Gefälschte QR-Codes an Parkautomaten: Wie Aufkleber-Betrug funktioniert

Ein QR-Code an einem Parkautomaten, Schild, Ticketautomaten oder einer Ladesäule ist nicht automatisch verdächtig — viele Städte und Betreiber nutzen ihn längst als ganz normalen, offiziellen Zahlungsweg. Das Problem ist, dass ein Aufkleber leicht gedruckt und leicht über den echten Code geklebt werden kann — und oft lässt sich allein durch Hinsehen nicht erkennen, ob der Code vor Ihnen echt ist.

Dieser Ratgeber erklärt, wie dieser Aufkleber-Betrug funktioniert, wie Sie einen Parkplatz-QR-Code vor dem Bezahlen prüfen und was zu tun ist, wenn Sie bereits Kartendaten auf einer gefälschten Seite eingegeben haben.

So funktioniert der Betrug

Der Kern dieses Betrugs ist physisch, nicht nur digital:

Ein Betrüger druckt einen oder mehrere Aufkleber mit einem QR-Code, den er selbst kontrolliert.
Er klebt den Aufkleber direkt über den echten Zahlungs-QR-Code des Automaten oder bringt ihn dort an, wo ein Code erwartet wird.
Ein Fahrer scannt ihn — oft weil die Alternative das Suchen nach Kleingeld, ein unbekannter Automat oder schlechter Empfang ist, und der QR-Code die schnellste Option zu sein scheint.
Der Code öffnet eine Zahlungsseite, die dem echten Parkbetreiber nachempfunden ist — manchmal überzeugend genau.
Der Fahrer gibt Kartendaten ein und bezahlt. Das Geld geht an den Betrüger, nicht an den Parkbetreiber.

Das Ergebnis ist häufig ein doppelter Verlust: Der Fahrer hat zwar bezahlt, aber der eigentliche Parkvorgang wurde nie registriert — die tatsächliche Parkgebühr bleibt offen, und ein echtes Verwarngeld kann zusätzlich zu dem bereits verlorenen Geld folgen.

Das funktioniert, weil eine überzeugende Zahlungsseite kein großer Aufwand ist. Eine Seite kann Logo, Farben und Layout eines Parkbetreibers perfekt kopieren und trotzdem jemandem gehören, der mit diesem Betreiber überhaupt nichts zu tun hat. Professionelles Design beweist nichts darüber, wer die Seite tatsächlich kontrolliert.

Wo das vorkommt

Parkautomaten — ein Aufkleber direkt über dem Zahlungs-QR-Code des Automaten.
Parkschilder — ein zusätzlicher Code an Schildern in Bereichen, die ganz auf QR-basierte Zahlung setzen, ohne einen physischen Automaten.
Zahlungsterminals und Kassenautomaten — Aufkleber auf dem Gehäuse, besonders in der Nähe eines defekten Kartenlesers oder Münzeinwurfs, der Menschen zur QR-Option drängt.
Ladesäulen für E-Fahrzeuge — dieselbe Masche, angewendet auf eine andere Art „Pay-to-use"-Straßeninfrastruktur.
Ticketautomaten — Automaten für Nahverkehr oder Veranstaltungsparkplätze, bei denen ein QR-Code als schnelle Alternative angeboten wird.

Gefälschte Codes häufen sich genau dort, wo Menschen am ehesten scannen, ohne zweimal hinzusehen: belebte Besucherbereiche, sichtlich abgenutzte oder halb defekte Automaten, und Stellen, an denen App oder Kartenleser gerade nicht funktionieren.

Warnzeichen

Der QR-Code ist auf einem Aufkleber gedruckt statt Teil der ursprünglichen Beschilderung oder des Bildschirms.
Die Kante des Aufklebers ist leicht angehoben, gewellt oder besteht aus einem anderen Material oder einer anderen Oberfläche als die Umgebung.
Der Aufkleber sitzt schief oder überlappt teilweise Text, ein Logo oder einen anderen Code.
Die Webadresse der Zahlungsseite hat erkennbar keinen Bezug zum Parkbetreiber, zur Stadt oder zum Ort, an dem Sie stehen.
Die Seite fragt nach Angaben, die eine Parkzahlung normalerweise nicht braucht — eine vollständige Karten-PIN, eine Sicherheitsfrage oder einen fremden Konto-Login.
Es fehlt ein Feld für Kennzeichen oder Stellplatznummer, oder der Ablauf passt sonst nicht zu dem, was Sie von diesem Betreiber erwarten würden.
Der Code war schon da, als Sie ankamen, und nichts am Automaten oder Schild erklärt, wer ihn dort angebracht hat.

So prüfen Sie einen Parkplatz-QR-Code vor dem Bezahlen

Vor dem Scannen hinsehen und anfassen. Fahren Sie mit dem Finger über die Kanten des Codes. Eine leicht angehobene Kante, Blasenbildung oder ein sichtbar anderes Aufklebermaterial ist das klarste Zeichen dafür, dass etwas über das Original geklebt wurde.
Das Ziel vorab in der Vorschau ansehen. Die meisten Kamera-Apps zeigen die URL an, bevor sie geöffnet wird — lesen Sie die Domain, bevor Sie durchtippen, nicht danach.
Prüfen, ob die Domain zum Betreiber passt, nicht nur, wie die Seite aussieht. Eine Seite kann optisch identisch zur echten sein und trotzdem auf einer völlig fremden Domain liegen.
Auf die Zahlungsmethode schauen, die am Automaten selbst angegeben ist. Offizielle Beschilderung nennt in der Regel den Namen des Betreibers, eine Telefonnummer oder einen App-Namen, den Sie unabhängig überprüfen können — nutzen Sie das, statt dem Aufkleber zu vertrauen.
Die offizielle App oder Website des Betreibers selbst finden. Suchen Sie den Parkbetreiber oder die städtische Parkbehörde namentlich, statt einem Link vom Code zu folgen, und bezahlen Sie über diesen verifizierten Kanal.
Bei einem ungutem Gefühl: gar nicht erst scannen. Nutzen Sie einen Kartenleser, falls vorhanden, eine App, der Sie bereits vertrauen und die Sie schon genutzt haben, oder parken Sie woanders.

Wenn Sie den Code bereits gescannt haben und den Link zur Hand haben, können Sie ihn mit dem QR-Code-Checker oder URL-Checker von 2check.click prüfen, bevor Sie ihn im Browser öffnen — so sehen Sie Ziel und mögliche Weiterleitungen, ohne die Seite selbst besuchen zu müssen.

Worauf Sie sich nicht verlassen sollten

Wie offiziell die Seite wirkt. Logo, Farben und Layout lassen sich exakt kopieren und beweisen nichts darüber, wem die Seite gehört.
HTTPS oder ein Schloss-Symbol. Das bedeutet nur, dass die Verbindung verschlüsselt ist — nicht, dass die Seite einem echten Parkbetreiber gehört.
Eine Telefonnummer oder ein Kontakt auf dem Aufkleber oder der Seite. Wenn der Code selbst gefälscht ist, kann alles Gedruckte daneben ebenfalls gefälscht sein.
Dass die Zahlung erfolgreich war. Eine abgeschlossene Transaktion bestätigt, dass Geld geflossen ist — nicht, wer es erhalten hat oder ob der Parkvorgang tatsächlich registriert wurde.

Was tun, nachdem Sie Kartendaten auf einer gefälschten Seite eingegeben haben

Kontaktieren Sie umgehend Ihre Bank oder Ihren Kartenanbieter. Erklären Sie, dass Sie möglicherweise an einen betrügerischen Empfänger gezahlt haben, und fragen Sie nach einer Rückbuchung oder Kartensperrung.
Prüfen Sie, ob nun zusätzlich eine echte Parkgebühr oder ein Verwarngeld offen ist. Da die eigentliche Zahlung nie stattfand, kann ein Strafzettel folgen. Wenden Sie sich direkt an den tatsächlichen Parkbetreiber oder die zuständige Behörde — selbst recherchiert, nicht über den gefälschten Code — und schildern Sie die Situation.
Fotografieren Sie den Aufkleber und seinen Standort, bevor er entfernt wird. Ein klares Foto des Codes, des Automaten oder Schilds und der Umgebung ist nützliches Beweismaterial für Bank, Betreiber und Behörden.
Bewahren Sie die URL der Zahlungsseite sowie jede Bestätigung oder Quittung auf. Das hilft bei der späteren Nachverfolgung, wohin die Zahlung ging.
Melden Sie den Aufkleber dem Parkbetreiber, der Stadtverwaltung oder dem Grundstückseigentümer, damit er entfernt wird und keine weiteren Fahrer darauf hereinfallen.
Falls Sie ein Passwort oder einen Konto-Login eingegeben haben, nicht nur Kartendaten: Behandeln Sie es als umfassenderen Phishing-Vorfall — siehe Ich habe auf einen Phishing-Link geklickt — was jetzt? für die nächsten Schritte.

Wie 2check.click helfen kann

2check.click kann einen QR-Code dekodieren und Ihnen die Ziel-URL, eine eventuelle Weiterleitungskette und häufige Phishing-Merkmale zeigen, bevor Sie die Seite im Browser öffnen. Das hilft bei der Einschätzung, ob ein Link wie die echte Seite eines Parkbetreibers aussieht oder wie eine Nachahmung.

Es kann nicht sagen, ob ein bestimmter Aufkleber echt oder physisch manipuliert ist — diese Prüfung müssen Sie selbst, mit eigenen Augen und Händen, direkt am Automaten vornehmen — und es kann nicht garantieren, dass eine bestimmte Zahlung sicher ist.

Weiterführende Ratgeber

Häufig gestellte Fragen

Sind QR-Codes an Parkautomaten grundsätzlich sicher?

Viele sind echt und werden täglich von offiziellen Parkbetreibern genutzt. Das Risiko liegt nicht im QR-Code selbst, sondern in der Möglichkeit, dass ein gefälschter Aufkleber über oder neben dem echten Code angebracht wurde.

Wie erkenne ich einen gefälschten Aufkleber im Vergleich zum Originalcode?

Fühlen und schauen Sie sich die Kanten genau an. Eine leicht angehobene oder gewellte Kante, ein anderes Material oder ein Code, der Teile des ursprünglichen Texts oder Logos überdeckt, sind die deutlichsten physischen Anzeichen für Manipulation.

Warum könnte ich nach der Zahlung über einen gefälschten Code trotzdem ein Verwarngeld bekommen?

Weil das Geld an den Betrüger statt an den Parkbetreiber ging, wurde Ihr Parkvorgang im System des Betreibers nie registriert — deshalb kann trotz erfolgter Zahlung ein echtes Verwarngeld wegen nicht bezahlten Parkens ausgestellt werden.

Betrifft dieses Problem nur bestimmte Länder?

Nein. Gefälschte QR-Aufkleber an Parkinfrastruktur wurden an vielen Orten gemeldet, zum Beispiel auch an deutschen Parkscheinautomaten — denn die Methode, einen Aufkleber zu drucken und über den echten Code zu kleben, funktioniert unabhängig vom jeweiligen Parksystem gleich.

Was soll ich tun, wenn ich bereits meine Kartendaten eingegeben habe?

Kontaktieren Sie umgehend Ihre Bank oder Ihren Kartenanbieter, prüfen Sie, ob noch eine echte Parkgebühr offen ist, und melden Sie den Aufkleber dem Parkbetreiber oder der zuständigen Behörde, damit er entfernt werden kann.

Fazit

Ein QR-Code am Parkautomaten ist ein paar zusätzliche Sekunden wert, bevor Sie ihn scannen. Prüfen Sie den Aufkleber selbst auf Anzeichen von Manipulation, bestätigen Sie, dass die Zieldomain tatsächlich zum Betreiber gehört, und suchen Sie im Zweifel die offizielle App oder Nummer selbst, statt allem zu vertrauen, was neben dem Code steht. Diese wenigen Sekunden sind deutlich günstiger als eine betrügerische Abbuchung und ein Strafzettel am selben Nachmittag.