"Quishing": Falsche QR-Codes in Bank-Briefen und im Straßenverkehr

Viele Quadrate in einem Quadrat: Das ist ein QR-Code. Die Quadrate enthalten Informationen, die zum Beispiel mit einem Smartphone erfasst werden können. Oft sind es Internet-Adressen, um auf einfache Weise eine Internetseite zu öffnen. Tückisch dabei ist, dass nicht alle Smartphones anzeigen, was im QR-Code steht, bevor sie die entsprechende Aktion ausführen. Während einige zunächst die Internet-Adresse zeigen und fragen, ob die Seite geöffnet werden soll, öffnen andere so eine Seite sofort. Falls Ihr Gerät das macht, sollten Sie sich eine App installieren, die erst den Link anzeigt.

Kriminelle machen sich die Technik zunutze und missbrauchen QR-Codes für ihre Zwecke. Das wird als "Quishing" bezeichnet – eine Zusammensetzung der Worte "QR-Code" und "Phishing" – also Fischen nach Passworten. Drei Beispiele:

Falsche Briefe von angeblichen Banken

Einen Brief von der Commerzbank erhielt Ende August 2024 eine Verbraucherin aus München und wandte sich ans Phishing-Radar der Verbraucherzentrale NRW. Die Frau hat gar kein Konto bei der Bank und war deshalb zu Recht erstaunt darüber, dass sie ein "photoTAN-Verfahren zur Sicherheit Ihrer Bankgeschäfte" aktualisieren soll. Dazu enthielt der Brief einen auffällig platzierten QR-Code. Allerdings führt er auf eine Internetseite, die die Kriminellen betreiben. Dort eingetippte Daten (wie zum Beispiel Zugangsdaten zum Online-Banking) würden also in deren Hände gelangen. In manchen Fällen werden auf diese Weise direkt Geldtransfers veranlasst, warnt das Landeskriminalamt Nordrhein-Westfalen.

Diesen Brief hat die Münchnerin erhalten und den QR-Code in der Mitte abgedeckt:

Dass solche Aufforderungen als Betrugsversuche per E-Mail verschickt werden, ist nicht neu – wenn auch selten mit QR-Code. Das Phishing-Radar zeigt laufend entsprechende Beispiele. Nun haben Kriminelle ihren Text offenbar mit einem QR-Code ausgedruckt und verschicken ihn per Post. Denn die echte Commerzbank hat mit dem Brief nichts zu tun. Genauso wenig wie die anderen Banken, in deren Namen ebenfalls Briefe verschickt werden. Auffällig ist unter anderem, dass das Schreiben mit "Sehr geehrte Kontoinhaberin, sehr geehrter Kontoinhaber" beginnt und nicht mit dem richtigen Namen der angeschriebenen Person. Auch die eher umständliche Formulierung am Ende ist ungewöhnlich: "Vielen Dank für Ihr Verständnis und Ihre sofortige Kooperation in dieser Angelegenheit."

Wohin führt der QR-Code?

Das sehen Sie hier:

Auch hierbei haben sich die Kriminellen Mühe gegeben. Augenscheinlich führt der Code sogar auf die Internetseite der Commerzbank – beginnt die Adresse doch mit https:// und wird mit commerzbank.de fortgesetzt. Aber: Hinter dem .de befindet sich ein Bindestrich (-). Die echte Seite der Commerzbank wäre es nur dann, wenn hinter dem .de ein Schrägstrich (/) oder überhaupt nichts stehen würde!

Falsche QR-Codes an Ladesäulen für E-Autos

Ebenfalls im August 2024 gab es Warnungen in verschiedenen Medien vor falschen QR-Codes auf E-Ladesäulen. Dort sind die kleinen Quadrate oft zu finden, damit man zum Laden des Elektroautos direkt bezahlen kann. Kriminelle haben offenbar Codes überklebt, sodass Menschen nicht auf die echte Bezahlseite des Anbieters geführt wurden. Der ADAC rät in solchen Fällen unter anderem, keinen überklebten QR-Code zu scannen. Verfügt die Ladesäule über ein Display, sollte der Code von dort gescannt werden.

In der Regel können Ladesäulen auch mit einer App oder Ladekarte anderer Anbieter genutzt werden. Dabei muss kein vorhandener QR-Code gescannt werden.

Falsche Strafzettel für Falschparker

In einigen Städten bieten Ordnungsamt oder Polizei auf Strafzetteln einen QR-Code an, über den Autofahrer:innen bei einem Parkverstoß direkt bezahlen können. Das nutzen auch Kriminelle aus, die falsche Strafzettel unter die Scheibenwischer parkender Fahrzeuge klemmen. Berichte darüber gab es in der Vergangenheit unter anderem aus Berlin. Unser Rat: Gehen Sie im Zweifel mit dem vermeintlichen Strafzettel zur Polizei, um den Sachverhalt zu klären.

Tipps zum Schutz vor Quishing

• Scannen Sie einen QR-Code nur, wenn Sie sich sicher sind, dass er seriös ist. Inzwischen erkennen viele Smartphones einen QR-Code über die Kamera-App. Die sollten Sie aber nur nutzen, wenn die Infos des Codes (z.B. Internet-Adresse) zunächst angezeigt und nicht direkt geöffnet werden. Sehen Sie sich die Adresse genau an und lassen Sie die Internetseite nur dann öffnen, wenn Sie sicher sind, dass sie dem echten Anbieter gehört.
• Zeigt Ihre Kamera oder Ihr QR-Code-Scanner vor dem Öffnen einer Internetseite die Adresse nicht an, informieren Sie sich über seriöse Apps, die das machen, installieren eine auf Ihrem Gerät und nutzen die zum Scannen eines QR-Codes.
• Achten Sie in einer Internet-Adresse genau auf die Satzzeichen! Die Adresse "beispiel.de/123" führt tatsächlich auf eine Unterseite des Auftritts "Beispiel.de". Die Schreibweise "beispiel.de-123.com" hingegen würde auf eine Unterseite des Auftritts "de-123.com" führen.
• Wenn Sie einen zweifelhaften Brief bekommen haben, rufen Sie beim Absender an. Verlassen Sie sich dabei nicht auf eine im Brief angegebene Telefonnummer, sondern recherchieren Sie auf seriösen Internetseiten, ob die Nummer auch dort in Verbindung mit dem Unternehmen zu finden ist. Bei einem Brief Ihrer Bank könnten Sie in Ihr echtes Online-Banking gucken und prüfen, ob Sie dort eine Nachricht mit Handlungsbedarf finden.
• Prüfen Sie bei einer Ladesäule, ob der QR-Code überklebt wurde. Falls das so ist, scannen Sie ihn nicht!
• Wenn Sie auf den Betrug hereingefallen sind, wenden Sie sich umgehend an die Polizei! Falls Sie Geld bezahlt haben, informieren Sie umgehend Ihre Bank oder rufen Sie den Sperr-Notruf 116116 an!