Quishing: Betrug per QR-Code
Quishing ist Phishing über einen QR-Code. Der Code ersetzt den Link, den du sonst misstrauisch angesehen hättest: Sichtbar ist nur ein Quadrat. Gescannt wird er von deinem Handy — also von dem Gerät, auf dem Banking-App, Messenger und gespeicherte Passwörter liegen.
Warum ein QR-Code die Prüfung aushebelt
Ein QR-Code ist nichts weiter als Text in Bildform. Nach ISO/IEC 18004 passen in die größte Version bis zu 4.296 alphanumerische Zeichen — genug für eine sehr lange, sehr täuschende Adresse mit Weiterleitungen. Für dein Auge sind das schwarze Punkte. Die Prüfung, die du bei einem Link automatisch machst, nämlich einmal auf die Adresse zu schauen, fällt damit weg. Dazu kommt der Gerätewechsel: Links prüft man oft am Rechner, QR-Codes scannt man mit dem Handy, wo die Adresszeile kurz ist und die Mitte einer langen Adresse abgeschnitten wird. Genau diese Kombination macht die Methode für Betrüger interessant. Sie ist nicht raffinierter als klassisches Phishing, sie umgeht nur den Moment, in dem du sonst stutzt.
Wo dir der Code beim Privatverkauf begegnet
Drei Stellen sind typisch. Erstens der Chat: Ein Interessent schickt ein Bild mit Code und schreibt, darüber laufe die Zahlung oder die Versandanmeldung. Zweitens der angebliche Retourenaufkleber, den dir jemand als PDF sendet und dessen Code angeblich zur Sendungsverfolgung gehört. Drittens die Übergabe im öffentlichen Raum, wenn an Parkautomat, Ladesäule oder Aushang ein Aufkleber über dem echten Code klebt. Der Aufkleber ist die simpelste Variante und die, die am wenigsten Verdacht erregt, weil der Code am erwarteten Ort sitzt. In allen drei Fällen führt der Weg auf eine Seite, die entweder Zugangsdaten abfragt oder zu einer kleinen Zahlung auffordert. Der Betrag ist niedrig, damit du zahlst statt nachzudenken. Bei allen dreien lohnt dieselbe Frage: Wer hat diesen Code dort angebracht, und woher weißt du das?
Wer Versand und Zahlung schon in der Anzeige benennt, muss später keine Codes aus fremden Nachrichten scannen — das lässt sich beim Inserieren in zwei Zeilen erledigen. Anzeige aufgeben
Scannen ist harmlos, tippen ist es nicht
Das Scannen selbst installiert nichts. Moderne Kamera-Apps zeigen die Zieladresse als Vorschau an, bevor sie öffnen — dieser eine Blick ist die ganze Verteidigung. Lies dabei wieder die Domain direkt vor dem ersten Schrägstrich und ignoriere alles davor. Kurzadressen von Verkürzungsdiensten gehören in dieser Situation zur Kategorie unbekannt, weil sie das Ziel absichtlich verbergen. Öffnest du die Seite trotzdem, gilt die zweite Regel: nichts eingeben, was du auch auf einer selbst angesteuerten Seite nur ungern eingeben würdest. Kein Passwort, keine Kartendaten, keinen SMS-Code. Und wenn eine Seite dich zum Herunterladen einer App außerhalb des offiziellen Stores auffordert, ist der Vorgang beendet. Kein Zahlungsdienst verteilt seine App als Datei über einen QR-Code.
Wenn du schon auf der Seite warst
Hast du nur geöffnet und sofort geschlossen, passiert in aller Regel nichts; lösche trotzdem die Seitendaten im Browser. Hast du Zugangsdaten eingegeben, änderst du das Passwort dieses Dienstes und aller anderen, bei denen dasselbe Passwort liegt — das ist der eigentliche Schaden bei Mehrfachnutzung. Hast du Kartendaten eingegeben, sperrst du die Karte. Hast du eine App installiert, trennst du das Gerät vom Netz, deinstallierst sie und prüfst in den Einstellungen, ob ihr Bedienungshilfen oder Geräteverwaltung erlaubt wurden; genau darüber lesen Schad-Apps auf Android eingehende Kurznachrichten mit. Danach kontrollierst du in allen Konten die Liste der aktiven Sitzungen und wirfst fremde Geräte hinaus. Notiere zum Schluss Uhrzeit und Adresse der Seite, damit eine Anzeige bei der Polizei einen Anknüpfungspunkt hat. Wähle beim Wechsel ein wirklich neues Passwort, keine Variante des alten.
Häufige Fragen
Kann ich mir durch das Scannen einen Virus holen?
Durch das Scannen allein nicht. Der Code enthält Text, meist eine Adresse. Gefährlich wird erst, was du danach tust: eine Seite öffnen und dort Daten eingeben oder eine Datei installieren, die nicht aus dem offiziellen App-Store stammt. Solange du nichts eingibst und nichts installierst, bleibt der Scan folgenlos.
Wie sehe ich, wohin ein QR-Code führt?
Die Kamera-App zeigt die Adresse als Vorschau, bevor sie öffnet. Halte den Code kurz ins Bild und lies die Zeile, statt sofort zu tippen. Ist die Vorschau abgeschnitten, öffne sie im privaten Modus und schau in die Adresszeile. Verkürzte Adressen zeigen das echte Ziel erst nach der Weiterleitung.
Sind QR-Codes auf Paketaufklebern gefährlich?
Die des Versanddienstleisters nicht. Vorsicht gilt bei Aufklebern, die dir eine Privatperson als Bild oder PDF schickt, und bei Codes auf Karten, die angeblich im Briefkasten lagen. Gib Sendungsnummern lieber selbst auf der Seite des Dienstleisters ein, die du über deinen eigenen Browserverlauf aufrufst.
Was tue ich, wenn ich Daten eingegeben habe?
Passwort dieses Dienstes ändern, danach alle Dienste mit demselben Passwort. Karte sperren, falls Kartendaten betroffen sind. Aktive Sitzungen in den Kontoeinstellungen prüfen und fremde Geräte abmelden. Screenshot der Seite und der Adresse sichern, dann Anzeige erstatten. Die Reihenfolge zählt: erst Zugänge dicht, dann dokumentieren.