Fiese Abzocke! Und zwar mit QR-Code!

So werden Verkäufer in die Falle gelockt

Ein aktueller Fall zeigt, wie dreist Betrüger inzwischen vorgehen. Auf einer Secondhand-Plattform bot ein privater Verkäufer Kleidung an. Ein angeblicher Käufer meldete sich, schien interessiert und schickte dem Verkäufer einen QR-Code. Der Hinweis dazu klang harmlos: „Damit können Sie die Zahlung direkt empfangen.“ Was der Verkäufer nicht wusste: Hinter diesem Code steckte kein echter Zahlungslink, sondern der Einstieg in eine hochprofessionell gefälschte Website.

Diese war optisch kaum von der echten PayPal-Seite zu unterscheiden. Dort erschien ein Button mit der Aufschrift „Zahlung erhalten“. Wer hier klickte, landete scheinbar auf der gewohnten Login-Seite und gab seine Zugangsdaten ein. Doch statt Geld zu bekommen, verlor das Opfer binnen kürzester Zeit über 3.000 Euro in mehreren unautorisierten PayPal-Transaktionen. Solche Methoden funktionieren, weil sie das Vertrauen in bekannte Marken ausnutzen und den gewohnten Ablauf täuschend echt nachbilden.

Warum Quishing so gefährlich ist

Der Fall ist ein Beispiel für sogenanntes „Quishing“, also Phishing über QR-Codes. Die Betrugsmasche ist zwar noch relativ neu, gewinnt jedoch rasant an Bedeutung. Kriminelle platzieren gefälschte QR-Codes nicht nur in Online-Nachrichten, sondern auch im realen Leben. Beispiele gibt es bereits an Parkautomaten, auf manipulierten Ladesäulen oder auf gefälschten Strafzetteln an Autos.

Das Prinzip ist immer gleich: Der Code führt zu einer Fake-Seite, die vorgibt, seriös zu sein, und die Opfer dazu bringt, sensible Daten preiszugeben. Die größte Gefahr besteht darin, dass QR-Codes für viele Menschen wie harmlose Abkürzungen wirken. Anders als bei einem normalen Link ist das Ziel auf den ersten Blick nicht erkennbar. Wer ohne Prüfung scannt, öffnet Kriminellen Tür und Tor – und das oft, ohne es sofort zu bemerken.

Die Tricks der Betrüger im Detail

Die Täter setzen auf psychologischen Druck und scheinbare Routine. Im aktuellen PayPal-Fall nutzten sie den Umstand, dass Verkäufer im Online-Handel oft auf schnelle Abwicklung hoffen. Ein vermeintlicher Käufer, der sich „kulant“ zeigt und sofort zahlen will, wirkt auf den ersten Blick seriös. Der QR-Code als Zahlungsmethode klingt modern und praktisch, verstärkt durch die bekannte PayPal-Optik. Diese Kombination aus Dringlichkeit und Vertrauen ist der Kern des Erfolgs.

Hinzu kommt, dass viele Plattformnutzer nicht wissen, dass beim Empfang von Geld normalerweise kein Login über externe Links nötig ist. Stattdessen wird mit der Gewohnheit gespielt: Wer sonst regelmäßig auf „Jetzt bezahlen“ oder „Zahlung erhalten“ klickt, denkt selten an Betrug. Genau hier setzen die Täter an. Das Fiese daran: Selbst wenn der Betrug auffliegt, ist das Geld oft schon über mehrere Konten ins Ausland transferiert und kaum mehr zurückzuholen.

Reaktionen und Warnungen aus erster Hand

Die Verbraucherzentrale Berlin schlägt Alarm. Jurist Erk Schaarschmidt macht klar: „Auf seriösen Verkaufsplattformen bestimmt immer der oder die Verkaufende den Zahlungsweg und nicht die kaufende Person.“ Wenn ein Käufer auf eine externe Methode besteht, sei das ein rotes Tuch. Auch PayPal selbst warnt inzwischen aktiv per E-Mail vor solchen Angriffen. Die Hinweise sind eindeutig: Keine Zahlungsbestätigungen über Links annehmen, keine QR-Codes scannen, deren Herkunft nicht zweifelsfrei geklärt ist, und immer die URL genau prüfen.

Viele Smartphones zeigen die Webadresse beim Scannen an – diese Funktion sollte konsequent genutzt werden. Technisch lässt sich das Risiko weiter senken, indem Nutzer eine Zwei-Faktor-Authentifizierung aktivieren. So wird nicht nur die Zahlung, sondern schon der Login abgesichert. Dennoch bleibt die wichtigste Schutzmaßnahme, misstrauisch zu sein, wenn etwas zu einfach, zu schnell oder zu unkompliziert klingt.

Fazit: Vorsicht bei jedem Scan

Der Fall zeigt deutlich, wie schnell aus einer vermeintlich harmlosen Transaktion ein finanzielles Desaster werden kann. Quishing ist effektiv, weil es optisch vertraute Prozesse nachahmt und die Opfer dazu bringt, freiwillig ihre Zugangsdaten einzugeben. Der beste Schutz ist deshalb eine gesunde Portion Misstrauen und das Bewusstsein, dass ein QR-Code genauso gefährlich sein kann wie ein verdächtiger Link in einer E-Mail. Verkäufer sollten niemals den Zahlungsweg aus der Hand geben und externe Links oder Codes ablehnen. Wer QR-Codes nutzt, muss die Zieladresse prüfen, bevor er eine Aktion ausführt. Denn eines ist klar: Jeder unüberlegte Scan kann teuer werden – und im schlimmsten Fall das gesamte Konto leeren.

Quelle: Verbraucherzentrale-Bandenburg

Auch wissenswert: Promis als Lockvögel: Das Geschäft mit Fake-Werbungen