QR-Code-Betrug: So erkennen Sie gefälschte Codes vor dem Scannen

QR-Code-Betrug funktioniert so: Der Code führt Sie auf eine gefälschte Seite, die eine Zahlung, ein Passwort oder die Installation einer App verlangt. Prüfen Sie vor dem Öffnen immer die Adresse, die Ihr Handy anzeigt, und geben Sie niemals Kartendaten oder Passwörter auf einer Seite ein, die Sie über einen unerwarteten Code erreicht haben.

QR-Codes sind heute überall: an Parkautomaten, auf Restauranttischen, auf Paketbenachrichtigungen, Plakaten und Haustüren. Genau deshalb mögen Betrüger sie. Dieser Ratgeber erklärt, wie die Maschen meistens ablaufen, zeigt Ihnen einen schnellen Check für ein paar Sekunden, sagt Ihnen, was zu tun ist, wenn Sie bereits einen falschen Code gescannt haben, und wie Sie einen Code schützen, den Sie selbst aufhängen.

Wie QR-Code-Betrug funktioniert

Ein QR-Code ist nur ein Link, gedruckt als Muster aus Quadraten. Mit bloßem Auge können Sie ihn nicht lesen, also wissen Sie nicht, wohin er führt, bis Ihr Handy ihn entschlüsselt. Diesen blinden Fleck nutzen Betrüger aus. Man spricht oft von „Quishing“, einer Mischung aus QR und Phishing.

Der Code selbst ist harmlos. Gefährlich ist die Seite, die er öffnet. Diese Seite will Ihnen meist eines von drei Dingen abnehmen:

• Geld: eine gefälschte Zahlungsseite für Parkgebühren, Maut, eine Zustellgebühr oder ein Bußgeld.
• Ihre Zugangsdaten: eine Kopie der Anmeldeseite Ihrer Bank, Ihres E-Mail-Kontos oder eines Paketdienstes, die alles speichert, was Sie eingeben.
• Eine Installation: die Aufforderung, eine App oder eine Datei außerhalb des offiziellen App-Stores herunterzuladen.

Ein gedruckter Code kostet fast nichts, und ein Aufkleber ist in Sekunden über einen echten geklebt. Deshalb passieren die häufigsten Maschen an öffentlichen Orten, wo niemand prüft, wer dort etwas aufgeklebt hat.

Typische Maschen beim QR-Code-Betrug

Die Details ändern sich, aber die meisten Fälle folgen ein paar bekannten Mustern:

• Aufkleber über einem echten Code. Ein falscher Code klebt über dem Original an einem Parkautomaten, einer Ladesäule, einer Leihradstation oder einem Restauranttisch.
• Gefälschte Park- oder Bußgeldzettel. Ein Zettel an der Windschutzscheibe behauptet, Sie müssten eine Gebühr sofort per Code bezahlen.
• Paket- und Zustellbenachrichtigungen. Eine Karte im Briefkasten oder ein Brief meldet ein wartendes Paket und verlangt eine kleine Gebühr oder Ihre Daten.
• E-Mails und SMS mit Code. Die Nachricht zeigt einen QR-Code statt eines Links, damit Sie ihn mit dem Handy scannen, abseits der Schutzfunktionen Ihres Computers.
• Codes mit Versprechen. Plakate oder Flyer mit Gewinnen, Rabatten oder kostenlosem WLAN, bei denen Sie sich zuerst anmelden sollen.

Gemeinsam ist ihnen der Druck. Ein echtes Parkunternehmen oder ein echter Paketdienst verlangt selten, dass Sie innerhalb von Minuten über einen Code bezahlen, der an einen Pfosten geklebt ist.

So prüfen Sie einen QR-Code, bevor Sie ihm vertrauen

Sie brauchen keine spezielle Software. Die meisten Handykameras zeigen die Adresse in einem kleinen Banner, bevor sie sie öffnen, und diese Vorschau ist Ihr bestes Werkzeug. Wenn Sie nicht sicher sind, wie das bei Ihrem Handy geht, erklärt unser Ratgeber QR-Code scannen mit Android und iPhone jeden Schritt.

1. Sehen Sie sich den Code selbst an. Fahren Sie mit dem Finger darüber. Ein Aufkleber mit erhabenen Rändern, eine zweite Schicht oder ein Code, der neuer aussieht als das Schild drumherum, ist ein Warnsignal.
2. Lesen Sie die Adresse, bevor Sie tippen. Prüfen Sie die Domain: den Teil direkt vor dem ersten einfachen Schrägstrich. Es sollte das erwartete Unternehmen sein, richtig geschrieben, keine Nachahmung mit zusätzlichen Wörtern oder vertauschten Buchstaben.
3. Seien Sie bei Kurzlinks vorsichtig. Eine gekürzte Adresse verbirgt das eigentliche Ziel. Wenn Sie über den Code etwas bezahlen sollen, ist das ein Grund, innezuhalten.
4. Fragen Sie sich, was die Seite will. Eine Speisekarte oder ein Fahrplan sollte sich einfach öffnen. Eine Seite, die eine Kartennummer, ein Passwort oder eine Installation verlangt, verdient einen zweiten Blick.
5. Nehmen Sie lieber den offiziellen Weg. Wenn ein Code Sie zum Bezahlen auffordert, öffnen Sie die App des Unternehmens oder tippen Sie dessen Website selbst ein. Sie verlieren eine Minute und schalten das Risiko aus.
6. Achten Sie auf den Zusammenhang. Ein unerwarteter Code in einer Nachricht, die Sie nicht angefordert haben, mit einer Frist: Das ist die klassische Form eines Betrugs.

Was tun, wenn Sie einen gefälschten QR-Code gescannt haben?

Das Scannen allein richtet nur selten Schaden an. Entscheidend ist, was Sie danach auf der Seite gemacht haben. Handeln Sie je nachdem, was passiert ist:

• Sie haben die Seite nur geöffnet. Schließen Sie sie. Den Tab zu schließen reicht meistens aus.
• Sie haben ein Passwort eingegeben. Ändern Sie es sofort auf der echten Website und bei jedem anderen Konto, bei dem Sie dasselbe verwenden. Aktivieren Sie die Zwei-Faktor-Anmeldung, wenn sie angeboten wird.
• Sie haben Kartendaten eingegeben oder bezahlt. Rufen Sie Ihre Bank unter der Nummer auf der Rückseite Ihrer Karte an und lassen Sie die Karte sperren und die Abbuchung prüfen.
• Sie haben etwas installiert. Deinstallieren Sie es und prüfen Sie in den Einstellungen Ihres Handys, ob es Apps gibt, die Sie nicht kennen.
• Der Code hing an einem öffentlichen Schild. Informieren Sie den Betreiber des Automaten, Geschäfts oder der Ladesäule, damit er entfernt wird, und erstatten Sie Anzeige bei der Polizei, wenn Sie Geld verloren haben.

So schützen Sie den QR-Code an Ihrer eigenen Tür

Viele Menschen kleben inzwischen selbst einen QR-Code an ihre Tür, ihr Tor oder ihre Theke: für eine Speisekarte, Zahlungen, das WLAN oder eine Klingel. Dieselbe Aufkleber-Masche kann auch Sie treffen, deshalb helfen ein paar Gewohnheiten:

1. Bringen Sie ihn gut sichtbar an. Auf Augenhöhe, im Türrahmen oder hinter einer Scheibe, wo ein Fremder ihn nicht unbemerkt überkleben kann.
2. Schauen Sie ab und zu hin. Werfen Sie beim Nachhausekommen einen Blick auf den Code. Sieht er anders aus, hat er eine zweite Schicht oder hängt er woanders, scannen Sie ihn selbst.
3. Schützen Sie ihn vor dem Wetter. Ein verblasster oder sich lösender Code lädt zum Austauschen ein. Decken Sie ihn mit transparentem Klebeband oder einer Hülle ab. Wenn er sich schon schlecht scannen lässt, helfen unsere 10 Lösungen für einen gedruckten QR-Code, der nicht funktioniert.
4. Nutzen Sie ihn nie für Zahlungen, die Sie nicht kontrollieren. Ein Code an der Tür soll ein Gespräch beginnen, nicht Ihre Besucher um Geld bitten.

Eine QR-Klingel wie Qoorbell folgt dieser letzten Regel von Grund auf. Besucher scannen den Code mit der Handykamera, eine Webseite öffnet sich ohne App und ohne Konto, und sie können Sie per Video anrufen oder Ihnen im Chat schreiben. Nichts auf dieser Seite verlangt von Besuchern Geld oder ein Passwort. Sie sehen nur den Namen Ihrer Türklingel, nie Ihre Telefonnummer, E-Mail-Adresse oder andere persönliche Daten, also gibt der Code auch Sie nicht preis.

Der Name der Türklingel ist zugleich ein schneller Check für Besucher: Wenn sie Ihre Tür scannen und der angezeigte Name nicht Ihrer ist, stimmt etwas nicht. Und wenn ein Code einmal beschädigt oder abgerissen wird, können Sie aus Ihrem Konto kostenlos ein neues Exemplar drucken, denn es gibt keine Hardware zu ersetzen.

Was Sie im Hinterkopf behalten sollten

Keine Checkliste macht Sie unangreifbar. Eine gut gemachte gefälschte Seite kann genau wie die echte aussehen, deshalb ist die sicherste Gewohnheit ganz einfach: Bezahlen Sie nicht und melden Sie sich nicht an auf einer Seite, die Sie über einen unerwarteten Code erreicht haben.

Eine QR-Klingel hindert niemanden daran, einen falschen Code an Ihre Tür zu kleben; sie hilft Ihnen nur, es zu bemerken. Qoorbell ist weder eine Alarmanlage noch eine Kamera, die Ihre Tür überwacht. Wenn Sie den ganzen Eingang sicherer machen möchten, finden Sie in unseren günstigen Tipps zum Einbruchschutz Schlösser, Beleuchtung und Gewohnheiten, die mehr zählen als jeder Code.

Und schließlich: Dies sind allgemeine Sicherheitshinweise, keine Rechts- oder Finanzberatung. Wenn Sie Geld verloren haben, sind Ihre Bank und die Polizei die richtigen Ansprechpartner.

Häufige Fragen

Kann das Scannen eines QR-Codes mein Handy hacken?

Das Scannen allein bewirkt so gut wie nie etwas. Das Risiko entsteht durch das, was Sie danach tun: ein Passwort eingeben, bezahlen oder eine App von der geöffneten Seite installieren.

Woran erkenne ich einen gefälschten QR-Code?

Achten Sie auf einen Aufkleber über einem anderen Code, lesen Sie die Adresse, die Ihr Handy vor dem Öffnen anzeigt, und seien Sie bei jeder Seite misstrauisch, die Sie zum schnellen Bezahlen oder Anmelden drängt.

Sind QR-Codes an Parkautomaten sicher?

Viele sind echt, aber Parkautomaten sind ein beliebtes Ziel für Aufkleber. Im Zweifel bezahlen Sie über die offizielle App oder Website des Parkbetreibers statt über den Code.

Kann jemand einen falschen Code über meine QR-Klingel kleben?

Das ist möglich, deshalb hilft es, den Code dort anzubringen, wo Sie ihn jeden Tag sehen, und ihn ab und zu zu prüfen. Besucher, die Ihren Qoorbell-Code scannen, sehen den Namen Ihrer Türklingel, ein anderer Name ist also ein einfaches Zeichen, dass etwas nicht stimmt.

Sicher bei jedem Scan

QR-Codes sind nützlich, und die meisten sind genau das, wonach sie aussehen. Ein paar Sekunden, um den Aufkleber, die Adresse und das, was die Seite verlangt, zu prüfen, reichen aus, um die meisten Betrugsversuche zu vermeiden. Wenn Sie an Ihrer Tür einen Code möchten, der Besucher nur mit Ihnen verbindet, ohne Ihre Nummer zu zeigen, erstellen Sie Ihre kostenlose Qoorbell-Klingel.