ki
KI-entspannt.de
Suche
KI-Helfer
Newsletter
Handy mit QR Code
QR Code
KI IM ALLTAG NUTZEN

Falsche QR-Codes erkennst du an der Adresse, bevor sich die Seite öffnet.

Quishing
  • Veröffentlicht am 8. Oktober 2026

Falsche QR-Codes erkennst du an der Adresse, bevor sich die Seite öffnet.

Am Parkautomaten klebt ein zweiter Code, im Briefkasten liegt ein Schreiben mit QR-Code von der angeblichen Bank. So liest du am Handy die Adresse, bevor sich eine Seite öffnet.

Betrug & Abzocke

Kurz & bündig

Frage:
Woran sehe ich, ob ein QR-Code echt ist, bevor ich etwas eingebe?
Antwort:
Dein Handy zeigt dir nach dem Scannen die Adresse, zu der der Code führt, und öffnet sie erst, wenn du tippst. Passt sie nicht genau zum Anbieter oder siehst du gar keine Adresse, tippst du nicht. Bezahlen und Anmelden klappen auch ohne Code, über die App oder eine Adresse, die du selbst eintippst.

Einem QR-Code siehst du nicht an, wohin er führt. Darauf setzt eine Masche, die Polizei und Verbraucherzentralen „Quishing“ nennen, ein Kunstwort aus QR-Code und Phishing, dem Abfischen von Zugangsdaten. Die Polizei hat am 16. Oktober 2026 davor gewarnt.

Am Parkscheinautomaten klebt ein Code, mit dem du angeblich per Handy zahlst. Im Briefkasten liegt ein Schreiben wie von deiner Bank, du sollst dein Online-Banking per Code „aktualisieren“. Beides wirkt ordentlich. Beides kann auf eine Seite führen, die nur deine Kartennummer oder deine Zugangsdaten will.

So funktioniert die Masche.

Am Automaten oder an der Ladesäule für E-Autos kleben Betrüger einen eigenen Aufkleber über den echten Code. Die Stiftung Warentest berichtete im Juni 2026 über solche Aufkleber an Parkscheinautomaten in Hannover, auf den ersten Blick kaum vom Original zu unterscheiden. Per Post kommen Briefe im Namen von Banken, nach Angaben der Verbraucherzentrale zuletzt Mitte 2026. Die Verbraucherzentrale nennt außerdem E-Mails, die Polizei falsche Strafzettel und Paketkarten, über die eine angebliche Gebühr per Code bezahlt werden soll.

Auf Rechtschreibfehler als Warnzeichen kannst du dich dabei nicht verlassen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) schreibt im April 2026, durch KI erreiche Quishing „eine neue Dimension“: Die Codes kämen mit „perfekt formulierten Nachrichten, die typische Warnsignale eliminieren“. Diese Zeichen bleiben trotzdem verlässlich:

  • Ein Aufkleber über dem Code. Fühlbare Ränder oder Klebereste.
  • Eine allgemeine Anrede im Bankbrief. Etwa „Sehr geehrte Kontoinhaberin, sehr geehrter Kontoinhaber“ statt deines Namens.
  • Sofort Kartennummer oder Zugangsdaten. Seriöse Dienste zeigen zuerst Tarif oder Produkt. Die echten Codes von EasyPark führen in die App, nicht auf eine Bezahlseite.
  • Eine Zahlung per Code für einen Strafzettel oder eine Paketgebühr. Ist ein Strafzettel unter dem Scheibenwischer seltsam, klärst du ihn bei der Polizei.

So prüfst du einen Code in Ruhe.

01

Sieh dir den Code an, bevor du scannst. Klebt er über einem anderen oder hat die Ladesäule ein Display mit eigenem Code, scannst du den Aufkleber nicht, rät der ADAC.
02

Android: Zieh die Statusleiste ganz herunter, wische nach links und tippe auf „QR-Code scannen“. So heißt die Schaltfläche bei Samsung und Google Pixel. Fehlt sie oder hast du ein anderes Handy, öffne einfach die Kamera-App. Richte die Kamera auf den Code. Es erscheint ein Link mit der Adresse. Tippe ihn noch nicht an.
03

iPhone: Öffne die Kamera-App und halte das iPhone so, dass der Code im Bild ist. Ein gelbes Feld erscheint mit der Adresse, zu der der Code führt. Tippe es noch nicht an.
04

Lies die Adresse. Entscheidend ist der Name der Seite, also alles zwischen „https://“ und dem nächsten Schrägstrich. Er muss genau zum Anbieter passen: „kba.de“ ist das Kraftfahrt-Bundesamt, „kba-online-umfrage.de“ nennt die Verbraucherzentrale als Warnzeichen. Achte auf Buchstabendreher, Sonderzeichen und fremde Zusätze, rät die Polizei-Beratung. Steht hinter „.de“ noch ein Bindestrich, gehört die Seite nicht zum Anbieter. Siehst du nur „Link öffnen“ ohne Adresse, tippst du nicht.
05

Nimm im Zweifel den Weg ohne Code. Parken und Laden bezahlst du mit der App des Anbieters, selbst geladen aus dem App Store oder Google Play Store, wie der ADAC rät, und tippst dort die Zonen- oder Stationsnummer ein. An den meisten Parkautomaten kannst du auch einfach bar zahlen. Bei einem Bankbrief öffnest du deine Banking-App oder rufst die Nummer auf deiner Bankkarte an.
Was du nie tun solltest
Gib nach einem Scan nie PIN, TAN oder deine Zugangsdaten fürs Online-Banking ein, und installiere keine App, die dir eine gescannte Seite anbietet. Ruf auch nie die Telefonnummer aus einem verdächtigen Brief an. Die Verbraucherzentrale rät, die Bank auf einem Weg zu fragen, den du selbst herausgesucht hast.

Wenn du schon bezahlt hast.

Dann hilft die Reihenfolge der Polizei-Beratung. Lass zuerst deine Karte über den Sperr-Notruf 116 116 sperren, rund um die Uhr erreichbar. Ändere danach deine Passwörter, zuerst das für dein E-Mail-Postfach, dann das fürs Online-Banking. Erstatte Anzeige bei der Polizei oder über die Onlinewache deines Bundeslandes. Bitte dabei um eine sogenannte KUNO-Meldung, damit mit deiner Bankkarte keine Lastschriften mehr möglich sind. Prüfe zum Schluss deine Kontoauszüge und melde fremde Abbuchungen deiner Bank.

Was das nicht leistet.

Die Prüfung der Adresse erkennt nicht jede Falle. Eine Adresse kann dem Original sehr ähnlich sehen, und auf dem kleinen Bildschirm übersieht man leicht einen Buchstaben. Sie schützt auch nicht vor anderen Tricks am Automaten: In Köln und Hanau wurden im Sommer 2026 falsche Kartenlesegeräte über die echten Bezahlfelder gesetzt, berichtet Stiftung Warentest. Und nicht jeder Code in einem Brief ist falsch. Das Kraftfahrt-Bundesamt etwa verschickt 2026 echte Schreiben mit QR-Code. Bist du unsicher, tippst du die Adresse des Absenders selbst ein.

Quellen (abgerufen am 23. Oktober 2026): Polizei-Beratung: Quishing (16. Oktober 2026) · BSI: KI-gestützte QR-Code-Betrügereien (1. April 2026) · Verbraucherzentrale: Quishing · Verbraucherzentrale Niedersachsen: Quishing · Verbraucherzentrale: Post vom Kraftfahrt-Bundesamt (13. Juli 2026) · Stiftung Warentest: Parkscheinautomat (25. Juni 2026) · ADAC: Quishing an Parkautomaten · ADAC: Quishing an der Ladesäule · Apple: QR-Code scannen · Samsung: QR-Code scannen. So wurde dieser Beitrag erstellt: Wir haben am 23. Oktober 2026 die oben genannten Warnungen ausgewertet. Die Wege für Android stammen aus den Hilfeseiten von Samsung und Google, der Weg fürs iPhone aus der Apple-Hilfe und aus Fachberichten zum gelben Feld. Wir haben sie nicht auf jedem Handy ausprobiert, Beschriftungen können abweichen. Falsche Codes haben wir nicht gescannt.

Wer bezahlen will, findet immer auch einen Weg ohne fremden Code.

Diese Serie
Weiterlesen bei uns

Kommentar

🔒 Mit dem Absenden erklärst du dich damit einverstanden, dass wir deine Angaben zur internen Auswertung speichern. Die Daten werden nicht veröffentlicht. Weitere Hinweise findest du in unserer Datenschutzerklärung.