Warum QR-Codes für Betrüger besonders attraktiv sind
Anders als bei einem gewöhnlichen Internetlink lässt sich bei einem QR-Code nicht unmittelbar erkennen, welche Webadresse dahintersteckt.
Verbraucher sehen zunächst nur ein quadratisches Muster aus schwarzen und weißen Elementen.
Erst beim Scannen wird der hinterlegte Inhalt ausgelesen.
Genau hier liegt das Risiko: Ein QR-Code kann auf eine seriöse Internetseite führen, aber ebenso auf eine gefälschte Zahlungsseite, ein nachgeahmtes Kundenportal oder eine Webseite, die Schadsoftware verbreitet.
Diese Betrugsmasche wird auch als Quishing bezeichnet – eine Kombination aus QR-Code und Phishing.
Das Ziel besteht häufig darin, Nutzer zur Eingabe vertraulicher Informationen oder zur Ausführung einer betrügerischen Zahlung zu bewegen.
Trick 1: Kriminelle teilen QR-Codes in zwei Bilder
Eine besonders raffinierte Methode besteht darin, einen QR-Code in mehrere Bilddateien aufzuteilen.
Wie COMPUTER BILD in einem Bericht vom 20. August 2026 beschreibt, können Täter einen QR-Code beispielsweise in zwei Hälften zerschneiden.
Anschließend platzieren sie beide Bilddateien unmittelbar nebeneinander in einer E-Mail oder auf einer Webseite.
Für den menschlichen Betrachter erscheint dadurch wieder ein vollständiger QR-Code.
Auch die Kamera eines Smartphones kann das zusammengesetzte Muster unter geeigneten Bedingungen erkennen.
Automatisierte Sicherheitsprogramme analysieren dagegen möglicherweise jede Bilddatei einzeln.
Da eine einzelne Hälfte keinen vollständigen QR-Code enthält, kann die Prüfung den darin versteckten Link übersehen.
Das Ergebnis: Ein für Nutzer scanbarer QR-Code kann unter bestimmten Umständen einer automatisierten Kontrolle entgehen.
Ob dieser Trick tatsächlich funktioniert, hängt allerdings von der jeweiligen Sicherheitssoftware und ihrer Analysemethode ab. Nicht jeder Virenscanner lässt sich dadurch umgehen.
Trick 2: Verschachtelte QR-Codes täuschen Sicherheitssysteme
Eine weitere Methode nutzt unterschiedliche Erkennungsergebnisse beim Scannen.
Dabei werden QR-Code-Muster so gestaltet oder miteinander kombiniert, dass verschiedene Scanner unter bestimmten Bedingungen unterschiedliche Inhalte erkennen können.
Nach dem Bericht von COMPUTER BILD kann insbesondere der Abstand zwischen Kamera und QR-Code eine Rolle spielen.
Ein automatisches Sicherheitssystem erkennt möglicherweise einen unbedenklichen Link, beispielsweise zu einer Suchmaschine.
Beim späteren Scannen mit dem Smartphone kann dagegen ein anderer Link ausgelesen werden.
Dieser könnte auf eine betrügerische Webseite führen.
Die Angreifer versuchen damit, die technische Prüfung und das tatsächliche Verhalten des Smartphones auseinanderfallen zu lassen.
Solche Verfahren sind technisch anspruchsvoller als einfache gefälschte QR-Code-Aufkleber. Sie verdeutlichen aber, warum ein unauffälliges Prüfergebnis nicht in jedem Fall eine Garantie für Sicherheit ist.
Gefälschte Strafzettel und manipulierte Parkautomaten
QR-Code-Betrug beschränkt sich nicht auf E-Mails.
Auch im öffentlichen Raum können manipulierte Codes zum Einsatz kommen.
Ein Beispiel sind gefälschte Strafzettel, die auf den ersten Blick wie amtliche Zahlungsaufforderungen aussehen.
Darauf befindet sich ein QR-Code, über den angeblich ein Verwarnungsgeld bezahlt werden soll.
Wer den Code scannt, landet möglicherweise auf einer nachgeahmten Zahlungsseite.
Dort können Betrüger versuchen, Kreditkartendaten oder andere Zahlungsinformationen abzugreifen.
Ähnliche Risiken bestehen bei Parkautomaten, Werbeplakaten oder Gewinnspielaktionen.
Kriminelle können echte QR-Codes mit eigenen Aufklebern überdecken.
Verbraucher scannen dann nicht mehr den ursprünglichen Code des Anbieters, sondern den manipulierten Link.
Besonders tückisch ist, dass der übrige Aushang oder Automat vollkommen echt sein kann.
Warum QR-Codes in E-Mails verdächtig sein können
Besondere Vorsicht ist bei unerwarteten E-Mails geboten, die einen QR-Code enthalten und zur schnellen Anmeldung, Kontobestätigung oder Zahlung auffordern.
Ein QR-Code ist in einer gewöhnlichen E-Mail häufig gar nicht erforderlich.
Schließlich könnte der Absender ebenso einen normalen Link angeben.
Für Betrüger kann die Verwendung eines QR-Codes jedoch einen Vorteil bieten: Die eigentliche Zieladresse ist nicht unmittelbar sichtbar und wird möglicherweise von manchen automatisierten Schutzmechanismen anders behandelt als ein ausgeschriebener Link.
Hinzu kommt, dass Nutzer häufig vom Computer auf ihr Smartphone wechseln.
Dadurch kann eine verdächtige Nachricht auf einem zweiten Gerät weiterverfolgt werden, auf dem möglicherweise andere Schutzmechanismen eingerichtet sind.
Allerdings gilt auch hier: Nicht jeder QR-Code in einer E-Mail ist betrügerisch. Entscheidend sind der Absender, der Anlass und das tatsächliche Ziel des Codes.
Welche Daten können Kriminelle erbeuten?
Je nach Gestaltung der betrügerischen Webseite können verschiedene Informationen abgefragt werden.
Dazu gehören insbesondere:
- Zugangsdaten für Onlinebanking und Kundenkonten,
- Kreditkarteninformationen und Zahlungsdaten,
- persönliche Angaben wie Name, Anschrift und Geburtsdatum,
- Passwörter und gegebenenfalls Einmalcodes zur Anmeldung,
- weitere vertrauliche Informationen.
Manche Webseiten versuchen außerdem, Nutzer zum Herunterladen einer Datei oder zur Installation einer App zu bewegen.
Ein QR-Code allein installiert normalerweise keine Schadsoftware. Das Risiko entsteht insbesondere durch die nachfolgenden Aktionen auf der geöffneten Webseite oder durch das Ausnutzen technischer Sicherheitslücken.
Sieben Schutzmaßnahmen gegen QR-Code-Betrug
1. Zieladresse vor dem Öffnen prüfen
Viele Smartphone-Kameras zeigen zunächst eine Vorschau der hinterlegten Internetadresse. Kontrollieren Sie diese sorgfältig, bevor Sie die Seite öffnen.
2. QR-Codes auf Aufkleber prüfen
Bei Parkautomaten, Plakaten und anderen öffentlichen Hinweisen sollten Sie darauf achten, ob ein QR-Code nachträglich aufgeklebt oder überdeckt wurde.
3. Keine Bankdaten auf unbekannten Seiten eingeben
Wenn ein QR-Code angeblich zu Ihrer Bank führt, öffnen Sie die Banking-App oder geben Sie die bekannte Internetadresse selbst ein.
4. Bei Zeitdruck misstrauisch werden
Warnungen vor einer angeblichen Kontosperrung, sofortigen Strafzahlungen oder dem Verlust eines Gewinns können typische Druckmittel sein.
5. Smartphone aktuell halten
Installieren Sie regelmäßig Sicherheitsupdates für das Betriebssystem und verwendete Apps.
6. Schutzfunktionen verwenden
Browser und mobile Sicherheitslösungen können bekannte Phishing-Seiten erkennen und vor gefährlichen Downloads warnen. Einen vollständigen Schutz bieten sie jedoch nicht.
7. Im Zweifel direkt beim Anbieter nachfragen
Bei einer unerwarteten Zahlungsaufforderung sollten Sie die Echtheit über unabhängig ermittelte offizielle Kontaktdaten überprüfen.
Was tun, wenn ein betrügerischer QR-Code bereits gescannt wurde?
Wer einen verdächtigen QR-Code gescannt hat, muss nicht automatisch mit einem Schaden rechnen.
Entscheidend ist, was anschließend passiert ist.
Wurde lediglich eine Webseite geöffnet, sollten Nutzer diese schließen und keine weiteren Eingaben vornehmen.
Wurden hingegen Zugangsdaten eingegeben, sollten die betroffenen Passwörter unverzüglich über die offizielle Webseite oder App geändert werden.
Bei Bank- oder Kreditkartendaten ist es wichtig, sofort die Bank beziehungsweise den Kartenanbieter zu kontaktieren.
Falls eine verdächtige Anwendung installiert wurde, sollte das Gerät überprüft und die Anwendung entfernt werden. Bei Unsicherheit kann fachkundige Unterstützung sinnvoll sein.
Betroffene sollten außerdem Beweise sichern, beispielsweise Screenshots, verdächtige Nachrichten und Zahlungsbelege.
Bei einem finanziellen Schaden oder konkretem Betrugsverdacht kommt eine Strafanzeige bei der Polizei in Betracht.
