Ein QR-Code ist nur ein Bild mit einer Adresse. Er selbst ist harmlos. Gefährlich ist, wohin er führt. Wenn Betrüger gefälschte Codes verteilen, spricht man von Quishing, einer Mischung aus QR-Code und Phishing.
Wie Quishing funktioniert
Ein Code führt auf eine nachgebaute Seite einer Bank, eines Paketdienstes oder eines Parkhauses und fragt nach Zugangs- oder Zahlungsdaten. Typisch sind Aufkleber, die über einen echten Code geklebt werden, sowie Briefe und Mails mit „dringenden“ Codes. Auf dem Telefon sieht die Seite täuschend echt aus, und die Adresse ist klein.
Warum Betrüger QR-Codes mögen
Man sieht dem Bild nicht an, wohin es führt. Mail-Filter prüfen Links, aber kaum den Inhalt eines Bildes. Und auf dem Telefon ist die Adresszeile klein, sodass Fälschungen weniger auffallen als am Computer.
So scannen Sie sicher
- Lesen Sie die Vorschau: Die Kamera zeigt die Adresse an, bevor Sie sie öffnen. Prüfen Sie sie.
- Achten Sie auf die Domain: Tippfehler, fremde Endungen und sehr lange Adressen sind Warnzeichen.
- Geben Sie nach einem Scan keine Passwörter oder Kartendaten ein, wenn Sie den Vorgang nicht selbst gestartet haben.
- Prüfen Sie Aufkleber im öffentlichen Raum, etwa am Parkautomaten oder an der Ladesäule: Ist der Code überklebt?
- Öffnen Sie Ihre Bank über die offizielle App oder tippen Sie die Adresse selbst ein.
So schützen Sie Ihre eigenen Codes
- Führen Sie auf eine erkennbare Adresse. Bei Diviq ist das www.diviq.ch oder, im White-Label-Plan, Ihre eigene Domain. Beides schafft Vertrauen.
- Meiden Sie unbekannte Kurzlink-Dienste. Läuft eine solche Adresse ab, kann sie von Dritten übernommen werden, und Ihr gedruckter Code führt dann zu fremden Inhalten.
- Kontrollieren Sie öffentlich aufgehängte Codes regelmässig und prüfen Sie, ob jemand etwas überklebt hat. Ein Aufkleber hinter Glas ist schwerer zu fälschen.
- Schreiben Sie neben den Code, was ihn erwartet. Ein klarer Hinweis macht Fälschungen leichter erkennbar.
- Legen Sie keine Zahlungs- oder Login-Seite hinter einen öffentlichen Marketing-Code.
Was tun bei Verdacht?
- Schliessen Sie die Seite, ohne etwas einzugeben.
- Haben Sie Daten eingegeben, ändern Sie die Passwörter und informieren Sie Ihre Bank.
- Melden Sie den Vorfall der Meldestelle für Cybersicherheit des Bundes.
Und bei Diviq?
Hinter jedem Diviq-Code steht Ihr eigenes Profil unter einer www.diviq.ch-Adresse oder Ihrer eigenen Domain, mit Kontakt, Links und Dateien. Ein Zahlungs- oder Login-Formular gehört nicht dazu. Weil der Code dynamisch ist, können Sie das Ziel jederzeit prüfen und ändern. Weitere Fehler, die Sie bei Ihren Codes vermeiden sollten, stehen in Die 7 häufigsten Fehler bei QR-Codes.