassische Links in Nachrichten.^[3]

Deshalb würde ich einen QR-Code in einer unerwarteten Mail eher als Anlass für zusätzliche Skepsis sehen – besonders wenn du anschließend Folgendes tun sollst:

dich in dein Online-Banking einloggen,
eine Kreditkarte bestätigen,
ein Passwort erneuern,
persönliche Daten verifizieren,
eine angebliche Kontosperrung verhindern oder
unter Zeitdruck eine Zahlung ausführen.

Zeitdruck und die Androhung von Sperren gehören auch 2026 weiterhin zu den typischen Mustern aktueller Phishing-Kampagnen, wie das laufend aktualisierte Phishing-Radar der Verbraucherzentrale zeigt.^[4]

Was passiert, wenn ich einen falschen QR-Code gescannt habe?

Hier lohnt sich eine wichtige Unterscheidung. Ein QR-Code wurde gescannt, eine Webseite wurde geöffnet und Zugangsdaten wurden eingegeben – das sind nicht dieselben Situationen.

Du hast den QR-Code nur gescannt und den angezeigten Link nicht geöffnet? Dann öffne ihn nicht. Allein die Vorschau einer URL bedeutet noch nicht, dass du dich auf der entsprechenden Webseite angemeldet oder dort Daten übermittelt hast.

Die Seite wurde geöffnet, du hast aber nichts eingegeben oder heruntergeladen? Schließe sie. Folge dort keinen weiteren Links, bestätige keine Benachrichtigungen und installiere nichts. Achte außerdem darauf, ob unerwartet ein Download gestartet wurde.

Du hast ein Passwort eingegeben? Dann solltest du das Passwort über die echte Webseite beziehungsweise App des Dienstes umgehend ändern. Falls du dasselbe Passwort noch bei anderen Konten nutzt, muss es dort ebenfalls ersetzt werden. Die Verbraucherzentrale rät nach der Eingabe sensibler Daten auf Phishing-Seiten ausdrücklich zum schnellen Handeln.^[5]

Du hast Bank- oder Kreditkartendaten eingegeben? Kontaktiere deine Bank beziehungsweise den Zahlungsdienstleister sofort. Je nach betroffenem Anbieter kommt außerdem der Sperr-Notruf 116 116 infrage. Konto- und Kartenumsätze solltest du anschließend besonders aufmerksam kontrollieren.^[5]

Bei einem finanziellen Schaden oder weitergegebenen sensiblen Daten kommt zusätzlich eine Anzeige bei der Polizei infrage. Screenshots, das Schreiben, die Mail oder ein Foto des manipulierten QR-Codes können dabei als Beleg hilfreich sein.

Nicht über den verdächtigen Kontaktweg zurückfragen

Steht auf einem verdächtigen Bankbrief neben dem QR-Code auch eine Telefonnummer, würde ich diese Nummer ebenfalls nicht ungeprüft verwenden. Suche den Anbieter unabhängig davon über seine offizielle Webseite, App, deine Bankkarte oder bereits bekannte Kontaktdaten. Sonst kann auch der vermeintliche Kundenservice Teil der Masche sein.

Ein Schloss im Browser macht die Seite nicht automatisch echt

Eine verschlüsselte HTTPS-Verbindung ist grundsätzlich wichtig, sagt aber nicht, dass hinter einer Webseite tatsächlich die Bank, der Paketdienst oder das Verkehrsunternehmen steckt, dessen Logo dort erscheint.

Die entscheidende Prüfung bleibt deshalb die Adresse. Wenn du dir bei einer Domain nicht sicher bist, gib keine Login-, Zahlungs- oder persönlichen Daten ein.

Noch einfacher ist die Abkürzung über den vertrauten Weg: Bank-App selbst öffnen, Betreiber-App starten oder die bekannte Internetadresse eigenständig aufrufen. Genau diesen direkten Zugriff nennen auch Polizei und BSI als sinnvolle Schutzmaßnahme gegen Phishing über QR-Codes.^[1]^[3]

Wann ich einen QR-Code gar nicht erst scannen würde

Ein QR-Code ist nicht verdächtig, nur weil er irgendwo klebt. Speisekarten, Tickets, Bedienungsanleitungen oder WLAN-Zugänge nutzen die Technik völlig legitim.

Bei bestimmten Kombinationen würde ich das Smartphone trotzdem in der Tasche lassen:

Der QR-Code wurde sichtbar über einen anderen Code geklebt.
Eine unerwartete Nachricht verlangt dringend Bank- oder Zugangsdaten.
Ein vermeintlicher Strafzettel fordert direkt per QR-Code zur Zahlung auf.
Ein Gewinn oder Geschenk soll erst nach Eingabe von Zahlungsdaten freigeschaltet werden.
Die angezeigte Domain passt nicht eindeutig zum behaupteten Anbieter.
Eine offizielle App oder Webseite bietet denselben Vorgang ohne QR-Code an.

Das ist am Ende auch der nützlichste Unterschied zwischen Quishing und einem normalen QR-Code: Du musst nicht beurteilen können, ob das schwarz-weiße Muster echt aussieht. Prüfe stattdessen, wer dich zum Scan bringen will, wohin der Link führt und warum dort anschließend Daten von dir verlangt werden.

Quellen