Bad Harzburg im Harz
In der Kurstadt Bad Harzburg wurden kürzlich mehrere manipulierte Parkscheinautomaten entdeckt. Kriminelle hatten gefälschte QR-Codes über die offiziellen Zahlungs-QRs geklebt und so versucht, ahnungslose Autofahrer in eine Falle zu locken. Was auf den ersten Blick wie eine lokale Betrugsaktion wirkt, entpuppt sich bei genauerem Hinsehen als Teil eines international zunehmenden Phänomens: dem sogenannten „Quishing“ – einer Phishing-Methode per QR-Code.
Der Vorfall im Überblick
Die Polizeiinspektion Goslar bestätigte den Fund mehrerer manipulierter Parkautomaten in Bad Harzburg sowie in weiteren Orten wie Goslar, Celle, Hannover und Braunschweig. Der Betrug funktionierte simpel, aber effektiv: Über die regulären QR-Codes der Park-Apps wie EasyPark oder PayByPhone wurden täuschend echt aussehende Aufkleber mit gefälschten QR-Codes angebracht. Wer diese mit dem Smartphone scannte, landete nicht auf einer sicheren Bezahlseite, sondern auf einer Phishing-Webseite. In mindestens einem Fall wurde so ein vierstelliger Betrag von einem Konto abgebucht – nur das schnelle Eingreifen der Bank konnte Schlimmeres verhindern.
Wie funktioniert Quishing?
„Quishing“ ist eine Wortschöpfung aus „QR-Code“ und „Phishing“ und bezeichnet eine Methode, bei der Kriminelle QR-Codes missbrauchen, um Nutzer auf gefälschte Webseiten zu locken. Während Phishing-Mails oft von Spamfiltern erkannt werden, bieten QR-Codes eine neue und schwerer zu kontrollierende Angriffsfläche. Die Betrüger platzieren ihre QR-Codes auf öffentlichen Geräten, wie Parkscheinautomaten oder Ladesäulen, häufig über die echten Codes hinweg.
Die gefährlichste Eigenschaft: Vertrauen
QR-Codes wirken auf viele Menschen harmlos. Sie sind in der Gastronomie, bei Paketdiensten und eben auch beim Parken alltäglich geworden. Dieses Vertrauen machen sich Kriminelle zunutze. Oft bemerken die Opfer nicht einmal, dass sie eine gefälschte Seite aufgerufen haben. Die URLs wirken auf den ersten Blick legitim, das Design der Webseiten imitiert die echten Zahlungsanbieter nahezu perfekt.
Ausmaß des Problems: Quishing ist kein lokales Phänomen
Die Masche in Bad Harzburg ist kein Einzelfall. In ganz Niedersachsen wurden ähnliche Vorfälle gemeldet. Doch auch über die Grenzen hinaus ist das Problem bekannt:
- In Großbritannien wurden 2024 über 1.300 Quishing-Vorfälle gemeldet, 2025 stieg die Zahl allein im ersten Quartal auf über 500 Fälle.
- In den USA tauchten manipulierte QR-Codes in Städten wie Redondo Beach, Fort Lauderdale und San Clemente auf – Hunderte falsche Aufkleber wurden entdeckt.
- In der Schweiz betrafen ähnliche Angriffe öffentliche Ladesäulen in Städten wie Luzern. Der dort genutzte Bezahldienst Twint wurde gezielt gefälscht.
Hintergründe und Täterprofile
Ermittlungen zeigen: Die Täter gehen äußerst organisiert vor. Die Aufkleber sind professionell gedruckt, oft mit Laminierung oder auf Kunststofffolie – sie wirken legitim und sind schwer als Fälschung zu erkennen. Die Webseiten hinter den gefälschten Codes sind oft nur kurz online, was die Rückverfolgung erschwert. Bezahlt wird meist mit Kreditkarte – und genau hier greifen die Täter sensible Daten ab: Kreditkartennummer, Name, CVC, teilweise sogar Telefonnummer und Adresse.
Technisch bestens vorbereitet
Cyberkriminelle setzen inzwischen sogar Künstliche Intelligenz ein, um Phishing-Webseiten zu gestalten, die für Nutzer kaum noch vom Original zu unterscheiden sind. Die Seiten sind oft SSL-verschlüsselt, nutzen täuschend ähnliche Domains und ahmen den Aufbau offizieller Anbieter nach.
Statistiken verdeutlichen das Risiko
| Faktor | Wert |
|---|---|
| QR-Phishing-Anteil an allen Phishing-Versuchen (2023) | ca. 10 % |
| Gefälschte QR-Codes weltweit (Juni–Aug 2023) | 8.878 Fälle |
| Anteil bösartiger QR-Scans weltweit | 1,9 % |
| Häufig betroffene Branchen | Energie (29 %), Fertigung, IT, Finanzen |
So schützen Sie sich vor QR-Code-Betrug
Die Polizei und IT-Sicherheitsexperten raten zu besonderer Wachsamkeit im Umgang mit QR-Codes. Die folgenden Maßnahmen helfen, sich zu schützen:
- Genau hinschauen: Sitzt der QR-Code schief? Ist er über einen anderen geklebt? Lässt er sich leicht abziehen?
- URL prüfen: Vor dem Eingeben von Daten immer die angezeigte Adresse kontrollieren. Unseriöse Domains sind oft leicht zu erkennen (z. B. „pay-by-ph0ne.net“ statt „paybyphone.de“).
- Nur bekannte Apps nutzen: Parken lieber über eine offizielle App starten, statt QR-Codes auf dem Automaten zu scannen.
- Im Zweifel bar zahlen: Wenn ein QR-Code seltsam erscheint, lieber zur Münze greifen.
- Im Schadensfall: Sofort die Bank informieren, Karte sperren, Anzeige erstatten.
Was tun die Behörden?
Die Polizei Goslar hat alle manipulierten Automaten zur Überprüfung entfernt und warnt die Bevölkerung vor ähnlichen Vorfällen. In Hannover wurden ähnliche Maßnahmen ergriffen, ebenso in Braunschweig und Celle. Die Aufklärung wird durch die Kurzlebigkeit der Phishing-Domains und die Anonymität der Zahlungsmethoden jedoch erschwert.
Ein Polizeisprecher erklärte: „Wir beobachten, dass die Täter technisch sehr versiert vorgehen. Das bedeutet für uns: schnelle Reaktion und enge Zusammenarbeit mit IT-Forensikern und Zahlungsdienstleistern.“
Kommunen unter Zugzwang
Für Städte wie Bad Harzburg ergibt sich aus diesen Vorfällen Handlungsbedarf. Die Betreiber öffentlicher Parkautomaten könnten künftig verstärkt auf digitale Sicherheit setzen. Dazu zählen fälschungssichere QR-Codes, wie sie von einigen Anbietern bereits getestet werden, oder der Verzicht auf QR-Zahlungen am Automaten – etwa durch App-Zwang ohne direkte Verlinkung.
Auch Awareness-Kampagnen in Kommunen sind denkbar. In anderen Ländern – etwa Kanada oder Schweden – laufen bereits Informationskampagnen an öffentlichen Einrichtungen mit Hinweisen auf QR-Code-Risiken.
Forschung und Technik als Hoffnungsträger
Wissenschaftliche Studien zeigen Fortschritte: Forscher entwickeln neue Systeme, die QR-Codes automatisiert visuell analysieren, um schädliche Muster zu erkennen. Dabei kommen KI-Modelle wie XGBoost zum Einsatz, die bereits eine Trefferquote von über 90 % erreichen.
Ein weiteres spannendes Projekt ist die Entwicklung sogenannter „Dueling QR Codes“, die je nach Betrachtungswinkel unterschiedliche Inhalte zeigen. Obwohl das ursprünglich für kreative Anwendungen gedacht war, könnten solche Technologien künftig helfen, echte von gefälschten QR-Codes zu unterscheiden.
Wachsamkeit ist der beste Schutz
Die Manipulation öffentlicher Parkautomaten in Bad Harzburg ist mehr als ein lokaler Betrugsversuch. Sie ist Ausdruck einer globalen Entwicklung, bei der altbekannte Betrugsmechanismen auf neue technologische Wege treffen. QR-Codes bieten Komfort – aber eben auch Angriffsfläche. Die Täter agieren professionell, technisch ausgeklügelt und international vernetzt.
Es liegt nun an Kommunen, Zahlungsanbietern, Forschung und Nutzern selbst, diese neue Gefahr zu erkennen und geeignete Gegenmaßnahmen zu etablieren. Bis dahin gilt: Wer scannt, sollte zweimal hinsehen.
