# Quishing

> Quishing ist Phishing per QR-Code: in E-Mails, auf gefälschten Briefen oder als Aufkleber auf Parkautomaten und Ladesäulen. So prüfst du einen Code.

**Quishing** ist Phishing mit QR-Codes: Statt eines Links steckt die Adresse einer gefälschten Seite in einem Code, der in einer E-Mail, auf einem Brief, auf einem Plakat oder als Aufkleber auf einem Parkautomaten auftaucht. Der Eintrag erklärt für alle, die mit dem Smartphone parken, laden, bezahlen oder Post bekommen, in Deutschland, Österreich und der Schweiz, wie die Masche funktioniert und wie du einen Code prüfst, bevor du die Seite öffnest.

**Das Wichtigste in Kürze**

1. Quishing verbindet die Begriffe QR-Code und Phishing: Der Code führt auf eine gefälschte Seite oder zum Download einer schädlichen App.
2. Gefälschte QR-Codes tauchen in E-Mails, auf Briefen im Namen von Banken, Post oder Behörden und als Aufkleber auf Parkautomaten und Ladesäulen auf.
3. Wer die angezeigte Adresse vor dem Öffnen prüft und Dienste über die offizielle App aufruft, nimmt der Masche den größten Teil ihrer Wirkung.


## Quishing: wenn der QR-Code in die Falle führt

Quishing ist Phishing über einen QR-Code: Wer den Code scannt, landet auf einer gefälschten Webseite oder lädt eine schädliche App herunter. Das Wort verbindet "QR-Code" und "Phishing", wie die [Verbraucherzentrale](https://www.verbraucherzentrale.de/node/98612) und die österreichische [Watchlist Internet](https://www.wko.at/it-sicherheit/wenn-qr-codes-zur-betrugsfalle-werden) erklären.

Der Unterschied zu anderen Phishing-Varianten: Der Köder ist kein Text, den du lesen kannst, sondern ein Muster aus kleinen Quadraten.

### Ein Wegweiser, den jemand ausgetauscht hat

Ein QR-Code funktioniert wie ein Wegweiser an einer Kreuzung. Du studierst nicht die Karte, du folgst dem Pfeil, weil er dort hängt, wo ein Pfeil hingehört. Genau dafür wurde er gebaut: Die japanische Firma Denso Wave, damals eine Sparte des Konzerns Denso, stellte den Code [1994 vor](https://www.qrcode.com/en/history/). Zuerst setzte ihn die Autoindustrie ein, um Teile durch Produktion und Versand zu verfolgen. QR steht für "Quick Response", schnelle Antwort.

Ein Wegweiser lässt sich aber auch überkleben. Wer einen falschen Pfeil darüberschraubt, schickt alle in die Irre, die ihm folgen, und an der Kreuzung merkt es niemand, erst später auf dem falschen Weg. Bei QR-Codes ist es noch einfacher. Für Kriminelle ist es laut dem Schweizer Bundesamt für Cybersicherheit [BACS](https://www.bacs.admin.ch/de/22-qr-de) ein Leichtes, einen gefälschten Code auszudrucken und über einen bestehenden zu kleben.

Und einen Wegweiser kannst du wenigstens lesen. Was in einem QR-Code steckt, kann ein Mensch vor dem Scannen nicht erkennen. Du siehst erst auf dem Handy, wohin der Pfeil zeigt, und manchmal nicht einmal dort.

### Was in einem QR-Code stecken kann

Meist ist es eine Internetadresse. Laut BACS kann ein Code aber auch eine fertige SMS mit Empfängernummer enthalten, eine E-Mail, einen Kalendereintrag, die Zugangsdaten zu einem WLAN oder einen Link zu einer App. Dazu kommen dynamische QR-Codes: Sie enthalten eine kurze Adresse, die auf das eigentliche Ziel weiterleitet, und dieses Ziel lässt sich nachträglich ändern. Ein Code, der heute korrekt weiterleitet, kann also später woandershin führen.

### So läuft Quishing ab

1. **Der Code wird platziert.** In einer E-Mail, oft als Bild oder in einem PDF; laut [BSI](https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Cyber-Sicherheitslage/Methoden-der-Cyber-Kriminalitaet/Spam-Phishing-Co/Passwortdiebstahl-durch-Phishing/passwortdiebstahl-durch-phishing_node.html) stufen Virenscanner QR-Codes als harmloses Bild ein und erkennen so getarnte Betrugsversuche nicht. Auf einem Brief, der aussieht wie Post von Bank, Paketdienst oder Behörde. Als Aufkleber auf einem Parkautomaten oder einer Ladesäule. Auf Plakaten, Flyern oder falschen Strafzetteln.
2. **Du scannst.** Das Handy liest die gespeicherte Adresse. Manche Geräte zeigen sie zuerst an und fragen nach, andere öffnen die Seite laut Verbraucherzentrale sofort. Auf dem kleinen Bildschirm übersieht man eine abweichende Schreibweise zudem leichter, warnt die Watchlist Internet.
3. **Die gefälschte Seite.** Sie sieht aus wie die Bezahlseite des Parkbetreibers, das Login der Bank oder die Sendungsverfolgung der Post. Verlangt werden Kartendaten, Zugangsdaten oder persönliche Angaben, oder die Seite bietet eine App zum Herunterladen an.
4. **Der Schaden.** Abbuchungen, die höher sind als angezeigt; übernommene Konten; eine Schad-App auf dem Handy. Laut BSI kann schon eine präparierte Seite versuchen, Schadcode auf das Gerät zu laden.

Warum das funktioniert, erklärt das [BACS](https://www.bacs.admin.ch/de/25super-2-de) so: Viele Menschen misstrauen inzwischen E-Mails, die zum Anklicken eines Links auffordern. Ein Code auf einem Parkautomaten, in einem Brief oder im Restaurant wirkt vertrauenswürdiger. Bei Briefen kommt laut BACS hinzu, dass die Skepsis gegenüber E-Mails und SMS beim Griff in den Briefkasten oft ausbleibt.

### Wo gefälschte Codes schon aufgetaucht sind

| Ort | Masche | Beispiele aus Deutschland, Österreich und der Schweiz |
|---|---|---|
| E-Mail | angebliche Bank verlangt, ein Sicherheitsverfahren per Code zu erneuern | DE: erste Fälle Anfang 2021 im Phishing-Radar der Verbraucherzentrale NRW |
| Brief einer Bank | Aufforderung, das Online-Banking per Code zu aktualisieren | DE: angebliche Commerzbank-Briefe in München (August 2024) und Velbert (September 2025), ähnliche Briefe anderer Banken Mitte 2026 |
| Brief der Post | gefälschte Abholungseinladung, Gebühr für eine zweite Zustellung | CH: Westschweiz, Juni 2026 ([BACS](https://www.bacs.admin.ch/de/26w24-de)) |
| Brief einer Behörde | angebliche "Unwetter-Warn-App" von MeteoSchweiz, in Wahrheit Schadsoftware für Android | CH: November 2024 ([BACS](https://www.bacs.admin.ch/de/24-meteosuisse-de)) |
| Brief eines Krypto-Anbieters | angebliches Sicherheits-Update, verlangt die Wiederherstellungsphrase | CH: August 2026 ([BACS](https://www.bacs.admin.ch/de/26w33-de)) |
| Parkautomat | Aufkleber über dem echten Code, gefälschte Bezahlseite | DE: Hannover, November 2024 (Landeskriminalamt Niedersachsen); CH: Oktober 2024 ([BACS](https://www.bacs.admin.ch/de/24w43-de)); AT: von der Watchlist Internet im Oktober 2026 als typischer Ort genannt |
| Ladesäule | überklebter Bezahlcode | DE: Warnungen im August 2024; AT: ebenfalls von der Watchlist Internet genannt |
| Plakat, Flyer, Strafzettel | Gewinnspiel, Jobangebot, angebliches Bußgeld | DE: falsche Plakate in Bussen und Bahnen der Düsseldorfer Rheinbahn (Dezember 2024), falsche Strafzettel unter anderem in Berlin; AT: Plakate und Flyer laut Watchlist Internet |

Die deutschen Fälle dokumentiert die Verbraucherzentrale auf ihrer Seite zu Quishing.

### Ein Beispiel aus Hannover

Das Beispiel ist erfunden, die Warnzeichen stammen aus der Warnung des Landeskriminalamts Niedersachsen vom November 2024. Nadine arbeitet als selbstständige Physiotherapeutin und parkt zwischen zwei Hausbesuchen in der Innenstadt. Am Parkscheinautomaten klebt ein QR-Code, sie scannt ihn. Die Seite sieht aus wie die eines bekannten Anbieters fürs Handyparken.

Zwei Dinge machen sie stutzig: Statt "ä" steht überall "ae", und die Seite lässt sie eine längere Parkzeit wählen, als die Zone erlaubt. Sie bricht ab, bezahlt über die Park-App, die sie ohnehin installiert hat, und meldet den Aufkleber der Stadt, damit er verschwindet.

Hätte sie bezahlt, wäre es vermutlich teuer geworden. In einem ähnlichen Fall in der Schweiz wurde laut BACS meist ein deutlich höherer Betrag abgebucht als die angebliche Gebühr, schnell mehrere hundert Franken. Weil die echte Parkgebühr dabei nicht bezahlt ist, droht obendrein eine Strafe fürs Falschparken. Das BACS rät deshalb, bei jeder Zahlungsbestätigung Betrag und Empfänger zu prüfen und bei Unstimmigkeiten sofort abzubrechen.

### Echte Bezahl-Codes: nützlich, aber prüfen

Nicht jeder QR-Code auf einer Rechnung ist verdächtig. In der Schweiz hat die QR-Rechnung laut BACS im Herbst 2022 die alten Einzahlungsscheine abgelöst. Im SEPA-Zahlungsraum, zu dem Deutschland und Österreich gehören, gibt es einen Standard des [European Payments Council](https://www.europeanpaymentscouncil.eu/document-library/guidance-documents/quick-response-code-guidelines-enable-data-capture-initiation): Ein Code auf der Rechnung bereitet eine SEPA-Überweisung vor.

Solche Codes liest in der Regel deine Banking-App ein und füllt damit eine Zahlung aus, statt eine Webseite zu öffnen. Freigeben solltest du sie erst, wenn Empfänger und Betrag zu der Rechnung passen, die du wirklich erwartest.

### Irrtümer und Grenzen

**"Ein Brief ist sicherer als eine Mail."** Gefälschte Briefe kosten die Täter mehr Aufwand, deshalb zielen sie laut BACS auf Maschen mit besonders hohen Gewinnchancen, etwa auf Krypto-Vermögen. Ein Briefkopf mit Logo beweist so wenig wie ein Logo in einer E-Mail.

**"Mein Virenscanner merkt das."** Für ihn ist ein QR-Code meist nur ein Bild. Die Prüfung, wohin er führt, bleibt an dir hängen.

**"Die Adresse beginnt mit dem echten Namen, also stimmt sie."** Genau darauf setzen viele Fälschungen. Wie du eine Adresse richtig liest, zeigt der Eintrag zu Phishing in seiner Tabelle der Warnzeichen.

**"Eine spezielle Scanner-App macht es sicherer."** Nicht unbedingt. Manche dieser Apps enthalten laut Watchlist Internet aufdringliche Werbung oder Abofallen. Besser ist die Kamera deines Handys, sofern sie die Adresse vor dem Öffnen anzeigt. Tut sie das nicht, rät die Verbraucherzentrale zu einer seriösen App, die erst den Link zeigt.

Und eine Grenze: Der prüfende Blick auf einen Aufkleber hilft nur bei Codes im öffentlichen Raum. Bei Briefen und Mails hilft nur ein zweiter, eigener Weg zum Absender.

### Checkliste: bevor du scannst

1. Erwartest du an dieser Stelle überhaupt einen Code, und passt er zur Situation?
2. Ist es ein Aufkleber? Ansehen, kurz darüberstreichen: Klebt er über etwas anderem?
3. Welche Adresse zeigt dein Handy an? Erst lesen, dann öffnen.
4. Will die Seite Zugangsdaten, eine PIN, Kartendaten oder eine App-Installation? Dann abbrechen.
5. Gibt es einen anderen Weg, etwa die App des Anbieters, das Display der Ladesäule oder die Sendungsnummer, die du von Hand eingibst?

### Wo du Quishing meldest

Stand: November 2026.

| Situation | Deutschland | Österreich | Schweiz |
|---|---|---|---|
| Code, Brief oder Mail melden | Phishing-Radar der Verbraucherzentrale; bei einem falschen Strafzettel die Polizei | Meldeformular der [Watchlist Internet](https://www.watchlist-internet.at/melde-formular/) | [Online-Formular des BACS](https://www.report.ncsc.admin.ch/de/); Phishing-Links auch auf [antiphishing.ch](https://www.antiphishing.ch/de/) |
| Geld bezahlt oder Daten eingegeben | Bank informieren oder den Sperr-Notruf 116 116 anrufen; Anzeige bei der Onlinewache deines Bundeslandes | Bank kontaktieren und die Karte sperren lassen; Anzeige bei der Polizei | Bank oder Kreditkarteninstitut kontaktieren und die Karte sperren lassen; Strafanzeige bei der örtlichen Polizei |

### Was du jetzt tun kannst

1. Prüfe einmal, ob deine Kamera die Adresse zeigt, bevor sie eine Seite öffnet. Auf dem iPhone erscheint laut [Apple](https://support.apple.com/de-de/guide/iphone/iphe8bda8762/ios) ein Link unten im Bild, den du erst antippen musst; im Kontrollzentrum gibt es dafür auch das Steuerelement "Code scannen". Auf Android hängt das vom Hersteller ab: Teste es mit einem Code, dessen Ziel du kennst.
2. Installiere die Apps, mit denen du wirklich parkst, lädst und Pakete verfolgst, und bezahle darüber. Ladesäulen lassen sich laut Verbraucherzentrale in der Regel auch per App oder Ladekarte nutzen, ganz ohne Code.
3. Prüfe Briefe mit Code auf einem eigenen Weg: im Online-Banking selbst nachsehen, die Sendungsnummer von Hand in der offiziellen App der Post eingeben, die Telefonnummer des Absenders selbst heraussuchen.
4. Gib nie Zugangsdaten, eine PIN, eine TAN oder eine Wiederherstellungsphrase auf einer Seite ein, die du über einen QR-Code erreicht hast. Hast du aus so einem Code eine App installiert, rät das BACS, das Handy auf die Werkseinstellungen zurückzusetzen.
5. Melde falsche Codes der Stelle deines Landes und sag dem Betreiber des Automaten oder der Ladesäule Bescheid, damit der Aufkleber verschwindet.

### Verwandte Begriffe

Die Grundform der Masche erklärt der Eintrag [Phishing per E-Mail und Webseite](/glossar/sicherheit/phishing/). Kommt der Köder als Kurznachricht, geht es um [Smishing per SMS und Messenger](/glossar/sicherheit/smishing/). Was eine App aus einem falschen Code anrichten kann, steht unter [Schadsoftware auf dem Smartphone](/glossar/sicherheit/schadsoftware/).