Was ist Quishing und wie funktioniert die Masche?
Quishing - eine Wortkreuzung aus “QR-Code” und “Phishing” - ist eine Betrugsmasche, bei der Kriminelle präparierte QR-Codes nutzen, um an sensible persönliche Daten wie Passwörter oder Logins beispielsweise zu Online-Banking-Accounts zu gelangen.
Die Täter leiten ihre Opfer über gefälschte QR-Codes auf betrügerische Webseiten weiter, die offiziellen Portalen täuschend ähnlich sehen. Der technische Hinterhalt: Während herkömmliche Antivirenprogramme schädliche Links in E-Mails automatisch erfassen und filtern, werden die in QR-Codes versteckten Webadressen von von Schutzprogrammen oft nicht erkannt.
Wo lauert die Gefahr? - Typische Risikoorte
Kriminelle platzieren gefälschte QR-Codes bevorzugt an Orten des täglichen Lebens, an denen Menschen routiniert mit dem Smartphone scannen, bezahlen oder Informationen abrufen:
- Parkscheinautomaten: Aufkleber mit gefälschten QR-Codes werden über die Original-Codes geklebt.
- E-Ladesäulen: Manipulierte Sticker täuschen eine Bezahl- oder Freischaltseite für den Ladevorgang vor.
- Knöllchen & Strafzettel am Fahrzeug: Gefälschte Zahlungsaufforderungen an der Windschutzscheibe versprechen eine schnelle Online-Überweisung des Verwarnungsgeldes.
- Gastronomie & Speisekarten: Präparierte Aufkleber auf Tischaufstellern zum angeblichen digitalen Bestellen oder Bezahlen.
- Mietfahrzeuge & E-Scooter: Gefälschte QR-Codes an den Fahrzeugen zur angeblichen Freischaltung.
- Paketbenachrichtigungen & Briefe: QR-Codes auf gefälschten Benachrichtigungskarten im Briefkasten (z. B. für vermeintliche Zoll- oder Zustellgebühren).
Wie lässt sich Quishing erkennen?
Prüfen Sie QR-Codes vor der Dateneingabe. Die Folgenden Schritte bieten Ihnen dabei Orientierung.
- Physische Überklebungen prüfen: Ist der QR-Code fest aufgedruckt oder handelt es sich um einen nachträglich angebrachten Sticker? Ein überklebter Code mit fühlbaren Rändern ist ein klares Warnsignal.
- Ziel-URL in der Vorschau kontrollieren: Prüfen Sie vor dem Öffnen die angezeigte Webadresse genau. Stimmt die Domain exakt mit dem jeweiligen Anbieter überein? Achten Sie auf Buchstabendreher, Sonderzeichen oder verdächtige Adresszusätze.
- Sofortige Datenabfrage hinterfragen: Seriöse Zahlungsdienste zeigen nach dem Scan zuerst Tarif- oder Produktinformationen an, bevor sensible Bezahldaten abgefragt werden.
- Fehlende Verschlüsselung: Bietet die Seite keine sichere HTTPS-Verbindung oder wirkt das Design fehlerhaft, brechen Sie den Vorgang ab.
- Direkten App-Zugriff bevorzugen: Nutzen Sie für Bezahlvorgänge direkt die offizielle App des jeweiligen Anbieters (z. B. Ihre installierte Park- oder Lade-App) und geben Sie den Zonencode bzw. die Stationsnummer manuell ein.
- Im Zweifelsfall nicht scannen: Wenn Ihnen ein Code verdächtig vorkommt, brechen Sie den Scan ab und nutzen Sie alternative Bezahlwege.
- Aktuelle Betrugswarnungen beachten: Informieren Sie sich regelmäßig auf offiziellen Präventionsseiten über neue Betrugsmaschen.
Erste Hilfe im Schadensfall: Die Notfall-Prioritäten
Haben Sie bereits sensible Daten eingegeben oder eine Zahlung ausgelöst? Handeln Sie ohne Verzögerung in folgender Reihenfolge:
- Karten sofort sperren: Lassen Sie Ihre Debit- oder Kreditkarte umgehend über den rund um die Uhr erreichbaren Sperr-Notruf 116 116 sperren.
- Zugänge & Passwörter ändern: Ändern Sie sofort die Passwörter der betroffenen Konten – beginnen Sie beim E-Mail-Konto, gefolgt von Online-Banking und Zahlungsdiensten. Aktivieren Sie, wo möglich, die Zwei-Faktor-Authentifizierung (2FA).
- Anzeige erstatten & KUNO-Sperrung: Erstatten Sie Umgehend Anzeige bei der örtlichen Polizeidienststelle oder über die Onlinewache. Veranlassen Sie bei der Polizei zusätzlich eine KUNO-Meldung für Ihre Debitkarte (Sperrung für das SEPA-Lastschriftverfahren).
- Bank informieren & Abbuchungen stornieren: Prüfen Sie Ihre Kontoauszüge und stornieren Sie unberechtigte SEPA-Lastschriften direkt im Online-Banking.
Weiterführende Links & Anonymes Meldesystem
- Phishing-Radar der Verbraucherzentrale NRW: Haben Sie einen gefälschten QR-Code oder eine Phishing-Webseite entdeckt? Melden Sie den Vorfall anonym und kostenlos über das Online-Formular der Verbraucherzentrale, um andere Bürgerinnen und Bürger zu schützen.
- Onlinewache der Polizei:digitale Anzeigenerstattung im Schadensfall.
Für Opfer von Phishing gibt die Checkliste von Polizei und BSI entscheidende Hinweise für den Ernstfall.
Phishing: Checkliste für den Ernstfall
Infos für Betroffene von Cybercrime
Phishing-Radar der Verbraucherzentrale NRW
Laden Sie sich unser passendes kostenloses Social Media Paket zur Bewerbung des Themas herunter: