QR-Codes sicher scannen und erstellen: Quishing erkennen

QR-Codes erleichtern vieles, werden aber zunehmend für Betrug genutzt. Mit ein paar Gewohnheiten bleibst du sicher.

Hier erfährst du, wie Quishing funktioniert, wie du Codes prüfst, sicher bezahlst und eigene Codes erstellst.

QR-Codes sicher nutzen: Praktisch und manchmal riskant

QR-Codes sind überall: auf Speisekarten, Plakaten, Paketen, Rechnungen und Parkscheinautomaten. Sie sparen Tipparbeit, verbergen aber das Ziel, bis du sie scannst. Genau das nutzen Betrüger aus und kleben gefälschte Codes über echte oder verschicken sie per Post und E-Mail. Man spricht von Quishing, einer Form von Phishing über QR-Codes.

Mit ein paar Gewohnheiten nutzt du QR-Codes weiter sicher. Prüfe das Ziel, bevor du es öffnest, gib keine sensiblen Daten auf Seiten ein, die du über einen Code erreichst, und sei misstrauisch bei Zeitdruck oder ungewöhnlichen Forderungen.

Wenn ein Code unerwartet auftaucht, dann sei misstrauisch. Wenn er überklebt wirkt, dann scanne ihn nicht.

Richtig scannen: Vorschau, Adresse und Rückfrage

Moderne Handykameras zeigen vor dem Öffnen die Zieladresse an. Lies sie genau: Stimmt die Domain, fehlen Buchstaben, ist das Ziel eine Kurzlink-Adresse? Bei Zweifeln öffnest du die Seite nicht, sondern gibst die bekannte Adresse selbst im Browser ein. Verwende keine zusätzlichen Scanner-Apps mit Werbung und vielen Berechtigungen.

• Zieladresse in der Vorschau lesen.
• Auf Kurzlinks und fremde Domains achten.
• Keine unbekannten Scanner-Apps installieren.
• Im Zweifel die Adresse selbst eintippen.

Betrugsmaschen: Phishing erkennen.

Wenn die Adresse seltsam aussieht, dann öffne sie nicht. Wenn du unsicher bist, dann tippe die bekannte Adresse selbst ein.

Bezahlen per QR-Code: Parken, Gastro und Co.

Beim Bezahlen per QR-Code gilt: nur mit der offiziellen App oder Seite des Anbieters. Prüfe am Automaten, ob der Aufkleber echt wirkt und nicht überklebt wurde. Gib Zahlungsdaten nie auf Seiten ein, die du über einen Code ohne Prüfung erreicht hast, und kontrolliere Abbuchungen auf dem Konto. Bei Problemen melde dich beim Betreiber.

1. Automaten und Aufkleber prüfen.
2. Offizielle App bevorzugen.
3. Zahlungsdaten nur auf vertrauenswürdigen Seiten eingeben.
4. Kontoauszug im Blick behalten.
5. Auffälligkeiten dem Betreiber melden.

Sicher einkaufen: Fake-Shops erkennen.

Wenn du am Automaten bezahlst, dann prüfe den Aufkleber. Wenn die App bekannt ist, dann nutze sie.

QR-Codes selbst erstellen: Links, WLAN und Kontakte

Eigene QR-Codes erstellst du mit Generatoren oder Programmen für Links, Kontakte, Termine und WLAN-Zugänge. Wähle Generatoren, die keine Weiterleitung über fremde Server erzwingen, denn solche Links können sich später ändern oder verschwinden. Teste den Code vor dem Druck auf mehreren Geräten und achte auf ausreichend Kontrast und Größe.

Gastzugang: Gast-WLAN einrichten.

Wenn du einen Code druckst, dann teste ihn vorher. Wenn du Zugangsdaten teilst, dann nutze nur Gastnetze.

Schutz im Alltag: Gewohnheiten und Einstellungen

Nutze die Kamera-App deines Handys statt fremder Scanner und aktiviere die Anzeige der Zieladresse. Halte Betriebssystem und Browser aktuell und installiere einen Passwort-Manager, der nur auf echten Seiten Daten einfügt. Aktiviere den zweiten Faktor, damit gestohlene Passwörter allein nichts nützen.

• Kamera-App statt Zusatz-Scanner.
• Updates aktuell halten.
• Passwort-Manager mit Domänenprüfung nutzen.
• Zweiten Faktor aktivieren.

Konten schützen: Passwort-Manager, Passkeys und 2FA.

Wenn du viele Konten hast, dann nutze 2FA. Wenn du neue Apps testest, dann prüfe Berechtigungen.

Apps, Coupons und Treueprogramme

Viele Händler nutzen QR-Codes für Gutscheine, Treuepunkte und Tickets. Speichere solche Codes in der offiziellen App und nicht als Screenshot in der Galerie, wo sie leicht kopiert werden. Teile Gutschein- und Ticketcodes nie in sozialen Netzwerken, denn jeder, der den Code sieht, kann ihn nutzen. Prüfe außerdem Ablaufdaten und Einlösebedingungen.

Bei Tickets für Veranstaltungen und Bahnfahrten ist der Code oft personalisiert. Ein geteiltes Foto kann deshalb dazu führen, dass dein Ticket entwertet wird, bevor du selbst einlöst. Bewahre solche Codes sicher auf und lösche sie nach Gebrauch aus dem Chat.

• Codes in der offiziellen App speichern.
• Nie öffentlich teilen.
• Ablaufdatum prüfen.
• Nach Gebrauch löschen.

Technik hinter dem Code: Was steckt drin

Ein QR-Code enthält meist nur Text, etwa eine Webadresse, einen Kontakt oder WLAN-Daten. Die Kamera liest das Muster und zeigt oder öffnet den Inhalt. Der Code selbst ist keine Schadsoftware, doch die Seite dahinter kann Schaden anrichten. Wichtig ist daher nicht der Code, sondern das Ziel.

Fehlerkorrektur sorgt dafür, dass Codes auch bei leichten Beschädigungen lesbar bleiben. Das nutzen Gestalter für Logos in der Mitte, was Angreifer für Manipulationen missbrauchen können. Prüfe deshalb stets die Zieladresse.

Quishing per Post und E-Mail

Betrüger schicken QR-Codes in Briefen oder E-Mails, die angeblich von Bank, Paketdienst oder Behörde stammen. Der Code führt auf eine gefälschte Seite, die Zugangsdaten abgreift. Seriöse Absender fordern dich nicht auf, Zugangsdaten über einen Code einzugeben. Prüfe Absender, Anrede und Sprache, und öffne wichtige Seiten stets selbst im Browser.

Wenn du bereits Daten eingegeben hast, ändere sofort Passwörter, informiere deine Bank und sperre bei Bedarf Karten. Je früher du reagierst, desto geringer der Schaden. Dokumentiere den Vorfall mit Screenshots und Zeitpunkt, denn Bank, Polizei und Anbieter fragen danach.

• Absender prüfen.
• Seiten selbst im Browser öffnen.
• Passwörter bei Verdacht ändern.
• Bank informieren.

Manipulierte Codes im öffentlichen Raum erkennen

Überklebte Codes erkennst du an leichten Kanten, Blasen oder abweichendem Material. Fühlt sich der Aufkleber an wie später aufgebracht, scanne ihn nicht. Bei Speisekarten und Parkautomaten lohnt ein Blick auf Standort und Gestaltung: Passt das Design zu den anderen Elementen?

Frage im Zweifel nach einer gedruckten Karte oder nutze den Dienstleister direkt per App.

WLAN-Codes: Bequem, aber mit Bedacht

Mit einem QR-Code tritt man einem WLAN ohne Passworteingabe bei. Das ist praktisch für Gäste, sollte aber nur für ein Gastnetz gelten. Teile den Code nicht öffentlich und ändere das Passwort, wenn er in falsche Hände gerät.

• Nur Gastnetz teilen.
• Code nicht öffentlich aushängen.
• Passwort bei Bedarf ändern.
• Netz regelmäßig prüfen.

QR-Codes im Geschäft und Verein

Wer QR-Codes für Kunden nutzt, sollte Direktlinks verwenden, die Seiten regelmäßig prüfen und Codes auf Manipulation kontrollieren. Beschrifte Codes mit Klartext-Adresse, damit Kunden das Ziel erkennen. Prüfe Datenschutz bei Formularen und Gewinnspielen und halte Ansprechpartner für Rückfragen bereit.

Wer Codes druckt, bewahrt Vorlagen auf und tauscht Codes aus, wenn Seiten umziehen. Eine kurze Prüfliste vor jedem Druck verhindert Tippfehler im Ziel, die später teuer werden können.

Kinder und Jugendliche

Kinder scannen Codes oft spielerisch, auch in Spielen oder auf Verpackungen. Erkläre, dass Codes auf Seiten führen können, die nicht kindgeeignet sind oder Werbung enthalten. Nutze Jugendschutzeinstellungen und sprich über Betrugsmaschen.

Mehr Schutz: Kindersicherung am Handy.

Was tun, wenn etwas schiefging

Hast du einen verdächtigen Code gescannt, schließe die Seite, gib nichts ein und prüfe dein Gerät. Wenn du Daten eingegeben hast, ändere Passwörter, aktiviere den zweiten Faktor und kontrolliere Konten. Informiere die Bank bei Zahlungsdaten und erstatte bei Betrug Anzeige.

Konto geknackt: Konto gehackt: Sofortmaßnahmen.

Was dieser Beitrag nicht ersetzt

• Er ersetzt keine Beratung durch Polizei oder Bank.
• Betrugsmaschen ändern sich laufend.
• Funktionen von Handy und Apps unterscheiden sich.
• Die Hinweise sind allgemeine Orientierung.

Wenn es nicht klappt: typische Stolperfallen

Code führt auf seltsame Seite

Seite schließen, nichts eingeben, Gerät prüfen.

Daten wurden eingegeben

Passwörter ändern, Bank informieren, 2FA aktivieren.

Code lässt sich nicht scannen

Licht, Abstand und Linse prüfen.

Eigener Code funktioniert nicht

Kontrast, Größe und Ziel prüfen.

Aufkleber wirkt manipuliert

Nicht scannen und Betreiber informieren.

App verlangt viele Rechte

Deinstallieren und Kamera-App nutzen.

Häufige Fragen

Sind QR-Codes gefährlich?

Nicht an sich, aber das Ziel kann es sein.

Was ist Quishing?

Phishing über QR-Codes.

Brauche ich eine Scanner-App?

Nein, die Kamera genügt.

Kann ich eigene Codes sicher erstellen?

Ja, mit Direktlink und Test.

Was tun nach einem Fehlklick?

Passwörter ändern und Bank informieren.