Gefälschte QR-Code-Zahlungen: So prüfen Sie, bevor Sie bezahlen

Nicht jeder QR-Code, der Sie zum Bezahlen auffordert, ist ein Betrug. Restaurants, Rechnungen, Spendenaktionen und sogar Parkscheinautomaten nutzen sie täglich ganz normal. Die entscheidende Frage lautet also nicht „Ist dieser QR-Code sicher?", sondern „Wohin fließt das Geld eigentlich, und an wen?" Genau diese Frage soll Ihnen dieser Ratgeber beantworten helfen, bevor Sie bezahlen.

Ein QR-Code kann Ihnen von sich aus kein Geld stehlen. Er ist lediglich ein Behälter für einen Link, einen Deeplink zu einer Zahlungs-App oder manchmal für Zahlungsdaten selbst. Die Gefahr steckt in dem, worauf der Code verweist und was danach passiert — nicht im schwarz-weißen Muster selbst.

Die vier Arten von Zahlungs-QR-Codes

Bevor Sie einen Zahlungs-QR-Code beurteilen können, hilft es zu wissen, was er überhaupt enthalten kann. Nicht alle Zahlungs-QR-Codes funktionieren gleich.

1. Ein QR-Code, der eine Webseite öffnet

Die häufigste Variante. Der Scan öffnet eine URL im Browser, und diese Seite fragt nach Kartendaten, einem Betrag oder einem Login. Entscheidend ist die tatsächliche Domain dieser Seite — nicht, wie offiziell sie aussieht.

2. Ein QR-Code, der Zahlungsdaten direkt enthält

Manche Codes verschlüsseln keine Adresse, sondern die Zahlungsinformation selbst — etwa eine Überweisungsreferenz, eine IBAN oder eine Krypto-Wallet-Adresse. Beim Scannen öffnet sich keine Webseite; Ihre Banking- oder Wallet-App liest die enthaltenen Daten aus und trägt sie zur Bestätigung in ein Überweisungsformular ein.

3. Ein QR-Code, der eine Zahlungs-App öffnet

Diese nutzen einen Deeplink, der eine bereits installierte App startet — eine P2P-Zahlungs-App, eine Banking-App oder eine Wallet — und dabei Empfänger und manchmal auch einen Betrag vorausfüllt. Sie bestätigen die Zahlung innerhalb der App selbst, nicht auf einer Webseite.

4. Ein QR-Code, der über mehrere Domains weiterleitet

Der Code öffnet zunächst einen Kurz- oder Tracking-Link, der Ihren Browser über eine zweite oder dritte Domain weiterschickt, bevor Sie tatsächlich zu einem Zahlungsformular gelangen. Mit jedem zusätzlichen Sprung wird es schwerer, auf den ersten Blick zu erkennen, wo Sie am Ende wirklich landen.

Zu wissen, um welche dieser vier Varianten es sich handelt, ist der erste Schritt — denn die richtige Prüfung unterscheidet sich je nach Typ. Bei einem linkbasierten Code entscheidet die Domain über alles. Bei direkt codierten Zahlungsdaten zählen nur die Angaben, die Ihre eigene Banking- oder Wallet-App anzeigt. Bei einem App-basierten Code kommt es darauf an, ob der vorausgefüllte Empfänger tatsächlich der erwartete ist.

Wo gefälschte Zahlungs-QR-Codes auftauchen

Restaurant- und Café-Tische

Ein Code auf dem Tisch oder der Speisekarte, der die Rechnung oder eine Trinkgeld-Seite öffnen soll. Betrüger drucken einen fast identischen Aufkleber und kleben ihn über den echten.

Rechnungen

Eine E-Mail oder eine gedruckte Rechnung enthält einen QR-Code als „schnelleren Weg zu bezahlen". Weil bei Rechnungen ohnehin echtes Geld fließt, fällt eine gefälschte kaum auf.

Spendenaktionen

Sammelboxen, Veranstaltungsflyer und Social-Media-Beiträge tragen manchmal einen Spenden-QR-Code. Ein gefälschter lenkt dieselbe Hilfsbereitschaft auf das Konto des Betrügers statt an den eigentlichen Zweck.

Peer-to-Peer-Zahlungsanfragen

Jemand — eine fremde Person online, ein „Verkäufer" in einem Marktplatz-Chat oder eine imitierte Kontaktperson — schickt Ihnen einen QR-Code zum Scannen, um angeblich Geld zu „empfangen" oder zu „senden". Bei manchen P2P-Maschen löst das Scannen eines vermeintlichen Empfangscodes in Wirklichkeit eine Zahlung von Ihrem eigenen Konto aus.

Gefälschte Zahlungsseiten

Der Code öffnet eine Seite, die wie eine Bank, ein Kartenanbieter oder eine bekannte Zahlungsmarke gestaltet ist — deren Domain aber nicht diesem Unternehmen gehört.

Krypto-Zahlungscodes

Krypto-QR-Codes enthalten direkt eine Wallet-Adresse. Da Krypto-Überweisungen nach der Bestätigung nicht rückgängig gemacht werden können, gehört eine ausgetauschte Adresse zu den am schwersten wiedergutzumachenden Varianten dieses Betrugs.

Ausgetauschte oder überklebte QR-Aufkleber

Ein Aufkleber mit gefälschtem Code wird physisch über einen echten geklebt — auf einem Plakat, einem Zahlungsterminal oder einem Tischaufsteller — sodass der Scan völlig normal wirkt.

Codes, die vor der Zahlung erst eine Webseite öffnen

Manche legitimen Systeme leiten Sie absichtlich zunächst auf eine gehostete Checkout-Seite weiter. Das ist normal — bedeutet aber, dass die Domain dieser Seite der wichtigste Prüfpunkt überhaupt ist.

So funktioniert der Betrug

Die meisten gefälschten Zahlungs-QR-Codes folgen einem ähnlichen Muster:

Ein Betrüger erstellt einen QR-Code, der auf eine Seite, eine Wallet-Adresse oder ein Konto verweist, das er kontrolliert.
Er platziert ihn dort, wo eine Zahlung erwartet wird — auf einem Tisch, einer Rechnung, einer Sammelbox, in einer Chatnachricht — oder klebt einen Aufkleber über einen bestehenden echten Code.
Ein Opfer scannt ihn im Glauben, es handle sich um den normalen, erwarteten Zahlungsweg.
Es gibt Kartendaten ein, bestätigt eine Überweisung oder genehmigt eine Zahlung innerhalb einer App.
Das Geld geht an den Betrüger. Das Unternehmen, die Organisation oder die Person, die eigentlich bezahlt werden sollte, erhält nichts.

Besonders wirksam macht diesen Betrug, dass sich der ganze Moment völlig gewöhnlich anfühlt — Sie hatten ohnehin erwartet, etwas zu bezahlen, also wirkt ein QR-Code, der genau das verlangt, nicht fehl am Platz, wie es ein unerwarteter Code täte. Der Betrug versteckt sich in einer Routine, der Sie bereits vertrauen.

Warnzeichen

Der QR-Code sieht wie ein Aufkleber aus oder liegt sichtbar über etwas anderem.
Der geforderte Betrag stimmt nicht mit dem überein, was Sie erwartet hatten.
Die Seite oder App verlangt mehr Angaben, als eine Zahlung normalerweise braucht — Passwörter, Sicherheitscodes oder persönliche Ausweisdaten.
Die Domain der Zahlungsseite hat erkennbar nichts mit dem Unternehmen, der Organisation oder der Person zu tun, die Sie eigentlich bezahlen wollen.
Sie werden unter Druck gesetzt — eine Nachricht drängt darauf, „jetzt sofort" zu zahlen, sonst verfalle das Angebot oder die Lieferung.
Der QR-Code erreichte Sie über einen ungewöhnlichen Kanal — eine unerwartete Nachricht, eine fremde Person oder einen Flyer ohne weitere Kontaktangaben.
Der Code leitet über einen verkürzten oder unbekannten Link weiter, bevor er zu einem Zahlungsformular führt.

So prüfen Sie einen Zahlungs-QR-Code, bevor Sie bezahlen

Vorschau vor dem Öffnen ansehen. Die meisten Kamera- und Scanner-Apps zeigen die Ziel-URL an, bevor sie geöffnet wird — lesen Sie sie, statt direkt durchzutippen.
Den Aufkleber selbst prüfen, falls vorhanden. Eine leicht angehobene Kante, ein abweichendes Material oder ein Code, der über einen anderen geklebt wurde, sind deutliche Hinweise auf Manipulation.
Die tatsächliche Domain identifizieren, nicht nur das Erscheinungsbild der Seite. Ein Logo und Farben, die zu einer Bank oder Marke passen, beweisen nichts darüber, wer die Domain registriert hat.
Bei einer Weiterleitung: den ganzen Weg verfolgen. Ein URL- oder QR-Checker kann Ihnen die vollständige Weiterleitungskette und das endgültige Ziel zeigen, bevor Sie es besuchen.
Bei direkt codierten Zahlungsdaten (Bankdaten oder Krypto-Adresse): vergleichen Sie das, was Ihre eigene App anzeigt, mit einer Quelle, der Sie vertrauen — nicht mit dem, was auf dem Code selbst steht.
Den offiziellen Kanal unabhängig suchen. Suchen Sie das Restaurant, die Organisation oder den Dienst über die bekannte Website, App oder eine gelistete Telefonnummer — nicht über einen Link auf dem Code oder dem umliegenden Material.
Im Zweifel anders bezahlen. Fragen Sie nach einem Kartenterminal, nutzen Sie eine Zahlungsmethode, der Sie bereits vertrauen, oder warten Sie.

Wenn der QR-Code eine URL öffnet, können Sie diesen Link in den QR-Code-Checker oder URL-Checker von 2check.click einfügen, um das Ziel, mögliche Weiterleitungen und bekannte Phishing-Merkmale zu sehen, bevor Sie ihn im Browser öffnen.

Worauf Sie sich nicht verlassen sollten

HTTPS. Ein Schloss-Symbol bedeutet nur, dass die Verbindung verschlüsselt ist — es sagt nichts darüber aus, wem die Seite gehört oder ob die Zahlung an die richtige Stelle geht.
Ein vertrautes Logo oder ein bekannter Markenname auf der Seite. Ein Logo kann jeder kopieren. Das ist kein Eigentumsnachweis.
Kontaktangaben auf der verdächtigen Seite oder dem Aufkleber selbst. Eine Telefonnummer oder E-Mail-Adresse neben einem gefälschten QR-Code stammt sehr wahrscheinlich vom selben Betrüger.
Die einfache Vorschau eines QR-Scanners allein. Die URL vor dem Öffnen zu sehen ist ein nützlicher erster Schritt, aber ein kurzer Blick auf einen Domainnamen ist keine vollständige Prüfung — besonders nicht gegenüber Lookalike-Domains.
Die Tatsache, dass die Zahlung erfolgreich war. Eine durchgeführte Transaktion bestätigt nur, dass Geld geflossen ist. Sie bestätigt nicht, wer es erhalten hat.

Was tun, nachdem Sie über einen gefälschten QR-Code bezahlt haben

Falls Sie bereits einen gefälschten Zahlungs-QR-Code gescannt und eine Zahlung abgeschlossen haben:

Kartenzahlung: Kontaktieren Sie so schnell wie möglich Ihre Bank oder Ihren Kartenanbieter. Erklären Sie, dass die Zahlung möglicherweise an einen betrügerischen Empfänger ging, und fragen Sie nach einer Rückbuchung oder Kartensperrung.
Überweisung: Kontaktieren Sie umgehend Ihre Bank. Überweisungen lassen sich bei schneller Meldung manchmal zurückholen oder markieren — eine Garantie dafür gibt es allerdings nicht.
Krypto-Zahlung: Bestätigte Krypto-Transaktionen lassen sich in der Regel nicht rückgängig machen. Notieren Sie sich die Ziel-Wallet-Adresse und melden Sie sie der Plattform oder Börse, über die die Zahlung lief, falls eine beteiligt war.
Zahlung über eine P2P-App: Melden Sie die Transaktion innerhalb der App und wenden Sie sich an deren Support — die Möglichkeiten zur Rückabwicklung unterscheiden sich je nach Anbieter.
Falls Sie zusätzlich ein Passwort oder persönliche Daten eingegeben haben: Behandeln Sie es als umfassenderen Phishing-Vorfall, nicht nur als Zahlungsproblem — siehe Ich habe auf einen Phishing-Link geklickt — was jetzt? für die nächsten Schritte.
Melden Sie den physischen Code, falls vorhanden. Informieren Sie das Lokal, den Vermieter oder die verantwortliche Stelle, damit er entfernt und andere gewarnt werden können.

Wie 2check.click helfen kann

2check.click kann einen QR-Code dekodieren und Ihnen die Ziel-URL, eine eventuelle Weiterleitungskette und häufige Phishing-Merkmale der Domain zeigen — bevor Sie sie im Browser öffnen. Das hilft bei der Frage „Wohin führt das eigentlich?", die im Kern hinter jedem Zahlungs-QR-Code steht.

Es kann Ihnen nicht sagen, wem ein Bankkonto oder eine Wallet-Adresse rechtlich gehört, und es kann nicht garantieren, dass eine bestimmte Zahlung sicher ist. Den Empfänger zu überprüfen — über eine offizielle Website, App oder eine selbst recherchierte Telefonnummer — bleibt weiterhin etwas, das nur Sie tun können.

Weiterführende Ratgeber

Häufig gestellte Fragen

Ist jeder QR-Code, der zur Zahlung auffordert, ein Betrug?

Nein. QR-Codes sind ein ganz normaler, weit verbreiteter Weg, um eine Zahlung anzufordern. Das Risiko hängt vom Ziel und vom Empfänger ab, nicht davon, dass überhaupt ein QR-Code im Spiel ist.

Bedeutet HTTPS auf der Zahlungsseite, dass sie sicher ist?

Nein. HTTPS bedeutet lediglich, dass die Verbindung verschlüsselt ist. Es sagt nichts darüber aus, wer die Seite kontrolliert oder wohin Ihre Zahlung tatsächlich geht.

Wie erkenne ich, ob ein Aufkleber über einen echten QR-Code geklebt wurde?

Prüfen Sie Kanten und Oberfläche mit den Fingern. Ein Aufkleber, der leicht übersteht, ein abweichendes Material oder ein Code, der Teile eines anderen Bildes verdeckt, sind allesamt Anzeichen für Manipulation.

Kann 2check.click mir sagen, ob eine Zahlung sicher ist?

2check.click kann zeigen, wohin der Link eines QR-Codes führt, und häufige Phishing-Merkmale anzeigen — es kann aber nicht überprüfen, wem ein Zahlungskonto gehört, und keine Garantie für die Sicherheit einer Transaktion geben. Eine unabhängige Überprüfung des Empfängers bleibt notwendig.

Was soll ich tun, wenn ich bereits über einen gefälschten QR-Code bezahlt habe?

Kontaktieren Sie umgehend Ihren Kartenanbieter, Ihre Bank oder die Zahlungs-App und schildern Sie den Vorfall. Die möglichen nächsten Schritte hängen von der Zahlungsart ab — Details dazu finden Sie im Abschnitt oben zu Karten, Überweisungen, Krypto und P2P-Apps.

Fazit

Ein QR-Code, der zur Zahlung auffordert, ist für sich genommen kein Warnsignal — er ist einfach ein Transportmittel, genau wie ein Link oder eine gedruckte Kontonummer. Entscheidend ist, ob Sie unabhängig nachvollziehen können, wohin das Geld tatsächlich fließt. Nehmen Sie sich vor dem Bezahlen einen Moment, um das Ziel zu prüfen und den Empfänger über einen selbst gefundenen Kanal zu bestätigen — und behandeln Sie jeden Druck zu sofortigem Handeln als Grund zum Innehalten, nicht zur Eile.