Quishing: Gefälschte Bank-Briefe locken in die QR-Code-Falle

Datendiebe setzen auf den “analogen Umweg” und überfluten Briefkästen mit gefälschten Schreiben. Kriminelle verschicken derzeit massenhaft gefälschte Briefe von Banken, Krankenkassen und Behörden. Ihr Ziel: Bürger über einen QR-Code auf Phishing-Seiten zu locken. Experten warnen vor einer neuen Qualität der Täuschung zum Jahresbeginn.

Während E-Mail-Filter immer besser werden, haben Cyberkriminelle den physischen Briefkasten als Einfallstor wiederentdeckt. Die Methode ist simpel und effektiv: Ein offiziell wirkendes Schreiben, ein dringender Handlungsbedarf und ein QR-Code als vermeintliche Lösung.

Die aktuelle Angriffswelle zielt auf das Grundvertrauen in gedruckte Dokumente ab. Besonders betroffen sind laut Verbraucherzentralen derzeit Kunden großer deutscher Banken und Mitglieder gesetzlicher Krankenkassen.

Die Empfänger erhalten authentisch wirkende Schreiben auf hochwertigem Papier, oft mit korrekten Logos. Der Inhalt folgt stets demselben Muster: Es wird behauptet, dass aufgrund neuer EU-Richtlinien oder einer Systemumstellung eine sofortige “Re-Legitimation” nötig sei.

QR‑Code‑Phishing per Brief trifft immer mehr Verbraucher – besonders Smartphone‑Nutzer, die den Ziel‑Link nicht prüfen. Ein kostenloses Anti‑Phishing‑Paket liefert eine klare 4‑Schritte‑Anleitung, erklärt aktuelle Hacker‑Methoden, nennt psychologische Tricks und zeigt präzise, wie Sie Links prüfen, verdächtige Post melden und Konten schützen. Der Download ist gratis und enthält praxisnahe Sofortmaßnahmen für Zuhause und unterwegs. Kostenlosen Anti‑Phishing‑Guide herunterladen

Der abgedruckte QR-Code führt jedoch nicht auf die echte Webseite, sondern auf eine täuschend echte Phishing-Seite. Dort abgegriffene Zugangsdaten und TANs ermöglichen den Tätern oft direkten Zugriff auf Konten.

Neue Ziele: Von der Bank zur Krankenkasse

Während im vergangenen Jahr vor allem Bankkunden im Visier standen, zeigen aktuelle Meldungen eine Ausweitung. In den letzten 48 Stunden tauchten vermehrt Schreiben im Namen von Krankenkassen wie der AOK oder sogar vermeintliche Steuerbescheide auf.

Die Täter nutzen geschickt den Jahreswechsel. Viele Bürger erwarten im Januar Post zu Beitragsanpassungen. Ein Brief, der eine “Beitragsrückerstattung” verspricht, erregt so weniger Misstrauen als eine kryptische E-Mail.

Sicherheitsanalysten weisen darauf hin, dass die Qualität der Fälschungen beunruhigend hoch ist. Die Kriminellen nutzen offenbar Daten aus früheren Leaks, um Briefe mit korrekten Namen und Adressen zu personalisieren.

Warum herkömmliche Schutzsoftware versagt

Das Phänomen “Quishing” – eine Kombination aus “QR-Code” und “Phishing” – stellt herkömmliche Sicherheitsmechanismen vor Probleme. Der Grund liegt im Medienbruch:

• Keine digitale Vorprüfung: Ein Brief durchläuft keine Firewall und landet ungeprüft auf dem Küchentisch.
• Gerätewechsel: Der Nutzer liest den Brief analog und greift dann zum Smartphone, oft im Mobilfunknetz.
• Verschleierte URLs: QR-Codes sind für das menschliche Auge nicht lesbar. Ohne Hilfsmittel ist nicht erkennbar, wohin der Link führt.

Experten betonen, dass Smartphones oft schlechter gegen Phishing geschützt sind als Desktop-PCs. Die kleineren Bildschirme blenden Adressleisten aus, und die intuitive Bedienung verleitet zu schnellem Klicken.

Ein teures Erwachen für Verbraucher

Die Renaissance des Briefkasten-Betrugs ist auch eine ökonomische Abwägung der Täter. Zwar ist der Versand tausender Briefe teurer als Massen-E-Mails, doch die Erfolgsquote ist bei Briefen signifikant höher.

Branchenbeobachter vergleichen die Entwicklung mit dem “Enkeltrick 2.0”. Gezielt wird die Autorität von Institutionen und das Medium “Brief” missbraucht, um auch digital misstrauische Zielgruppen zu erreichen. Der finanzielle Schaden geht laut ersten Schätzungen für das letzte Quartal bereits in die Millionenhöhe.

Bankenverbände stellen klar: Kein seriöses Institut fordert Kunden per Brief auf, einen QR-Code für sicherheitsrelevante Änderungen zu scannen.

So schützen Sie sich vor der QR-Code-Falle

• Grundsatz der Skepsis: Banken und Behörden verlangen niemals den Abgleich sensibler Daten wie PIN oder TAN über einen QR-Code in einem unaufgeforderten Brief.
• Adress-Check: Scannen Sie den Code nicht blind. Nutzen Sie Scanner-Apps, die die URL vor dem Öffnen anzeigen. Vergleichen Sie die Domain penibel mit der Ihnen bekannten Adresse.
• Manueller Weg: Rufen Sie die Webseite der Institution manuell über den Browser auf oder nutzen Sie die offizielle App. Echte Nachrichten finden Sie auch im internen Postfach Ihres Online-Bankings.
• Rückkanal nutzen: Im Zweifel hilft ein Anruf bei der Institution – nutzen Sie aber nicht die Nummer auf dem verdächtigen Brief, sondern suchen Sie diese selbst heraus.

Verbraucher, die einen solchen Brief erhalten, werden gebeten, Anzeige zu erstatten und die Verbraucherzentralen zu informieren. Das Papier im Briefkasten ist im Jahr 2026 potenziell genauso gefährlich wie das Internet.

PS: Viele gefälschte Schreiben nutzen psychologische Tricks – von angeblich dringenden Rückerstattungen bis zu offiziellen Logos. Der kostenlose Anti‑Phishing‑Report erklärt die sieben häufigsten Fallen, zeigt, wie Sie verdächtige QR‑Codes prüfen und welche Sofort‑Schritte Sie ergreifen sollten, um Konten und Identität zu schützen. Melden Sie Vorfälle richtig und verhindern Sie, dass Zugangsdaten in falsche Hände geraten. Anti‑Phishing‑Report jetzt kostenlos herunterladen