# Quishing: Wenn ein aufgeklebter QR-Code am Parkscheinautomaten die Betrugs-SMS ersetzt

> Betrüger setzen statt auf anklickbare Links zunehmend auf QR-Codes: Aufkleber an Parkscheinautomaten, Ladesäulen, gefälschte Briefe. Quishing verstehen und die richtigen Reflexe entwickeln, bevor Sie scannen.

- Source: https://www.envoyer-sms-gratuit.com/de/blog/2026-08-29/arnaque-sms-qr-code-quishing-affiches-parkings
- Published: 2026-08-29 (29. August 2026)
- Author: L'équipe Envoyer SMS Gratuit
- Language: de
- Categories: Guide
- Tags: Cybersécurité, Smartphone, Protection des données, Guide, France 2026, Seniors

---
Sie parken in der Innenstadt. Am Parkscheinautomaten klebt ein sauberer, mittig ausgerichteter Aufkleber mit einem glaubwürdigen Stadtlogo und diesem inzwischen alltäglichen Hinweis: „Parkgebühr bargeldlos bezahlen – einfach scannen". Sie ziehen Ihr Handy hervor, scannen, ein Formular öffnet sich, Sie geben Ihr Kennzeichen und Ihre Bankkarte ein. Dreißig Sekunden, keine App zu installieren. Genau die Handlung, zu der Städte Sie seit Jahren ermutigen.

Nur wurde der Aufkleber in der Nacht zuvor über den echten geklebt.

Kein sichtbarer Link, kein Rechtschreibfehler, kein alarmistischer Ton. Quishing – ein Kunstwort aus *QR-Code* und *Phishing* – hat nichts mit der Droh-SMS zu tun, gegen die wir gelernt haben, uns zu wehren. Es setzt Sie nicht unter Druck: Es erweist Ihnen einen Dienst. Und wer sich unterstützt fühlt, fühlt sich nicht bedroht.

![Nahaufnahme des Gesichts einer Frau, die ein schwarzes Smartphone ans Ohr hält](/images/blog/2026-08-29-arnaque-sms-qr-code-quishing-affiches-parkings/hero.jpg)

## Warum der QR-Code zum blinden Fleck der Wachsamkeit wurde

Seit zehn Jahren beruht die gesamte Aufklärung gegen Phishing auf einer einzigen Fähigkeit: **eine Adresse lesen**. Den überflüssigen Bindestrich erkennen, das `.xyz` statt des `.de`, den Banknamen gefolgt von einem Fremdwort. Cybermalveillance.gouv.fr, die ANSSI oder Bankdienste wiederholen seit Jahren denselben Rat: Prüfen Sie den Link, bevor Sie klicken.

Der QR-Code hebelt diese Fähigkeit mit einem Schlag aus. Ein Quadrat aus schwarzen Pixeln sagt nichts. Man kann es nicht überfliegen, nicht lesen, nicht vergleichen. Man scannt es – das heißt, man schenkt ihm im Voraus Vertrauen.

Drei Faktoren verschärfen die Lage:

- **Die Normalisierung seit 2020.** Restaurantkarten, Ticketing, Ladesäulen, Möbelanleitungen, Produktetiketten: Scannen ist zum Reflex geworden, ohne den geringsten Verdacht.
- **Der Kontextbruch.** Die betrügerische SMS landet in einem Strom (Ihrem Posteingang), in dem andere Nachrichten als Orientierung dienen. Der QR-Code dagegen ist physisch: Er borgt sich die Glaubwürdigkeit des Trägers, auf dem er klebt. Ein Aufkleber auf offiziellem Stadtmobiliar *wirkt* offiziell.
- **Der Wechsel des Bildschirms.** Oft scannen Sie einen Code auf einem Träger im Freien, das Handy auf Armeslänge, in grellem Licht, in Eile. Das ist der denkbar schlechteste Kontext, um eine abgeschnittene Adresszeile aufmerksam zu lesen.

Das klassische Smishing ist nicht verschwunden – die Wellen gefälschter Bank- oder Behörden-SMS, über die die Regionalpresse in den letzten Monaten berichtet hat, belegen das. Aber der QR-Code bietet Betrügern etwas, das die SMS ihnen nicht mehr gibt: **das vollständige Fehlen jedes Filters**. Kein Provider kann einen Aufkleber analysieren.

## Wo man sie in der Praxis findet

Die Meldungen an Verbraucherverbände und Kommunen zeichnen eine recht stabile Geografie.

| Missbrauchter Träger | Vorgeschobener Anlass | Was der Betrüger abgreift |
|---|---|---|
| Parkscheinautomat, Tiefgarage | Bezahlung der Parkgebühr | Bankkarte, Kennzeichen, Identität |
| Ladesäule für E-Autos | Start des Ladevorgangs | Bankkarte, Kontoerstellung |
| Leihfahrräder und -roller | Schnelles Entsperren des Fahrzeugs | Bankdaten |
| Mitfahr-Aushang / Kleinanzeige | Kontakt zum Verkäufer | Zugangsdaten einer Plattform |
| „Offizieller" Papierbrief | Klärung eines Vorgangs, Erstattung | Vollständige personenbezogene Daten |
| Paket mit „Geschenk"-Flyer | Bewertung gegen einen Gutschein | Händlerkonto, verstecktes Abo |
| Café-Terrasse, Restauranttisch | Speisekarte oder Bezahlung der Rechnung | Bankkarte |

Zwei Varianten verdienen besondere Aufmerksamkeit.

**Der gefälschte Behördenbrief.** Einen Brief auf Papier zu erhalten, gilt für viele noch immer als Zeichen von Seriosität. Kampagnen, die öffentliche Einrichtungen imitieren – Krankenkassen, Rentenkassen, Finanzverwaltung –, ersetzen die Webadresse inzwischen durch einen QR-Code, gerade weil sich ein QR-Code leichter fälschen lässt, als sich eine offizielle Website überprüfen lässt. Erinnern wir an den Grundsatz, den Ameli betont: Die Krankenversicherung fragt niemals per Nachricht oder unaufgefordertem Brief nach Bankdaten, um eine Erstattung „freizuschalten".

**Das „Brushing" mit Flyer.** Sie erhalten ein kleines Paket, das Sie nie bestellt haben, mit einer Karte, die ein Geschenk gegen eine Bewertung verspricht. Der QR-Code führt zu einem Formular, das weit mehr abfragt als nötig.

## Was nach dem Scan wirklich passiert

Entgegen einer hartnäckigen Fehlannahme wird ein Handy durch das Scannen eines QR-Codes nicht „gehackt". Der Code enthält nur eine Information: meist eine Webadresse, manchmal eine Rufnummer, ein WLAN-Netz, einen Text oder einen Zahlungsbefehl. Die Gefahr liegt in **dem, was Sie danach tun**.

Drei Szenarien dominieren:

1. **Die Datensammelseite.** Eine sehr überzeugende Kopie einer Zahlungsseite. Sie geben Ihre Karte ein, und sie landet direkt beim Betrüger – oder, noch perfider, sie dient dazu, ein wiederkehrendes Abo von wenigen Euro pro Woche zu bestätigen, bewusst niedrig gehalten, damit es auf dem Kontoauszug unter Ihrer Aufmerksamkeitsschwelle bleibt.
2. **Der ausgelöste Anruf.** Der Code enthält eine kostenpflichtige Sondernummer; das Gerät bietet an anzurufen, und eine Sekunde Unachtsamkeit genügt. Das ist die Wangiri-Masche, übertragen auf den physischen Träger.
3. **Die Installation außerhalb der offiziellen Stores.** Eine Seite fordert Sie auf, eine „Park-App" über eine direkt heruntergeladene Datei zu installieren. Unter Android öffnet die Zustimmung zu einer Installation aus unbekannter Quelle die Tür für Software, die Ihre SMS abfangen kann – und damit Ihre Bank-Bestätigungscodes.

Der dritte Fall ist der gravierendste, weil er aus einem einmaligen Diebstahl einen dauerhaften Zugriff macht. Er ist zugleich der einzige, der mehrere ausdrückliche Bestätigungen von Ihnen verlangt – ebenso viele Momente, in denen Sie noch Nein sagen können.

> Eine einfache Regel zum Merken: Ein legitimer QR-Code verlangt niemals, dass Sie irgendetwas außerhalb des App Store oder des Play Store installieren. Niemals.

## Die sechs Reflexe, die genügen, um durchzukommen

### 1. Anfassen, bevor Sie scannen

Die wirksamste Geste kostet nichts: Fahren Sie mit dem Finger über den QR-Code. Einen darübergeklebten Aufkleber spürt man – leicht abstehender Rand, Dicke, anderer Glanz als der Untergrund, schiefer Winkel, verpixeltes Logo. An einem Parkautomaten oder einer Ladesäule sollten Sie außerdem prüfen, ob der Code teilweise eine Information verdeckt (Seriennummer, Rechtshinweis). Ein offizieller Betreiber überklebt niemals seine eigenen Aufschriften.

### 2. Die Adresse lesen, bevor Sie öffnen

Alle neueren Handys zeigen die URL in einer Vorschau an, bevor die Seite geöffnet wird. Nehmen Sie sich die zwei Sekunden. Entscheidend ist das Wort **unmittelbar vor dem ersten `/`**: Das ist die echte Domain. `paiement.ville-de-lyon.fr/parking` ist plausibel; `ville-de-lyon.paiement-securise-fr.co/parking` ist es überhaupt nicht, auch wenn der Anfang stimmig aussieht.

Wenn Sie den Bildschirm draußen, in praller Sonne oder mit Gleitsichtbrille nur schwer lesen können, ist das kein Komfortdetail: Es ist ein Risikofaktor. Eine [entspiegelte Schutzfolie fürs Smartphone](https://www.amazon.de/s?k=film+antireflet+mat+smartphone+protection+ecran&tag=ds0e9f-21) verbessert die Lesbarkeit bei hellem Licht deutlich und damit indirekt Ihre Fähigkeit, eine Adresse vor dem Klick zu prüfen.

### 3. Die Abkürzung ablehnen, wenn es eine Alternative gibt

Es gibt fast immer einen Weg, der sich nicht manipulieren lässt:

- fürs Parken die offizielle App der Stadt, installiert über den App-Store, oder schlicht Münzen und die in den Automaten eingesteckte Karte;
- bei einer Behörde die manuelle Eingabe der bekannten Adresse (ameli.fr, impots.gouv.fr, agirc-arrco.fr) im Browser;
- bei einer Bank die bereits installierte App, niemals ein zugesandter Link.

Das Prinzip bleibt gleich: **Folgen Sie nie einem Weg, den man Ihnen hinhält; nehmen Sie den, den Sie bereits kennen.**

### 4. Das Bezahlen abschotten

Viele QR-Code-Betrügereien bringen nichts ein, weil die verwendete Karte leer ist. Genau dafür gibt es virtuelle Einmalkarten, die die meisten Banken anbieten, oder eine [aufladbare Prepaid-Karte](https://www.amazon.de/s?k=carte+prepayee+rechargeable&tag=ds0e9f-21), die Zahlungen unterwegs vorbehalten ist – Parken, Laden, Einkäufe von unterwegs. Das Limit begrenzt den Schaden ganz mechanisch, und ein verstecktes Abo kann nicht abbuchen, was nicht da ist.

### 5. Das Gerät im Vorfeld absichern

Zwei Einstellungen, ein für alle Mal:

- unter Android die Berechtigung zur Installation von Apps aus unbekannten Quellen deaktiviert lassen (Einstellungen → Apps → Spezieller Zugriff);
- sowohl auf dem iPhone als auch unter Android den Schutz vor betrügerischen Websites in den Browsereinstellungen aktivieren.

Für alle, die ihr Handy draußen benutzen, oft mit vollen Händen, vermeidet eine [Handyhülle mit integriertem Kartenfach](https://www.amazon.de/s?k=coque+smartphone+porte+carte+integre&tag=ds0e9f-21), dass man auf dem Gehweg gleichzeitig Handy und Geldbörse hervorholt – genau der Kontext, in dem man schnell und unaufmerksam scannt.

### 6. Melden, und zwar immer

Ein betrügerischer Aufkleber bleibt kleben, solange ihn niemand entfernt. Drei sinnvolle Schritte:

- **den falschen QR-Code abziehen**, wenn es sich sichtbar um eine Ergänzung handelt, oder ihn fotografieren;
- **den Betreiber informieren**: Stadtverwaltung, Parkraumbewirtschaftung, Betreiber der Ladesäule, Geschäftsinhaber;
- **die Seite melden** über die Plattform Cybermalveillance.gouv.fr und die zugehörige SMS an die **33700**, wenn dem Scan eine Nachricht vorausging oder folgte.

Falls bereits gezahlt wurde: sofort die Karte sperren lassen, dann Anzeige erstatten. Die europäische Zahlungsdiensterichtlinie (PSD2), in nationales Recht umgesetzt, regelt die Erstattung nicht autorisierter Zahlungsvorgänge: Ihre Bank muss einen Vorgang erstatten, den Sie nicht autorisiert haben, es sei denn, sie weist Ihnen grobe Fahrlässigkeit nach. Deshalb ist es so wichtig, Beweise zu sichern – Foto des Aufklebers, Screenshot der Seite, Zeitstempel.

## Der Sonderfall älterer und besonders gefährdeter Menschen

Quishing trifft besonders Menschen, die spät zum Smartphone gekommen sind. Sie haben oft eine vereinfachte Regel verinnerlicht – „Klick nicht auf Links" –, ohne dass der QR-Code in diese mentale Kategorie fällt. Für viele ist Scannen kein Klicken.

Einige Begleitmaßnahmen, die funktionieren:

- die Regel über das Ziel statt über den Träger formulieren: „Man bezahlt nie über einen Code, der draußen hängt, sondern über eine App, die man selbst installiert hat";
- gemeinsam die zwei oder drei wirklich nützlichen Apps installieren (Parken, Nahverkehr, Bank), damit gar kein Bedarf mehr besteht, irgendetwas zu scannen;
- Schriftgröße und Kontrast erhöhen, damit die Adressvorschau lesbar wird;
- bei einem Elternteil, der Technik strikt ablehnt, eine minimale Nutzung akzeptieren: Ein [Seniorenhandy mit großen Tasten](https://www.amazon.de/s?k=telephone+portable+senior+grosses+touches&tag=ds0e9f-21) ohne Browser verschließt sämtlichen dieser Angriffe die Tür – eine völlig legitime Option.

Ein [allgemein verständliches Buch über Cybersicherheit](https://www.amazon.de/s?k=livre+cybersecurite+grand+public+debutant&tag=ds0e9f-21), auf dem Couchtisch liegen gelassen, wirkt oft mehr als eine zehnminütige mündliche Erklärung: Lesen im eigenen Tempo vermeidet das Gefühl der Bevormundung, das so viele Familiengespräche zu diesem Thema blockiert.

## Woran man einen legitimen QR-Code von einer Falle unterscheidet

| Signal | Legitim | Verdächtig |
|---|---|---|
| Träger | Direkt aufgedruckt, eingraviert, ins Mobiliar integriert | Nachträglicher, überlappender Aufkleber |
| Angezeigte Domain | Name der Einrichtung vor dem ersten `/` | Name der Einrichtung als Subdomain oder mit Bindestrich |
| Abfrage | Betrag, Kennzeichen, Sitzung | Karte + Ausweis + Steuernummer |
| Installation | Verweis auf App Store / Play Store | Direkter Download einer Datei |
| Dringlichkeit | Keine | Countdown, „Angebot 15 Minuten gültig" |
| Alternative | Klassische Zahlung verfügbar | Der QR-Code wird als einziger Weg präsentiert |

Das letzte Kriterium ist vermutlich das aussagekräftigste. Eine Institution schafft niemals alle anderen Kanäle ab. Wenn ein Träger Ihnen erklärt, der Scan sei der einzig mögliche Weg, will man Sie daran hindern, anderswo nachzuprüfen.

## Der Kern des Problems ist nicht technischer Natur

Quishing beruht auf keiner informatischen Meisterleistung. Es beruht auf einer kollektiven Gewohnheit, die sich in wenigen Jahren eingeschlichen hat: einem physischen Träger zu vertrauen, weil er da ist, sichtbar, im öffentlichen Raum. Wir haben gelernt, misstrauisch zu sein gegenüber dem, was ungefragt auf unserem Bildschirm landet – SMS, E-Mails, Anrufe –, aber nicht gegenüber dem, was auf einer Säule an der Straße klebt.

Die gute Nachricht: Die Gegenwehr verlangt weniger Aufwand als bei der Betrugs-SMS. Ein per Nachricht erhaltener Link muss in einer Sekunde gedanklich analysiert werden. Einen QR-Code dagegen kann man mit dem Finger ertasten. Der zuverlässigste Test gegen diese Masche des Jahres 2026 ist zugleich der älteste der Welt: mit der Hand prüfen, ob etwas über etwas anderes geklebt wurde.

Und wenn Sie einen Angehörigen schnell vor einer in Ihrem Viertel entdeckten Masche warnen wollen, bleibt eine kurze, klare Nachricht das wirksamste Mittel – weit mehr als eine lange Sprachnachricht oder ein unleserlicher Screenshot. Ein Satz, ein Ort, ein Rat. Oft ist es genau das, was gefehlt hat, um den Scan zu viel zu verhindern.

{/* image-sources: https://images.pexels.com/photos/6964158/pexels-photo-6964158.jpeg?auto=compress&cs=tinysrgb&dpr=2&h=650&w=940 */}