Phishing mit falschen QR-Codes: Eigene Daten schützen

Zuletzt aktualisiert am 1. Juni 2026

In Austin, Texas warnt die Polizei öffentlich vor Betrug mit falschen QR-Codes (Quick-Response-Codes). Welche Betrugsmasche hier verwendet wurde und wie Sie ihre eigenen Daten schützen können, erfahren Sie hier.

Betrugsmasche falsche QR-Codes

In Austin, Texas kam es nun mehrfach vor, dass Kriminelle QR-Codes im öffentlichen Raum zum Beispiel an Parkuhren mit „falschen“ QR-Codes überklebten. Autofahrer, die diesen Code mit ihrem mobilen Endgerät einscannten, um bequem zu bezahlen, wurden statt auf die Seite des Parkanbieters auf die der Betrüger weitergeleitet. Dort gaben Sie dann Ihre Zahlungsdaten preis, ohne zu bemerken, dass Sie damit eine Zahlung an die Betrüger ermöglichten.

Schutzmaßnahmen gegen falsche QR-Codes

Geht man mit QR-Codes zum Beispiel für eine Weiterleitung zu einer Bezahlseite oder anderen Abfragen personenbezogener Daten um, gilt die oberste Regel: Daten checken! Scannt man einen QR-Code ein, zeigt das Endgerät Parameter wie eine URL an, bevor diese sich im Browser öffnet. Es gilt genauso wie bei allen Phishing-Versuchen, die URL gegenzulesen.

Immer wenn sensible beziehungsweise personenbezogene Daten einzugeben sind, gilt es, besonders aufmerksam zu sein. Kommen Zweifel auf, ist zur Vorsicht ein sichererer Weg zu wählen. Als Autofahrer an der Parkuhr könnte man nach der Angabe der URL der Website an anderer Stelle auf der Parkuhr in Textform suchen und diese dann händisch eingeben.

Warum QR-Codes?

Ursprünglich sind QR-Codes für die Logistikbranche entwickelt. Sie sollten das schnelle Auslesen von Informationen ermöglichen.

Gerade während der Coronapandemie lebt der QR-Code erneut stark auf. Nun wird er sogar als Zahlungsmethode verwendet und ziert diverse Impfausweise und Testzertifikate. Wie man an den gemeldeten Betrügen sieht, birgt diese Technologie in der Praxis aber auch Gefahren.

Fazit: Aufmerksam bleiben

Solche und ähnliche Betrugsmaschen finden sich immer wieder in Schlagzeilen. Betroffen von Phishing-Versuchen sind private Personen gleichermaßen wie Unternehmen. Wichtig ist, bei der Weitergabe von Daten immer aufmerksam zu bleiben und Daten gegenzulesen.

In Unternehmen sollten Mitarbeiter regelmäßig für dieses Thema sensibilisiert werden. Unternehmer selbst sind gut beraten, Ihre Systeme regelmäßig auf eintreffende Betrugsversuche zu untersuchen und Hinweisen von Kunden nachzugehen.

QR-Code-Phishing in Deutschland: Aktuelle Fälle

Auch in Deutschland häufen sich die Fälle von QR-Code-Phishing, auch als Quishing bezeichnet. Betrüger platzieren gefälschte QR-Codes an Ladesäulen für Elektroautos, auf Strafzetteln, in Briefkästen und sogar auf gefälschten Bankschreiben. Die Kreativität der Täter kennt dabei kaum Grenzen. In mehreren deutschen Städten wurden Fälle gemeldet, bei denen Betrüger QR-Codes an E-Ladesäulen mit eigenen Codes überklebten und so Zahlungsdaten abgriffen.

Besonders perfide sind Phishing-Briefe, die im Namen von Banken oder Behörden versendet werden und einen QR-Code enthalten. Die Empfänger werden aufgefordert, den Code zu scannen, um angeblich ihre Kontodaten zu aktualisieren. Der QR-Code führt dann auf eine täuschend echt aussehende Phishing-Seite, die die eingegebenen Daten direkt an die Betrüger übermittelt.

Datenschutzrechtliche Pflichten bei QR-Code-Betrug

Wird ein Unternehmen Opfer eines QR-Code-Phishing-Angriffs, bei dem personenbezogene Daten von Kunden oder Mitarbeitern kompromittiert werden, greift die Meldepflicht nach Art. 33 DSGVO. Innerhalb von 72 Stunden muss die zuständige Datenschutzaufsichtsbehörde informiert werden. Besteht ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen, sind diese nach Art. 34 DSGVO unverzüglich zu benachrichtigen.

Unternehmen, die QR-Codes für eigene Zwecke einsetzen, etwa auf Visitenkarten, Flyern oder Produktverpackungen, sollten außerdem sicherstellen, dass diese nicht manipuliert werden können. Regelmäßige Überprüfungen der verlinkten URLs und die Verwendung von QR-Codes mit eingebetteten Sicherheitsmerkmalen können das Risiko minimieren.

Technische Schutzmaßnahmen gegen Quishing

Neben der Aufmerksamkeit der Nutzer können auch technische Maßnahmen zum Schutz vor QR-Code-Phishing beitragen. Moderne Smartphone-Betriebssysteme zeigen vor dem Öffnen einer URL eine Vorschau an. Nutzer sollten diese Funktion aktivieren und die angezeigte URL sorgfältig prüfen, bevor sie die Seite öffnen.

Für Unternehmen empfiehlt es sich, spezielle QR-Code-Scanner-Apps einzusetzen, die URLs automatisch auf bekannte Phishing-Seiten prüfen. Zudem sollten E-Mail-Filter so konfiguriert werden, dass sie auch QR-Codes in E-Mail-Anhängen erkennen und analysieren können. Viele traditionelle Phishing-Filter erkennen QR-Codes nicht als potenzielle Bedrohung, weshalb hier zusätzliche Schutzmaßnahmen erforderlich sind.

Mitarbeitersensibilisierung als wichtigste Schutzmaßnahme

Die wirksamste Schutzmaßnahme gegen QR-Code-Phishing ist die Sensibilisierung von Mitarbeitern. Im Rahmen regelmäßiger Datenschutz-Schulungen sollten Mitarbeiter über aktuelle Betrugsmaschen informiert und im Umgang mit QR-Codes geschult werden. Dabei sollten folgende Grundregeln vermittelt werden:

• QR-Codes von unbekannten Quellen niemals ohne Überprüfung scannen
• Die angezeigte URL vor dem Öffnen sorgfältig prüfen
• Niemals persönliche Daten oder Zugangsdaten über eine per QR-Code aufgerufene Seite eingeben
• Bei Verdacht auf Manipulation sofort die IT-Abteilung oder den Datenschutzbeauftragten informieren
• Im Zweifelsfall die gewünschte Website manuell über den Browser aufrufen

Rechtliche Konsequenzen für Betrüger

QR-Code-Phishing erfüllt in der Regel mehrere Straftatbestände des deutschen Strafrechts. In Betracht kommen insbesondere Computerbetrug nach § 263a StGB, das Ausspähen von Daten nach § 202a StGB und der Identitätsdiebstahl. Die Strafen reichen von Geldstrafen bis hin zu mehrjährigen Freiheitsstrafen. Betroffene sollten jeden Phishing-Versuch bei der Polizei anzeigen.

QR-Codes und die DSGVO: Was Unternehmen beachten müssen

Unternehmen, die QR-Codes in ihrer Kommunikation einsetzen, müssen verschiedene datenschutzrechtliche Aspekte beachten. Wenn der QR-Code auf eine Webseite verweist, auf der personenbezogene Daten erhoben werden, gelten die allgemeinen Anforderungen der DSGVO. Dazu gehören die Bereitstellung einer Datenschutzerklärung, die Einholung einer wirksamen Einwilligung für Cookies und Tracking-Technologien sowie die Absicherung der Datensicherheit bei der Übertragung und Speicherung.

Besonders relevant ist die Frage der Transparenz. Nutzer, die einen QR-Code scannen, müssen erkennen können, welche Daten erhoben werden und zu welchem Zweck. Die Datenschutzinformation sollte daher leicht zugänglich sein, bevor der Nutzer personenbezogene Daten eingibt. Eine Best Practice ist es, auf der Landingpage, auf die der QR-Code verweist, einen gut sichtbaren Link zur Datenschutzerklärung bereitzustellen.

Aktuelle Trends beim QR-Code-Betrug

Die Methoden der Betrüger werden zunehmend raffinierter. Neben dem einfachen Überkleben von QR-Codes setzen Kriminelle mittlerweile auch auf professionell gestaltete Phishing-Briefe, die kaum von echten Bankschreiben zu unterscheiden sind. In einigen Fällen werden sogar offizielle Briefbögen von Behörden nachgeahmt, um den Empfängern ein Gefühl der Sicherheit zu vermitteln.

Ein weiterer Trend ist der Einsatz von dynamischen QR-Codes, die zunächst auf eine legitime Webseite verweisen und erst nach einiger Zeit auf eine Phishing-Seite umgeleitet werden. Dies macht es für Sicherheitsprüfer schwieriger, den Betrug frühzeitig zu erkennen. Unternehmen sollten daher die URLs ihrer eigenen QR-Codes regelmäßig überprüfen und auf ungewöhnliche Weiterleitungen achten.

Versicherungsschutz bei Phishing-Schäden

Immer mehr Unternehmen schließen Cyber-Versicherungen ab, um sich gegen die finanziellen Folgen von Phishing-Angriffen und anderen Cybervorfällen abzusichern. Eine Cyber-Versicherung kann die Kosten für die Wiederherstellung von Systemen, die Benachrichtigung betroffener Personen, die Beauftragung von Forensik-Experten und gegebenenfalls Schadensersatzzahlungen an Betroffene abdecken.

Allerdings setzen die meisten Versicherungen voraus, dass das Unternehmen angemessene Sicherheitsmaßnahmen implementiert hat. Dazu gehören regelmäßige Mitarbeiterschulungen, aktuelle Anti-Phishing-Software und ein dokumentiertes Incident-Response-Verfahren. Unternehmen ohne diese Grundlagen riskieren, dass die Versicherung im Schadensfall die Leistung verweigert.

Technische Schutzmaßnahmen gegen QR-Code-Manipulation

Unternehmen können verschiedene technische Maßnahmen ergreifen, um ihre eigenen QR-Codes vor Manipulation zu schützen. Dynamische QR-Codes, deren Ziel-URL über ein Dashboard kontrolliert wird, ermöglichen eine schnelle Reaktion bei Verdacht auf Missbrauch. Digitale Signaturen innerhalb des QR-Codes können die Authentizität verifizieren. Zudem sollten Unternehmen ihre QR-Codes mit einem eindeutigen Corporate Design versehen und Kunden darüber informieren, wie sie echte QR-Codes des Unternehmens von Fälschungen unterscheiden können.

Aktuelle QR-Code-Phishing-Methoden und deren Erkennung

Die Methoden der QR-Code-Phisher werden immer ausgefeilter. Neben dem Überkleben legitimer QR-Codes an Parkautomaten und Ladesäulen nutzen Angreifer zunehmend auch gefälschte E-Mails und Briefe mit QR-Codes, die angeblich von Banken, Behörden oder Paketdiensten stammen. Besonders perfide sind QR-Codes in gefälschten Strafzetteln, die an Autoscheiben hinterlegt werden und auf täuschend echte Bezahlseiten weiterleiten.

Meldepflichten und rechtliche Konsequenzen bei QR-Code-Phishing

Wenn ein QR-Code-Phishing-Angriff erfolgreich ist und personenbezogene Daten kompromittiert werden, greifen die Meldepflichten der DSGVO. Gemäß Art. 33 DSGVO muss das betroffene Unternehmen die zuständige Aufsichtsbehörde innerhalb von 72 Stunden über die Datenpanne informieren. Bei einem hohen Risiko für die betroffenen Personen ist zusätzlich eine Benachrichtigung der Betroffenen nach Art. 34 DSGVO erforderlich.

Unternehmen, die QR-Codes für ihre Geschäftsprozesse nutzen — etwa für Zahlungsvorgänge, Speisekarten oder Marketingkampagnen — tragen eine besondere Verantwortung. Sie müssen sicherstellen, dass ihre QR-Codes nicht manipuliert werden können und dass die verlinkten Webseiten durch SSL-Verschlüsselung und aktuelle Sicherheitszertifikate geschützt sind. Eine regelmäßige Überprüfung der hinterlegten URLs und der physischen QR-Code-Aufkleber ist nötig.

Für die interne Organisation empfiehlt sich die Aufnahme von QR-Code-Phishing-Szenarien in die Datenschutz-Schulungen für Mitarbeiter. Besonders Beschäftigte im Kundenservice und in der IT-Abteilung sollten wissen, wie sie manipulierte QR-Codes erkennen und welche Sofortmaßnahmen im Verdachtsfall zu ergreifen sind. Ein dokumentiertes Incident-Response-Verfahren, das auch QR-Code-Phishing als Angriffsvektor berücksichtigt, ist dabei ein zentraler Baustein eines vollständigen Datenschutzkonzepts.

Auch strafrechtlich ist QR-Code-Phishing relevant: Die Täter machen sich unter anderem wegen Computerbetrugs (§ 263a StGB), Ausspähens von Daten (§ 202a StGB) und gegebenenfalls Urkundenfälschung strafbar. Betroffene Unternehmen sollten in jedem Fall Strafanzeige erstatten, um die Strafverfolgung zu unterstützen und ihre eigene Sorgfaltspflicht zu dokumentieren.

Fazit: Wachsamkeit und professioneller Datenschutz

QR-Code-Phishing ist eine wachsende Bedrohung, die sowohl Privatpersonen als auch Unternehmen betrifft. Die Kombination aus technischen Schutzmaßnahmen, Mitarbeitersensibilisierung und einem professionellen Datenschutzmanagement

Die DATUREX GmbH bietet als externer Datenschutzbeauftragter vollständige Unterstützung bei der Implementierung von Schutzmaßnahmen gegen Phishing und andere Cyberbedrohungen. Von der Erstellung interner Richtlinien über die Durchführung von Mitarbeiterschulungen bis hin zur Begleitung bei Datenschutzvorfällen stehen wir Ihnen mit unserer Expertise zur Seite.

Möchten Sie sich zu diesem Thema für Ihr Unternehmen beraten lassen, steht Ihnen unser Team an Experten gerne zur Verfügung.