SICHER
Digital sicher: QR-Code-Betrug erkennen und richtig reagieren
Ein Parkautomat zeigt einen QR-Code für die mobile Bezahlung, an einer Ladesäule führt ein Aufkleber angeblich zur Abrechnung, und ein Schreiben der Bank verlangt die Bestätigung eines neuen Sicherheitsverfahrens über die Smartphone-Kamera. In all diesen Situationen wirkt das kleine Quadrat wie eine bequeme Abkürzung, doch genau darin liegt das Problem: Ob der Code zum erwarteten Anbieter oder zu einer täuschend ähnlichen Betrugsseite führt, ist ihm von außen nicht anzusehen. Wer QR-Code-Betrug erkennen möchte, muss deshalb weniger auf das Muster selbst als auf seinen Fundort, die angezeigte Internetadresse und den anschließend verlangten Schritt achten. In der Reihe Digital sichergeht es damit diesmal um eine Form des Phishings, die nicht im Posteingang beginnen muss, sondern ebenso gut auf Papier, Kunststoff oder einem Bildschirm auftauchen kann.
Für diese Masche hat sich der Begriff Quishing etabliert, zusammengesetzt aus QR-Code und Phishing. Kriminelle müssen dafür keine neue technische Schwachstelle im Smartphone finden. Häufig genügt es, einen eigenen Code über einen echten zu kleben, ein seriös wirkendes Schreiben zu verschicken oder ein Plakat nachzuahmen. Das Telefon übernimmt anschließend nur die Aufgabe, die verborgene Adresse lesbar zu machen und im Browser zu öffnen. Den eigentlichen Schaden verursachen meist die folgenden Schritte: Zugangsdaten werden auf einer nachgebauten Seite eingegeben, Kartendaten landen in einem fremden Formular, eine Zahlung wird unter falschem Vorwand bestätigt oder eine vermeintlich notwendige App installiert.
Das macht QR-Codes nicht grundsätzlich unsicher. Sie werden berechtigt für Fahrkarten, Speisekarten, Geräteinstallationen, Zahlungen, Paketmarken und Anmeldungen verwendet. Ein pauschales Misstrauen wäre daher ebenso unpraktisch wie blindes Vertrauen. Entscheidend ist eine kurze Unterbrechung zwischen Scannen und Handeln: Passt der Code wirklich zu dieser Situation, gehört die angezeigte Domain zum behaupteten Anbieter, und ist die geforderte Eingabe für den Vorgang überhaupt plausibel?
Wie aus einem bequemen Code eine Phishing-Falle wird
Ein QR-Code ist zunächst nur ein maschinenlesbarer Datenträger. Er kann eine Internetadresse, Kontaktdaten, WLAN-Informationen, Zahlungsdaten oder einfachen Text enthalten. Die Kamera erkennt das Muster, entschlüsselt den Inhalt und bietet eine passende Aktion an. Bei einem Weblink bedeutet das meist, dass eine Vorschau oder Benachrichtigung erscheint, über die sich die Seite im Browser öffnen lässt. Die schwarzen und hellen Felder besitzen dabei kein sichtbares Echtheitssiegel; ein betrügerischer Code kann genauso sauber gedruckt sein wie ein legitimer.
Beim klassischen Phishing liegt der verdächtige Link häufig offen in einer E-Mail oder SMS. Sicherheitsfilter können Absender, Linkziel und Nachrichteninhalt analysieren, auch wenn dieser Schutz keineswegs lückenlos ist. Ein QR-Code wird dagegen zunächst als Bild transportiert. Die Polizeiliche Kriminalprävention weist darauf hin, dass darin enthaltene Adressen von gängigen Schutzlösungen häufig nicht so unmittelbar geprüft werden wie normale Links. Hinzu kommt ein Medienwechsel: Der Code steht im Brief oder auf dem Computerbildschirm, während die Zielseite auf dem Smartphone geöffnet wird. Warnzeichen des ursprünglichen Dokuments und die Adresse im mobilen Browser erscheinen dadurch nicht unbedingt gleichzeitig.
Kriminelle können einen komplett erfundenen Anlass schaffen oder einen echten Ablauf kapern. An einem Parkautomaten genügt möglicherweise ein passend gestalteter Aufkleber über dem ursprünglichen Bezahlcode. In einer E-Mail kann der QR-Code behaupten, ein Konto müsse bestätigt werden, obwohl der Dienst für solche Änderungen normalerweise die eigene App verwendet. Auf einem falschen Schreiben wirken Logo, Anschrift und Layout vertrauenswürdig, während der Code auf eine fremde Domain führt. Der technische Mechanismus bleibt simpel; überzeugend wird der Angriff durch den glaubhaften Kontext.
QR-Code-Betrug erkennen beginnt vor dem Scannen
Das erste Warnzeichen ist nicht zwingend ein Schreibfehler, sondern eine Unstimmigkeit zwischen Ort und Aufforderung. Ein nachträglich aufgeklebter Code, sichtbare Kanten über einer vorhandenen Beschriftung, mehrere übereinanderliegende Aufkleber oder ein Druck, der nicht zum restlichen Automaten passt, sprechen dafür, den Vorgang abzubrechen. Solche Merkmale sind allerdings nur Hinweise. Viele echte Betreiber verwenden ebenfalls Aufkleber, während ein sorgfältig manipulierter Code optisch makellos aussehen kann. Umgekehrt macht eine schiefe Kante aus einem legitimen Hinweis noch keinen Betrugsversuch.
Mehr Aussagekraft besitzt die Frage, ob der verlangte Vorgang an dieser Stelle plausibel ist. Eine Ladesäule darf eine Zahlung anstoßen, benötigt dafür aber nicht plötzlich das Passwort des E-Mail-Kontos. Eine Park-App kann einen Zonen- oder Standortcode verlangen, sollte eine angebliche Rückerstattung jedoch nicht von der Herausgabe einer Banking-TAN abhängig machen. Ein Brief der Bank kann wichtige Informationen enthalten; wenn darin unter Zeitdruck die Aktivierung eines neuen Verfahrens über einen unbekannten QR-Code gefordert wird, sollte der Vorgang unabhängig im bereits eingerichteten Onlinebanking oder über einen selbst ermittelten Kontakt geprüft werden.
Auch Sprache und Gestaltung bleiben Teil des Gesamtbildes, sind aber keine zuverlässige Echtheitsprüfung. Professionelle Logos lassen sich kopieren, persönliche Daten können aus früheren Datenlecks stammen, und fehlerfreie Texte sind leicht zu erzeugen. Besonders verdächtig ist die Kombination aus überraschendem Anlass, knapper Frist und einer Konsequenz wie Kontosperre, Zusatzgebühr oder verpasstem Gewinn. Sie soll verhindern, dass der gewohnte Zugang zum Anbieter genutzt und die Behauptung in Ruhe überprüft wird.
Die Webadresse ist wichtiger als Logo und Seitenlayout
Nach dem Scannen sollte die eingeblendete Adresse vollständig betrachtet werden, bevor sich die Seite öffnet. Entscheidend ist der registrierte Domainname, nicht ein bekannter Markenbegriff irgendwo im Link. Die Adresse „anbieter.de/service“ gehört zur Domain „anbieter.de“; eine Schreibweise wie „anbieter.de-konto.example“ gehört dagegen zu „example“. Zusätzliche Wörter vor oder nach dem Markennamen, vertauschte Buchstaben, unerwartete Länderendungen und sehr lange Zeichenketten sind Warnzeichen. Kurzadressen erschweren diese Prüfung, weil ihr eigentliches Ziel zunächst verborgen bleibt.
Selbst eine plausible Adresse sollte zum konkreten Vorgang passen. Ein Zahlungsdienst kann auf einer eigenen Domain arbeiten, die nicht wie der Name des Parkplatzbetreibers aussieht, doch dieser Zusammenhang muss sich über die offizielle Beschilderung oder die Website des Betreibers nachvollziehen lassen. Bestehen Zweifel, ist die bessere Alternative fast immer verfügbar: die bekannte App direkt öffnen, die Internetadresse aus einem Lesezeichen aufrufen, den Anbieter selbst suchen oder einen Zonen- beziehungsweise Stationscode manuell eingeben. Der gescannte Link darf nicht zugleich Behauptung und einziger Beweis seiner Echtheit sein.
Auch „https“ und das Verbindungssymbol des Browsers lösen die Identitätsfrage nicht. Sie zeigen im Wesentlichen, dass die Verbindung zu der aufgerufenen Domain verschlüsselt ist. Eine Betrugsseite kann ebenfalls ein gültiges Zertifikat verwenden. Browser-Schutzfunktionen sind dennoch sinnvoll, weil sie bekannte Phishing- und Schadsoftwareseiten blockieren können. Neue, nur kurz betriebene oder bislang nicht gemeldete Adressen können einer solchen Erkennung jedoch entgehen. Eine fehlende Warnung ist deshalb kein Freibrief.
Wo manipulierte QR-Codes besonders glaubwürdig wirken
Die Verbraucherzentrale beschreibt Quishing unter anderem in angeblichen Bankbriefen, an Ladesäulen und Parkautomaten, auf falschen Strafzetteln sowie auf Plakaten in Bussen und Bahnen. Diese Beispiele haben einen gemeinsamen Vorteil für die Täter: Ein QR-Code ist dort entweder bereits üblich oder wirkt zumindest nicht ungewöhnlich. Gleichzeitig entsteht eine Situation, in der eine schnelle Reaktion bequem erscheint. Das Auto soll geladen, die Parkgebühr bezahlt oder eine vermeintliche Frist eingehalten werden.
An öffentlich zugänglichen Geräten lässt sich ein vorhandener Code physisch überkleben. Das unterscheidet den Angriff von einer vollständig gefälschten Internetseite, denn der Standort selbst ist echt und verleiht dem Aufkleber Glaubwürdigkeit. Ein Display am Gerät, die offizielle App, eine Ladekarte oder die manuelle Eingabe der Kennung bieten in solchen Situationen einen unabhängigeren Weg. Auffällige Aufkleber sollten dem Betreiber oder dem Personal gemeldet werden, damit nicht nur der einzelne Scan unterbleibt, sondern die mögliche Manipulation geprüft und entfernt werden kann.
Bei Briefen und E-Mails funktioniert der Vertrauensaufbau anders. Ein gedrucktes Schreiben wird häufig ernster genommen als eine gewöhnliche Phishing-Mail, und ein QR-Code verbirgt die fremde Adresse bis zum Scan. Die Deutsche Bundesbank führt betrügerische Briefe oder E-Mails mit QR-Code ausdrücklich als Beispiel an: Unter dem Vorwand neuer Bedingungen oder eines neuen Verfahrens sollen Nutzungsdaten auf einer manipulierten Seite eingegeben werden. Maßgeblich bleibt daher nicht, ob Papier, Briefkopf und Unterschrift echt wirken, sondern ob derselbe Handlungsbedarf nach einer unabhängigen Anmeldung beim Institut erkennbar ist.
Bei Zahlungen zählt der angezeigte Auftrag
Besonders folgenreich wird Quishing, wenn eine gefälschte Seite Karten- oder Onlinebanking-Daten abfragt. Ein niedriger Betrag kann dabei als glaubwürdiger Einstieg dienen, etwa eine Parkgebühr oder ein kleiner offener Posten. Die Eingabemaske kann anschließend mehr Informationen verlangen, als für die behauptete Zahlung nachvollziehbar wären. Gelangen Kartennummer, Gültigkeitsdatum und Sicherheitscode an Kriminelle, können sie für weitere Zahlungsversuche genutzt werden. Werden zusätzlich Banking-Zugang und Freigabe abgefangen, droht ein unmittelbarer Zugriff auf das Konto.
Eine TAN, eine App-Freigabe oder eine biometrische Bestätigung ist keine allgemeine Echtheitsbestätigung für die zuvor geöffnete Seite. Sie autorisiert einen konkreten Vorgang. Deshalb müssen Betrag, Empfänger und Auftragsart in der Banking- oder Karten-App mit dem tatsächlich beabsichtigten Geschäft übereinstimmen. Steht dort eine Kartenregistrierung, Überweisung oder Geräteaktivierung, obwohl angeblich nur eine kleine Gebühr geprüft oder eine Zahlung storniert werden soll, ist der Vorgang abzubrechen. Die Bundesbank empfiehlt ebenfalls, die angezeigten Auftragsdaten vor jeder Freigabe mit den Ursprungsdaten zu vergleichen.
Auch ein angeblicher Supportkontakt nach dem Scan verdient Misstrauen. Hat eine Betrugsseite bereits Telefonnummer, E-Mail-Adresse oder Zugangsdaten erfasst, kann ein anschließender Anruf besonders glaubwürdig wirken. Eine Person am Telefon könnte dann behaupten, eine falsche Buchung müsse mit einer weiteren Freigabe rückgängig gemacht werden. Für eine Prüfung ist ausschließlich eine selbst ermittelte Nummer der Bank oder des Kartenherausgebers geeignet, nicht die Kontaktangabe auf der verdächtigen Seite oder im ursprünglichen Schreiben.
Ein Scan allein ist noch nicht dasselbe wie ein erfolgreicher Angriff
Nach einem versehentlichen Scan ist eine nüchterne Bestandsaufnahme wichtiger als eine pauschale Annahme, das gesamte Smartphone sei gehackt. Hat die Kamera lediglich den Inhalt erkannt und eine Linkvorschau angezeigt, ohne die Seite zu öffnen, wurden normalerweise weder Passwörter übertragen noch Zahlungen ausgelöst. Wurde nur eine Webseite geladen, aber nichts eingegeben, heruntergeladen, installiert oder bestätigt, ist das Risiko in der Regel deutlich geringer als nach einer Daten- oder Zahlungsfreigabe. Die Seite sollte geschlossen werden; anschließend lassen sich Downloadliste, neu installierte Apps und ungewöhnliche Browserberechtigungen kontrollieren.
Ganz folgenlos muss bereits das Öffnen nicht sein. Eine Website erhält übliche technische Verbindungsdaten und kann versuchen, mit weiteren Dialogen zu täuschen. Ein aktuelles Betriebssystem und ein aktualisierter Browser verringern das Risiko, dass bekannte Sicherheitslücken ausgenutzt werden. Entscheidend bleibt jedoch, welche Handlung tatsächlich stattgefunden hat. Ein eingegebenes Passwort erfordert eine andere Reaktion als eine preisgegebene Kartennummer, und eine bestätigte Überweisung ist dringlicher als eine bloß angezeigte Seite.
Wurde über den Link eine App oder Konfigurationsdatei installiert, sind Name, Herkunft und erteilte Berechtigungen zu prüfen. Unbekannte Anwendungen sollten entfernt und die Sicherheitsprüfung des Betriebssystems genutzt werden. Bei auffälligem Geräteverhalten, sehr weitreichenden Berechtigungen oder einer außerhalb des offiziellen Stores installierten Anwendung kann fachkundige Hilfe sinnvoll sein; ein Zurücksetzen sollte erst nach Sicherung wichtiger Belege und sauberer Daten erwogen werden. Die Aussage „Es war nur ein QR-Code“ reicht dann nicht mehr, weil der Code lediglich den Weg zur eigentlichen Installation eröffnet hat.
Nach eingegebenen Zugangsdaten muss die Reaktion zum Konto passen
Wurde ein Passwort auf der verdächtigen Seite eingegeben, sollte das betroffene Konto über die selbst aufgerufene offizielle App oder Website abgesichert werden. Dazu gehören ein neues, ausschließlich dort verwendetes Passwort, die Kontrolle und Beendigung unbekannter Sitzungen sowie die Prüfung von Wiederherstellungsadressen, Telefonnummern, verbundenen Geräten und neu eingerichteten Anmeldeverfahren. Ist dasselbe Passwort noch bei anderen Diensten im Einsatz, müssen auch diese Zugänge geändert werden. Besonders wichtig ist das E-Mail-Konto, weil darüber häufig weitere Passwörter zurückgesetzt werden können; der bereits veröffentlichte Ratgeber zum gehackten E-Mail-Kontoordnet die notwendigen Kontrollen ausführlicher ein.
Bei preisgegebenen Karten- oder Banking-Daten ist die Bank beziehungsweise der Kartenherausgeber unverzüglich über einen offiziellen Weg zu kontaktieren. Für girocards und angeschlossene Anbieter steht in Deutschland der Sperr-Notruf 116 116 zur Verfügung; bei Kreditkarten hängt die Weiterleitung davon ab, ob der Herausgeber teilnimmt. Kontoumsätze, Kartenregistrierungen und ausstehende Zahlungen sollten anschließend weiter kontrolliert werden, weil eine Sperre bereits entstandene Buchungen nicht automatisch klärt. Ob eine Zahlung gestoppt oder zurückgeholt werden kann, entscheidet der Zahlungsweg und muss direkt mit dem Institut geklärt werden.
Hat die betrügerische Seite eine TAN oder App-Freigabe ausgelöst, darf nicht auf einen späteren Kontoauszug gewartet werden. Die Bank benötigt möglichst genaue Angaben darüber, was bestätigt wurde, welcher Betrag und Empfänger angezeigt wurden und wann der Vorgang stattfand. Weitere Anrufe, Nachrichten oder Freigabeaufforderungen sind als möglicher Teil desselben Angriffs zu behandeln. Ein echtes Institut benötigt keine zweite geheime Bestätigung, um einen zuvor von Betrügern veranlassten Vorgang telefonisch „zu stornieren“.
Beweise sichern und den Fundort melden
Ein manipulierter Code an einem öffentlich zugänglichen Ort kann viele Personen betreffen. Sinnvoll sind Fotos des Codes und seiner Umgebung, Angaben zu Ort und Zeitpunkt, die angezeigte Internetadresse sowie vorhandene Schreiben, Nachrichten, Zahlungsbelege und Bildschirmfotos. Eine verdächtige Seite muss dafür nicht erneut geöffnet werden. Am Automaten oder an der Ladesäule sollte der Betreiber informiert werden; bei Plakaten, Fahrkartenhinweisen oder angeblichen Gewinnaktionen ist das zuständige Verkehrsunternehmen beziehungsweise die genannte Organisation der richtige erste Kontakt. So lässt sich die Echtheit klären und eine mögliche Manipulation schneller beseitigen.
Bei einem Vermögensschaden, missbrauchten Daten oder einem konkreten Betrugsversuch kommt eine Strafanzeige in Betracht. Das gemeinsame Portal der Onlinewachen der Polizeien führt je nach Tatort oder Wohnsitz zum zuständigen Bundesland und erlaubt bei vielen einfachen Internetbetrugsfällen das Hochladen von Fotos und Unterlagen. Akute Gefahrenlagen gehören nicht in ein Onlineformular, sondern an die unmittelbar zuständige Polizeistelle beziehungsweise in einem Notfall an die 110.
Die Dokumentation sollte sachlich bleiben: Was wurde gescannt, welche Adresse erschien, welche Daten wurden eingegeben, welche Freigabe erfolgte und welcher Schaden ist sichtbar? Vermutungen über die Täter helfen weniger als eine nachvollziehbare zeitliche Abfolge. Auch ohne bereits erkennbaren Geldverlust kann eine Meldung an den betroffenen Anbieter wichtig sein, weil eine Domain, ein Aufkleber oder ein gefälschtes Schreiben möglicherweise Teil einer größeren Serie ist.
Sichere Gewohnheiten nehmen dem QR-Code die Abkürzung
Der wirksamste Schutz besteht nicht darin, jeden QR-Code zu meiden, sondern kritische Vorgänge von der angebotenen Abkürzung zu trennen. Banking, Parken, Laden und Kontoverwaltung lassen sich möglichst über bereits installierte Apps, gespeicherte Lesezeichen oder manuell aufgerufene Anbieteradressen erledigen. Zeigt die Kamera vor dem Öffnen keine verständliche Linkvorschau, ist ein Scanner sinnvoll, der das Ziel zunächst offenlegt; unbekannte QR-Apps aus beliebigen Quellen wären dagegen ein zusätzliches Risiko. Browser, Betriebssystem und Sicherheitsfunktionen sollten aktuell bleiben, ohne dass ihre Warnungen als vollständige Echtheitsgarantie verstanden werden.
Ein Passwortmanager kann zusätzlich helfen, weil er gespeicherte Zugangsdaten auf einer fremden Domain gewöhnlich nicht automatisch anbietet. Passkeys erschweren klassisches Phishing noch stärker, da der kryptografische Schlüssel an die echte Domain gebunden ist; wie sich diese Anmeldung von Passwörtern unterscheidet, erklärt der GadgetChecks-Beitrag über Passkeys statt Passwörter. Schwache Wiederherstellungswege, manipulierte Zahlungsfreigaben und freiwillig eingegebene Kartendaten verschwinden dadurch allerdings nicht.
Wer solche Abläufe verinnerlicht, muss im Alltag keine komplizierte Linkanalyse betreiben. Drei Fragen reichen häufig für den notwendigen Abstand: Wurde dieser Vorgang erwartet, lässt sich derselbe Schritt über einen unabhängigen offiziellen Weg erreichen, und stimmen Domain sowie angeforderte Daten mit dem Anlass überein? Weitere Beiträge aus Digital sicher folgen demselben Grundsatz: Nicht die Dramatik einer Nachricht oder die Bequemlichkeit eines Links entscheidet, sondern eine unabhängig überprüfbare Verbindung zum echten Anbieter.
Fazit: Der Code ist nur der Weg, nicht der Beweis
QR-Code-Betrug nutzt eine alltägliche Technik, um das eigentliche Linkziel bis zum Scan zu verbergen. Gefährlich wird der Code vor allem dann, wenn ein glaubwürdiger Ort, ein bekanntes Logo und künstlicher Zeitdruck dazu führen, dass die angezeigte Domain nicht mehr geprüft wird. Aufkleberkanten, ungewöhnliche Formulierungen oder eine fremde Adresse können warnen, doch kein einzelnes Merkmal entscheidet zuverlässig. Der sichere Gegencheck führt über die offizielle App, eine selbst eingegebene Webadresse oder einen unabhängig ermittelten Kontakt.
Nach einem Scan richtet sich die Reaktion nach dem tatsächlich erfolgten Schritt. Eine bloße Vorschau ist etwas anderes als eine geöffnete Seite, ein eingegebenes Passwort, eine installierte App oder eine bestätigte Zahlung. Wer diese Stufen trennt, kann angemessen handeln, ohne ein geringes Risiko zu dramatisieren oder einen ernsten Vorfall zu unterschätzen. Bei betroffenen Zugangs- und Zahlungsdaten zählt Geschwindigkeit: Konto absichern, Sitzungen beenden, Bank oder Kartenherausgeber kontaktieren, Belege sichern und den Betrugsversuch melden.
Häufige Fragen zu QR-Code-Betrug
Kann ein Smartphone allein durch das Scannen eines QR-Codes gehackt werden?
Das reine Erkennen eines Codes und Anzeigen einer Vorschau führt normalerweise nicht zu einer Kontoübernahme. Häufig entsteht der Schaden erst durch das Öffnen einer Seite, die Eingabe von Daten, eine Installation oder eine Zahlungsfreigabe. Aktuelle Software bleibt trotzdem wichtig, weil kein Browser und kein Betriebssystem vollständig frei von Sicherheitslücken ist.
Ist ein QR-Code sicher, wenn er professionell gedruckt aussieht?
Nein. Druckqualität, Logo und fehlerfreie Sprache lassen sich leicht nachahmen. Entscheidend sind der nachvollziehbare Kontext, eine unmanipulierte Anbringung, die angezeigte Domain und die Möglichkeit, denselben Vorgang unabhängig über die offizielle App oder Website zu bestätigen.
Was ist zu tun, wenn nur die Seite geöffnet wurde?
Wurden keine Daten eingegeben, keine Dateien geladen, keine App installiert und keine Berechtigung erteilt, ist das Risiko meist begrenzt. Die Seite kann geschlossen und das Gerät auf neue Downloads, Apps oder ungewöhnliche Berechtigungen geprüft werden. Bei auffälligem Verhalten ist eine weitergehende Sicherheitsprüfung sinnvoll.
Beweist „https“, dass eine über den QR-Code geöffnete Seite echt ist?
Nein. „https“ schützt die Übertragung zur aufgerufenen Domain, bestätigt aber nicht, dass diese Domain dem erwarteten Anbieter gehört. Auch eine Betrugsseite kann eine verschlüsselte Verbindung verwenden. Deshalb muss vor allem der eigentliche Domainname stimmen.
Wird zum sicheren Scannen eine zusätzliche App benötigt?
Nicht zwingend. Die integrierte Kamera vieler Smartphones zeigt das Linkziel vor dem Öffnen an. Fehlt eine solche Vorschau, kann ein seriöser Scanner mit transparenter Zielanzeige hilfreich sein. Eine beliebige App aus einer unbekannten Quelle sollte dafür nicht installiert werden.
Können QR-Codes in echten Bankbriefen vorkommen?
Ja, ein QR-Code ist nicht allein wegen seines Fundorts betrügerisch. Sicherheitsrelevante Aufforderungen sollten dennoch im unabhängig geöffneten Onlinebanking oder über eine selbst ermittelte Telefonnummer geprüft werden. Verlangt die Zielseite PIN, TAN oder eine unerwartete Gerätefreigabe, ist der Vorgang abzubrechen und die Bank zu kontaktieren.
Quellenbasis und Transparenz
Der Artikel beruht auf den aktuellen Hinweisen der Verbraucherzentrale zu Quishing, der Polizeilichen Kriminalprävention zu QR-Code-Betrug, den Sicherheitshinweisen der Deutschen Bundesbank, der gemeinsamen Phishing-Checkliste von Polizei und BSI sowie den offiziellen Informationen zum Sperr-Notruf 116 116. Es wurde kein eigener praktischer Betrugsversuch durchgeführt; Abläufe und Empfehlungen wurden redaktionell anhand der genannten Quellen eingeordnet. Stand der Recherche: 24. August 2026.
Technik-Deals im Überblick
Ausgewählte Angebote und zeitlich begrenzte Preisaktionen rund um Technik und Gadgets.
