Quishing

Quishing ist Phishing über QR-Codes: Der Code trägt eine Adresse, die du vor dem Scannen nicht lesen kannst, und führt statt zur versprochenen Auszahlung auf eine nachgebaute Seite oder direkt in ein Zahlungsformular.

Wo dir ein manipulierter Code begegnet

Beim Privatverkauf am häufigsten so: Der angebliche Käufer schickt ein Bild mit QR-Code und schreibt, du müssest ihn scannen, um die Zahlung zu erhalten. Zweite Variante: Der Code steckt in einer angeblichen Paketbenachrichtigung an der Haustür. Dritte Variante außerhalb des Verkaufs, aber mit demselben Muster: überklebte Codes an Parkscheinautomaten oder Ladesäulen. In allen Fällen ersetzt der Code das, was sonst der Link wäre — mit dem Unterschied, dass niemand ihm ansieht, wohin er führt. Ein Blick auf das Muster hilft nicht. Moderne Kameras zeigen die Zieladresse vor dem Öffnen an; genau diese Vorschau ist die einzige Stelle, an der du prüfen kannst.

Der Irrtum: Ein QR-Code ist eine Zahlungsart

Ein QR-Code ist kein Zahlungsverfahren, sondern nur eine Schreibweise für eine Adresse oder einen Überweisungsdatensatz. Daraus folgt die Regel, die die ganze Masche entwertet: Mit einem Scan kannst du Geld senden, aber niemals empfangen. Wer dir einen Code schickt, damit du dein Geld bekommst, will das Gegenteil. Prüfe vor dem Öffnen die angezeigte Adresse Zeichen für Zeichen — Betrüger arbeiten mit Domains, die sich nur in einem Buchstaben unterscheiden. Und wenn nach dem Scan eine Anmeldung verlangt wird, brich ab und melde dich über die App an, die du selbst installiert hast. Die Verbraucherzentralen warnen seit Jahren vor überklebten Codes im öffentlichen Raum.

Häufige Fragen

Kann mein Handy sich durch das Scannen eines QR-Codes infizieren?

Allein durch das Scannen praktisch nicht. Gefährlich wird der Schritt danach: eine Anmeldeseite, ein Zahlungsformular oder die Aufforderung, eine App außerhalb des offiziellen Stores zu installieren. Stell dein Handy so ein, dass es die Zieladresse anzeigt, statt sie sofort zu öffnen, dann bleibt dir die Entscheidung.

Der Käufer besteht auf dem QR-Code, was sage ich?

Ein Satz genügt: Zahlung bei Abholung bar oder über den vereinbarten Zahlungsweg, den ich selbst öffne. Wer daraufhin abspringt, wollte nicht kaufen. Ernsthafte Käufer haben mit einer normalen Reihenfolge kein Problem, weil sie ebenfalls kein Interesse an einem Weg haben, den sie nicht überblicken.