Veröffentlicht am 03.11.2026
QR-Codes begegnen Dir auf Speisekarten, in E-Mails, Briefen oder an Parkautomaten. Beim Quishing nutzen Kriminelle diese Gewohnheit aus: Ein manipulierter Code führt auf eine gefälschte Webseite, die zum Beispiel Zugangs- oder Zahlungsdaten abfragt. Ob ein QR-Code sicher ist, lässt sich ihm nicht ansehen. Deshalb solltest Du genau hinschauen, welche Webseite sich öffnet und welche Daten dort abgefragt werden.
Was Du in diesem Beitrag erfährst:
- Quishing ist Phishing über QR-Codes und kann in E-Mails, Briefen oder im öffentlichen Raum auftreten.
- Betrügerische Codes lassen sich am QR-Muster selbst nicht erkennen. Hinweise können überklebte Codes, auffällige Webadressen oder ungewöhnliche Aufforderungen sein.
- Auf dem iPhone und auf vielen Android-Smartphones siehst Du den Link, bevor Du ihn öffnest.
- Bei Banking, Logins oder Zahlungen ist der direkte Weg über die bekannte App oder Webseite sicherer.
- Nach der Eingabe von Zugangsdaten oder Zahlungsinformationen solltest Du das betroffene Konto sofort absichern.
Was ist Quishing und warum ist es gefährlich?
Quishing ist eine Form von Phishing, bei der Kriminelle QR-Codes für ihre Betrugsversuche nutzen. Die Codes führen häufig auf nachgeahmte Login- oder Bezahlseiten, auf denen Zugangsdaten oder Zahlungsinformationen abgefragt werden. Die Polizeiliche Kriminalprävention warnt, dass in QR-Codes versteckte Webadressen von Schutzprogrammen teilweise nicht erkannt werden und dadurch Sicherheitsprüfungen umgehen können.[1]
Wie stark QR-Code-Phishing zuletzt zugenommen hat, zeigen Daten von Microsoft zu weltweit erfassten E-Mail-Bedrohungen. Die Zahl der erkannten Angriffe stieg von 7,6 Millionen im Januar 2026 auf 18,7 Millionen im März und damit um 146 Prozent innerhalb des ersten Quartals.[2]
Wo tauchen gefälschte QR-Codes auf?
Kriminelle nutzen QR-Codes sowohl im öffentlichen Raum als auch in Nachrichten für ihre Betrugsversuche. Die Polizeiliche Kriminalprävention nennt zum Beispiel manipulierte Aufkleber auf Parkscheinautomaten, die einen echten QR-Code überdecken und auf eine gefälschte Bezahlseite führen.[1] Betrügerische QR-Codes können aber auch über E-Mails, Briefe oder andere Nachrichten verbreitet werden.[1] Entscheidend ist deshalb nicht nur, wo Dir ein Code begegnet, sondern auch, ob die angezeigte Webadresse tatsächlich zum erwarteten Anbieter passt.
Bei digitalen Nachrichten kommt eine weitere Besonderheit hinzu: Die Zieladresse ist im QR-Code codiert und daher nicht direkt lesbar. Erst beim Scannen wird sichtbar, auf welche Webseite der Code führt.[1] Auch Logos, bekannte Farben oder ein offiziell wirkendes Layout sind deshalb kein Beleg dafür, dass der QR-Code vertrauenswürdig ist.
Woran erkennst Du gefährliche QR-Codes?
Am Code selbst lässt sich Betrug meist nicht erkennen. Prüfe stattdessen drei Punkte:
- Umgebung: Ist der Code nachträglich aufgeklebt, schief angebracht oder überdeckt er einen anderen Code?
- URL: Zeigt Dein Smartphone nach dem Scannen eine Vorschau des Links oder der Webadresse? Prüfe dann, ob sie zum erwarteten Anbieter passt. Wird keine eindeutige Adresse angezeigt, solltest Du bei sensiblen Vorgängen lieber die bekannte App öffnen oder die Webadresse selbst im Browser eingeben.
- Aufforderung: Werden nach dem Scan unerwartet Passwort, PIN, TAN oder Kartendaten verlangt oder wird mit einer Sperre oder kurzen Frist Druck aufgebaut?
Bei Banking, Paketdiensten, Park-Apps oder Kundenkonten ist der direkte Weg sicherer: Öffne die bekannte App oder gib die Adresse selbst im Browser ein.
Wie prüfst Du die URL eines QR-Codes auf iPhone und Android?
Nach dem Scannen zeigen Smartphones in der Regel einen Link, eine Schaltfläche oder eine andere Vorschau zum hinterlegten Ziel an. Ob dabei die vollständige Webadresse sichtbar ist, hängt vom Gerät und von der verwendeten Kamera- oder Scanner-App ab.
- iPhone: Öffne die Kamera-App und richte sie auf den QR-Code. Anschließend erscheint ein antippbarer Link oder eine entsprechende Schaltfläche. Wird dabei eine Webadresse angezeigt, prüfe sie vor dem Öffnen auf auffällige Schreibweisen oder eine unerwartete Domain.[3]
- Android: Bei Google-Pixel-Smartphones erkennt die Kamera den QR-Code automatisch und zeigt eine Blase oder einen Link an. Erst durch Antippen wird das hinterlegte Ziel geöffnet.[4] Bei anderen Android-Modellen kann die Darstellung je nach Hersteller und Kamera-App abweichen.
Wird vor dem Öffnen keine eindeutige Webadresse angezeigt, lässt sich das Ziel nicht zuverlässig vorab prüfen. Bei sensiblen Vorgängen wie Banking oder Logins ist es dann sicherer, die bekannte App zu öffnen oder die Webadresse selbst im Browser einzugeben.
Verdächtigen QR-Code gescannt: Was jetzt?
Hast Du den QR-Code nur gescannt, aber die Zielseite nicht geöffnet, schließe die Vorschau und rufe die gewünschte Webseite direkt über die bekannte Adresse oder App auf.
Hast Du die verdächtige Zielseite geöffnet, aber keine Daten eingegeben und nichts installiert, solltest Du sie schließen. Achte auf mögliche Sicherheitswarnungen.
Wenn Du Zugangsdaten eingegeben hast, ändere das betroffene Passwort sofort über die echte Webseite oder App. Nutzt Du dasselbe Passwort auch bei anderen Diensten, solltest Du es dort ebenfalls ersetzen.[5] Für mehr Sicherheit bei Online-Konten und persönlichen Daten helfen außerdem unterschiedliche Passwörter und eine zusätzliche Zwei-Faktor-Authentifizierung.
Hast Du Zahlungsdaten eingegeben oder eine Zahlung bestätigt, kontaktiere möglichst schnell Deine Bank oder den Kartenanbieter, prüfe Deine Umsätze und lasse die Karte bei Bedarf sperren. Bei einem Betrugsversuch oder entstandenen Schaden kannst Du außerdem Anzeige bei der Polizei erstatten.[1],[5]
Fazit: So schützt Du Dich vor Quishing
Scanne QR-Codes nicht unüberlegt, besonders wenn sie an öffentlichen Orten aufgeklebt sind oder unerwartet per E-Mail oder Nachricht kommen. Prüfe vor dem Öffnen die angezeigte Webadresse und gib keine sensiblen Daten ein, wenn Dir die Seite verdächtig vorkommt. Hast Du bereits Passwörter oder Zahlungsdaten eingegeben, ändere umgehend Deine Zugangsdaten und kontaktiere bei betroffenen Bank- oder Kartendaten Deine Bank.
QR-Codes lassen sich mit vielen aktuellen Smartphones direkt über die Kamera oder eine integrierte Scan-Funktion erfassen. Wenn Du ein neues Modell suchst, findest Du bei 1&1 aktuelle iPhones und Android-Smartphones mit passendem Mobilfunktarif.
FAQ: Quishing und QR-Code-Betrug
Literaturverzeichnis
[1] Polizeiliche Kriminalprävention der Länder und des Bundes. (2026, 16. Oktober). Quishing: Wenn ein QR-Code zur Falle wird. https://www.polizei-beratung.de/aktuelles/detailansicht/was-ist-quishing
[2] Microsoft Threat Intelligence & Microsoft Defender Security Research Team. (2026, 30. April). Email threat landscape: Q1 2026 trends and insights. Microsoft Security Blog. https://www.microsoft.com/en-us/security/blog/2026/04/30/email-threat-landscape-q1-2026-trends-and-insights/
[3] Apple. (o. D.). QR-Code mit der iPhone-Kamera scannen. https://support.apple.com/de-de/guide/iphone/iphe8bda8762/ios
[4] Google. (o. D.). QR-Codes mit deinem Pixel Smartphone scannen. https://support.google.com/pixelphone/answer/16561572?hl=de
[5] Polizeiliche Kriminalprävention der Länder und des Bundes. (o. D.). Online-Betrug: Schütze dich vor Phishing. https://www.polizei-beratung.de/themen-und-tipps/sicher-handeln/onlinebetrug-maschen/phishing
