Quishing: Was ist QR-Code-Phishing?
Beim QR-Code-Phishing oder Quishing locken Cyberkriminelle, Nutzer:innen über einen QR-Code auf eine gefälschte Website, um an ihre Zugangsdaten oder Kreditkarteninformationen zu gelangen oder Schadsoftware zu verbreiten.
Die Betrüger:innen positionieren die Phishing-QR-Codes an Orten, an denen Nutzer:innen auch sonst einen QR-Code erwarten würden.
Typische Beispiele:
- Parkautomaten
- Parkuhren
- Ladestationen für Elektroautos
- Tankstellen
- Geldautomaten
- Spendenplakate
- Schaufenster
- Restaurants
- Briefe oder Post-Abholeinladungen in Briefkästen
Eine weitere Betrugsmasche mit QR-Codes ist die Manipulation von QR-Rechnungen, damit das Opfer den Rechnungsbetrag auf ein falsches Konto überweist, in der Annahme eine legitime Forderung zu begleichen. Dieses Vorgehen wird auch «Diversion Theft» oder «Umleitungsbetrug» genannt. Es ist streng genommen keine Form von Phishing, da keine Daten abgefischt werden.
Aufgeklebte QR-Codes an Parkuhren (Juli 2026): In der Stadt Zug kleben Betrüger:innen Phishing-QR-Codes auf Parkuhren neben den Münzeinwurf. Die Phishing-QR-Codes führen zu einer täuschend echt aussehenden Zahlungsseite, wo die Zahlungsdaten der Nutzer:innen abgegriffen werden.
Gefälschte Post-Abholeinladungen (Juni 2026): In der Westschweiz deponieren Betrüger:innen im Namen der Schweizerischen Post gefälschte Abholeinladungen (Avis de passage) in Briefkästen. Der aufgedruckte QR-Code führt zu einer gefälschten Post-Website. Dort werden persönliche Daten abgefragt und schliesslich bei der Bezahlung einer angeblich offenen Gebühr von 2,10 Franken auch Kreditkartendaten abgegriffen.
WhatsApp-Übernahme per QR-Code (Mai 2026): Die Opfer werden vermeintlich von einem bekannten Kontakt aufgefordert, bei einem Wettbewerb für dessen Kind abzustimmen. Wer dem Link auf die betrügerische Website folgt und dort einen Verifizierungscode eingibt oder einen QR-Code scannt, verliert den Zugriff auf das eigene WhatsApp-Konto.
QR-Codes in Firmen-Mails (seit 2025): Betrügber:innen versenden zum Beispiel im Namen von Microsoft 365 oder DocuSign E-Mails mit der dringenden Aufforderung, ein Dokument über eine Plattform wie DocuSign zu signieren. Der darin enthaltene QR-Code führt auf gefälschte Anmeldeportale von Microsoft 365, internen Netzwerken oder Finanzdienstleister:Iinnen.
Gefälschte Rechnungs-E-Mails mit QR-Code (August 2022): Betrüger:innen versenden im Namen von Sunrise täuschend echt aussehende E-Mails mit einer gefälschten Rechnung und einem QR-Code. Wer den QR-Code scannt oder auf den Link klickt, gelangt zu einer gefälschten Zahlungsseite.
Gefälschte QR-Code-Rechnung (Januar 2023): Das Bundesamt für Cybersicherheit (BACS) warnt vor gefälschten Geschäfts-E-Mails mit manipulierten QR-Code-Rechnungen. In diesen E-Mails informieren Betrüger:innen ihre potenziellen Opfer darüber, dass sich das Empfängerkonto angeblich geändert habe.
Mit der Cyberversicherung der Mobiliar sind Sie auf der sicheren Seite
Die Cyberversicherung der Mobiliar ist für Sie da, wenn Sie Opfer von Quishing werden. Erfahren Sie mehr zur Cyberversicherung oder berechnen Sie direkt und unverbindlich Ihre Versicherungsprämie. Entscheiden Sie danach in aller Ruhe.
Wie kann ich Quishing und QR-Code-Betrug erkennen und mich davor schützen?
Wenn Sie einen QR-Code mit der Kamera Ihres Smartphones scannen, wird zunächst die URL der Zielseite angezeigt. Prüfen Sie vor dem Öffnen der Zielseite zuerst, ob diese URL mit der Organisation übereinstimmt, von der Sie den QR-Code erhalten haben. Achten Sie dabei auf folgende Merkmale:
- Der Name der Organisation ist am Anfang des Links enthalten.
Name der Organisation: «Parkingpay»; korrekt: «parkingpay.ch», fake: «parking-bezahlen-zug.ch»
- Der Name der Organisation ist korrekt geschrieben und steht unmittelbar vor der Domainendung.
Name der Organisation: «Schweizerische Post»; korrekt: «post.ch», fake: «p0st.ch», fake: «post-ch-paket.info»
- Nach dem Namen der Organisation steht die Domainendung «.ch», «.com» oder «.swiss» (trifft nicht in jedem Fall zu).
Häufige Domainendungen gefälschter Websites: «.top», «.xyz», «.cc», «.info», «.online» oder «.net»
Geben Sie Ihre Zugangsdaten und Kreditkarteninformationen nicht auf einer Zielseite ein, die Sie über einen QR-Code geöffnet haben. Verwenden Sie stattdessen die offizielle App der Organisation oder geben Sie die Adresse der Organisation direkt in Ihren Internetbrowser ein.
Scannen Sie Twint-QR-Codes nur mit der Twint-App. Das gilt besonders dann, wenn Sie von einem Aufkleber dazu aufgefordert werden, einen angeblichen Twint-QR-Code mit der Kamera-App zu scannen. Geben Sie Ihre Twint-Zugangsdaten generell nicht ausserhalb Ihrer Twint-App ein. Mehr zu Betrug mit Twint
Melden Sie betrügerische QR-Codes im öffentlichen Raum der lokalen Polizei, QR-Codes im privaten Raum der jeweils verantwortlichen Organisation und Phishing-E-Mails dem Bundesamt für Cybersicherheit (BACS).
Fragen & Antworten
1. Lassen Sie den betroffenen Service sperren.
A. Kreditkartendaten: Lassen Sie die betroffene Karte umgehend über die auf der Rückseite angegebene Notfallnummer sperren.
B. E-Banking-Login: Sperren Sie das betroffene Konto umgehend über die Hotline Ihres Finanzinstituts.
C. Twint-Login: Sperren Sie Ihren Twint-Account umgehend über die Hotline Ihrer Twint-Herausgeberbank.
Wichtig: Informieren Sie Ihr Finanzinstitut auch dann telefonisch, wenn Sie Ihre Kreditkarte, Ihr E-Banking-Konto oder Ihren Twint-Account auf einem anderen Weg sperren konnten. Die Bank sollte möglichst zeitnah über den Vorfall und etwaige betrügerische Überweisungen informiert werden.
D. Software installiert: Trennen Sie umgehend die Internetverbindung des Geräts. Lassen Sie die Schadsoftware von einer spezialisierten IT-Dienstleisterin von Ihrem Gerät entfernen.
2. Melden Sie den Vorfall dem Bundesamt für Cybersicherheit.
3. Wenn ein finanzieller Schaden entstanden ist, zeigen Sie das Cyberdelikt bei der Polizei an.
4. Wenn Sie versichert sind, melden Sie den Schaden Ihrer Cyberversicherung bei der Mobiliar.
Das reine Scannen eines Phishing-QR-Codes ist meistens harmlos. Gefährlich wird es erst, wenn Sie auf der Zielseite Daten eingeben, etwas bestätigen oder etwas installieren.
Wenn Sie eine dieser Aktionen bereits ausgeführt haben, befolgen Sie die Schritte in der letzten Antwort. Wenn nicht, schliessen Sie einfach die Seite – ohne etwas einzugeben, etwas zu bestätigen oder etwas herunterzuladen.
Die eingebaute Kamera-App von Android oder iOS ist ausreichend und sicher, da sie die Ziel-URL vor dem Öffnen anzeigt, sodass Sie diese prüfen können. Zusätzliche Scanner-Apps aus dem Store bieten dagegen kaum Mehrwert und können Werbung oder Tracking-Funktionen enthalten. Entscheidend ist also nicht die App, sondern dass Sie die URL vor dem Antippen kontrollieren.
Wenn der Schaden nicht durch das betroffene Finanzinstitut gedeckt ist und es dem Rechtsschutz nicht gelingt, das Geld zurückzuholen, prüft die Cyberversicherung der Mobiliar eine Auszahlung von bis zu 20 000 Franken.
Quishing oder QR-Code-Phishing ist eine bestimmte Form des Phishing, bei der das Opfer über einen QR-Code auf eine gefälschte Website gelockt wird. Beim klassischen Phishing gelangt das Opfer hingegen meist über einen «normalen Link» in einer Nachricht auf eine gefälschte Website.
