Kurze Antwort
Ein QR-Code ist nichts anderes als ein Link, den Sie nicht lesen können. Betrüger kleben gefälschte Codes über echte — die FTC nennt Parkautomaten — oder verschicken sie per E-Mail, SMS oder Brief mit einem Vorwand wie einer fehlgeschlagenen Zustellung, einem Kontoproblem oder einer angeblich nötigen Passwortänderung. Der Code öffnet eine nachgemachte Login- oder Bezahlseite oder einen Download. Prüfen Sie vor dem Öffnen die Webadresse, die Ihre Kamera anzeigt; scannen Sie keine Codes aus unerwarteten Nachrichten; und zahlen Sie lieber über die offizielle App oder Website. Haben Sie ein Passwort eingegeben, ändern Sie es von einem sauberen Gerät und melden Sie andere Sitzungen ab; bei Kartendaten rufen Sie Ihre Bank an.
Wo gefälschte QR-Codes auftauchen
- Aufkleber über dem echten Code an Parkautomaten, Ladesäulen, Restauranttischen oder Plakaten.
- E-Mails, nach denen Ihr Konto gesperrt wird, wenn Sie sich nicht per Scan „neu verifizieren“ — einen Code können E-Mail-Filter schwerer prüfen als einen Link, und er lenkt Sie aufs Handy.
- SMS und Briefe zu Paketen, Bußgeldern oder Erstattungen.
- Gefälschte „Support“-Nachrichten in sozialen Netzwerken, die zum Scannen auffordern, um das Konto zu verifizieren oder zu entsperren.
Code prüfen, bevor Sie ihn öffnen
- Lesen Sie die Adressvorschau, bevor Sie tippen. Achten Sie auf Tippfehler oder vertauschte Buchstaben, die eine bekannte Seite nachahmen — der erste Tipp der FTC.
- Suchen Sie am Automaten oder Plakat nach einem Aufkleber über dem Original oder anderen Manipulationsspuren.
- Scannen Sie keinen Code aus einer unerwarteten E-Mail oder SMS, vor allem nicht, wenn sie zur Eile drängt. Kontaktieren Sie das Unternehmen über eine Website oder Nummer, die Sie kennen.
- Nutzen Sie zum Bezahlen oder Anmelden die offizielle App oder tippen Sie die Adresse selbst ein.
- Geben Sie nie ein Passwort oder einen Bestätigungscode auf einer Seite ein, zu der Sie ein unerwarteter Code geführt hat.
Wenn Sie schon gescannt haben
| Was passiert ist | Jetzt tun |
|---|---|
| Sie haben die Seite nur geöffnet | Ohne Eingabe schließen und die Handy-Software aktuell halten |
| Sie haben ein Passwort eingegeben | Von einem sauberen Gerät ändern (zuerst E-Mail), andere Sitzungen abmelden, 2FA aktivieren |
| Sie haben Karten- oder Bankdaten eingegeben | Bank anrufen, Karte sperren (Sperr-Notruf 116 116) und Zahlung reklamieren |
| Sie haben eine App oder Datei installiert | Deinstallieren, Handy aktualisieren und scannen, Passwörter von einem anderen Gerät ändern |
| Sie haben einen Bestätigungscode weitergegeben | Von einer Kontoübernahme ausgehen und den offiziellen Wiederherstellungsweg nutzen |
Handy und Konten schützen
- Halten Sie das Betriebssystem Ihres Handys aktuell, wie die FTC rät.
- Nutzen Sie starke Passwörter und Mehr-Faktor-Authentifizierung — am besten einen Passkey, der sich nicht auf einer Fake-Seite eintippen lässt.
- Ein Passwort-Manager füllt auf einer nachgemachten Seite nichts aus — das ist selbst ein Warnsignal.
- Prüfen Sie nach jedem Fehltritt, wo Sie angemeldet sind: angemeldete Geräte.
Melden
Informieren Sie den Betreiber des Automaten, Parkplatzes oder Geschäfts über den falschen Aufkleber und melden Sie die Nachricht Ihrem E-Mail-Anbieter oder der nationalen Meldestelle — in Deutschland etwa der Verbraucherzentrale, siehe Phishing melden. Bei finanziellem Schaden erstatten Sie Anzeige; weitere Länder unter Online-Betrug melden nach Land.
Häufige Fragen
Kann das Scannen eines QR-Codes mein Handy hacken?
Das Scannen liest nur einen Link. Gefährlich ist, was danach passiert: Eingaben auf einer Fake-Seite oder eine Installation. Die FTC warnt zudem, dass ein Code zu Schadsoftware führen kann — halten Sie das Handy aktuell und installieren Sie keine Apps über Links.
Woran erkenne ich einen gefälschten QR-Code?
Prüfen Sie die Adressvorschau vor dem Öffnen, achten Sie auf Aufkleber über dem Original und seien Sie misstrauisch bei Codes in unerwarteten E-Mails oder SMS, die zur Eile drängen.
Was ist Quishing?
Phishing per QR-Code: Statt eines klickbaren Links führt ein QR-Code auf eine gefälschte Login- oder Bezahlseite.
Ich habe das Parken über einen falschen QR-Code bezahlt. Was nun?
Rufen Sie sofort Ihre Bank oder den Kartenaussteller an, um die Karte zu sperren und die Zahlung zu reklamieren, und melden Sie den Code dem Parkplatzbetreiber und der Polizei.
Quellen: FTC — Betrüger verstecken schädliche Links in QR-Codes, FTC — Phishing erkennen und vermeiden, NCSC — betrügerische E-Mails, SMS und Websites melden, FTC — ReportFraud.ftc.gov