Gefälschter Bankbrief mit QR-Code: Quishing per Post erkennen

Immer öfter landet der Bankbrief QR-Code Betrug ganz analog im Briefkasten, weil Papierpost misstrauischer geprüfte E-Mails ersetzt.

Ein Brief im Umschlag der Hausbank, mit Logo, Kundennummer und einem freundlichen Hinweis auf eine angeblich nötige Sicherheitsbestätigung per QR-Code – so beginnt der Bankbrief QR-Code Betrug, der seit einigen Monaten verstärkt registriert wird. Anders als eine E-Mail landet der Brief physisch im Briefkasten, trägt echtes Papier, einen Absenderstempel und wirkt dadurch auf viele Empfänger seriöser als eine digitale Nachricht.

Kriminelle nutzen genau diese Wahrnehmungsverzerrung aus. Wer den abgedruckten Code mit dem Smartphone scannt, landet auf einer täuschend echt nachgebauten Login-Seite der Bank und gibt dort Zugangsdaten, TAN oder persönliche Angaben preis. Der folgende Beitrag erklärt, woran Sie die Fälschung erkennen, was rechtlich gilt, wenn der Schaden bereits eingetreten ist, und welche Fristen Sie jetzt beachten müssen.

Wenn der Bankbrief plötzlich einen QR-Code enthält

Klassisches Phishing setzte lange auf E-Mail oder SMS. Spamfilter und geschulte Nutzer haben diesen Kanal jedoch zunehmend erschwert, weshalb Betrüger auf physische Post ausweichen. Diese Betrugsmasche greift bewusst das Vertrauen auf, das ein gedruckter Brief mit Banklogo, Fensterumschlag und einer plausibel klingenden Betreffzeile wie Sicherheitsupdate Ihres Online-Bankings auslöst.

Der QR-Code selbst ist technisch neutral – er verweist einfach auf eine Internetadresse. Erst der Kontext macht ihn gefährlich: Weil ein QR-Code für das menschliche Auge nicht lesbar ist, kann niemand vor dem Scannen erkennen, wohin er tatsächlich führt. Genau diese Unlesbarkeit vor dem Scan nutzen Betrüger gezielt aus, um Empfänger auf gefälschte Banking-Portale zu locken. Für die Masche benötigen Täter drei Bausteine: eine Adressliste mit echten oder vermuteten Bankkunden, eine originalgetreu gestaltete Briefvorlage und eine gefälschte Login-Seite, die auf den ersten Blick kaum vom Original zu unterscheiden ist.

Ähnliche Streuverfahren kennt man bereits aus dem digitalen Raum, etwa beim SMS-Betrug per Smishing, bei dem ebenfalls angebliche Sicherheitswarnungen massenhaft verschickt werden. Der postalische Weg ist für Kriminelle aufwendiger und teurer als eine E-Mail-Kampagne, verspricht aber höhere Erfolgsquoten, weil Empfänger Papierpost seltener hinterfragen als digitale Nachrichten.

Warnsignale: Woran Sie einen gefälschten Bankbrief erkennen

Banken versenden im Regelfall keine Aufforderung, per QR-Code kurzfristig eine Sicherheitsfreigabe oder Datenaktualisierung vorzunehmen. Schon diese Grundregel entlarvt viele Varianten des Bankbrief QR-Code Betrugs. Ein Blick auf einige typische Merkmale genügt oft, um Verdacht zu schöpfen.

• Zeitdruck: Formulierungen wie sofortige Sperrung, letzte Frist oder unverzügliche Bestätigung binnen 24 Stunden
• Unpersönliche Anrede oder falsch geschriebene Kontonummern trotz professionellem Layout
• Aufforderung, Zugangsdaten, TAN oder PIN auf einer über den QR-Code erreichten Seite einzugeben
• Absenderadresse oder Postfach, das von der offiziellen Geschäftsadresse der Bank abweicht
• Druckqualität oder Papier, die vom gewohnten Erscheinungsbild der Bank abweichen

Ein Vergleichsfall aus der Praxis zeigt das Muster: Beim Phishing im Namen der Deutschen Apothekerbank gaben sich Täter mit ähnlicher Detailgenauigkeit als Bank aus, allerdings über E-Mail statt Brief. Die zugrunde liegende Täuschungslogik ist bei dieser Masche dieselbe, nur der Übertragungsweg unterscheidet sich.

Sofortmaßnahmen, wenn Sie den Code bereits gescannt haben

Wer den QR-Code bereits geöffnet hat, sollte zunächst prüfen, ob auf der aufgerufenen Seite tatsächlich Daten eingegeben wurden. Wurde nur die Seite geladen, ohne dass Zugangsdaten oder eine TAN übermittelt wurden, ist das Risiko geringer als bei bereits erfolgter Eingabe. In beiden Fällen gilt: Handeln Sie unverzüglich.

• Online-Banking und betroffene Apps über die offizielle, selbst eingegebene Adresse sperren lassen, nicht über Links aus dem verdächtigen Brief
• Zugangsdaten und Passwörter unverzüglich über einen bekannten, sicheren Zugang ändern
• Die Bank über die auf der Bankkarte oder in bekannten Unterlagen hinterlegte Servicenummer informieren
• Kontobewegungen der folgenden Tage engmaschig kontrollieren
• Smartphone auf mögliche Schadsoftware prüfen, wenn über den Code eine App-Installation ausgelöst wurde

Landet über den Code sogar eine App auf dem Gerät, drohen weitergehende Risiken bis hin zur Fernsteuerung des Smartphones, wie es auch beim Missbrauch von Geräten für ein Botnet beschrieben ist. Ein rasches, dokumentiertes Vorgehen erleichtert später die rechtliche Aufarbeitung erheblich.

Rechtliche Einordnung: Nicht autorisierte Zahlung nach § 675u BGB

Löst der Bankbrief QR-Code Betrug eine tatsächliche Überweisung aus, etwa weil Täter mit den erlangten Zugangsdaten selbst eine Zahlung veranlassen, handelt es sich rechtlich um eine nicht autorisierte Zahlung. Nach § 675u BGB hat die Bank dem Kunden den Betrag grundsätzlich zu erstatten, wenn die Zahlung nicht wirksam autorisiert wurde. Die bloße Preisgabe von Zugangsdaten oder einer TAN gegenüber einer gefälschten Seite stellt keine wirksame Autorisierung dar.

Diese Wertung deckt sich mit der Argumentation in Fällen des Phishings trotz eingegebener TAN: Auch dort bleibt die Verfügung dem Grunde nach nicht autorisiert, selbst wenn eine TAN übermittelt wurde. Der Erstattungsanspruch besteht also unabhängig davon, ob Kunden formal eine Transaktionsnummer eingegeben haben.

Der Streitpunkt grobe Fahrlässigkeit: § 675v BGB und das Augenblicksversagen

Banken berufen sich in der Praxis häufig auf § 675v BGB und wenden ein, der Kunde habe grob fahrlässig gehandelt, weil er den QR-Code gescannt und Daten eingegeben habe. Die Beweislast für grobe Fahrlässigkeit trägt dabei die Bank, nicht der Kunde.

Der Bundesgerichtshof hat in einem vergleichbaren Fall entschieden, dass ein sogenanntes Augenblicksversagen grobe Fahrlässigkeit im Einzelfall ausschließen kann, wenn eine Überraschungssituation ohne echtes Reflexionszeitfenster vorlag. Wer dagegen erst nach Bedenkzeit erneut Daten preisgibt, wird von der Rechtsprechung strenger beurteilt. Ähnliche Abwägungen kennt man aus Verfahren rund um gefälschte Mails an Kreditkartenkunden der Hanseatic Bank, bei denen ebenfalls im Einzelfall geprüft werden musste, wie plötzlich und überraschend die Täuschung auftrat.

Die 13-Monats-Frist des § 676b Abs. 2 BGB

Wer eine nicht autorisierte Zahlung geltend machen will, muss dies nach § 676b Abs. 2 BGB innerhalb von 13 Monaten nach der Belastung anzeigen, sonst erlischt der Anspruch. Die Frist läuft unabhängig davon, ob der Bankbrief QR-Code Betrug erst spät auffällt, etwa weil die Belastung erst bei einer späteren Kontenkontrolle bemerkt wird.

Gerade weil postalisches Quishing schwerer nachzuvollziehen ist als eine gespeicherte Phishing-Mail, sollten Betroffene den Brief, den Umschlag und möglichst auch den gescannten Link sichern. Diese Unterlagen erleichtern später die Beweisführung gegenüber der Bank erheblich.

Strafrechtliche Seite: Betrug nach § 263 StGB und die Anzeige

Neben dem zivilrechtlichen Erstattungsanspruch verwirklicht der Bankbrief QR-Code Betrug regelmäßig den Tatbestand des Betrugs nach § 263 StGB, da ein Mensch über die Identität des vermeintlichen Absenders getäuscht wird. Eine Strafanzeige bei der Polizei ist unabhängig vom zivilrechtlichen Weg ratsam, denn sie kann helfen, weitere Opfer zu schützen und ermöglicht später Akteneinsicht nach § 406e StPO.

Wie sich solche Betrugsmuster über verschiedene Institute hinweg ähneln, zeigt auch ein Fall gefälschter E-Mails der Baden-Württembergischen Bank. Die Ermittlungsbehörden verfolgen solche organisierten Serien oft übergreifend, weshalb eine Anzeige auch dann sinnvoll ist, wenn der eigene Schaden vergleichsweise gering ausfällt.

Künftige Rechtslage: PSD3, PSR und Verification of Payee

Auf europäischer Ebene zeichnet sich eine Verschärfung der Bankenhaftung ab. Mit der geplanten PSD3-Richtlinie und der begleitenden Zahlungsdiensteverordnung (PSR), deren endgültige Kompromisstexte im April 2026 veröffentlicht wurden (politische Einigung im Trilog bereits am 27. November 2025), ist vorgesehen, dass Banken künftig auch bei autorisierten, aber betrügerisch veranlassten Zahlungen stärker in die Haftung genommen werden können. Diese Regeln gelten derzeit noch nicht unmittelbar – maßgeblich bleibt bis zur endgültigen Umsetzung die heutige Rechtslage der §§ 675u, 675v BGB.

Bereits geltendes Recht ist dagegen die Pflicht zum sogenannten IBAN-Namensabgleich (Verification of Payee) nach der Verordnung über Instant Payments. Weicht bei einer Echtzeitüberweisung der eingegebene Name vom tatsächlichen Kontoinhaber ab, muss die Bank den Zahler warnen. Unterbleibt diese Warnung, kann das für die Haftungsverteilung relevant werden, wenn die Betrüger ein fremdes Konto als Zielkonto genutzt haben.

Datenschutzrechtliche Folgen eines Quishing-Angriffs

Neben dem finanziellen Schaden geraten bei dieser Betrugsmasche häufig auch persönliche Daten in falsche Hände – Name, Kontonummer, mitunter Ausweis- oder Geburtsdaten. Betroffene haben gegenüber der eigenen Bank ein Auskunftsrecht nach Art. 15 der Datenschutz-Grundverordnung, um zu klären, welche Kontobewegungen und Zugriffe im fraglichen Zeitraum registriert wurden.

Wurden zusätzlich Daten über einen bereits kompromittierten Account weiterverwendet, etwa bei einer Phishing-Attacke auf Fintech-Konten hinter der Solaris SE, empfiehlt sich zusätzlich eine Meldung bei der zuständigen Aufsichtsbehörde, wenn ein Unternehmen seinerseits seine Schutzpflichten verletzt hat. Die europäische Datenschutzverordnung selbst ist unter eur-lex.europa.eu im Volltext einsehbar.

So gehen Sie systematisch vor – Checkliste nach dem Vorfall

Ist der Bankbrief QR-Code Betrug erkannt oder ein Schaden bereits eingetreten, hilft ein strukturiertes Vorgehen, sowohl die zivilrechtliche Erstattung als auch die strafrechtliche Verfolgung nicht zu gefährden.

• Brief, Umschlag, Absenderangaben und – soweit möglich – die aufgerufene Internetadresse sichern
• Bank schriftlich und nachweisbar über die nicht autorisierte Verfügung informieren
• 13-Monats-Frist nach § 676b Abs. 2 BGB im Blick behalten und nicht ausreizen
• Strafanzeige bei der Polizei erstatten und Aktenzeichen notieren
• Bei Zurückweisung durch die Bank frühzeitig anwaltliche Unterstützung einholen

Wer diese Schritte zügig und dokumentiert durchläuft, verbessert seine Position gegenüber der Bank spürbar – unabhängig davon, ob der Fall am Ende außergerichtlich oder vor Gericht geklärt wird.

Kanzlei Dr. Araujo Kurth – Ihr Partner im Bank- und Kapitalmarktrecht

Die Kanzlei Dr. Araujo Kurth berät und vertritt Mandanten bundesweit im Bank- und Kapitalmarktrecht. Rechtsanwalt Dr. Michel de Araujo Kurth M.A. verfügt über langjährige Erfahrung im Bankwesen und in der anwaltlichen Praxis und hat sich auf die Vertretung von Mandanten in bank- und kapitalmarktrechtlichen Streitigkeiten spezialisiert.

Die Kanzlei begleitet Mandanten sowohl außergerichtlich als auch vor Gericht – von der ersten rechtlichen Einordnung über die Kommunikation mit Banken, Zahlungsdienstleistern und Finanzinstituten bis zur Durchsetzung von Schadensersatz- und Rückforderungsansprüchen. Beratungen finden in den Büros in Frankfurt am Main, Darmstadt und Offenbach am Main sowie bundesweit per Videokonferenz statt.

Wenn Sie rechtliche Unterstützung benötigen, stehen wir Ihnen jederzeit zur Verfügung. Kontaktieren Sie uns über unser Kontaktformular für ein unverbindliches Erstgespräch – telefonisch, per E-Mail oder online.

FAQs – Häufig gestellte Fragen zu Bankbrief QR-Code Betrug