Quishing ist Phishing per QR-Code – hinter dem schwarz-weißen Muster steckt statt eines lesbaren Links eine gefälschte Website. So lässt sich die Betrugsmasche Quishing erkennen: an Aufklebern, die über einem gedruckten Code sitzen, an QR-Codes in Bank-Briefen und E-Mails, an einer fremden Domain in der Scan-Vorschau und an jeder Aufforderung, Passwort, PIN oder TAN einzugeben. Im Zweifel nicht scannen, sondern die Adresse selbst eintippen.
Der Begriff ist ein Kofferwort aus QR-Code und Phishing – dem Abgreifen von Zugangsdaten über nachgebaute Seiten. Das Bundesamt für Sicherheit in der Informationstechnik (BSI, die deutsche Cyber-Sicherheitsbehörde) warnte am 1. April 2026 ausdrücklich vor KI-gestützten QR-Code-Betrügereien: Die Nachrichten drumherum sind inzwischen sprachlich fehlerfrei, deutsche Bankkundinnen und -kunden stehen besonders im Fokus. Zwischen Januar und März 2026 meldeten Sicherheitsauswertungen einen Anstieg der Quishing-Angriffe um rund 146 Prozent; 2025 steckte in etwa jedem achten Phishing-Angriff ein QR-Code.
Betrugsmasche Quishing erkennen: die vier Warnzeichen
Fast jede Falle verrät sich an zwei Stellen: am physischen Code und an der Adresse, die nach dem Scan erscheint. Diese vier Signale decken den Großteil der Fälle ab.
- Aufgeklebt statt aufgedruckt: Ein Sticker über einem original aufgedruckten Code ist das deutlichste Warnsignal – typisch an Parkautomaten, Ladesäulen und Aushängen. Fühlt sich der Code wie ein separater Aufkleber an oder steht er schief über einem Druckbild, Finger weg.
- QR-Code in Brief oder Mail: Kein Kreditinstitut lässt dich dein Banking über einen QR-Code in einem Anschreiben „neu freischalten“ oder „Nutzungsrichtlinien bestätigen“. Genau mit diesem Wortlaut lief im April 2026 eine großflächige Kampagne im Namen der Sparkassen.
- Fremde Domain in der Vorschau: Aktuelle Kamera-Apps blenden die Zieladresse ein, bevor sie sie öffnen. Entscheidend ist die Domain – der Teil direkt vor dem ersten einzelnen Schrägstrich.
- Zeitdruck und Drohung: „Konto wird gesperrt“, „letzte Mahnung“, „Gewinn nur heute“ – künstliche Dringlichkeit soll das Nachdenken abkürzen.
Was als Erkennungsmerkmal ausgedient hat: Rechtschreibfehler. Rund vier von fünf Phishing-Mails werden nach Auswertungen aus 2026 mit KI-Unterstützung getextet – sauberes Deutsch ist heute kein Echtheitsbeweis mehr, sondern Standard bei den Tätern.
Und der Klassiker beim Adresse-Lesen: Es zählt der letzte Teil vor dem ersten einzelnen Schrägstrich, nicht das, was vorne steht.
| Sieht seriös aus | Echte Domain dahinter | Warum gefälscht |
|---|---|---|
| sparkasse.de-sicherheit.com/login | de-sicherheit.com | „sparkasse“ ist nur ein Vorsatz – die Domain gehört Fremden |
| commerzbank-kundenportal.info | commerzbank-kundenportal.info | Bindestrich-Konstruktion statt der echten commerzbank.de |
| easypark-parken.co/zahlung | easypark-parken.co | fremde Domain, die nur den bekannten Dienst imitiert |
Anzeige
So prüfst du einen QR-Code Schritt für Schritt
- Herkunft einordnen: Ein aufgedruckter Code auf offiziellem Material ist vertrauenswürdiger als ein Aufkleber im öffentlichen Raum oder ein Code in einer unerwarteten Nachricht.
- Auf Manipulation abtasten: An Automaten und Aushängen prüfen, ob ein Sticker über dem Original klebt. Vorsichtig mit dem Fingernagel an der Kante fühlen genügt meist.
- Automatisches Öffnen abschalten: Die Verbraucherzentrale rät, in der Scanner- oder Kamera-App das direkte Aufrufen der Adresse zu deaktivieren. Dann siehst du die URL, bevor irgendetwas lädt.
- Domain lesen statt überfliegen: Steht vor dem ersten einzelnen Schrägstrich nicht exakt die erwartete Adresse (also z. B. sparkasse.de), brich ab. Auch ungewohnte Zeichen oder ein Adressanfang mit xn-- sind ein Abbruchgrund – dahinter stecken nachgebaute Domains mit fremden Buchstaben.
- Bei Bezahl-Codes in die Banking-App schauen: Empfängername, IBAN und Betrag müssen zu dem passen, was du erwartest – erst dann freigeben.
- Im Zweifel selbst tippen: Bank, Parkdienst, Paketdienst – die bekannte Adresse von Hand eingeben oder die offizielle App öffnen. Der Umweg kostet zehn Sekunden.
Wo die Masche 2026 auftaucht
Die aktuellen Fälle zeigen, wie alltäglich die Träger inzwischen sind:
- Parkscheinautomaten: Die Stadt Stuttgart warnte im Juni 2026 erneut vor Aufklebern mit QR-Code und dem Hinweis „Direktzahlung“ an Automaten im Stadtgebiet.
- Gefälschte Strafzettel: In Villingen-Schwenningen klemmten im Juli 2026 täuschend echte Verwarnungen hinter Scheibenwischern – mit korrektem Kennzeichen, Datum und Uhrzeit sowie einem QR-Code zur „Zahlung“. Merksatz: Eine echte Verwarnung nennt eine Bankverbindung und verlangt nie eine Zahlung per QR-Code.
- Bank-E-Mails und Bank-Briefe: Neben der Sparkassen-Welle vom April 2026 gab es in den Vorjahren postalisch verschickte Schreiben im Design von Großbanken, die zur „Aktualisierung des Banking-Verfahrens“ aufforderten.
- Ladesäulen, Speisekarten, Paketbenachrichtigungen: Überall dort, wo Scannen zur Routine gehört, funktioniert ein untergeschobener Code besonders gut.
Zwei Sonderfälle, die die Standard-Tipps nicht abdecken
Bezahl-Codes (Girocode/EPC-QR) führen auf gar keine Website. Solche Codes auf Rechnungen oder Spendenaufrufen füllen in der Banking-App direkt eine Überweisung aus: Empfänger, IBAN, Betrag, Verwendungszweck. Wird nur der Code ausgetauscht – der gedruckte Rechnungstext bleibt unverändert –, läuft die URL-Prüfung ins Leere, weil es keine URL gibt. Hier hilft nur der Blick in die Überweisungsmaske: Steht dort ein Empfängername oder eine IBAN, die du nicht erwartest, nicht freigeben.
Der Code im Job-Postfach wechselt das Gerät. Ein QR-Code im PDF-Anhang oder in einer Kalendereinladung ist für Filter erst einmal nur ein Bild – kein anklickbarer Link, den ein Scanner bewerten könnte. Und der Scan verlässt das abgesicherte Firmen-Notebook und landet auf dem privaten Handy, wo weder Web-Filter noch Endpoint-Schutz greifen. Deshalb zielt der Großteil dieser Angriffe auf mobile Nutzer. Die Regel für dienstliche Konten ist entsprechend simpel: Ein Firmen-Login startet nie über einen gescannten Code.
Warum funktioniert Quishing so gut?
Ein QR-Code ist eine Blackbox. Einen Link in einer Mail kann man wenigstens theoretisch lesen; der Code zeigt bis zum Scan nichts. Dazu kommt der Kontext: Am Parkautomaten oder im Restaurant rechnet niemand mit einem Angriff, und „scannen und bezahlen“ ist eine eingeübte Handlung, die ohne Zwischenfrage abläuft.
Technisch hebelt die Masche Schutzmechanismen aus, auf die sich viele verlassen. Ein Code auf Papier durchläuft keinen Spamfilter und keinen Link-Scanner des Mail-Providers, er landet direkt in der Kamera. Genau deshalb ist der prüfende Blick vor dem Öffnen die eigentliche Verteidigungslinie – Software nimmt sie einem hier nicht ab.
Was tun, wenn du schon gescannt und Daten eingegeben hast?
Wenn Zugangs- oder Kartendaten auf einer gefälschten Seite gelandet sind, zählt Tempo. In dieser Reihenfolge:
- Karte sperren: Bei Bank- oder Kreditkartendaten sofort den zentralen Sperr-Notruf 116 116 anrufen (aus dem Ausland +49 116 116) und zusätzlich die Bank informieren – die Nummer selbst heraussuchen, nicht aus dem verdächtigen Schreiben übernehmen.
- Passwörter ändern: Jedes eingegebene Passwort im echten Portal ändern – und überall dort, wo dasselbe Passwort ebenfalls im Einsatz ist.
- Konto beobachten: Buchungen auf unbekannte Abbuchungen prüfen und unberechtigte Beträge bei der Bank reklamieren.
- Anzeige erstatten: Bei der Polizei Anzeige aufgeben und Brief, Mail oder ein Foto des Codes als Beweismittel aufbewahren.
Das reine Scannen und Anzeigen der Vorschau löst in aller Regel noch keinen Schaden aus. Kritisch wird es erst mit der Eingabe auf der Zielseite oder der Installation einer App. Wer die Seite nur kurz gesehen und sofort geschlossen hat, muss meist nichts weiter tun – im Zweifel trotzdem die Passwörter der betroffenen Dienste wechseln.
Dauerhaft vorbeugen: drei Einstellungen, die den Unterschied machen
- Vorschau erzwingen: Automatisches Öffnen gescannter Adressen deaktivieren, damit jede URL erst sichtbar wird.
- Eigene Wege statt fremder Codes: Bank, Parkdienst und Lieferdienst als Lesezeichen oder offizielle App speichern und immer von dort starten.
- Phishing-resistent anmelden: Wo Passkeys oder App-Freigaben angeboten werden, diese nutzen. Was es gar nicht als tippbares Passwort gibt, kann auf einer nachgebauten Seite auch nicht abgegriffen werden.
Wer die Betrugsmasche Quishing erkennen will, braucht also keine Spezialsoftware, sondern zwei Sekunden Aufmerksamkeit an genau zwei Stellen: am Code selbst und an der Adresse, bevor die Seite lädt. Ausführliche Hinweise für Verbraucher sammelt auch die Verbraucherzentrale Niedersachsen.
Häufige Fragen
Was ist die Betrugsmasche Quishing?
Quishing ist Phishing über QR-Codes: Hinter dem Code steckt eine gefälschte Website, die Zugangsdaten, PIN, TAN oder Kartendaten abgreift. Der Begriff setzt sich aus QR-Code und Phishing zusammen.
Woran erkenne ich einen manipulierten QR-Code?
An Aufklebern über gedruckten Codes, an QR-Codes in Bank-Briefen oder Mails, an einer fremden Domain in der Scan-Vorschau und an Zeitdruck. Rechtschreibfehler taugen seit den KI-Texten nicht mehr als Warnsignal.
Ist schon das Scannen eines QR-Codes gefährlich?
Das reine Scannen und Anzeigen der Adresse richtet in der Regel keinen Schaden an. Kritisch wird es erst, wenn du auf der Zielseite Daten eingibst, eine Zahlung freigibst oder eine App installierst.
Was mache ich, wenn ich Daten auf einer gefälschten Seite eingegeben habe?
Karte sofort über den Sperr-Notruf 116 116 sperren, die Bank informieren, betroffene Passwörter ändern, Kontobewegungen prüfen und Anzeige erstatten. Brief, Mail oder ein Foto des Codes als Beweis aufheben.
Wie verbreitet ist QR-Code-Betrug 2026?
Das BSI warnte im April 2026 vor KI-gestützten QR-Code-Betrügereien mit Schwerpunkt auf deutschen Bankkunden. Auswertungen zeigen für Januar bis März 2026 rund 146 Prozent mehr Quishing-Angriffe.
Warum hilft die URL-Prüfung bei Bezahl-Codes nicht?
Ein Girocode (EPC-QR-Code) öffnet keine Website, sondern füllt in der Banking-App eine Überweisung aus. Hier musst du vor der Freigabe Empfängername, IBAN und Betrag kontrollieren.
