Quishing: der QR-Code-Betrug in einfachen Worten
Ein Gast scannt das Quadrat, das auf Ihrer Terrasse klebt. Statt der Speisekarte verlangt eine Seite seine Kartennummer. Das ist nicht Ihr Code, das ist Quishing – ein Kunstwort aus QR-Code und Phishing.
Das Thema geht durch die Medien, Ihre Gäste haben also davon gehört. Ein Grund mehr, zu wissen, was Sie auf Ihre Tische kleben – kein Grund, darauf zu verzichten.
Was ist ein QR-Code?
Ein QR-Code ist ein Bild, das Text enthält, meistens eine Internetadresse. Die Kamera liest den Code und bietet an, die Seite zu öffnen. Mehr als eine Abkürzung ist er nicht: Er installiert nichts und führt kein Programm aus. Wenn Sie die Technik dahinter interessiert, haben wir sie in unserem Artikel wie ein QR-Code funktioniert ausführlich erklärt.
Was ist Quishing?
Quishing ist klassisches Phishing, nur mit einem Code anstelle des Links. Kriminelle erzeugen einen gefälschten Code, der den Nutzer auf eine Seite umleitet, die eine bekannte Marke nachahmt. Dort werden dann persönliche Daten, Zugangsdaten, Passwörter oder Bankverbindungen abgefragt.
Der Unterschied zum Phishing per E-Mail ist einfach: Niemand kann ein Pixelquadrat mit bloßem Auge lesen. Der übliche Reflex – vor dem Klick über den Link fahren und die Adresse prüfen – fällt weg. Genau diesen blinden Fleck nutzt der Betrug aus.
Wo tauchen diese betrügerischen QR-Codes auf?
Fast immer an öffentlichen Orten, auf Flächen, die niemand dauerhaft im Blick hat. Die Masche ist immer dieselbe: Ein manipulierter Aufkleber überdeckt einen echten Code, oder ein gefälschtes Schreiben landet im Briefkasten.
Parkplatz, Parkscheinautomat und Ladesäule
Das ist der häufigste Fall. Ein Aufkleber wird auf den Automaten oder die Ladesäule geklebt, die Bezahlseite kopiert das Erscheinungsbild der Stadt oder des Betreibers. Die Opfer zahlen für ein Parkticket, das es nicht gibt, und geben nebenbei ihre Bankdaten preis. Betroffene Kommunen warnen regelmäßig davor.
Krankenkasse, Behörden und Gesundheitskarte
Diese Variante kommt per Brief oder per SMS. Die Nachricht kündigt eine offene Erstattung an oder eine Gesundheitskarte, die erneuert werden müsse. Der Code führt auf eine gefälschte Kassen- oder Behördenseite, die Sozialversicherungsnummer und Bankverbindung verlangt. Keine öffentliche Stelle fragt Ihre Kontodaten auf diesem Weg ab.
Kleinanzeigen, Briefe und Paketzustellung
Bei Kleinanzeigen schickt ein angeblicher Käufer einen "sicheren" Zahlungscode. Wer ihn scannt und bestätigt, überweist in Wirklichkeit Geld an den Absender des gefälschten Codes. Dieselbe Logik steckt hinter den Benachrichtigungskarten im Stil von DPD, die im Briefkasten liegen.
Der QR-Code Ihrer Speisekarte ist etwas anderes
Ein Menü-Code führt auf Ihre eigene Seite, gehostet bei Ihrem Anbieter, ohne Formular und ohne Zahlung. Er verlangt weder Identität noch Karte noch Passwort. Das einzige reale Risiko ist ein fremder Aufkleber über Ihrem – und das löst man mit Material, nicht mit Technik.
| Kriterium | Betrügerischer QR-Code | Kontrollierter Menü-QR-Code |
|---|---|---|
| Herkunft des Codes | Nachträglicher Aufkleber, unbekanntes Schreiben | Von Ihnen gedruckt oder graviert |
| Geöffnete Adresse | Gekürzte URL oder nachgeahmte Domain | Ihre Domain, immer dieselbe |
| Abgefragte Daten | Bankkarte, Passwörter, Identität | Keine |
| Folge eines Scans | Betrug, Abbuchungen, Identitätsdiebstahl | Die Karte wird angezeigt |
In der Praxis kommen Zwischenfälle im Gastraum nie vom QR-Code selbst: Sie kommen von einem fragilen, schnell hingeklebten Träger, den jeder in zehn Sekunden überkleben kann.
So erkennen Sie einen gefälschten QR-Code
Bringen Sie Ihrem Team diese Anzeichen bei. Sie reichen in nahezu allen Fällen aus und gelten genauso für Ihre Gäste.
- Ein Aufkleber auf einem anderen Träger: Ecke anheben und nachsehen, was darunter liegt.
- Eine gekürzte Adresse oder eine ungefähr passende Domain: Im Zweifel lieber nicht scannen.
- Eine Seite, die Bankdaten verlangt, obwohl Sie nur eine Karte oder Öffnungszeiten ansehen wollten.
- Erzeugter Zeitdruck: offenes Bußgeld, blockiertes Paket, gesperrtes Konto.
Auf den meisten Handys wird die Adresse angezeigt, bevor die Seite öffnet. Prüfen Sie das erste Stück der Domain, den Teil vor dem ersten Schrägstrich. Er sagt, wohin Sie wirklich geleitet werden – wir erklären das in unserem Leitfaden zum sicheren Scannen von QR-Codes.
Fünf Handgriffe, mit denen Sie Ihre Gäste schützen
Die Sicherheit eines QR-Codes im Restaurant ist eine Frage des physischen Trägers und der Routine, nicht der IT.
- Setzen Sie auf gravierte Tischaufsteller, lackgeschützte Sticker oder den in die Karte gedruckten Code statt auf einen nackten Aufkleber.
- Gehen Sie einmal pro Woche durch den Gastraum: Ein überklebter Code fällt in dreißig Sekunden auf.
- Setzen Sie Ihr Logo und den Namen des Hauses rund um den Code, damit keine Verwechslung entsteht.
- Scannen Sie jeden Morgen bei der Öffnung selbst zwei zufällige Tische.
- Fragen Sie über diesen Code nie persönliche Daten oder Zahlungen ab: Ihre Gäste lernen so, dass ein Scan bei Ihnen nur eine Speisekarte öffnet.
Dasselbe Prinzip gilt für alle weiteren Codes im Haus, auch für den WLAN-Zugang für Ihre Gäste.
Was tun, wenn Sie oder ein Gast betroffen sind
Schnell handeln: Die meisten betrügerischen Abbuchungen lassen sich in den ersten Stunden noch stoppen. Karte bei der Bank sperren lassen, anderswo wiederverwendete Passwörter ändern, dann den Betrug bei den offiziellen Stellen melden.
Wird im Gastraum ein gefälschter Code gefunden: Träger entfernen, fotografieren und die anwesenden Gäste informieren. Eine Anzeige lohnt sich auch ohne finanziellen Schaden – über solche Meldungen lassen sich Serien manipulierter Aufkleber in einem Viertel erkennen.
Der QR-Code bleibt ein neutrales Werkzeug. Gut angebracht und regelmäßig kontrolliert, birgt er keines der Risiken, um die es in diesen Betrugsfällen geht.