QR-Code-Betrug: Wie er funktioniert und wie Sie sich schützen

QR-Codes sind praktisch, weil sie Links, Zahlungsdaten oder Kontaktinformationen in Sekunden öffnen – genau das machen sich Betrüger zunutze. Sie kleben manipulierte Codes über echte, verschicken sie per Post oder E-Mail oder platzieren sie an Orten, an denen man schnell handelt, etwa an Parkautomaten oder auf angeblichen Mahnungen. Wer den Code scannt, landet auf einer gefälschten Zahlungsseite oder wird zu einem Anruf verleitet, der teuer oder gefährlich werden kann.

Wie der Betrug typischerweise abläuft

Ein manipulierter QR-Code führt selten direkt zu einem offensichtlichen Schaden. Meist folgt eine von zwei Varianten:

• Fake-Zahlung: Der Code öffnet eine Webseite, die einer echten Bank-, Bußgeld- oder Parkgebühren-Seite täuschend ähnlich sieht. Sie geben dort Kartendaten oder Zugangsdaten ein, die direkt an die Betrüger gehen.
• Anruf-Lockmittel: Statt einer Webseite erscheint eine Telefonnummer oder ein Hinweis, man solle „zur Verifizierung“ anrufen. Am anderen Ende sitzt eine angebliche Support- oder Behördenperson, die unter Druck persönliche Daten, Codes oder sogar eine Zahlung per Telefon verlangt.

Beide Varianten setzen auf Zeitdruck: eine angebliche Frist, eine drohende Strafe oder ein „letztes Mahnschreiben“ sollen Sie zum unüberlegten Handeln bringen.

Wo solche Codes typischerweise auftauchen

Besonders häufig werden QR-Codes an Orten manipuliert, an denen Menschen unter Zeitdruck stehen oder wenig misstrauisch sind:

• Parkscheinautomaten und Ladesäulen für Elektroautos, wo ein Aufkleber über dem echten Code angebracht wird
• Angebliche Paketbenachrichtigungen mit einem Code für „Zollgebühren“ oder „Nachlieferung“
• Gefälschte Rechnungen, Mahnungen oder Steuerbescheide per Post oder E-Mail
• Flyer oder Plakate in der Öffentlichkeit mit angeblichen Rabattaktionen
• Restaurant-Speisekarten oder Veranstaltungswerbung, bei denen der Original-Code überklebt wurde

Warnsignale, auf die Sie achten sollten

• Der Code sieht aus wie ein nachträglich angebrachter Aufkleber, der leicht schief sitzt oder eine andere Papierqualität hat als der Rest
• Die Nachricht erzeugt Druck: „sofort zahlen“, „letzte Mahnung“, „Konto wird gesperrt“
• Sie werden aufgefordert, eine Zahlung ausschließlich per QR-Code oder Telefon vorzunehmen, ohne alternative Wege
• Die Ziel-Webseite verlangt ungewöhnlich viele Daten, etwa PIN, TAN oder vollständige Kartendaten inklusive Sicherheitscode
• Beim Anruf wird sofort nach sensiblen Informationen gefragt, ohne dass Sie die Identität der Person prüfen können

So prüfen Sie einen QR-Code, bevor Sie scannen

Mit ein paar einfachen Schritten lässt sich das Risiko deutlich senken:

• Vorschau nutzen: Viele Smartphone-Kameras zeigen die Ziel-URL an, bevor der Link geöffnet wird. Lesen Sie diese genau, statt sofort auf „Öffnen“ zu tippen.
• Domain prüfen: Achten Sie auf ungewöhnliche Schreibweisen, zusätzliche Wörter oder eine fremde Länderendung, die nicht zur erwarteten Organisation passt.
• Physischen Code untersuchen: Sitzt der Aufkleber schief, überdeckt er einen anderen Code, oder wirkt das Material anders als die Umgebung? Das sind deutliche Hinweise auf Manipulation.
• Direkten Weg wählen: Bei Parkgebühren, Rechnungen oder Behördenanliegen öffnen Sie lieber die offizielle App oder Webseite manuell, statt den Code zu scannen.
• Keine Zahlungsdaten sofort eingeben: Seriöse Anbieter fragen nie direkt nach PIN, TAN oder vollständiger Kartennummer über eine gescannte Seite.
• Bei Anrufaufforderung selbst zurückrufen: Nutzen Sie eine offiziell bekannte Nummer, etwa von der Rückseite Ihrer Bankkarte oder der offiziellen Webseite, statt die im Code angegebene Nummer zu wählen.
• Nummer vorab prüfen: Wenn ein QR-Code eine Telefonnummer enthält, können Sie diese vor dem Anrufen mit einem Dienst wie diesem nachschlagen, um zu sehen, ob andere Nutzer sie bereits als verdächtig gemeldet haben.

Was tun, wenn Sie bereits gescannt oder bezahlt haben

Bleiben Sie ruhig und handeln Sie zügig, aber überlegt:

• Geben Sie auf der geöffneten Seite keine weiteren Daten ein und schließen Sie den Browser
• Haben Sie Kartendaten eingegeben, kontaktieren Sie umgehend Ihre Bank über die Nummer auf Ihrer Karte und lassen Sie die Karte gegebenenfalls sperren
• Ändern Sie Passwörter, falls Sie sich mit bestehenden Zugangsdaten angemeldet haben
• Machen Sie ein Foto vom manipulierten Code und melden Sie ihn dem Betreiber des Ortes, etwa der Parkgesellschaft oder dem Geschäft
• Melden Sie den Vorfall Ihrer nationalen Verbraucherschutz- oder Betrugsmeldestelle

Kurz zusammengefasst

• QR-Codes vor dem Scannen visuell prüfen und die angezeigte URL genau lesen
• Bei Zeitdruck und Zahlungsaufforderungen besonders misstrauisch sein
• Lieber die offizielle App oder Webseite manuell öffnen als jedem Code zu vertrauen
• Telefonnummern aus Codes nicht ungeprüft anrufen, sondern über offizielle Kanäle verifizieren

Ein wachsamer Blick auf den Code selbst und ein kurzer Moment des Nachdenkens vor dem Scannen reichen oft aus, um sich vor dieser Betrugsform zu schützen.