So melden Sie einen bösartigen QR-Code

Sie haben einen bösartigen QR-Code entdeckt — einen Aufkleber über einem Parkautomaten, einen zwielichtigen Code in einer E-Mail, eine betrügerische Zahlungsaufforderung? Eine gute Meldung sorgt dafür, dass er entfernt wird, warnt andere Menschen und liefert Ermittlern eine Spur, der sie folgen können. Hier ist eine ruhige, praktische Anleitung, wie Sie Beweise sichern und die richtigen Stellen benachrichtigen. 🐾

Wenn Sie einen betrügerischen QR-Code entdecken, ist der erste Impuls, weiterzugehen und ihn zu vergessen. Aber ein paar Minuten für eine Meldung können die nächste Person schützen, die scannt, einen Veranstaltungsort dazu bringen, einen bösartigen Aufkleber zu entfernen, und Betrugsdaten an die Leute weitergeben, die solche Machenschaften verfolgen. Diese Anleitung führt Sie Schritt für Schritt durch das, was zu tun ist — egal, ob Sie tatsächlich auf den Betrug hereingefallen sind oder nicht.

Zuerst: Sind Sie oder Ihre Konten gefährdet?

Bevor Sie melden, kümmern Sie sich um unmittelbaren Schaden. Wenn Sie Informationen eingegeben oder Geld gesendet haben:

Passwörter: Ändern Sie das betroffene Passwort sofort — und überall dort, wo Sie es wiederverwendet haben. Aktivieren Sie die Mehr-Faktor-Authentifizierung.
Karten- oder Bankdaten: Kontaktieren Sie sofort Ihre Bank, um die Karte zu sperren und auf Betrug zu achten.
Krypto: Stoppen Sie alle weiteren Überweisungen und sammeln Sie die Transaktionsdetails — siehe QR-Codes und Krypto-Betrug.
Eine heruntergeladene App oder Datei: Löschen Sie sie und führen Sie einen Sicherheitsscan durch; halten Sie Ihr Telefon aktuell.

Sobald Sie in Sicherheit sind, geht es an das Sichern von Beweisen und das Melden.

Schritt 1: Sichern Sie die Beweise

Gute Beweise machen eine Meldung verwertbar. Halten Sie fest, was Sie können, bevor sich etwas ändert:

Situation	Was festhalten
Physischer Aufkleber/Überklebung	Fotos des Codes an Ort und Stelle, des umgebenden Schildes und des Standorts; notieren Sie die genaue Stelle
E-Mail oder Nachricht	Nicht löschen; notieren Sie die Absenderadresse und bewahren Sie nach Möglichkeit die vollständigen Header auf
Der Ziel-Link	Die decodierte URL (Screenshot der Vorschau) — geben Sie aber keine Daten auf der Seite ein
Zahlung/Krypto	Die Adresse, den Betrag, die Uhrzeit und jede Transaktions-ID
Jeglicher Schriftverkehr	Screenshots von Nachrichten, Namen und verwendeten Telefonnummern

Das Ziel lässt sich am einfachsten mit einem Scanner auslesen und festhalten, mit dem Sie einen Code sicher scannen und den echten Link sehen können, ohne ihn zu öffnen. Halten Sie die URL fest; interagieren Sie nicht mit der Seite. Hilfe bei der Deutung dessen, was Sie sehen, finden Sie unter QR-Codes und bösartige URLs.

Erst fotografieren, dann melden. Ein Beweis, der den Aufkleber an Ort und Stelle und den Link zeigt, zu dem er führte, ist weitaus nützlicher als eine Beschreibung aus dem Gedächtnis.

Schritt 2: Benachrichtigen Sie den Standort oder die nachgeahmte Marke

Der schnellste Weg, Schaden zu stoppen, ist oft, denjenigen zu informieren, dem der Standort gehört oder dessen Marke nachgeahmt wird.

Physische Überklebungen: Informieren Sie das Unternehmen, den Parkplatzbetreiber oder die Hausverwaltung möglichst direkt vor Ort und entfernen Sie den Aufkleber nicht selbst — sie möchten ihn vielleicht als Beweis erhalten. Siehe QR-Code-Aufkleber-Angriffe.
Nachgeahmte Unternehmen: Banken, Lieferdienste und große Dienstleister haben meist einen Kontakt zum "Phishing melden" oder für Betrugsfälle. Nutzen Sie die Adresse auf ihrer offiziellen Website — erreichen Sie sie, indem Sie die bekannte Adresse eintippen, nicht über die verdächtige Nachricht.
Codes am Arbeitsplatz: Leiten Sie verdächtige E-Mails an Ihre IT- oder Sicherheitsabteilung weiter oder nutzen Sie die Schaltfläche "Phishing melden" Ihres E-Mail-Programms. Das behandeln wir unter QR-Codes in Phishing-E-Mails.

Schritt 3: Melden Sie an Verbraucherschutz- und Betrugsbekämpfungsstellen

Jedes Land hat Organisationen, die Betrugsmeldungen sammeln. Sie müssen den genauen Namen der Behörde nicht kennen — eine Suche nach "Betrug melden" plus Ihrem Land führt Sie zur zuständigen Stelle. Halten Sie grob Ausschau nach:

Nationale Meldestellen für Betrug oder Cyberkriminalität — die zentrale Anlaufstelle für Betrug und Online-Kriminalität in Ihrem Land.
Verbraucherschutzbehörden — die irreführende Praktiken und Betrugstrends verfolgen.
Finanzaufsichtsbehörden oder das Betrugsteam Ihrer Bank — wenn Geld oder Kartendaten betroffen waren.
Die örtliche Polizei — besonders bei einer physischen Überklebung an einem bestimmten öffentlichen Ort oder wenn Sie Geld verloren haben.

Legen Sie Ihre gesicherten Beweise vor: die Fotos, den decodierten Link, die Absenderdaten und alle Beträge. Je konkreter die Meldung, desto nützlicher ist sie.

Schritt 4: Melden Sie an die betroffenen Plattformen

Digitale Betrügereien reiten oft auf legitimen Diensten mit, die eine Meldung meist begrüßen:

E-Mail-Anbieter — nutzen Sie "Phishing melden", damit die Filter für alle besser werden.
Messaging-Apps und soziale Plattformen — melden Sie die betrügerische Nachricht oder das Konto.
Der Hosting- oder Kurz-URL-Dienst — viele erlauben es, eine missbräuchliche URL zu melden, sodass die bösartige Seite entfernt werden kann.
App-Stores — wenn der Code eine gefälschte App aufdrängte, melden Sie den Eintrag.
Krypto-Börsen — wenn eine Wallet oder Börse beteiligt war, melden Sie die Adresse.

Schritt 5: Warnen Sie andere Menschen

Leise, praktische Warnungen helfen den Menschen um Sie herum:

Informieren Sie Freunde, Familie oder Kollegen, die demselben Betrug begegnen könnten, besonders an einem gemeinsamen Arbeitsplatz oder in der Nachbarschaft.
Wenn es eine öffentliche Überklebung war, kann ein Hinweis an eine lokale Gemeinschaftsgruppe andere dazu bringen, diesen Automaten oder diese Ladesäule zu prüfen.
Teilen Sie die allgemeine Lehre, nicht Panik: Link in der Vorschau prüfen, Quelle verifizieren, nicht unter Druck handeln.

Welche Informationen sollte eine gute Meldung enthalten?

Enthalten	Warum
Wo und wann Sie ihn gefunden haben	Hilft, physische Überklebungen zu finden und zu entfernen
Die decodierte Ziel-URL	Ermöglicht Ermittlern und Hostern, gegen die bösartige Seite vorzugehen
Fotos oder Screenshots	Konkrete Beweise, die schwer zu bestreiten sind
Wonach der Betrug verlangte	Klärt die Art des Betrugs
Etwaige Verluste und Transaktionsdetails	Nötig für die finanzielle und strafrechtliche Nachverfolgung

Das große Ganze

Einen bösartigen Code zu melden fühlt sich selten dramatisch an, aber genau so werden diese Betrügereien tatsächlich gestoppt — ein entfernter Aufkleber hier, eine blockierte Domain dort, ein von Betrugsermittlern erkanntes Muster. Sie schützen nicht nur sich selbst; Sie machen das Umfeld ein wenig sicherer für alle, die nach Ihnen scannen. Um Ihren Instinkt für das Erkennen schlechter Codes von vornherein zu schärfen, werfen Sie erneut einen Blick auf unsere QR-Code-Sicherheitscheckliste und unsere Erklärung, was Quishing ist. Und wenn Sie eigene Codes brauchen, können Sie einen kostenlosen QR-Code erstellen, der offen auf Ihren echten Link verweist — die ehrliche Art, die nie gemeldet werden muss.

Häufig gestellte Fragen

Wem sollte ich einen bösartigen QR-Code melden?

Beginnen Sie mit demjenigen, dem der Standort gehört oder dessen Marke nachgeahmt wird, und melden Sie dann an die Betrugs- oder Cyberkriminalitätsstelle Ihres Landes sowie an jede betroffene Plattform (E-Mail-Anbieter, App-Store oder Hosting-Dienst). Wenn Geld im Spiel war, kontaktieren Sie außerdem Ihre Bank und die Polizei.

Soll ich einen betrügerischen Aufkleber, den ich finde, entfernen?

Es ist meist besser, ihn an Ort und Stelle zu lassen, ihn zu fotografieren und den Standort oder Betreiber zu informieren, damit sie ihn als Beweis sichern und ordnungsgemäß entfernen können. Falls Sie ihn doch anfassen, lassen Sie ihn intakt, aber scannen Sie ihn nicht und geben Sie keine Informationen ein.

Welche Beweise sollte ich sammeln?

Fotos eines physischen Codes und seines Standorts, den decodierten Ziel-Link, die Absenderdaten bei einer E-Mail oder Nachricht sowie alle Zahlungs- oder Transaktionsinformationen. Halten Sie die URL fest, ohne etwas auf der Seite einzugeben.

Lohnt sich eine Meldung, wenn ich nichts verloren habe?

Ja. Einen Code zu melden, den Sie entdeckt haben, aber auf den Sie nicht hereingefallen sind, hilft, ihn zu entfernen, und warnt andere, bevor sie erwischt werden. Es liefert Betrugsermittlern zudem Daten, um Betrugsmuster zu verfolgen — selbst eine Meldung über einen Beinahe-Treffer ist wertvoll.

Wie melde ich einen bösartigen Link sicher?

Sehen Sie sich den Code in der Vorschau an, um die decodierte URL festzuhalten, ohne die Seite zu öffnen, und fügen Sie diesen Link dann Ihrer Meldung an die betreffende Plattform, den Hoster oder die Betrugsbekämpfungsstelle bei. Geben Sie beim Sammeln von Beweisen niemals Zugangsdaten oder Zahlungsinformationen auf der Seite ein.