QR-Codes sind überall – an Parkuhren, auf Restauranttischen, Plakaten und Verpackungen – und genau deshalb verstecken Betrüger inzwischen bösartige Links dahinter. Das nennt man "Quishing" (QR-Phishing), und ein paar Warnzeichen zu kennen reicht schon, um sicher zu bleiben.
Was ist Quishing?
Quishing ist ein Phishing-Angriff, bei dem statt eines Links in einer E-Mail oder SMS ein QR-Code verwendet wird. Da ein QR-Code sein Ziel erst beim Scannen preisgibt, ist es für Betrüger einfach, Menschen auf eine gefälschte Login-Seite zu locken, Malware herunterladen zu lassen oder eine Zahlung an das falsche Konto zu veranlassen.
Warnzeichen für einen bösartigen QR-Code
- Ein Aufkleber über einem anderen QR-Code, an einer Parkuhr, auf einem Plakat oder einer Speisekarte – prüfe, ob der QR-Code nicht auf einem verdächtigen Aufkleber gedruckt ist, der das Original überklebt.
- Ein QR-Code, der aus dem Nichts auftaucht, in einer E-Mail, SMS oder einem Zettel an der Windschutzscheibe, besonders wenn er zu sofortigem Handeln drängt ("jetzt zahlen oder Parkplatz verlieren").
- Druck und Dringlichkeit: Bußgelder, verpasste Lieferungen oder zeitlich begrenzte Angebote sind klassische Tricks, damit du nicht zweimal nachdenkst.
- Ein gekürzter oder unbekannter Link in der Vorschau, anstelle einer erkennbaren Unternehmensdomain.
So prüfst du, wohin ein QR-Code führt, bevor du ihn öffnest
Die meisten Smartphone-Kameras zeigen eine Vorschau des Links, bevor er geöffnet wird – lies die vollständige Domain sorgfältig, bevor du tippst. Stimmt sie nicht mit dem überein, was du erwarten würdest (deine Bank, das Parkunternehmen, das Restaurant), mach nicht weiter.
Du kannst auch einen eigenständigen QR-Code-Reader verwenden, etwa den kostenlosen Online-Scanner von LibreQR, um einen QR-Code zu entschlüsseln und zunächst den genauen Ziellink zu sehen, ohne ihn im Browser zu öffnen.
Praktische Sicherheitstipps
- Gib niemals Passwörter, Kartendaten oder persönliche Informationen auf einer Seite ein, die du über einen unerwarteten QR-Code erreicht hast.
- Prüfe auf Manipulation: Sieht der QR-Code wie ein Aufkleber aus, der über etwas anderem klebt?
- Im Zweifel gehst du besser direkt zur offiziellen App oder Website, statt zu scannen.
- Halte das Betriebssystem und den Browser deines Smartphones aktuell – die meisten Scans öffnen nur einen Link, aber Updates verringern das Risiko zusätzlich.
Häufig gestellte Fragen
Kann allein das Scannen eines QR-Codes Malware installieren? Auf modernen Smartphones öffnet das reine Scannen eines QR-Codes lediglich einen Link – die eigentliche Gefahr entsteht durch das, was du auf der sich öffnenden Seite tust (Zugangsdaten eingeben, eine Datei herunterladen). Prüfe den Link trotzdem immer zuerst.
Ist es sicher, beliebige QR-Codes im öffentlichen Raum zu scannen? Grundsätzlich ja, solange du den Vorschaulink vor dem Öffnen prüfst und auf Anzeichen von Manipulation wie einen aufgeklebten Aufkleber achtest.
Was soll ich tun, wenn ich einen verdächtigen QR-Code gescannt habe? Gib keine Informationen ein, schließe die Seite, und falls du bereits Daten eingegeben hast, ändere sofort das entsprechende Passwort und behalte deine Konten im Auge.
