QR-Code-Betrug bei Krypto: manipulierte Adressen und Zahlungscodes erkennen
Ein QR-Code wirkt harmlos und praktisch: kurz scannen, fertig. Doch genau diese Bequemlichkeit ist bei Krypto eine Schwachstelle. Hinter dem schwarz-weißen Muster kann eine fremde Wallet-Adresse, eine manipulierte Zahlungsanforderung oder eine Falle für deine Wallet stecken – und mit bloßem Auge erkennst du keinen Unterschied.
Kurz erklärt
Quishing bezeichnet Betrug und Phishing über QR-Codes. Bei Krypto ist es besonders gefährlich, weil ein QR eine Wallet-Adresse, eine Zahlungsanforderung oder eine Wallet-Verbindung enthalten kann – und du seinen Inhalt nicht ansiehst. Überklebte oder gefälschte Codes leiten Zahlungen um oder verbinden deine Wallet mit einer Betrugsseite. Die Regel: Nach dem Scannen immer prüfen, welche Adresse, welcher Betrag oder welche Aktion tatsächlich angezeigt wird – erst dann bestätigen.
Das Tückische am QR-Code ist, dass er für den Menschen unlesbar ist. Du vertraust darauf, dass er das tut, was er verspricht – und genau dieses Vertrauen nutzen Betrüger aus. Dieser Beitrag zeigt, warum QR-Codes ein blinder Fleck sind, welche Maschen es gibt und wie du sie zuverlässig entschärfst.
Warum QR-Codes ein blinder Fleck sind
Du siehst nur ein Muster, nicht das Ziel – deshalb lässt sich ein QR-Code unbemerkt austauschen oder fälschen, ohne dass dir etwas auffällt.
Eine Wallet-Adresse aus Buchstaben und Zahlen würdest du zumindest grob mit dem Original vergleichen. Bei einem QR-Code fehlt diese Möglichkeit: Zwei Codes, die identisch aussehen, können völlig unterschiedliche Adressen enthalten. Ein Betrüger muss also nur den echten Code durch seinen eigenen ersetzen – etwa durch einen Aufkleber – und du scannst ahnungslos ein fremdes Ziel. Der entscheidende Schutz verlagert sich damit auf den Moment nach dem Scannen: auf das, was dein Gerät dir tatsächlich anzeigt.
Die typischen Maschen
QR-Betrug zielt entweder darauf, eine Zahlung umzuleiten, oder darauf, deine Wallet mit einer betrügerischen Seite zu verbinden.
| Masche | Wo sie auftritt | Was passiert |
|---|---|---|
| Überklebter oder ausgetauschter QR | Krypto-Automat, Rechnung, Plakat, Aufsteller | Deine Zahlung geht an eine fremde Adresse statt an den echten Empfänger. |
| QR in Phishing-Nachrichten | E-Mail, Brief, Poster | Du landest auf einer gefälschten Login-Seite oder einem Wallet-Drainer. |
| Manipulierte Zahlungsanforderung | Online-Bezahlung, Spenden-Code | Falscher Betrag oder falsche Adresse sind bereits voreingestellt. |
| Wallet verbinden per QR | Gefälschte Plattform, App-Falle | Du erteilst unbemerkt eine Freigabe, die deine Wallet leerräumt. |
Vor allem die letzte Variante ist heimtückisch, weil sie wie ein normaler Verbindungsschritt aussieht. Sie gehört zur Familie der Phishing- und Wallet-Drainer-Maschen – nur dass der Einstieg hier ein bequemer Scan statt eines Klicks ist.
Besonders an Krypto-Automaten
An Krypto-Automaten sind überklebte QR-Codes und Druck durch angeblichen Support ein wiederkehrendes Muster.
An Automaten kommen mehrere Risiken zusammen: ein fremder QR-Aufkleber über dem Eingabefeld, eine ungewohnte Bedienung und manchmal ein Anruf oder eine Aufforderung, die dich zur Eile drängt. Wer dort eine Wallet-Adresse einscannt, sollte besonders genau prüfen, ob die angezeigte Zieladresse wirklich die eigene ist – und sich von niemandem zur schnellen Bestätigung drängen lassen.
So erkennst und verhinderst du QR-Betrug
Prüfe nach jedem Scan das tatsächliche Ziel – Adresse, Betrag und Aktion – und scanne keine QR-Codes aus unerwarteten oder lose angebrachten Quellen.
- Nach dem Scan immer das Ziel kontrollieren. Sieh dir die angezeigte Empfängeradresse und den Betrag genau an, bevor du bestätigst. Der QR ist nur die Eingabe, nicht die Bestätigung.
- Lose oder aufgeklebte Codes misstrauen. Ein Aufkleber über einem Code an Automaten, Plakaten oder Rechnungen ist ein Warnzeichen.
- Keine QR-Codes aus unerwarteten Nachrichten. Ein QR in einer überraschenden E-Mail oder einem Brief verdient dasselbe Misstrauen wie ein verdächtiger Link.
- Bei Wallet-Verbindungen genau lesen. Prüfe, welche Rechte du erteilst, bevor du eine Verbindung oder Freigabe bestätigst.
- Am Gerät verifizieren. Bestätige Empfängeradresse und Betrag am Display deiner Hardware-Wallet, statt der gescannten Quelle zu vertrauen.
- Adressen bewusst behandeln. Wer ohnehin auf saubere Adress-Hygiene achtet und etwa weiß, warum man Adressen nicht wiederverwenden sollte, prüft Ziele aus Gewohnheit genauer.
Die kürzeste Regel: Der QR-Code bringt dich nur ans Ziel – ob es das richtige ist, entscheidet, was danach auf deinem Bildschirm steht. Lies das, bevor du bestätigst.
Prüfen ist die ganze Kunst
QR-Betrug scheitert an einer einzigen Gewohnheit: dem prüfenden Blick vor der Bestätigung. Der Praxisleitfaden „Krypto sicher aufbewahren" verankert genau solche Routinen in einem stimmigen Sicherheitssystem für die Selbstverwahrung.
Zum Praxisleitfaden →Häufige Fragen
Kann ich einem QR-Code ansehen, ob er manipuliert ist?
Nein. Zwei optisch identische Codes können völlig unterschiedliche Adressen enthalten. Deshalb verlagert sich der Schutz auf die Zeit nach dem Scannen: Prüfe immer die tatsächlich angezeigte Adresse und den Betrag, bevor du bestätigst.
Wie leiten Betrüger eine Zahlung über einen QR-Code um?
Meist, indem sie den echten Code durch ihren eigenen ersetzen – etwa per Aufkleber an einem Automaten, einer Rechnung oder einem Plakat. Du scannst dann unbemerkt ihre Adresse statt der des echten Empfängers.
Was ist die Falle beim Verbinden der Wallet per QR?
Ein gefälschter Verbindungs-Code sieht aus wie ein normaler Schritt, erteilt aber in Wahrheit eine Freigabe, mit der eine Betrugsseite deine Wallet leerräumen kann. Lies vor dem Bestätigen genau, welche Rechte du erteilst.
Sind QR-Codes an Krypto-Automaten besonders riskant?
Sie sind ein bekanntes Ziel für überklebte Codes, oft verbunden mit Druck durch angeblichen Support. Prüfe an Automaten besonders genau, ob die angezeigte Zieladresse deine eigene ist, und lass dich nicht zur schnellen Bestätigung drängen.
Wie schütze ich mich am einfachsten?
Scanne keine QR-Codes aus unerwarteten oder lose angebrachten Quellen und prüfe nach jedem Scan das tatsächliche Ziel. Bestätige Empfängeradresse und Betrag am besten am Display deiner Hardware-Wallet.
Weiterlesen: Krypto-Scams erkennen · Warum man Bitcoin-Adressen nicht wiederverwenden sollte