QR-Codes sicher prüfen: Zieladresse, Zahlungsaufforderung und Gerätefreigabe

Ein QR-Code ist zunächst eine Darstellung von Daten, kein Gütesiegel. Interessant ist deshalb nicht nur, wo er hängt, sondern was dein Gerät nach dem Scannen tun soll: eine Website öffnen, eine Zahlung vorbereiten oder ein weiteres Gerät verknüpfen. Diese drei Situationen verdienen unterschiedliche Prüfungen. Phishing über QR-Codes wird auch «Quishing» genannt.

Vor dem Öffnen: passt das Ziel zum Anlass?

Lass dir die Zieladresse anzeigen, sofern deine Kamera oder App eine Vorschau bietet. Schau auf den tatsächlichen Hostnamen, nicht nur auf ein Logo oder vertraute Wörter irgendwo im Link. Die US-Verbraucherschutzbehörde FTC warnt unter anderem vor überklebten Codes an Parkautomaten und unerwarteten Nachrichten, die mit Zeitdruck zum Scannen drängen. Wenn du den Anbieter nicht sicher zuordnen kannst, nutze seine bekannte App oder eine unabhängig aufgerufene Website.

Eine ungefährliche Leseübung

Die folgenden Adressen sind absichtlich nicht verlinkte Modellbeispiele mit reservierten .example-Domains. Sie gehören nicht zu echten Zahlungsdiensten. In diesen vereinfachten Beispielen steht der Host zwischen «https://» und dem nächsten Schrägstrich. Das ist keine allgemeingültige Zerlegeregel: Adressen können zusätzlich etwa Benutzerinformationen vor einem @ oder eine Portnummer enthalten. Bei einer unklaren oder gekürzten Vorschau nutze die bekannte Anbieter-App, statt den Link auf Verdacht zu öffnen.

Modelladresse	Tatsächlicher Host	Einordnung
https://parken.example/bezahlen	parken.example	Die Adresse wäre passend, wenn genau dieser Host vorher unabhängig bestätigt wurde.
https://parken.example.fremd.example/	parken.example.fremd.example	Das vertraute Wort am Anfang macht daraus nicht parken.example.
https://fremd.example/parken.example	fremd.example	Der Text hinter dem Schrägstrich gehört zum Pfad, nicht zum Host.

Das Erkennen des Hosts beweist noch keine Vertrauenswürdigkeit. Auch eine korrekt geschriebene Adresse kann unbekannt oder eine Website kompromittiert sein. Und HTTPS allein ist kein Gütesiegel. Die Übung hilft lediglich, eine bestimmte Art von Verwechslung zu vermeiden.

Drei Situationen, drei Abbruchpunkte

Am Parkplatz: Prüfe Betreiber, Parkzone und Zieladresse. Vergleiche vor der Freigabe in der Zahlungs-App zusätzlich Empfänger und Betrag mit der erwarteten Parkgebühr. Bei einer Abweichung brich ab und nutze eine am Standort bestätigte Alternative. Das BACS dokumentierte am 29. Oktober 2024 überklebte Codes an Schweizer Parkplätzen, bei denen eine scheinbare Parkzahlung zu wesentlich höheren Abbuchungen führte. Ein unbekannter zweiter Zahlungsversuch ist kein Grund, nochmals zu bestätigen.

In einer unerwarteten Nachricht oder einem Brief: Öffne den betroffenen Dienst unabhängig. Bei einer Paketbenachrichtigung gibst du die Sendungsnummer selbst in der offiziellen Post-App oder Sendungsverfolgung ein. Das BACS berichtete am 16. Juni 2026 über gefälschte Abholungseinladungen in Schweizer Briefkästen: Auch Papier und ein bekanntes Logo sind kein Echtheitsnachweis. Kläre einen unbestätigten Vorgang über einen bekannten Kontaktweg und gib keine Zugangsdaten auf der unbekannten Zielseite ein.

Beim Verknüpfen eines Geräts: Lies die Aktion im Bestätigungsdialog. Bei Signal kann ein in der App gescannter Kopplungscode ein weiteres Gerät mit deinem Konto verbinden. Das ist etwas anderes als das Öffnen einer Infoseite. Bestätige nur eine Verknüpfung, die du selbst am vorgesehenen eigenen Gerät begonnen hast.

Schon geöffnet – was jetzt?

Notiere zuerst, was tatsächlich passiert ist: nur geöffnet, Daten eingegeben, bezahlt, eine Datei installiert oder eine Geräteverknüpfung bestätigt? Diese Unterscheidung ist nützlicher als die pauschale Vermutung, das ganze Handy sei übernommen. Schliesse die verdächtige Seite und führe keine weiteren verlangten Schritte aus. Bei eingegebenen Zugangsdaten nutze die offizielle Kontosicherung; bei einer Zahlung kontaktiere umgehend deine Bank oder den Zahlungsanbieter über bekannte Kontaktdaten.

Geräteverknüpfung bestätigt: Öffne auf deinem Haupttelefon die Signal-Einstellungen und dort «Gekoppelte Geräte». Prüfe die angezeigten Geräte und entkopple ein nicht von dir autorisiertes Gerät nach der offiziellen Anleitung. Das beendet die Kopplung, holt aber bereits kopierte Informationen nicht zurück.

Bewahre relevante Nachrichten und Zahlungsbelege für die Klärung auf, aber teile sie nicht öffentlich mit persönlichen Angaben. Unser Phishing-Ratgeber ordnet die nächsten Schritte nach dem konkreten Vorfall ein.

Quellen und Stand

BACS: Parkgebühren-Phishing (29.10.2024) · BACS: gefälschte Abholungseinladung (16.06.2026) · FTC: Betrugslinks in QR-Codes · Signal: Geräte über QR-Code verknüpfen

Redaktionell geprüft: 23. Oktober 2026. Die Anleitung basiert auf den verlinkten Primärquellen; sie ist kein eigener Geräte- oder Produkttest.