Wie Sie Quishing (QR-Code-Betrug) erkennen sich schützen

Die Betrüger platzieren gefälschte QR-Codes an physischen Orten (z.B. auf Parkuhren oder Menükarten) oder versenden sie digital per E-Mail oder Post.

Sie scannen einen QR-Code mit Ihrem Smartphone und gehen davon aus, eine legitime Website oder Dienstleistung aufzurufen. Tatsächlich führt der Code jedoch auf eine täuschend echte, manipulierte Internetseite.

Auf der manipulierten Internetseite werden Sie häufig unter dem Vorwand besonderer Dringlichkeit dazu aufgefordert, sensible Daten wie Passwörter, E-Banking-Zugangsdaten oder Kreditkarteninformationen einzugeben.

Die Betrüger fangen die von Ihnen eingegebenen Daten in Echtzeit ab und nutzen diese für unberechtigte Geldabzüge oder Identitätsdiebstahl.

Handelt es sich um einen physischen QR-Code, z.B. auf einer Parkuhr, prüfen Sie, ob der Original-QR-Code überklebt wurde. Nutzen Sie zudem die Link-Vorschau Ihres Smartphones und prüfen Sie die angezeigte Internetadresse sorgfältig, bevor Sie auf den Link klicken.

Lassen Sie sich nicht unter Zeitdruck setzen und geben Sie sensible Daten wie Passwörter oder Zahlungsinformationen nur ein, wenn Sie sicher sind, dass die Website echt ist.

So prüfen Sie, ob eine URL echt ist:

1. Kopieren Sie die URL der verdächtigen Internetseite. 
2. Rufen Sie anschliessend die Seite https://www.ibarry.ch/de/sicherheits-checks/check-a-website/ auf und fügen Sie dort die kopierte URL ein.
3. Klicken Sie auf "URL prüfen". 
4. Sie erhalten umgehend eine Einschätzung darüber, ob die Seite vertrauenswürdig ist oder nicht.

Bei Zweifeln an der Echtheit eines QR-Codes, einer E-Mail oder einer Internetseite, rufen Sie unbedingt Ihre Bank oder das Unternehmen direkt an um die Echtheit bestätigen zu lassen. Verwenden Sie hierfür die Kontaktangaben auf den offiziellen Seiten der Banken und Unternehmen und nicht die Kontaktdaten aus einer E-Mail oder einer über eine E-Mail aufgerufene Seite.

Richten Sie für Ihre Onlinekonten generell eine 2-Faktor-Authentifizierung ein. Diese ergänzt eine einfache Passwort-Eingabe um eine weitere Sicherheitsmassnahme, z.B. die Eingabe einer durch den Anbieter übermittelten Geheimzahl.

Noch sicherer als die 2-Faktor-Authentifizierung sind Passkeys. Diese ersetzen klassische Passwörter durch Fingerabdruck, Gesichtserkennung oder Geräteauthentifizierung. Selbst wenn Betrüger Sie auf eine gefälschte Webseite locken, können Passkeys nicht einfach weitergegeben werden. Hier erfahren Sie mehr zu Passkeys.

Stellen Sie sicher, dass Ihr Betriebssystem auf Ihrem PC sowie die Apps auf Ihrem Mobiltelefon stets auf dem neusten Stand sind. Dies hilft dabei Sicherheitslücken zu schliessen.

Quishing ist eine spezielle Form von Phishing. Der wichtigste Unterschied: Bei Quishing sehen Sie die eigentliche Internetadresse oft erst nach dem Scannen des QR-Codes. Die bekannte Regel «erst prüfen, dann klicken» funktioniert deshalb nur eingeschränkt.

Im Alltag gibt es drei wesentliche Unterschiede:

1. Die Internetadresse steckt in einem Bild (QR-Code) und ist für viele Spam- und Sicherheitsfilter schwerer erkennbar.
2. Das Gerät wechselt häufig vom Computer oder Brief auf das private Smartphone, wo Nutzer oft weniger aufmerksam sind.
3. Der Betrug funktioniert auch offline, beispielsweise über Briefe, Parkuhren, Prospekte oder Aufkleber im öffentlichen Raum.

Dadurch wirkt Quishing oft vertrauenswürdiger als klassische Phishing-E-Mails und wird von vielen Menschen zunächst nicht als Betrugsversuch erkannt.

Das Scannen eines QR-Codes schadet normalerweise nicht. Ein QR-Code ist kein Programm, sondern enthält lediglich Informationen, die Ihr Smartphone lesen und anzeigen kann.

Gefährlich wird es meist erst danach, wenn Sie auf einer Website persönliche Daten eingeben, eine Zahlung freigeben oder eine App installieren. Genau darauf zielen Quishing-Angriffe ab. Sie sollen dazu gebracht werden, Passwörter, Kreditkartendaten, Zugangsdaten oder Bestätigungscodes preiszugeben.

Besondere Vorsicht ist geboten, wenn nach dem Scan sofort eine Website geöffnet wird, Zahlungsdaten verlangt werden oder Sie eine App ausserhalb des offiziellen App Stores installieren sollen. In diesen Fällen sollten Sie den Vorgang sofort abbrechen.

Faustregel: Nicht das Scannen ist das Problem, sondern was Sie danach tun.

Banken und Kartenanbieter prüfen nach einem Quishing-Vorfall, wie der Schaden entstanden ist und ob die geltenden Sorgfaltspflichten eingehalten wurden. Einen automatischen Anspruch auf Rückerstattung gibt es nicht.

Haben Sie Ihre Daten auf einer gefälschten Website eingegeben oder eine Zahlung selbst freigegeben, wird von den Finanzinstituten individuell geprüft, ob und in welchem Umfang eine Erstattung möglich ist. Viele Institute leisten in bestimmten Fällen freiwillige Kulanzzahlungen.

Der TCS Cyber-Schutzbrief schliesst diese Lücke. Er deckt Vermögensschäden bis 5'000 Franken pro Fall, Betrug beim Onlinekauf bis 1'000 Franken sowie Gerichtskosten bis 300'000 Franken.

Ja. Laut unserem Partner Bolttech führten rund 84 % der gemeldeten Cybervorfälle zu einem tatsächlichen finanziellen Schaden. Zusätzlich zum Geldverlust drohen Kontoübernahmen und weiterer Identitätsmissbrauch.

Wichtig: Stoppen Sie zuerst den möglichen Geldfluss und sichern Sie danach Ihre Zugänge.

Gehen Sie in dieser Reihenfolge vor:

1. Sperren Sie betroffene Kreditkarten oder Konten sofort.
2. Kontaktieren Sie Ihre Bank oder TWINT, damit verdächtige Zahlungen gestoppt werden können.
3. Ändern Sie anschliessend Ihre Passwörter von einem sicheren Gerät aus.
4. Melden Sie alle aktiven Sitzungen und Geräte ab.
5. Sichern Sie Beweise wie Fotos des Briefs, Screenshots oder die Internetadresse der Website.
6. Melden Sie den Vorfall dem Bundesamt für Cybersicherheit (BACS) und bei Bedarf der Polizei.

Viele Betroffene verlieren wertvolle Zeit, weil sie sich schämen oder versuchen, den Vorfall zunächst selbst zu lösen. Entscheidend ist jedoch nicht, warum es passiert ist, sondern wie schnell Sie reagieren.

Mit dem TCS Cyber-Schutzbrief begleitet Sie im Ernstfall ein persönlicher Case Manager durch die nächsten Schritte.

Einen gefälschten QR-Code erkennen Sie oft nicht auf den ersten Blick. Deshalb sollten Sie nicht nur schauen, sondern auch prüfen.

Achten Sie insbesondere auf folgende Warnsignale:

• Der QR-Code ist als Aufkleber angebracht und nicht direkt aufgedruckt oder eingraviert.
• Der Aufkleber weist Kanten, Luftblasen oder abstehende Ecken auf.
• Auf dem Gerät befinden sich mehrere QR-Codes.
• Nach dem Scannen öffnet sich eine unerwartete Website.
• Die angezeigte Internetadresse passt nicht zum Betreiber der Parkuhr oder Ladestation.

Können Sie nicht eindeutig erkennen, wer die Zahlung empfängt, sollten Sie den Vorgang sofort abbrechen.

Ja, auch QR-Rechnungen können gefälscht oder mit manipulierten Zahlungsdaten versehen werden.

Eine echte Schweizer QR-Rechnung enthält das Schweizerkreuz in der Mitte des QR-Codes und weist die Zahlungsinformationen zusätzlich als lesbaren Text aus. Vergleichen Sie deshalb immer Empfänger, IBAN und Rechnungsbetrag mit den Angaben des Absenders.

Ein wichtiger Unterschied: Eine Schweizer QR-Rechnung enthält Zahlungsinformationen und keine Internetadresse. Führt ein QR-Code auf eine Website, handelt es sich nicht um eine QR-Rechnung.

Scannen Sie QR-Rechnungen grundsätzlich nur mit Ihrer Banking-App oder mit TWINT und prüfen Sie vor der Freigabe nochmals die angezeigten Zahlungsdaten.

Nein. Eine TWINT-Zahlung kann nicht ohne Ihre ausdrückliche Freigabe ausgelöst werden.

Die Gefahr liegt deshalb nicht in einer automatischen Abbuchung, sondern darin, dass Sie eine Zahlung selbst bestätigen, weil Sie glauben, die Aufforderung stamme von einer vertrauenswürdigen Person oder Organisation.

Prüfen Sie daher immer, wem das Geld überwiesen wird und weshalb die Zahlung verlangt wird. Besonders vorsichtig sollten Sie sein, wenn Sie über einen QR-Code oder einen Link zu einer Zahlung aufgefordert werden.

Merksatz: TWINT schützt Sie vor unbemerkten Abbuchungen, nicht vor einer Zahlung, die Sie selbst aufgrund einer Täuschung freigeben.

Der TCS unterstützt Sie sowohl vor als auch nach einem Quishing- oder anderen Cyberangriffen. Ziel ist es, Cybervorfälle möglichst früh zu erkennen und Betroffene im Ernstfall nicht allein zu lassen.

Besitzen Sie den TCS Cyber-Schutzbrief, können Sie sich bei einem Verdachtsfall rund um die Uhr an unsere Case Manager wenden. 

Mit TCS IDProtect werden Sie zudem informiert, wenn persönliche Daten wie E-Mail-Adressen oder Telefonnummern nach einem Datenleck im Internet auftauchen.

Für nützliche Tipps wie Sie sich vor Cyberkriminalität schützen können, halten wir Sie mit unseren Ratgebern auf dem Laufenden.

Nach einem Vorfall erhalten Sie Unterstützung genau dann, wenn schnelle Hilfe wichtig ist. Mit dem TCS Cyber-Schutzbrief erreichen Sie rund um die Uhr unsere Notfall-Hotline. Auch hier unterstützt Sie ein persönlicher Case Manager und begleitet Sie durch die nächsten Schritte und koordiniert bei Bedarf technische, rechtliche und finanzielle Unterstützung.