Paket-QR-Betrug: Gefälschte Zoll- und Nachgebühr-Nachrichten

Ein paar Cent für eine angebliche Nachgebühr wirken harmlos – genau darauf setzen Betrüger, wenn sie im Namen von Zustelldiensten gefälschte QR-Codes verschicken.

Eine SMS oder E-Mail meldet ein Problem bei der Zustellung: Das Paket hänge im Zoll fest, eine Nachgebühr von wenigen Euro sei offen, ein Scan des beigefügten QR-Codes löse die Freigabe aus. Wer den Code scannt, landet auf einer Seite, die täuschend echt nach DHL, Deutsche Post, Hermes oder DPD aussieht und zur Eingabe von Kartennummer, Ablaufdatum und Prüfziffer auffordert.

Genau in dieser Konstruktion liegt die Raffinesse des Paket QR-Code Zoll Betrugs: Der geforderte Betrag ist bewusst niedrig gehalten, meist zwischen einem und drei Euro. Das senkt die gefühlte Hemmschwelle – wer denkt bei einem Kleinbetrag schon an Kartendaten-Diebstahl? Tatsächlich dient die vermeintliche Nachgebühr nur als Vorwand, um vollständige Zahlungsdaten abzugreifen, die anschließend für deutlich größere unautorisierte Abbuchungen missbraucht werden.

Dieser Beitrag ordnet die Masche rechtlich ein, erklärt die Erstattungsansprüche bei bereits erfolgten Abbuchungen und zeigt, welche Fristen und Nachweispflichten Betroffene beachten müssen.

Wie die Masche mit dem gefälschten Zoll-QR-Code funktioniert

Der technische Fachbegriff für diese Betrugsform lautet Quishing – eine Wortschöpfung aus QR-Code und Phishing. Das Bundesamt für Sicherheit in der Informationstechnik nennt QR-Codes einen zunehmend relevanten Angriffsvektor, weil klassische Spam-Filter Bildinhalte kaum zuverlässig prüfen können. Ein QR-Code lässt sich in E-Mails, SMS oder sogar auf gedruckten Benachrichtigungszetteln platzieren, ohne dass der eigentliche Link als Text sichtbar wird.

Beim Paket QR-Code Zoll Betrug nutzen die Täter das Vertrauen aus, das Verbraucher gegenüber bekannten Logistikmarken haben. Die Nachricht imitiert Logo, Farbschema und Tonfall der jeweiligen Zustellfirma, verweist auf eine angebliche Zollabfertigung und fordert zur sofortigen Zahlung einer Nachgebühr auf, um eine Verzögerung oder Rücksendung zu vermeiden. Der Zeitdruck ist Kalkül: Wer schnell handelt, prüft die Absenderadresse oder die Ziel-URL seltener sorgfältig.

• Kleinbetrag zwischen 1 und 3 Euro als psychologischer Köder
• Nachahmung bekannter Zustelldienst-Marken in Layout und Absendername
• Künstlicher Zeitdruck durch angebliche Fristen zur Zollfreigabe
• Landing Page mit vollständigem Kartenformular statt echtem Bezahldienst
• QR-Code umgeht viele klassische Link-Filter in E-Mail und SMS

Warum ausgerechnet Kleinbeträge die Wachsamkeit senken

Verhaltensökonomisch ist der Mechanismus gut belegt: Je geringer der geforderte Betrag, desto niedriger die subjektiv empfundene Bedrohung. Ein Betrag von 1,99 Euro löst selten dieselbe Skepsis aus wie eine Zahlungsaufforderung über mehrere hundert Euro. Genau deshalb funktioniert die Masche auch bei Personen, die bei größeren Summen misstrauisch würden.

Der eigentliche Schaden entsteht nicht durch die Kleinstzahlung selbst, sondern durch die vollständigen Kartendaten, die auf der gefälschten Seite eingegeben werden. Kartennummer, Ablaufdatum und CVV genügen bei vielen Anbietern, um weitere Belastungen auszulösen – teils sofort, teils erst Wochen später, wenn der Betroffene den ursprünglichen Vorfall bereits vergessen hat. Ähnliche Verzögerungstaktiken sind auch bei anderen Phishing-Varianten mit gefälschten Bestellbestätigungen zu beobachten.

Rechtliche Einordnung: Betrug oder nicht autorisierte Zahlung?

Rechtlich sind zwei Ebenen zu unterscheiden. Wird durch die Karteneingabe unmittelbar eine Zahlung ausgelöst, handelt es sich um eine nicht autorisierte Zahlung im Sinne von § 675u BGB. Der Erstattungsanspruch gegen die kontoführende Bank oder den Kartenherausgeber besteht dem Grunde nach verschuldensunabhängig, weil die Weitergabe der Kartendaten an eine gefälschte Zoll-Seite keine wirksame Autorisierung der späteren Abbuchung darstellt.

Werden hingegen nur Daten abgegriffen, ohne dass unmittelbar eine Zahlung stattfindet, greift primär der Straftatbestand des Betrugs nach § 263 StGB – die Täter täuschen einen Menschen über die Legitimität der Zollforderung, um eine Vermögensverfügung, hier die Preisgabe der Kartendaten, zu erwirken. Ergänzend kann bei der technischen Umgehung von Sicherheitsmechanismen auch § 263a StGB eine Rolle spielen, tritt in der rechtlichen Bewertung aber meist hinter § 263 StGB zurück, weil primär ein Mensch und nicht ein automatisierter Datenverarbeitungsvorgang getäuscht wird.

Diese Unterscheidung ist mehr als akademisch: Sie entscheidet darüber, ob Sie sich zivilrechtlich an Ihre Bank wenden können oder in erster Linie auf eine Strafanzeige und die – oft schwierige – zivilrechtliche Verfolgung der unbekannten Täter angewiesen sind.

Wenn die Karte bereits belastet wurde: Erstattung und grobe Fahrlässigkeit

Ist es zu einer oder mehreren unautorisierten Abbuchungen gekommen, kann der Zahler nach § 675u BGB grundsätzlich vollständige Erstattung verlangen. Die Bank kann sich gemäß § 675v BGB nur dann auf eine Haftung des Kunden berufen, wenn diesem grobe Fahrlässigkeit nachzuweisen ist – die Beweislast dafür trägt die Bank, nicht der Kunde.

Der Bundesgerichtshof hat in seinem Urteil vom 22. Juli 2025 (XI ZR 107/24) klargestellt, dass die bloße Weitergabe sensibler Zahlungsdaten allein noch keine wirksame Autorisierung darstellt und der Erstattungsanspruch dem Grunde nach bestehen bleibt. Zugleich zeigt die Entscheidung, dass ein Augenblicksversagen – etwa die überraschende, unter Zeitdruck erfolgte Reaktion auf eine vermeintliche Zollmahnung – grobe Fahrlässigkeit im Einzelfall ausschließen kann, während ein wiederholtes, unbedachtes Handeln nach ausreichender Bedenkzeit eher gegen den Betroffenen sprechen kann. Jeder Fall ist daher im Detail zu prüfen, eine pauschale Zusage der vollen Erstattung ist ebenso unseriös wie eine pauschale Ablehnung.

Praktisch bedeutet das: Wer nach dem Scannen eines gefälschten Zoll-QR-Codes zügig reagiert, die Karte sperren lässt und die Bank informiert, verbessert seine Position erheblich gegenüber jemandem, der Warnsignale wiederholt ignoriert.

Die 13-Monats-Frist für die Meldung nicht autorisierter Zahlungen

Für die Geltendmachung des Erstattungsanspruchs gilt eine wichtige Ausschlussfrist: Nach § 676b Abs. 2 BGB muss der Zahler eine nicht autorisierte oder fehlerhaft ausgeführte Zahlung innerhalb von 13 Monaten nach der Belastung gegenüber seiner kontoführenden Bank oder ihrem Kartenherausgeber anzeigen. Nach Ablauf dieser Frist erlischt der Anspruch grundsätzlich – unabhängig davon, wie eindeutig der Betrugsfall dokumentiert ist.

Gerade weil die Abbuchungen nach einem Paket-Quishing-Vorfall oft erst zeitversetzt erfolgen, sollten Kontoauszüge über mehrere Monate hinweg regelmäßig geprüft werden. Wer sich unsicher ist, ob eine bestimmte Abbuchung noch aus einem länger zurückliegenden Vorfall stammt, sollte die Frist im Zweifel frühzeitig wahren und die Meldung nicht auf die lange Bank schieben.

Neue Zahlungsdienste-Regulatorik: PSD3, PSR und Verification of Payee

Auf europäischer Ebene ist die Reform des Zahlungsdiensterechts weit fortgeschritten: Nach der politischen Einigung von Rat und Parlament im Trilog am 27. November 2025 und der Veröffentlichung der endgültigen Kompromisstexte im April 2026 sollen die neue Zahlungsdiensterichtlinie PSD3 und die begleitende Zahlungsdiensteverordnung PSR künftig auch die Haftung für autorisierte, aber betrügerisch veranlasste Zahlungen (sogenannter APP-Fraud) neu regeln. Diese Änderungen sind derzeit noch nicht unmittelbar anwendbares Recht, sondern befinden sich im Rechtsetzungsprozess – für Betroffene gilt bis zur Geltung der neuen Regeln weiterhin die heutige Rechtslage nach §§ 675u, 675v BGB.

Bereits umgesetzt ist hingegen die Verification of Payee (VoP), der IBAN-Namensabgleich bei Euro-Instant-Zahlungen, verpflichtend seit dem 9. Oktober 2025. Erkennt das System eine Abweichung zwischen dem eingegebenen Empfängernamen und dem hinterlegten Kontoinhaber, muss die Bank warnen. Unterlässt sie diese Warnung pflichtwidrig, kann sich daraus eine eigene Haftung der Bank ergeben – ein Aspekt, der bei Überweisungsbetrug zunehmend an Bedeutung gewinnt, auch wenn er beim klassischen kartenbasierten Paket-Quishing seltener greift.

Woran Sie eine gefälschte Zoll- oder Nachgebühr-Nachricht erkennen

Zustelldienste wie DHL, Deutsche Post oder DPD fordern Nachgebühren in der Regel nicht per QR-Code mit sofortiger Kartendateneingabe an. Ein paar praktische Prüfschritte helfen, den Paket QR-Code Zoll Betrug zu entlarven, bevor Kartendaten eingegeben werden.

• Sendungsnummer im offiziellen Tracking-Portal des Zustellers direkt eingeben, nicht über den Link aus der Nachricht
• Absenderadresse genau prüfen – oft leicht abgewandelte Domainnamen statt der echten Zustellerdomain
• Bei Unsicherheit den Kundenservice über die offizielle Webseite oder Telefonnummer kontaktieren
• Niemals Kartendaten auf einer über QR-Code erreichten Seite eingeben, wenn die Adresszeile nicht eindeutig zur bekannten Zustellerdomain passt
• Auf Rechtschreibfehler, ungewöhnliche Formulierungen und untypische Absenderzeiten achten

Diese Prüfroutine ähnelt der Vorgehensweise, die auch bei anderen Formen des Identitäts- und Datenbetrugs mit gefälschten Bonitätsprüfungen empfohlen wird: erst verifizieren, dann handeln.

Sofortmaßnahmen nach dem Scannen eines betrügerischen QR-Codes

Wer bereits Kartendaten auf einer gefälschten Zoll-Seite eingegeben hat, sollte in dieser Reihenfolge vorgehen: Karte umgehend über die zentrale Sperrnummer 116 116 oder direkt bei der Bank sperren lassen, die Bank schriftlich über den Verdacht auf eine nicht autorisierte Zahlung informieren, Screenshots der Nachricht und der gefälschten Seite sichern und eine Strafanzeige bei der Polizei erstatten.

Auch wenn noch keine Abbuchung erfolgt ist, lohnt sich die zeitnahe Sperrung, weil abgegriffene Kartendaten häufig erst mit Verzögerung missbraucht werden. Betroffene, deren Konto über die Hanseatic Bank, die BW-Bank oder Fintech-Partner wie Solaris SE geführt wird, sollten sich mit dem jeweiligen Kundenservice in Verbindung setzen, da die Meldewege je nach Institut variieren können.

Strafanzeige, Akteneinsicht und der Weg zur Schadensregulierung

Neben der zivilrechtlichen Erstattung gegenüber der eigenen Bank empfiehlt sich in aller Regel eine Strafanzeige nach § 263 StGB. Als Geschädigter steht Ihnen nach § 406e StPO ein Recht auf Akteneinsicht zu, das üblicherweise über einen Rechtsanwalt bei Darlegung eines berechtigten Interesses ausgeübt wird. Diese Einsicht kann wichtige Informationen liefern, etwa zu weiteren Geschädigten, zur technischen Infrastruktur der Täter oder zu bereits identifizierten Zahlungsflüssen.

Werden abgeflossene Beträge über sogenannte Finanzagenten weitergeleitet, kann im Hintergrund auch der Straftatbestand der Geldwäsche nach § 261 StGB relevant werden – hier ist Vorsatz oder zumindest Leichtfertigkeit erforderlich, ein automatischer Vorwurf allein aus der Kontobewegung heraus ist nicht zulässig. Für Betroffene selbst steht jedoch die eigene Schadensregulierung im Vordergrund, nicht die strafrechtliche Aufarbeitung der Täterseite.

Datenschutzrechtliche Folgen, wenn persönliche Daten kompromittiert wurden

Wurden über die gefälschte Zoll-Seite nicht nur Kartendaten, sondern auch weitere personenbezogene Daten wie Name, Adresse oder Telefonnummer abgegriffen, kann dies datenschutzrechtlich relevant sein, sofern die Daten ursprünglich bei einem regulierten Unternehmen abgeflossen sind. Der Bundesgerichtshof hat mit Urteil vom 18. November 2024 (VI ZR 10/24) klargestellt, dass bereits der bloße Kontrollverlust über personenbezogene Daten infolge eines Verstoßes gegen die Datenschutz-Grundverordnung einen ersatzfähigen immateriellen Schaden nach Art. 82 DSGVO darstellen kann, ohne dass ein konkreter Missbrauch nachgewiesen werden muss.

Dieser Aspekt betrifft primär Fälle, in denen ein Unternehmen selbst Daten unzureichend geschützt hat und diese dann für gezielte Phishing-Kampagnen genutzt wurden – etwa wenn Adressdaten aus einem Datenleck stammen und anschließend für personalisierte Zoll-Nachrichten missbraucht werden. Ähnliche Konstellationen zeigen sich auch bei gefälschten App-Store-Angeboten, bei denen kompromittierte Nutzerdaten als Grundlage für weitere Betrugsversuche dienen.

Kanzlei Dr. Araujo Kurth – Ihr Partner im Bank- und Kapitalmarktrecht

Die Kanzlei Dr. Araujo Kurth berät und vertritt Mandanten bundesweit im Bank- und Kapitalmarktrecht. Rechtsanwalt Dr. Michel de Araujo Kurth M.A. verfügt über langjährige Erfahrung im Bankwesen und in der anwaltlichen Praxis und hat sich auf die Vertretung von Mandanten in bank- und kapitalmarktrechtlichen Streitigkeiten spezialisiert.

Die Kanzlei begleitet Mandanten sowohl außergerichtlich als auch vor Gericht – von der ersten rechtlichen Einordnung über die Kommunikation mit Banken, Zahlungsdienstleistern und Finanzinstituten bis zur Durchsetzung von Schadensersatz- und Rückforderungsansprüchen. Beratungen finden in den Büros in Frankfurt am Main, Darmstadt und Offenbach am Main sowie bundesweit per Videokonferenz statt.

Wenn Sie rechtliche Unterstützung benötigen, stehen wir Ihnen jederzeit zur Verfügung. Kontaktieren Sie uns über unser Kontaktformular für ein unverbindliches Erstgespräch – telefonisch, per E-Mail oder online.

FAQs – Häufig gestellte Fragen zu Paket QR-Code Zoll Betrug