Nils
Ein kurzer Scan am Parkautomaten, ein Klick auf „Bezahlen“ – und die Daten landen bei Betrügern. Quishing ist Phishing per QR-Code: Kriminelle überkleben echte Codes oder drucken eigene, die Adresse bleibt verborgen. Im Ernstfall sperrt der Notruf 116 116 deine Karten rund um die Uhr. Hier siehst du, woran du Fälschungen erkennst und wie du dich schützt.
Was ist Quishing und warum funktioniert die Masche?
Der Begriff ist eine Wortkreuzung aus „QR-Code“ und „Phishing“. Kriminelle nutzen präparierte Codes, um Passwörter, Logins oder Bankdaten zu stehlen.
Ein QR-Code verbirgt die Webadresse. Herkömmliche Antivirenprogramme erkennen die darin versteckten Adressen oft nicht. Das liegt daran, dass der Code als Bild und nicht als Text verarbeitet wird.
Hinzu kommt das Smartphone selbst. Manche Geräte zeigen vor dem Öffnen die Internetadresse und fragen nach, andere öffnen die Seite sofort. Zeigt dein Gerät die Adresse nicht an, hilft eine seriöse Scanner-App, die den Link zuerst anzeigt.
Mehr Tipps für den Alltag findest du in den weiteren Ratgebern im Magazin.
Wo gefälschte QR-Codes auftauchen
Die Masche kommt an vielen Orten vor. Die Übersicht zeigt typische Fundstellen und belegte Fälle.
| Ort | Masche | Belegter Fall |
|---|---|---|
| Parkautomat | Original-Code überklebt, Weg auf eine Fake-Seite | München: Ein 76-Jähriger landet auf einer irreführenden Webseite |
| Ladesäule | Überklebter Original-Code | Pressemitteilung der EURO Kartensysteme GmbH vom 4. November 2026 |
| Windschutzscheibe | Gefälschter Strafzettel mit Zahlcode | Im Zweifel mit dem Zettel zur Polizei |
| Plakat in Bus und Bahn | Fake-Verlosung von Deutschlandtickets | Rheinbahn Düsseldorf, Warnung vom 10. Dezember 2024 |
| Bankbrief | Angebliche „Aktualisierung des E-Bankings“ | Seite fragt Zugangsdaten und photoTAN-Grafik ab |
Quelle: Polizeiliche Kriminalprävention (ProPK), Verbraucherzentrale, Bayerische Polizei, EURO Kartensysteme GmbH, Rheinbahn-Warnung; Abruf 6. November 2026
Parkautomaten und Ladesäulen
Am Parkautomaten kleben Betrüger ihren Code über den echten. In München scannte ein 76-Jähriger einen solchen Code, um eine Bezahl-App zu installieren. Er landete auf einer irreführenden Webseite.
Die Polizei fand weitere falsche Codes in mehreren Innenstadtstraßen und entfernte sie nach der Spurensicherung. Auch Ladesäulen sind betroffen. Manipulierte Codes tauchen zudem in E-Mails, auf Speisekarten, Plakaten, Briefen und Flyern auf. Die Pressemitteilung der EURO Kartensysteme GmbH vom 4. November 2026 zählt diese Orte auf.
Briefe, Strafzettel und Plakate
Manche Ordnungsämter bieten die Zahlung per QR-Code an. Das nutzen Kriminelle und klemmen gefälschte Zettel unter den Scheibenwischer.
In Bussen und Bahnen der Rheinbahn Düsseldorf hingen gefälschte Plakate. Die Warnung dazu stammt vom 10. Dezember 2024. Die Plakate behaupteten eine Verlosung von Deutschlandtickets. Der Code führte auf eine Seite, die Name, Anschrift, E-Mail und Telefonnummer abfragt. Die Plakate bestanden aus zwei zusammengeklebten DIN-A4-Seiten.
Gefälschte Bankbriefe fordern eine „Aktualisierung des E-Bankings“ oder des photoTAN-Verfahrens. Dahinter steckt eine Seite, die Zugangsdaten und eine Kopie der photoTAN-Aktivierungsgrafik abgreift. Auch gefälschte Paketkarten mit angeblichen Zoll- oder Zustellgebühren kommen vor. Geht es dir um das echte Briefporto, hilft der Ratgeber zum Briefporto.
E-Mails, Rechnungen und Online-Verkäufe
Eine neue Welle von Quishing-Angriffen setzt auf KI-generierte Nachrichten. Betroffen sind besonders Kundinnen und Kunden deutscher Banken. Die Texte vermeiden typische Warnsignale. Die Codes tauchen in vermeintlichen Bank-E-Mails oder an Parkautomaten auf.
Auch Rechnungen können einen manipulierten Code tragen. Scannst du ihn mit der Banking-App, kann die Überweisung mit den Empfängerdaten der Betrüger vorbefüllt sein.
Ein dokumentierter Einzelfall stammt von einer Secondhand-Plattform. Ein „Käufer“ schickte einem Verkäufer einen QR-Code „zur Zahlung“. Nach Scan und Login auf einer gefälschten PayPal-Seite wurden vier Zahlungen von über 3.000 € ausgelöst. Auf seriösen Plattformen bestimmt der Verkäufer den Zahlungsweg.
Woran du einen gefälschten QR-Code erkennst
Vier Prüfpunkte helfen dir, eine Fälschung zu entlarven.
| Prüfpunkt | Warnzeichen | Beispiel |
|---|---|---|
| Code | Nachträglich aufgeklebt, fühlbare Ränder, schief oder verpixelt | Überklebter Code mit Rand statt Aufdruck |
| Adresse | Zusatz nach „.de“, Zahlendreher, fremde Endung, Shortlink | c0mmerzbank.de oder Endung „.ru“ |
| Brief | Generische Anrede, Schlusssatz mit „sofortige Kooperation“ | „Sehr geehrte Kontoinhaberin, sehr geehrter Kontoinhaber“ |
| Zielseite | Sofortige Abfrage von Zahlungs- oder Zugangsdaten | Abweichendes Design, „ae“ statt „ä“ |
Quelle: ProPK, Verbraucherzentrale, EnBW, Commerzbank; Abruf 6. November 2026
Am Code selbst
Schau zuerst hin: Ist der Code aufgedruckt oder nachträglich aufgeklebt? Ein überklebter Code mit fühlbaren Rändern ist ein klares Warnsignal. Auch schiefe, unscharfe oder verpixelte Codes sind verdächtig.
Im Zweifel helfe nur genaues Hinschauen oder Knibbeln
Wirkt ein Code auf einem Automaten verdächtig, scanne ihn nicht.
An der Adresse
Ein belegter Trick stammt aus einem gefälschten Commerzbank-Brief. Die Adresse begann mit https://commerzbank.de, dahinter stand aber ein Bindestrich. Echt wäre die Seite nur, wenn nach „.de“ ein Schrägstrich oder nichts folgt.
Allgemein gilt: „beispiel.de/123“ ist eine Unterseite von beispiel.de. „beispiel.de-123.com“ gehört dagegen zu „de-123.com“. Weitere Warnzeichen sind Buchstabendreher, Zahlen statt Buchstaben, fremde Endungen und Sonderzeichen. Shortlinks sind riskant, weil sie das Ziel verbergen.
Fehlendes HTTPS ist ein Warnzeichen. Doch die gefälschte Bankseite begann mit https:// und sah echt aus. HTTPS beweist keine Echtheit, entscheidend ist die exakte Domain.
Am Brief und an der Zielseite
Gefälschte Bankbriefe beginnen mit „Sehr geehrte Kontoinhaberin, sehr geehrter Kontoinhaber“ statt mit deinem Namen. Ungewöhnlich ist auch der umständliche Schlusssatz mit „sofortige Kooperation“. Der Commerzbank-Brief ging sogar an eine Person ohne Konto bei dieser Bank.
Auf der Zielseite fragen Betrüger sofort nach Zahlungs- oder Zugangsdaten. Seriöse Zahlungsdienste zeigen zuerst Tarif- oder Produktinformationen. Bei einer Fälschung am Parkautomaten fehlten Umlaute, außerdem waren längere Parkzeiten wählbar als in der Zone zulässig.
So schützt du dich vorbeugend
Adresse prüfen und Sofort-Öffnen abschalten
Schalte die Funktion zum sofortigen Öffnen gescannter Codes ab, wenn dein Gerät sie anbietet. Prüfe Adresse und Anbieter, bevor du Zahlungsdaten eingibst. Gib die URL wenn möglich von Hand ein.
QR-Codes immer zu hinterfragen, URLs vor dem Öffnen zu prüfen
Fordert eine QR-Code-Seite dich zum Installieren einer App oder Datei auf, lass es. Installiere nur aus den offiziellen App-Stores. Im Zweifel rufst du die offizielle Webseite selbst im Browser auf.
Anbieter-App statt Scan
Für Parken oder Laden nutzt du die offizielle App des Anbieters direkt aus dem App Store oder Google Play Store. Zonencode oder Stationsnummer gibst du manuell ein. Lade die App nicht per QR-Code vom Automaten. An den meisten Parkautomaten klappt auch Barzahlung oder Kartenzahlung.
- Die App stammt aus dem offiziellen Store
- Kein Scan des Codes am Automaten nötig
- Bargeld oder Karte sind meist eine Alternative
- Zonencode oder Stationsnummer musst du von Hand eingeben
- Barzahlung gibt es nur an den meisten, nicht an allen Automaten
Bank, Ladesäule und Strafzettel
Einen überklebten Code an der Ladesäule scannst du nicht. Hat die Säule ein Display, scannst du den Code von dort. Meist geht das Laden auch mit App oder Ladekarte eines anderen Anbieters ohne QR-Code. Bei einem verdächtigen Strafzettel gehst du im Zweifel mit dem Zettel zur Polizei.
Bei zweifelhaften Bankbriefen nutzt du nicht die dort genannte Telefonnummer. Recherchiere den Kontakt selbst und sieh im echten Online-Banking nach, ob dort eine Nachricht mit Handlungsbedarf liegt. Bei Rechnungen prüfst du die IBAN des Empfängers und vergleichst sie mit früheren Rechnungen. Oder du fragst beim Rechnungssteller nach.
Die Zwei-Faktor-Authentifizierung solltest du nutzen. Sie schützt, kann Quishing aber nicht vollständig ausschließen.
Schon gescannt oder bezahlt? Das tun
Hast du Daten eingegeben oder gezahlt, zählt Tempo. Geh in dieser Reihenfolge vor.
- 1Karten sperrenSperr-Notruf 116 116 anrufen, rund um die Uhr erreichbar.
- 2Passwörter ändernZuerst das E-Mail-Konto, dann Online-Banking und Zahlungsdienste; 2-Faktor-Authentifizierung aktivieren.
- 3Anzeige erstattenBei der Polizei oder in der Onlinewache, dazu eine KUNO-Meldung für die Debitkarte veranlassen.
- 4Konto prüfenKontoauszüge kontrollieren und unberechtigte SEPA-Lastschriften im Online-Banking stornieren.
Hast du gezahlt, informierst du außerdem sofort deine Bank. Behalte danach deine Kontobewegungen im Blick.
Wo du Quishing meldest
Gefälschte QR-Codes und Phishing-Seiten meldest du anonym und kostenlos über das Online-Formular des Phishing-Radars der Verbraucherzentrale NRW. Eine Anzeige geht über die Onlinewache der Polizei. Findest du einen überklebten Code am Automaten, meldest du das der örtlichen Polizeidienststelle.
Zum Thema gibt es ein Web-Seminar: Die Verbraucherzentrale Rheinland-Pfalz veranstaltet „Sicher gegen Abzocke“ am Mittwoch, 18. November 2026, von 14:00 bis 15:00 Uhr online.
Häufige Fragen zu Quishing
Was bedeutet Quishing?
Quishing ist eine Wortkreuzung aus „QR-Code“ und „Phishing“. Kriminelle nutzen präparierte QR-Codes, um Passwörter, Logins oder Bankdaten zu stehlen.
Warum erkennt mein Virenschutz gefälschte QR-Codes nicht?
Ein QR-Code verbirgt die Webadresse. Herkömmliche Antivirenprogramme erkennen die darin versteckten Adressen oft nicht, weil der Code als Bild und nicht als Text verarbeitet wird.
Wie erkenne ich einen manipulierten QR-Code am Parkautomaten?
Prüfe, ob der Code aufgedruckt oder aufgeklebt ist. Fühlbare Ränder sind ein klares Warnsignal. Sicherer ist die offizielle App aus dem Store mit manuell eingegebenem Zonencode oder die Zahlung mit Karte oder Bargeld.
Was tue ich, wenn ich einen QR-Code gescannt und Daten eingegeben habe?
Sperre Karten über 116 116 und ändere deine Passwörter, zuerst das E-Mail-Konto. Erstatte Anzeige bei der Polizei und prüfe deine Kontoauszüge auf unberechtigte Lastschriften.
Wo melde ich einen gefälschten QR-Code?
Über das Online-Formular des Phishing-Radars der Verbraucherzentrale NRW, anonym und kostenlos. Eine Anzeige erstattest du in der Onlinewache der Polizei, einen überklebten Code am Automaten meldest du der örtlichen Polizeidienststelle.
Kommt Quishing auch per E-Mail vor?
Ja, im Vergleich zu Phishing-Mails mit Links aber eher selten. Ein Beispiel ist eine ADAC-Fake-Mail mit angeblichem Dankesgeschenk für eine Umfrage. Auch vermeintliche Bank-E-Mails mit gefälschten Codes sind im Umlauf.
Hast du selbst einen Fall erlebt, teile ihn gern in den Kommentaren.
Leserfrage: Hast du schon einmal einen verdächtigen QR-Code an einem Parkautomaten, einer Ladesäule oder auf einem Brief entdeckt? Woran hast du die Fälschung erkannt? Schreib es in die Kommentare.
Recherche und Entwurf mit KI-Unterstützung, geprüft und freigegeben von Nils (Telegram). So arbeitet die Redaktion · Fehler gefunden? Schreib uns
