BSI warnt vor neuer Welle von QR-Code-Betrug

Das Bundesamt für Sicherheit in der Informationstechnik warnt vor einer neuen, hochprofessionellen Welle von QR-Code-Betrug. Kriminelle nutzen KI für täuschend echte Nachrichten und greifen sensible Daten ab.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt eindringlich vor einer neuen, hochprofessionellen Welle von QR-Code-Betrug. Kriminelle nutzen dabei Künstliche Intelligenz, um täuschend echte Nachrichten zu erstellen und sensible Daten abzugreifen. Die Angriffe haben längst den öffentlichen Raum erreicht.

KI perfektioniert die "Quishing"-Masche

Die aktuelle Betrugswelle unterscheidet sich deutlich von früheren Versuchen. Angreifer nutzen generative KI, um fehlerfreie und professionell gestaltete Nachrichten zu erstellen. Typische Warnsignale wie Rechtschreibfehler fallen damit weg.

Anzeige

Millionen Deutsche nutzen täglich Online-Banking per Smartphone – doch durch neue Maschen wie "Quishing" riskieren Nutzer ohne speziellen Schutz massiven Datenverlust. Dieser kostenlose Ratgeber zeigt Ihnen, wie Sie Ihr Gerät mit 5 einfachen Maßnahmen effektiv absichern. 5 sofort umsetzbare Schutzmaßnahmen entdecken

Ein QR-Code wird von vielen Sicherheitsfiltern nur als Bild erkannt. Der darin eingebettete Link entgeht so oft der tiefgreifenden Analyse. Die gefährlichen Nachrichten landen direkt im Posteingang. Zudem zielen die Angriffe verstärkt auf Smartphones. Auf den kleinen Bildschirmen fallen Unstimmigkeiten in der URL seltener auf.

Gefälschte Codes an Parkscheinautomaten und im Briefkasten

Betrüger verlagern ihre Aktivitäten zunehmend in den physischen Alltag. Manipulierte QR-Codes tauchen immer häufiger an öffentlichen Parkscheinautomaten und E-Ladesäulen auf. Die Täter überkleben originale Codes mit eigenen Stickern.

Werden diese gescannt, landet das Opfer auf einer gefälschten Bezahlseite. Dort eingegebene Kreditkartendaten werden sofort abgegriffen. Auch der Briefkasten ist kein sicherer Ort mehr. In mehreren Regionen kursieren gefälschte Briefe im Namen bekannter Banken.

Diese Schreiben fordern unter Vorwänden wie einer Kontoverifizierung zum Scannen eines QR-Codes auf. Optisch sind sie kaum von echter Bankpost zu unterscheiden. Eine ähnliche Masche läuft bei gefälschten Paketbenachrichtigungen.

Hunderttausende Verdachtsfälle in nur einem Bundesland

Das Ausmaß der Welle ist alarmierend. Allein in Nordrhein-Westfalen verzeichnete das Phishing-Radar der Verbraucherzentralen im vergangenen Jahr über 382.000 Verdachtsfälle. Sicherheitsexperten von Kaspersky beobachteten zudem eine Verfünffachung schädlicher QR-Codes innerhalb weniger Monate.

Internationale Analysen stützen diese Entwicklung. Schätzungen zufolge haben bereits über zwei Drittel der Smartphone-Nutzer mindestens einmal einen QR-Code gescannt, ohne die Quelle zu prüfen. Die Dunkelziffer ist hoch, denn viele Betroffene bemerken den Betrug erst bei unbefugten Abbuchungen.

Oft wird aus Scham auf eine Anzeige verzichtet. Das ermöglicht es den Tätern, ihre Infrastruktur lange aufrechtzuerhalten.

Anzeige

Da Kriminelle Ihr Smartphone immer häufiger als Einfallstor für WhatsApp, PayPal und Co. nutzen, empfehlen IT-Experten dringend eine proaktive Absicherung. In diesem gratis PDF-Leitfaden erfahren Sie, wie Sie Ihr Android-Smartphone in wenigen Minuten gegen Hacker-Angriffe wappnen. Kostenlosen Sicherheits-Ratgeber herunterladen

So schützen Sie sich vor manipulierten QR-Codes

Das BSI und die Polizei empfehlen klare Schutzmaßnahmen. Behandeln Sie jeden QR-Code mit der gleichen Skepsis wie einen Link in einer unaufgeforderten E-Mail. Prüfen Sie vor dem Öffnen die angezeigte URL in der Vorschau Ihrer Kamera-App. Achten Sie auf Buchstabendreher oder ungewöhnliche Endungen.

Nutzen Sie spezielle Sicherheits-Apps oder QR-Code-Scanner mit integrierter Web-Prüfung. Diese Programme analysieren den Link vor dem Aufruf und warnen vor bekannten Phishing-Seiten. Im öffentlichen Raum laden Sie Apps wie EasyPark besser direkt aus den offiziellen App-Stores, statt einen aufgeklebten Code zu scannen.

Sind Sie Opfer geworden, sperren Sie sofort die betroffenen Konten und Kreditkarten. Erstatten Sie umgehend Anzeige bei der Polizei.

Warum die Masche jetzt so erfolgreich ist

Die rasante Verbreitung von "Quishing" ist ein direktes Resultat veränderter Gewohnheiten. Während der Pandemie wurden QR-Codes zur Normalität – für Speisekarten, Check-ins oder Informationsabrufe. Diese antrainierte Routine machen sich Kriminelle nun zunutze.

Quishing bietet eine zusätzliche psychologische Komponente: Ein gedruckter Code wirkt auf viele vertrauenswürgiger als eine rein digitale Nachricht. Die Hemmschwelle beim Scannen ist niedriger als beim Klicken auf einen Link.

Die Integration von KI in Betrugsmaschen macht es für Laien nahezu unmöglich, Fälschungen anhand sprachlicher Merkmale zu erkennen. Die technische Aufrüstung der Täter zwingt zu neuen Erkennungsmechanismen, die über reine Textanalyse hinausgehen.