QR-Code-Fallen: Quishing an Parkautomaten und die Abofalle nach dem Druck

Ob im Schanigarten zum Abrufen der Speisekarte, am Parkscheinautomaten der Kurzparkzone oder auf dem Werbeflyer im Briefkasten: Das quadratische Pixelmuster ist aus dem Alltag in Österreich nicht mehr wegzudenken. Die Bedienung ist denkbar einfach: Handykamera daraufhalten, antippen, fertig.

Genau diese Gewohnheit und das blinde Vertrauen in die kleinen Quadrate nutzen Kriminelle und dubiose Plattformbetreiber derzeit gezielt aus. Aktuell sorgen vor allem zwei unterschiedliche Maschen für teure Überraschungen:

1. Für Verbraucher und Autofahrer: Sogenanntes „Quishing“ – manipulierte Aufkleber an Parkscheinautomaten und E-Ladesäulen, die Kreditkartendaten abgreifen.
2. Für Gewerbetreibende, Vereine und Gastronomen: Die Abofalle bei dynamischen QR-Codes, bei der gedruckte Flyer oder Speisekarten nach zwei Wochen plötzlich als Geisel genommen werden.

1. Quishing an Parkautomaten: Der manipulierte Aufkleber

Das Kunstwort „Quishing“ setzt sich aus QR-Code und Phishing zusammen. Das Prinzip ist dem klassischen Phishing per E-Mail oder SMS sehr ähnlich, nutzt jedoch eine physische Schnittstelle in der realen Welt.

Die Täter gehen dabei erstaunlich pragmatisch vor:

• Sie drucken professionell wirkende Aufkleber, die optisch exakt zum Design gängiger Park-Apps (wie EasyPark oder kommunalen Parkleitsystemen) passen.
• Diese Sticker werden direkt über den originalen QR-Code oder neben die Anleitung am Parkscheinautomaten geklebt.
• Wer den Code scannt, landet nicht im App-Store oder in der legitimen Bezahlmaske, sondern auf einer gefälschten Phishing-Webseite.
• Dort wird man unter Zeitdruck („Parkschein jetzt aktivieren“) aufgefordert, Kennzeichen und vollständige Kreditkartendaten inklusive Prüfziffer (CVV) einzugeben.
• Die Bezahlung schlägt scheinbar fehl, während die Kreditkartendaten bereits im Minutentakt für betrügerische Online-Einkäufe im Ausland missbraucht werden.

Der 3-Sekunden-Sicherheitscheck vor dem Scannen

Bevor Sie an einer Ladesäule, einem Parkscheinautomaten oder auf einem behördlichen Bescheid einen QR-Code scannen, helfen drei einfache Kontrollschritte:

• 1. Der Fingernagel-Test: Fahren Sie mit der Fingerkuppe leicht über den QR-Code. Ist der Code direkt auf das Metallblech oder die Schutzfolie des Automaten gedruckt? Oder spüren Sie eine Kante, weil ein dünner Aufkleber über die Originalfläche geklebt wurde? Bei überklebten Codes: Finger weg.
• 2. Die URL-Vorschau in der Kamera: Moderne Smartphones zeigen vor dem Öffnen die Ziel-Webadresse als kleine gelbe oder weiße Zeile an. Seriöse Anbieter nutzen klare Domains (z. B. easypark.com oder offizielle Stadtportale). Wenn dort Buchstabendreher, fremde Länderendungen oder lange, kryptische Zeichenfolgen stehen, den Link keinesfalls antippen.
• 3. App statt Web-Formular: Wenn Sie regelmäßig bargeldlos parken, öffnen Sie die Park-App direkt auf Ihrem Smartphone, anstatt spontan Web-Formularen zu vertrauen. Eine legitime Park-App verlangt Ihre Kartendaten einmalig in der geschützten App-Umgebung, niemals auf einer flüchtigen Website nach einem QR-Scan.

2. Die Abofalle nach dem Druck: Wenn die Speisekarte plötzlich „abläuft“

Eine ganz andere, für Betriebe aber oft ruinöse Falle schnappt im Büro oder Restaurant zu. Gastronomen, Handwerksbetriebe, Arztpraxen oder Vereine möchten ihre Speisekarte, ihr WLAN-Passwort oder einen Link zur Website auf Tische, Aufsteller, Fahrzeuge oder Flyer drucken.

Viele geben dafür in Suchmaschinen Begriffe wie „QR Code kostenlos erstellen“ ein. Was dann passiert, läuft fast immer nach demselben Schema ab:

3. Statisch vs. Dynamisch: Was Sie wirklich brauchen

Um sich vor dieser Masche zu schützen, muss man den technischen Unterschied zwischen den zwei Varianten von QR-Codes verstehen:

Wann reicht ein statischer QR-Code?

In mindestens 90 Prozent aller Praxisfälle ist ein statischer QR-Code die bessere, sicherere und wirtschaftlichste Wahl:

• WLAN-Zugänge: Gäste scannen den Code und sind sofort im WLAN verbunden. Hier ist ein dynamischer Code technisch gar nicht sinnvoll.
• Visitenkarten (vCard): Kontaktdaten direkt und ohne Umwege ins Adressbuch übertragen.
• Speisekarten & Websites: Wenn Ihre Website oder Speisekarte unter einer festen Adresse liegt (z. B. ihrerestaurant.at/karte), ändern Sie bei Preis- oder Saisonwechseln einfach den Inhalt auf Ihrer eigenen Website – der QR-Code bleibt derselbe und muss nie ausgetauscht werden.

Dynamische QR-Codes sind nur dann sinnvoll, wenn Sie großflächige Plakatkampagnen mit wöchentlich wechselnden Landingpages bespielen oder detaillierte Werbeanalysen (Tracking) benötigen. In diesem Fall sollten Sie jedoch niemals dubiose Gratis-Generatoren nutzen, sondern eigene Weiterleitungen über Ihre eigene Domain einrichten.

4. Checkliste: So erstellen Sie drucksichere QR-Codes

Wenn Sie QR-Codes für Drucksachen vorbereiten, beachten Sie diese vier handwerklichen Qualitätskriterien:

• 1. Vektorformat statt verwaschener Pixel: Laden Sie für Druckereien immer das Format SVG (Vektorgrafik) herunter, niemals kleine PNG- oder JPG-Dateien. Eine Vektorgrafik lässt sich ohne jeden Qualitätsverlust auf Plakatgröße skalieren, ohne dass die Kanten pixelig oder unscharf werden.
• 2. Ausreichender Kontrast: Kameras von Smartphones benötigen Helligkeitskontraste. Klassisches Schwarz auf Weiß funktioniert am zuverlässigsten. Wenn Sie Markenfarben nutzen: Immer dunkle Zeichen auf sehr hellem Grund verwenden. Vermeiden Sie helle Gelb- oder Pastelltöne für die Punkte und invertieren Sie den Code nicht.
• 3. Die Ruhezone (Quiet Zone) einhalten: Um jeden QR-Code gehört ein sauberer, freier Randbereich in der Hintergrundfarbe. Wenn Texte, Linien oder Bilder direkt an die äußeren Quadrate stoßen, kann der Scanner das Raster nicht mehr erfassen.
• 4. Datenverarbeitung prüfen: Achten Sie darauf, wie der Anbieter Ihre Eingaben verarbeitet. Das gilt besonders für WLAN-Passwörter und private Telefonnummern.

5. Erste Hilfe: Was tun, wenn man betroffen ist?

Wenn Sie an einem manipulierten Automaten gescannt haben:

1. Karte sofort sperren: Rufen Sie unverzüglich den Sperr-Notruf Ihrer Bank oder die allgemeine Sperr-Hotline an (in Österreich und Deutschland rund um die Uhr erreichbar).
2. Umsätze kontrollieren: Prüfen Sie im Online-Banking, ob bereits unautorisierte Buchungen vorliegen, und leiten Sie sofort ein Reklamations- bzw. Chargeback-Verfahren bei Ihrem Kreditkartenanbieter ein.
3. Polizei und Betreiber verständigen: Informieren Sie die örtliche Polizei sowie den Parkraumbetreiber, damit der manipulierte Automat umgehend überprüft und der gefälschte Sticker entfernt werden kann.

Wenn Ihre gedruckten QR-Codes gesperrt wurden:

1. Nicht voreilig erpressen lassen: Schließen Sie nicht blind ein teures Jahresabonnement ab. Rechnen Sie durch, was ein professioneller Neudruck mit echten statischen Codes kostet.
2. Die Überkleber-Lösung: Bei teuren Acryl-Aufstellern oder Schildern müssen Sie selten das gesamte Schild entsorgen. Druckereien bieten exakt passende, blickdichte Klebepunkte oder Aufkleber mit einem sauberen statischen QR-Code an, die direkt über das alte Feld geklebt werden können.
3. Zukünftig auf Unabhängigkeit setzen: Verwenden Sie für dauerhafte Printmedien ausschließlich statische Codes ohne Zwischenstation.