Betrug per QR-Code: Quishing-Angriffe um 146 Prozent gestiegen

Aktuelle Daten von IT-Sicherheitsanalysten belegen einen massiven Anstieg bei Angriffen über Kurznachrichten und manipulierte QR-Codes. Besonders Bankkunden, Steuerzahler und Reisende stehen im Visier professionell organisierter Krimineller.

Quishing-Angriffe legen um 146 Prozent zu

Marktbeobachter verzeichneten im ersten Quartal 2026 eine Zunahme von sogenannten Quishing-Angriffen um 146 Prozent. Bei dieser Methode nutzen Betrüger bösartige QR-Codes, um Opfer auf gefälschte Webseiten zu locken. Allein im März wurden weltweit rund 18,7 Millionen solcher Angriffe registriert. Mittlerweile enthält jede neunte Phishing-E-Mail einen manipulierten QR-Code.

Parallel dazu stieg die Zahl der Smishing-Versuche – Phishing via SMS – im zweiten Quartal um 162 Prozent an. Während der Fußball-Weltmeisterschaft im Frühjahr beobachteten Experten sogar einen Anstieg um 500 Prozent. Besonders betroffen waren Kunden von Instituten wie der ING oder der Volkswagen Bank sowie Versicherte der AOK.

Von ELSTER bis zum Urlaubssektor: Die aktuellen Maschen

Die Täter nutzen oft zeitlichen Druck oder behördliche Autorität, um ihre Opfer zu schnellen Handlungen zu bewegen. Mitte Juli warnten Verbraucherschützer vor gefälschten E-Mails im Namen des Steuerportals ELSTER. Darin wurden Nutzer unter Verweis auf die nahende Abgabefrist am 31. Juli aufgefordert, ihre Kontodaten zu aktualisieren. Die Links führten auf täuschend echte Kopien der offiziellen Portalseite.

Angesichts der massiven Zunahme von gefälschten Nachrichten und manipulierten QR-Codes ist ein wirksamer Schutz für mobile Geräte unerlässlich. Dieser kostenlose PDF-Ratgeber zeigt Ihnen in 5 einfachen Schritten, wie Sie Ihr Smartphone effektiv vor Hackern und Viren absichern. 5 Schutzmaßnahmen jetzt entdecken

Ähnliche Muster zeigen sich bei gefälschten Benachrichtigungen über Verkehrsverstöße. Die Verkehrspolizei warnte in den vergangenen Tagen vor SMS mit Links zu angeblichen Bußgeldbescheiden, die auf betrügerische Domains führen. Auch das Finanzministerium in Schleswig-Holstein meldete Versuche, bei denen mittels gefälschter Ankündigungen von Betriebsprüfungen Passwörter über HTML-Anhänge entwendet werden sollten.

Im Reisesektor verschaffen sich Kriminelle zunehmend Zugang zu echten Buchungsdaten. Sie kontaktieren Urlauber über Messenger-Dienste wie WhatsApp und fordern unter dem Vorwand einer notwendigen Reservierungsbestätigung zur Eingabe von Kreditkartendaten auf. Sicherheitsforscher beobachten zudem eine Zunahme von manipulierten E-SIM-Shops, die Mobilfunkkunden mit vermeintlich günstigen Angeboten ködern.

Bundesregierung legt 26-Punkte-Plan vor

Angesichts eines geschätzten Schadens durch Finanzkriminalität von jährlich rund 100 Milliarden Euro hat die Bundesregierung einen 26-Punkte-Plan verabschiedet. Dieser sieht unter anderem die Schaffung von 1.500 neuen Stellen zur Bekämpfung der Kriminalität sowie ein erhöhtes Strafmaß von bis zu 15 Jahren vor.

Da Kriminelle immer häufiger Messenger wie WhatsApp für ihre Betrugsversuche nutzen, empfehlen Experten gezielte Sicherheitsvorkehrungen. Erfahren Sie in diesem Gratis-Leitfaden, wie Sie Ihre Kommunikation und Ihre sensiblen Daten auf dem Smartphone vor Missbrauch schützen. Kostenlosen Sicherheits-Ratgeber herunterladen

Für Betroffene hat sich die rechtliche Position bei Schadensfällen gestärkt. Ein Urteil des Bundesgerichtshofs vom Juli 2025 legt fest: Banken müssen bei Phishing-Schäden grundsätzlich erstatten, sofern dem Kunden keine grobe Fahrlässigkeit nachgewiesen werden kann. Die Beweislast liegt bei den Instituten. Eine ähnliche Tendenz zeigt sich in der europäischen Rechtsprechung. Ende Juni entschied der belgische Kassationshof, dass Banken belegen müssen, dass ein Kunde sich untypisch verhalten hat, bevor sie eine Haftung ablehnen können.

Was Experten raten

Fachleute für Cybersicherheit raten dringend: Links in unaufgeforderten Nachrichten grundsätzlich nicht anklicken. Stattdessen sollten offizielle Apps oder die manuelle Eingabe der bekannten Webadresse genutzt werden. Wer sensible Daten preisgegeben hat, sollte umgehend das Konto über den Notruf 116 116 sperren und Anzeige bei der Polizei erstatten.