Ein echter Code ersetzt oder erfunden. Das Ziel bleibt unsichtbar, bis Sie scannen — genau das macht die Methode wirksam.
Ein QR-Code ist eine URL, die Sie nicht lesen können. Diese eine Eigenschaft macht ihn für Betrug nützlich: Sie sehen nur den Code, das Ziel erst, wenn das Telefon es öffnet.
Die häufigste Variante ist ein Aufkleber über einem echten Code — am Parkscheinautomat, am Restauranttisch, am Paketfach, auf einem Plakat.
Wo er auftaucht
- Ein Aufkleber über einem anderen. Achten Sie auf abstehende Ränder, abweichende Farbe oder einen leicht schiefen Code.
- Zahlungsaufforderungen dort, wo sonst per Terminal oder in einer eigenen App gezahlt wird.
- Briefe und Pakete: ein Code auf einer Zahlungsaufforderung, der zu einem Kartenformular führt.
- E-Mails und Nachrichten, wo der Code die Linkprüfung umgeht — der Text enthält gar keinen Link.
- Parken, Ladesäulen und Nahverkehr, wo der Code der einzige offensichtliche Zahlungsweg ist.
Warum es funktioniert
- Das Ziel ist unsichtbar. Es kann eine nachgebaute Domain sein, eine Weiterleitungskette oder eine Seite, die einen zweiten Code lädt.
- Die Vorschau ist nicht überall Standard. Viele Kamera-Apps öffnen den Link sofort.
- Ein PDF oder eine E-Mail mit eingebettetem Code umgeht die Linkprüfung vollständig, weil es keinen Link zu prüfen gibt.
- Die geöffnete Seite hat meist keinen Bezug zu dem Ort, an dem der Code hing.
Wie Sie sicher scannen
- 1Prüfen Sie, ob der Code gedruckt oder aufgeklebt ist. Alles Aufgeklebte kann jemandes Zutat sein.
- 2Nutzen Sie einen Scanner, der die URL anzeigt und auf Ihre Bestätigung wartet, statt sofort zu öffnen.
- 3Lesen Sie die Domain, bevor Sie fortfahren — den Teil direkt vor dem ersten Schrägstrich.
- 4Verlangt ein Code Karte, Passwort oder Zahlung, nutzen Sie die App des Anbieters oder ein Terminal.
- 5Haben Sie bereits gezahlt, rufen Sie heute die Bank an und melden Sie die Karte als kompromittiert.
Häufige Fragen
Kann ein QR-Code etwas auf meinem Telefon installieren?
Der Code selbst nicht. Er enthält einen Link, und ein Link führt nur zu einer Seite oder Datei. Das Risiko ist, was diese Seite zu installieren verlangt — installieren Sie nie etwas, das ein gescannter Code nahelegt.
Der Code öffnete eine Seite, die exakt wie die meiner Bank aussah. Wie?
Eine Anmeldeseite nachzubauen dauert Minuten. Entscheidend ist die Domain in der Adresszeile, nicht das Design.
Ich habe im Restaurant gescannt und es verlangte die Karte fürs Trinkgeld. War das falsch?
Möglicherweise. Ein Code, der direkt zu einem Kartenformular für eine Rechnung führt, die Sie sonst anders zahlen, ist das Muster. Fragen Sie das Personal nach dem Terminal.
Geschrieben von Das BaitScan-Team
Zuletzt aktualisiert 16. September 2026
Ergebnisse sind automatische Risikoeinschätzungen auf Basis öffentlicher Indikatoren und Heuristiken.