Brief von der Bank mit QR-Code: echt oder Quishing?

Der gefälschte Brief kommt im Namen einer Bank und verlangt, ein Sicherheitsverfahren wie photoTAN oder das Online-Banking zu „aktualisieren“. Ein auffälliger QR-Code soll den Weg abkürzen. Er führt auf eine nachgebaute Seite, die Zugangsdaten, persönliche Angaben oder eine Kopie der Aktivierungsgrafik abfragt. Damit können Täter dein Konto übernehmen oder Überweisungen auslösen.

Dieselbe Masche gibt es mit anderen Absendern, per E-Mail und auf überklebten Codes im Straßenverkehr, etwa an Parkautomaten.

• Eine allgemeine Anrede wie „Sehr geehrte Kontoinhaberin, sehr geehrter Kontoinhaber“ statt deines Namens.
• Der Brief nennt ein Konto oder Verfahren, das du gar nicht nutzt.
• Der QR-Code soll dich zur Anmeldung oder zur Eingabe von Bankdaten führen.
• Zeitdruck oder Drohungen, etwa mit einer Kontosperre.
• Umständliche, ungewohnte Formulierungen, besonders am Ende des Schreibens.

Briefkopf und Logo beweisen nichts: Beides lässt sich leicht kopieren.

1. Öffne deine Banking-App oder tippe die Adresse deiner Bank selbst ein. Findest du dort keine Nachricht mit Handlungsbedarf, spricht das deutlich gegen den Brief.
2. Ruf deine Bank über eine Nummer an, die du selbst kennst: von deiner Karte, aus dem Kontoauszug oder von der offiziellen Website, nicht aus dem Brief.
3. Willst du wissen, wohin der Code führt, nutze einen QR-Code-Scanner, der die Adresse anzeigt, bevor er sie öffnet. Achte auf kleine Abweichungen: eine Null statt eines „o“, eine fremde Endung oder einen Bindestrich direkt nach „.de“. Gib dort nichts ein.

QR-Codes zum Bezahlen auf Rechnungen sind dagegen üblich. Sie füllen eine Überweisung in deiner Banking-App aus. Prüfe Empfänger und IBAN, bevor du sie freigibst.

• Hast du Daten eingegeben, informiere sofort deine Bank über die offizielle Nummer und lass Online-Banking und Karten sperren. Der Sperr-Notruf 116 116 ist rund um die Uhr erreichbar.
• Prüfe deine Umsätze und ändere deine Zugangsdaten.
• Erstatte Anzeige bei der Polizei, etwa über die Onlinewache deines Bundeslandes.
• Bewahre Brief und Umschlag als Beweis auf.

Hast du nur gescannt und nichts eingegeben, schließ die Seite und melde den Brief trotzdem deiner Bank.

Ein Scan mit ExplainThisDoc nimmt den Brief als Dokument auf und öffnet den QR-Code nicht. Mit Pro prüft die Analyse den Text des Briefs auf typische Phishing-Merkmale: Zeitdruck, angedrohte Kontosperren, die Aufforderung, Zugangs- oder Zahlungsdaten einzugeben, ungewöhnliche Links und Webadressen, die nicht zum Absender passen. Hält sie den Brief für einen wahrscheinlichen Betrugsversuch, steht ganz oben ein Sicherheitshinweis. Wohin der QR-Code führt, wertet die App nicht aus, und Links prüft sie nicht. Die kostenlose Light-Analyse bewertet solche Merkmale nicht.

Im Archiv bleibt das Schreiben mit deiner Notiz: wann du die Bank angerufen hast und was sie gesagt hat. Das hilft, falls weitere Briefe kommen oder du Anzeige erstattest. Ein Hinweis ist keine Echtheitsprüfung; fehlt er, beweist das nicht, dass ein Brief echt ist.