Kurzantwort
Quishing ist Phishing über einen QR‑Code. Nach einem verdächtigen Scan kommt es darauf an, was anschließend passiert ist: nur eine Seite geöffnet, Daten eingegeben oder bereits eine Zahlung bestätigt? Haben Sie Banking‑Daten preisgegeben, lassen Sie den Zugang sofort sperren und melden Sie unbekannte Zahlungen. Für die Erstattung zählt die Zustimmung zur konkreten Zahlung, nicht die Form des Links. [2] [3]
In diesem Ratgeber
QR‑Code gescannt: Welche Situation trifft auf Sie zu?
Ein QR‑Code kann eine Webadresse oder Zahlungsinformationen enthalten. Er besagt nicht, wer diese Informationen erstellt hat. Für Ihre nächsten Schritte ist deshalb entscheidend, was Sie nach dem Scan getan haben.
| Was ist passiert? | Was Sie jetzt tun sollten | Was noch ungeklärt ist |
|---|---|---|
| Sie sahen nur die Vorschau oder öffneten eine Seite. | Vorgang abbrechen, Code und Fundstelle sichern; keine weiteren Eingaben. | Ein Scan allein belegt keine Übernahme des Bankkontos. |
| Sie gaben Banking- oder Kartendaten ein. | Betroffene Zugänge oder Karten sofort über die Bank sperren und Umsätze prüfen lassen. | Ob Täter schon Zugang hatten oder weitere Freigaben veranlassten. |
| Sie bestätigten einen Code oder eine App‑Meldung. | Bank informieren und den Inhalt der Anzeige möglichst genau beschreiben. | Ob es um Anmeldung, Geräteaktivierung, Limitänderung oder Zahlung ging. |
| Sie installierten eine App oder räumten Fernzugriff ein. | Gerät vom Netz trennen, Bank über ein anderes Gerät kontaktieren und fachkundig prüfen lassen. | Welche Berechtigungen und weiteren Zugänge betroffen sind. |
Die gemeinsame Checkliste von Polizei und BSI empfiehlt bei preisgegebenen Banking‑Daten die sofortige Sperrung und Kontaktaufnahme mit der Bank. Bei einem fremden Fernzugriff hilft unser gesonderter Ratgeber zu AnyDesk und TeamViewer. [2]
Warum auch ein Brief mit Banklogo täuschen kann
Eine Aufforderung zur angeblichen Aktualisierung des Bankzugangs wird nicht dadurch verlässlich, dass sie auf Papier steht. Ein QR‑Code kann aus einem Brief genauso auf eine fremde Seite führen wie aus einer E‑Mail. Persönliche Anrede, Logo oder vermeintliche Frist sind keine ausreichende Bestätigung der Herkunft.
Öffnen Sie stattdessen die Banking‑App selbst oder verwenden Sie eine bereits bekannte Bankadresse. Klären Sie über diesen unabhängigen Weg, ob die behauptete Maßnahme tatsächlich erforderlich ist. Rufen Sie dabei keine Nummer aus dem verdächtigen Schreiben an.
Auch außerhalb des Bankings kann Quishing beginnen. Die Polizei warnte am 16.10.2026 unter anderem vor manipulierten QR‑Codes an Parkscheinautomaten, Ladesäulen und auf angeblichen Zustellbenachrichtigungen. Ein Aufkleber kann auf eine andere Bezahlseite führen, als der Standort vermuten lässt. Fotografieren Sie bei einem Verdacht deshalb auch den Ort und die gesamte Anbringung. [1]
Wann muss die Bank den Schaden erstatten?
Täter haben ohne Ihre Zustimmung überwiesen: Dann steht grundsätzlich die Erstattung nach § 675u BGB im Raum. Das Konto ist so zu stellen, wie es ohne die nicht autorisierte Belastung stünde. Ob eine mögliche spätere Kundenhaftung besteht, ist davon zu unterscheiden. [4]
Sie haben einen Kauf oder eine konkrete Zahlung selbst freigegeben: Eine Täuschung über die Seriosität der Seite macht die Zahlung nicht automatisch nicht autorisiert. Bei einer Kartenzahlung kann je nach Reklamationsgrund ein Chargeback‑Verfahren helfen. Bei einer Überweisung kommt ein schneller Rückrufversuch in Betracht. Ein Erfolg ist jeweils gesondert zu prüfen.
Sie bestätigten nur eine vermeintliche Sicherheitsmaßnahme: Lassen Sie klären, welche Freigabe technisch und rechtlich tatsächlich vorlag. Die Bestätigung eines neuen Geräts ist nicht schon die Zustimmung zu jeder späteren Zahlung. War eine konkrete Überweisung mit Betrag und Empfänger angezeigt, muss dieser Umstand ebenfalls berücksichtigt werden. § 675j BGB knüpft an die vereinbarte Form der Zustimmung an. [3]
Nach § 675w BGB genügt die Aufzeichnung einer Authentifizierung allein nicht notwendigerweise als Nachweis der Autorisierung oder groben Fahrlässigkeit. Verlangen Sie eine Begründung zu den einzelnen Zahlungen und den unterstützenden Nachweisen. [5]
Der EuGH hat mit C‑70/25 vom 15.10.2026 die unverzügliche Erstattung einer nicht autorisierten Zahlung und die mögliche spätere Verlusthaftung getrennt. Ein Vorwurf grober Fahrlässigkeit allein erlaubt keine anfängliche Verweigerung. Die Ausnahme eines begründeten Betrugsverdachts gegen den Zahlenden mit schriftlicher Behördenmitteilung bleibt zu beachten. Das Urteil betrifft keine pauschale Erstattung aller QR‑Zahlungen. [7]
Welche Beweise helfen nach Quishing?
Bewahren Sie einen verdächtigen Brief samt Umschlag auf. Bei einem öffentlichen Code fotografieren Sie das Umfeld, den Aufkleber und etwaige Betreiberangaben. Sichern Sie außerdem die bereits bekannte Zieladresse, Nachrichten und betroffene Umsätze. Dafür müssen Sie die Seite nicht nochmals öffnen.
Notieren Sie die Reihenfolge: Scan, angezeigte Seite, Dateneingabe, Telefonanruf, App‑Freigabe und erste unbekannte Buchung. Halten Sie fest, welche Anzeige Sie sicher erinnern und welche Angaben fehlen. Rekonstruieren Sie keine vermeintlichen Wortlaute, wenn Sie diese nicht mehr wissen.
Die Bankmeldung braucht keine vollständige technische Untersuchung. Nennen Sie zunächst bekannte Zahlungen mit Datum, Betrag und Empfänger; weitere Angaben können nachgereicht werden. Strafanzeige und Beweissicherung laufen parallel.
Was Sie in der Bankmeldung unterscheiden sollten
Eine präzise Beschreibung könnte lauten: „Ich habe nach einem QR‑Scan meine Zugangsdaten eingegeben. Anschließend erschien eine Meldung mit folgendem Inhalt: […]. Den nachfolgenden Zahlungen […] habe ich nicht zugestimmt.“ Verwenden Sie den letzten Satz nur, soweit er Ihrem tatsächlichen Ablauf entspricht.
Ob Sie einen QR‑Code selbst gescannt haben, müssen Sie nicht verbergen. Daraus folgt für sich genommen noch keine rechtliche Einordnung aller späteren Kontobewegungen. Unser Musterbrief für nicht autorisierte Zahlungen hilft beim strukturierten Erstattungsverlangen.
Melden Sie den Vorgang unverzüglich nach Feststellung. § 676b BGB enthält grundsätzlich eine Ausschlussfrist von 13 Monaten nach Belastung, deren Beginn von der vorgeschriebenen Unterrichtung über den Vorgang abhängt. Diese Frist gestattet kein Zuwarten nach Entdeckung. [6]
Was Sie vor dem nächsten Scan prüfen können
Nutzen Sie, wenn möglich, eine bereits installierte offizielle App oder einen unabhängig aufgerufenen Dienst. Prüfen Sie bei Zahlungsaufforderungen Empfänger, Betrag und Zweck vor der Freigabe. Ein unklarer oder zeitkritisch formulierter Hinweis ist ein Anlass, den Vorgang abzubrechen und den Anbieter über einen bekannten Weg zu kontaktieren.
Werden Sie nach dem Vorfall wegen einer angeblichen „Rettung“ des Guthabens angerufen, überweisen Sie nicht auf Zuruf: Unser Ratgeber zum Sicherheitskonto-Betrug erklärt diese weitere Konstellation. Nicht autorisierte Zahlungen können Sie anwaltlich prüfen lassen.
Häufige Fragen
Ist allein das Scannen eines gefälschten QR‑Codes schon ein Bankbetrugsschaden?
Ein Scan allein beweist weder einen Geldverlust noch eine Kontoübernahme. Entscheidend ist, ob Sie eine Seite geöffnet, Zugangsdaten eingegeben, etwas installiert oder einen Vorgang freigegeben haben. Brechen Sie den Kontakt ab und sichern Sie den Code beziehungsweise den Brief. Bei verdächtigen Kontobewegungen informieren Sie sofort die Bank.
Kann ein Bankbrief mit richtigem Namen und Logo gefälscht sein?
Ja. Absender, Logo und persönliche Anrede bestätigen nicht die Herkunft. Prüfen Sie eine unerwartete Aufforderung über die selbst geöffnete Banking‑App oder einen bekannten Kontaktweg der Bank. Verwenden Sie dafür nicht die Kontaktdaten aus dem verdächtigen Schreiben.
Ich habe Banking‑Daten nach einem QR‑Scan eingegeben. Was jetzt?
Lassen Sie den gefährdeten Bankzugang sofort sperren. Melden Sie unbekannte Zahlungen und klären Sie mit der Bank, ob Geräte, Limits oder Freigabeverfahren verändert wurden. Ändern Sie betroffene Zugangsdaten von einem vertrauenswürdigen Gerät aus. Warten Sie mit der Bankmeldung nicht auf eine Strafanzeige.
Muss die Bank nach Quishing erstatten?
Hat ein Täter ohne Ihre Zustimmung Zahlungen ausgelöst, gilt grundsätzlich der Erstattungsanspruch aus § 675u BGB. Haben Sie eine konkrete Zahlung selbst autorisiert, folgt daraus nicht automatisch derselbe Anspruch. Zusätzlich können je nach Zahlungsart Chargeback, Rückruf oder andere Ansprüche zu prüfen sein.
Soll ich den QR‑Code für die Beweissicherung noch einmal öffnen?
Bewahren Sie den Brief auf oder fotografieren Sie Code und Fundstelle. Notieren Sie die bereits sichtbare Zieladresse und den Ablauf. Ein erneuter Besuch der verdächtigen Seite ist für die erste Bankmeldung nicht erforderlich. Weitere Dateneingaben oder Freigaben sollten Sie unterlassen.
Quellen
- Polizeiliche Kriminalprävention: Quishing – Warnung vom 16.10.2026
- Polizei und BSI: Checkliste bei Betrug im Onlinebanking
- § 675j BGB – Zustimmung zum Zahlungsvorgang
- § 675u BGB – Erstattung nicht autorisierter Zahlungen
- § 675w BGB – Nachweis der Authentifizierung
- § 676b BGB – Unverzügliche Anzeige und Ausschlussfrist
- EuGH: Pressemitteilung zum Urteil vom 15.10.2026, C‑70/25
Wir erklären Betroffenen von Bankbetrug ihre Rechte auf Basis von Gesetzestexten und veröffentlichten Gerichtsentscheidungen. Dieser Beitrag ist eine allgemeine Information und keine Rechtsberatung im Einzelfall. Die Prüfung Ihres Falls übernimmt unsere Partnerkanzlei.