Pressemitteilung von QR-Guru.de

Quishing: Fünf Maßnahmen, mit denen Unternehmen ihre QR-Codes vor Manipulation schützen

---

---

Berlin, Oktober 2026. Ein Aufkleber, ein schneller Scan, eine täuschend echte Bezahlseite. Beim sogenannten Quishing, einer Wortschöpfung aus QR-Code und Phishing, überkleben Betrüger echte QR-Codes mit eigenen. Im Juni hat die Stadt Stuttgart erneut vor gefälschten Codes mit dem Hinweis "Direktzahlung" an Parkscheinautomaten gewarnt. Polizei und Verbraucherschützer berichten seit Ende 2024 immer wieder von ähnlichen Fällen an E-Ladesäulen und von gefälschten Briefen mit QR-Code.


Die Warnungen richten sich meist an Verbraucher. Weniger Beachtung findet die andere Seite: Unternehmen, Gastronomen, Vermieter und Kommunen, deren Codes an Tischen, Schaufenstern, Plakaten oder Geräten hängen. Wird ein solcher Code überklebt, trägt der Kunde den Schaden und das Unternehmen den Vertrauensverlust. Der Berliner Anbieter QR-Guru, der QR-Codes und Kurzlinks mit Serverstandort Deutschland bereitstellt, hat fünf Maßnahmen zusammengestellt, mit denen Betreiber das Risiko deutlich senken.


Fünf Maßnahmen gegen manipulierte QR-Codes


1. Codes regelmäßig kontrollieren. Wer QR-Codes öffentlich zugänglich anbringt, sollte sie in die normale Sichtkontrolle aufnehmen, etwa bei der Reinigung oder beim täglichen Rundgang. Ein zweiter Aufkleber über dem Original fällt bei genauem Hinsehen meist schnell auf.


2. Schwer manipulierbare Träger wählen. Ein Code, der direkt aufgedruckt ist, hinter Glas oder unter einer Schutzfolie sitzt, lässt sich schwerer überkleben als ein einfacher Papieraufkleber. Für den Außenbereich eignen sich Etiketten, die beim Ablösen sichtbar beschädigt werden.


3. Ziel-Adresse lesbar mitdrucken. Steht die Adresse, auf die der Code führt, gut lesbar neben dem Code, können Kunden sie mit der Vorschau auf dem Smartphone vergleichen. Eine kurze, wiedererkennbare Adresse ist dabei leichter zu prüfen als eine lange Zeichenkette.


4. Scan-Zahlen als Frühwarnsystem nutzen. Dynamische QR-Codes laufen über einen Kurzlink, der jeden Aufruf zählt. Erhält jeder Standort einen eigenen Code, zeigt die Statistik, wo gescannt wird. Bricht die Zahl an einem Standort plötzlich ein, obwohl dort der Betrieb normal weiterläuft, ist das ein deutlicher Hinweis darauf, dass der Code verdeckt oder überklebt wurde.


5. Klare Hinweise geben. Ein kurzer Satz am Aushang, etwa dass über den Code niemals Bankdaten abgefragt werden, hilft Kunden, Fälschungen zu erkennen. Wer Zahlungen per QR-Code anbietet, sollte die offizielle Zahlungsadresse zusätzlich auf der eigenen Website nennen.


Auch Anbieter von Kurzlinks sind gefragt


Kurzlinks werden von Betrügern gern genutzt, um die eigentliche Zieladresse zu verschleiern. Bei QR-Guru werden neue Ziel-Adressen deshalb vor der Aktivierung auf bekannte Phishing- und Schadsoftware-Seiten geprüft. Die Auswertung der Scans kommt ohne Cookies und ohne Analyse-Dienste von Drittanbietern aus und läuft auf Servern in Deutschland.


"Ein QR-Code ist nur so vertrauenswürdig wie der Ort, an dem er hängt. Unternehmen sollten ihre Codes deshalb wie jedes andere Schild behandeln, das man pflegt und regelmäßig prüft. Wer dynamische Codes nutzt, hat mit der Scan-Statistik zusätzlich ein einfaches Frühwarnsystem, ohne dafür Daten über seine Kunden sammeln zu müssen", sagt Andreas Nies, Gründer von QR-Guru.


Weitere Informationen zu dynamischen QR-Codes und Kurzlinks mit Scan-Statistik finden Unternehmen auf der Website von QR-Guru.


Über QR-Guru


QR-Guru ist eine B2B-Plattform für die Erstellung von QR-Codes sowie für QR- und URL-Shortening mit Fokus auf Datenschutz und Serverbetrieb in Deutschland. Betreiber ist die XIOSYS UG (haftungsbeschränkt). Firmen- & Pressekontakt