Gefälschte QR-Codes im Alltag

Aufkleber auf Parkautomaten, Codes in E-Mails und auf Paketen, Speisekarten: was Polizei und Verbraucherschützer melden, und worauf du vor dem Zahlen achtest.

Verdetto · 2026-09-06

Ein QR-Code ist billig zu drucken und mit dem Auge nicht zu lesen, und genau deshalb ein guter Ort, um einen Link zu verstecken, ein Trick, der oft Quishing genannt wird. Die Muster unten haben Polizeidienststellen und Verbraucherbehörden gemeldet; die Abwehr ist bei allen dieselbe: die Adresse sehen, bevor sie sich öffnet, und über die App oder Website zahlen oder anmelden, der du schon vertraust.

Aufkleber auf Parkautomaten

Am 3. September 2026 riet die US-Handelsbehörde FTC Autofahrern, einen Code an einem Parkautomaten nicht zu scannen, ohne die Adresse zu lesen, die er öffnet, nachdem Betrüger echte Codes mit eigenen überklebt hatten. Das Muster ist nicht neu: Ende 2021 und Anfang 2022 warnten die Polizei von San Antonio und das Verkehrsamt von Austin in Texas, dass Aufkleber mit betrügerischen QR-Codes auf Parkautomaten in beiden Städten angebracht worden waren, in Austin auf 29 von etwa 900, und Autofahrer auf gefälschte Zahlungsseiten unter einer ähnlich aussehenden Adresse des echten Anbieters führten. Ein echter Automat zeigt seine Anweisungen gedruckt und nimmt die Zahlung über die App der Stadt oder das Gerät selbst; ein Aufkleber über dem gedruckten Code ist das Warnzeichen.

Codes in E-Mails und auf Paketen

Phishing-Mails tragen QR-Codes, weil ein Bild an Filtern vorbeikommt, die Links lesen. Der Code führt auf eine Anmeldeseite, die eine Bank, einen E-Mail-Anbieter oder einen Lieferdienst nachahmt. Die FTC veröffentlichte im Dezember 2023 eine Verbraucherwarnung zu diesem Muster, und das Internet Crime Complaint Center des FBI gab im Januar 2022 eine öffentliche Warnung zu manipulierten QR-Codes heraus. Ein Code auf einem Paket, das du nicht bestellt hast, oder eine Karte über eine „verpasste Zustellung“ mit einem Code zum Umbuchen gehört zur selben Familie.

Speisekarten, Flyer und Plakate

Ein Code auf einer Speisekarte oder einem Flyer lässt sich in Sekunden mit einem Aufkleber ersetzen. Die Seite, die er öffnet, kann wie die echte aussehen und nach einer Karte fragen. Überall, wo ein Code Geld oder ein Passwort verlangt, lautet die Frage nicht, ob die Seite richtig aussieht, sondern ob die Adresse die erwartete ist.

Worauf du achtest

Die ganze Adresse: paypa1 ist nicht paypal, und ein vertrauter Name an der falschen Stelle (paypal.com.example.net) ist nicht die vertraute Website.
Ein Aufkleber über einem gedruckten Code.
Ein Kurzlink, wo ein Unternehmen seinen eigenen drucken würde.
Eine Seite, die direkt nach dem Scan ein Passwort oder eine Karte verlangt.
Im Zweifel schließen und den Dienst aus seiner eigenen App öffnen.

Verdetto zeigt die ganze Adresse, bevor sich etwas öffnet, markiert ähnlich aussehende Namen, verfolgt Kurzlinks bis zu ihrem Ziel, wenn die Online-Abfragen an sind, und vergleicht die Adresse mit einer Warnliste auf dem Telefon. Es sagt nie, ein Code sei sicher; es sagt, was es geprüft und was es gefunden hat.

So einen Code gefunden? Die Meldeseite nimmt den Link entgegen, und ein Mensch prüft jede Meldung.

Quellen

Dazu passend: Wie du einen QR-Code-Link prüfst · Warum nicht einfach die Kamera-App?