Gefälschte QR-Codes an Parkautomaten und andere echte Betrugsmaschen

Gefälschte QR-Codes an Parkautomaten gehören zu den häufigsten Quishing-Betrügereien aus dem echten Leben: Ein Krimineller klebt einen falschen Code über den echten, und Autofahrer, die scannen, um „fürs Parken zu bezahlen", übergeben ihre Kartendaten direkt einem Betrüger. Derselbe Trick taucht an E-Ladesäulen, auf Plakaten und an Restauranttischen auf. So erkennst du ihn. 🐾

Parken ist das perfekte Ziel für einen QR-Betrug. Oft bist du in Eile, stehst am Straßenrand und willst schnell bezahlen, um deinen Tag fortzusetzen. Städte und Betreiber haben das Bezahlen per Scan zur Normalität gemacht, sodass ein Code an einem Automaten keinen Verdacht weckt. Betrüger nutzen genau diese Vertrautheit aus — und weil der Angriff nur ein physischer Aufkleber ist, kostet es sie fast nichts, ihn einzusetzen.

Wie funktioniert der Betrug mit dem gefälschten Parkautomaten?

Der Ablauf ist einfach und leider wirkungsvoll:

Ein Betrüger druckt einen QR-Code, der auf eine überzeugend gefälschte Bezahlseite verweist.
Er klebt ihn direkt über den echten Code an einem Parkautomaten, einer Bezahlstation oder einem Schild in der Nähe.
Ein Autofahrer scannt ihn und erwartet den offiziellen Parkdienst.
Die gefälschte Seite fragt nach Kartendaten und manchmal nach Name, Adresse und Telefonnummer.
Der Autofahrer „bezahlt", erhält nichts Echtes, und der Kriminelle hat nun seine Kartendaten — und oft flattert trotzdem ein Strafzettel herein, weil keine echte Zahlung erfolgt ist.

Das ist Quishing wie aus dem Lehrbuch: Der QR-Code tut nichts weiter, als auf eine bösartige Website zu verweisen. Der ganze Betrug beruht darauf, dass du die echte Adresse nicht siehst, bevor du deine Daten eingibst. Mehr dazu in Was ist Quishing?

Das Gemeinste am Parkbetrug ist der doppelte Verlust: Deine Karte ist kompromittiert, und weil keine echte Zahlung durchging, kannst du trotzdem ein Bußgeld bekommen.

Warum gerade Parkautomaten?

Mehrere Faktoren machen Automaten zum idealen Jagdrevier:

Du bist in Eile. Niemand verweilt an einem Parkautomaten, deshalb halten nur wenige inne, um einen Code genau zu prüfen.
Bezahlen per Scan wird erwartet. Viele Kommunen und Betreiber nutzen tatsächlich QR-Bezahlung, also wirkt ein Code völlig normal.
Automaten sind unbeaufsichtigt. Ein Betrüger kann in Sekunden einen Aufkleber anbringen, ohne dass jemand zusieht.
Verwitterte Geräte verbergen die Manipulation. Automaten im Freien sind zerkratzt und verblasst, sodass ein frischer Aufkleber sich einfügt.

Welche anderen Betrügereien im öffentlichen Raum nutzen denselben Trick?

Die Methode „Aufkleber über echtem Code" ist nicht aufs Parken beschränkt. Achte überall dort darauf, wo ein Code an einem unbeaufsichtigten öffentlichen Ort lebt:

Ort	Der Köder
E-Ladesäulen	„Zum Aktivieren und Bezahlen scannen" — greift Kartendaten ab
Restauranttische	Gefälschte „Speisekarten"- oder „Rechnung-bezahlen"-Codes über den echten
Veranstaltungs- und Verkehrsplakate	Ticket- oder Fahrplan-Codes, die auf Phishing-Seiten umleiten
Fahrrad- und Rollerverleih	Falsche „Entsperr"-Codes, die App-Logins oder Zahlungen abgreifen
Spenden- und Wohltätigkeitsflyer	Codes, die Spenden auf das Konto eines Betrügers umleiten

All das sind Varianten desselben Überlagerungsthemas, das wir ausführlicher in Wie Angreifer legitime QR-Codes überkleben untersuchen.

Wie unterscheide ich einen gefälschten Park-Code von einem echten?

Du musst kein Sicherheitsexperte sein — ein paar schnelle Prüfungen entlarven die meisten Fälschungen.

1. Prüfe den physischen Code

Ist es ein Aufkleber, der obenauf sitzt, oder ist er in die offizielle Beschriftung des Automaten gedruckt? Achte auf sich lösende Ränder, einen Code, der anderen gedruckten Text überlappt oder verdeckt, oder einen Aufkleber, dessen Oberfläche nicht zum Rest der Maschine passt. Ein echter Code ist meist Teil der gefertigten Fläche, nicht ein nachträglich draufgeklatschtes Etikett.

2. Sieh dir den Link vor dem Bezahlen an

Das ist der entscheidende Schritt. Wenn du scannst, lies die Webadresse, bevor du sie öffnest. Passt die Domain zum Parkbetreiber oder zu deiner Kommune? Oder ist es eine zufällig aussehende Seite, ein verkürzter Link oder eine Nachahmer-Domain? Ein Scanner, mit dem du einen Code sicher scannen und das wahre Ziel zuerst sehen kannst, verwandelt eine verborgene Falle in eine offensichtliche. Was du im Detail suchen solltest, erfährst du in QR-Codes und bösartige URLs.

3. Bevorzuge den offiziellen Weg

Am sichersten ist es, den Code am Automaten ganz zu überspringen. Die meisten Parkbetreiber haben eine offizielle App oder eine Telefonnummer und einen Standortcode, der auf den Automaten gedruckt ist. Lade die App selbst aus dem App Store deines Geräts herunter oder bezahle per Telefon. So vertraust du nie einem Code, den ein Fremder ausgetauscht haben könnte.

Was soll ich tun, wenn ich bereits einen gefälschten Code gescannt habe?

Wenn du auf einer verdächtigen Parkseite Kartendaten eingegeben hast:

Kontaktiere sofort deine Bank, um die Karte zu sperren und auf betrügerische Abbuchungen zu achten.
Ändere jedes Passwort, das du eingegeben haben könntest, besonders wenn du es anderswo wiederverwendet hast.
Sichere die Beweise — fotografiere den Automaten und den Aufkleber, wenn du das gefahrlos tun kannst.
Melde es dem Parkbetreiber, dem Betreiber des Standorts und der zuständigen Betrugsbehörde. Unser Leitfaden Wie man einen bösartigen QR-Code meldet führt dich durch jeden Schritt.

Eine gelassene Sicht darauf

QR-Parkbetrügereien klingen alarmierend, aber die Verteidigung ist wirklich einfach und verlangt nicht, dass du jedem Code misstraust. Nimm dir die paar Sekunden Zeit, um den Aufkleber anzusehen und den Link zu lesen. Wenn eines von beidem seltsam wirkt, nutze stattdessen die offizielle App. Diese kleine Gewohnheit schützt dich nicht nur vor Parkbetrug, sondern vor der ganzen Familie der Überlagerungsangriffe im öffentlichen Raum. Und wenn du Codes für dein eigenes Unternehmen oder deine Veranstaltung erstellst, kannst du einen kostenlosen QR-Code erstellen, der dein echtes Ziel direkt codiert — ohne versteckte Weiterleitung, die jemand missbrauchen könnte.

Häufig gestellte Fragen

Wie verbreitet sind gefälschte Park-QR-Code-Betrügereien?

Sie sind ein gut dokumentiertes und wiederkehrendes Problem in vielen Städten, gerade weil sie billig einzusetzen sind und Menschen in Eile ausnutzen. Du musst nicht in Panik geraten, aber du solltest jeden Bezahlcode am Automaten vor der Nutzung kurz überprüfen.

Woran erkenne ich, ob ein Park-QR-Code echt ist?

Prüfe, ob er Teil der gedruckten Fläche des Automaten oder ein aufgeklebter Aufkleber ist, sieh dir dann den Link an und bestätige, dass die Domain zum Parkbetreiber oder zur Kommune gehört. Wenn etwas seltsam aussieht, nutze stattdessen die offizielle App oder die Telefon-Bezahlleitung des Betreibers.

Ist es sicherer, eine Park-App zu nutzen, statt zu scannen?

Ja. Wenn du die offizielle App aus dem App Store deines Geräts herunterlädst und darüber bezahlst, verlässt du dich nie auf einen Code, den ein Fremder mit einer Fälschung überklebt haben könnte. Das ist der zuverlässigste Weg, Überlagerungsbetrug zu vermeiden.

Was passiert, wenn ich an einem gefälschten Park-Code bezahlt habe?

Kontaktiere sofort deine Bank, um deine Karte zu schützen, ändere alle wiederverwendeten Passwörter und melde den Vorfall dem Parkbetreiber und den Betrugsbehörden. Da keine echte Zahlung erfolgt ist, prüfe außerdem, ob du die echte Parkgebühr noch schuldest, um ein Bußgeld zu vermeiden.

Haben E-Ladesäulen dasselbe Problem?

Ja. E-Ladesäulen sind unbeaufsichtigt und nutzen Bezahlen per Scan, also sind sie für denselben Überlagerungstrick anfällig. Sieh dir den Link vor dem Bezahlen an und bevorzuge wann immer möglich die offizielle App des Ladenetzwerks.