Jahrzehntelang galt: Vorsicht bei E-Mails, aber der Briefkasten ist sicher. Damit spielen die Täter jetzt gezielt – mit Briefen auf Bank-Briefpapier, korrekt adressiert, mit Logo, Kundennummer-Optik und förmlichem Ton. Der Inhalt: Man müsse „aus Sicherheitsgründen“ ein neues TAN-Verfahren bestätigen oder die „PhotoTAN-Registrierung erneuern“ – bequem per QR-Code.
Der QR-Code führt auf eine Phishing-Seite, die der echten Banking-Oberfläche nachgebaut ist. Wer dort Zugangsdaten eingibt und die anschließende Freigabe in der TAN-App bestätigt, registriert in Wahrheit das Gerät der Täter für sein Online-Banking – ab da brauchen die Betrüger das Opfer nicht mehr. Fachleute nennen die Masche „Quishing“ (QR-Phishing).
Warum sie funktioniert: Der QR-Code versteckt sein Ziel. Bei einem Link in der E-Mail lässt sich die absurde Adresse notfalls erkennen – der schwarz-weiße Würfel verrät nichts. Und das Medium Brief senkt die Wachsamkeit zusätzlich: Porto und Druck signalisieren Aufwand und damit scheinbare Seriosität.
Schutzregeln: QR-Codes aus unaufgeforderter Post niemals scannen – Banken wickeln sicherheitsrelevante Änderungen über das Online-Banking selbst oder über persönliche Termine ab. Im Zweifel: Brief zur Filiale mitnehmen oder die bekannte Hotline anrufen. Nach dem Scannen niemals Zugangsdaten eingeben, wenn die Seite über einen Code erreicht wurde. Und generell gilt: Das Online-Banking erreicht man über die selbst eingetippte Adresse oder die offizielle App – nie über Links oder Codes, egal aus welchem Medium sie stammen.