Quishing an der E-Ladesäule: QR-Betrug beim Laden des E-Autos
Ein überklebter Aufkleber an der Ladesäule genügt, damit aus einer Ladung Strom ein QR-Code Ladesäule Betrug mit leergeräumtem Konto wird.
An öffentlichen Ladesäulen für Elektroautos hat sich in den vergangenen Monaten eine Betrugsmasche etabliert, die auf den ersten Blick harmlos wirkt: ein kleiner, sauber gedruckter Aufkleber mit QR-Code, direkt über dem Originalcode der Ladesäule angebracht. Wer ihn scannt, landet nicht bei der echten Bezahlseite des Ladesäulenbetreibers, sondern auf einer täuschend echten Kopie, die Kartendaten, Zugangsdaten oder eine vermeintlich kleine Freigabe abfragt. Das Bundesamt für Sicherheit in der Informationstechnik benennt manipulierte QR-Codes als einen zunehmend relevanten Angriffsvektor, weil sie klassische Warnsignale von Phishing-E-Mails umgehen.
Für Betroffene stellt sich nach dem Schock über die abgebuchte Summe schnell die Frage, ob und wie das Geld zurückzuholen ist. Die Antwort hängt maßgeblich davon ab, ob die Zahlung autorisiert war, wie schnell reagiert wurde und welche Bank beteiligt ist. Dieser Beitrag erklärt die Masche im Detail, ordnet sie rechtlich ein und zeigt konkrete Handlungsschritte für Betroffene auf.
Sichern Sie sich rechtlichen Beistand, wenn Sie an einer Ladesäule Opfer eines manipulierten QR-Codes geworden sind. Jetzt unverbindlich Kontakt aufnehmen.
Wie die Masche mit dem QR-Code Ladesäule Betrug an der Wallbox abläuft
Die Täter drucken einen QR-Code, der optisch nicht von dem der Ladesäule zu unterscheiden ist, und kleben ihn über den originalen Code am Display oder der Bedienstation. Wer sein Elektroauto anschließen möchte und mangels App oder Kundenkarte den Weg über den QR-Code wählt, wird auf eine gefälschte Bezahlseite weitergeleitet. Diese fordert Kreditkartendaten, eine Authentifizierung im Online-Banking oder die Installation einer angeblichen Lade-App.
Entscheidend für den Erfolg der Masche ist der situative Druck: Wer im Vorbeifahren, auf dem Weg zum Termin oder spät abends an der Autobahnraststätte lädt, prüft die Ziel-URL nach dem Scan selten kritisch. Genau diese Kombination aus Zeitdruck, ungewohnter Umgebung und einem vermeintlich amtlichen Kontext macht den QR-Code Ladesäule Betrug so wirksam. Ähnliche Aufkleber-Maschen sind bereits von Parkautomaten und Ladestationen für Fahrräder bekannt, treten an Ladesäulen für E-Autos aber wegen der höheren Beträge mit größerem Schadenspotenzial auf.
- Physisch überklebter QR-Code an Ladesäule, Terminal oder Info-Tafel
- Gefälschte Bezahlseite mit Kreditkarten- oder Online-Banking-Abfrage
- Aufforderung zur Freigabe einer angeblichen Kleinbetrags-Buchung, tatsächlich Freigabe einer Echtzeitüberweisung
- Teils Aufforderung zur Installation einer manipulierten App mit weitreichenden Berechtigungen
Warum Nutzer von Ladesäulen besonders anfällig für Quishing sind
Ein QR-Code an einer amtlich wirkenden, oft kommunal betriebenen Ladesäule genießt ein höheres Grundvertrauen als ein Link in einer E-Mail von unbekanntem Absender, obwohl das technische Risiko identisch ist. Hinzu kommt, dass viele Ladesäulenbetreiber tatsächlich mit QR-Codes arbeiten, sodass Nutzer den Vorgang als völlig normal einordnen. Wer bereits mehrfach unauffällig per QR-Code geladen hat, hinterfragt den nächsten Scan erst recht nicht mehr.
Verschärfend wirkt, dass Ladesäulen häufig an wenig frequentierten Standorten stehen, sodass ein manipulierter Aufkleber tagelang unentdeckt bleibt. Bereits bei anderen Maschen mit gefälschten Bestellbestätigungen wie im Beitrag zum Amazon-Phishing-Betrug zeigt sich das gleiche Muster: Täuschend echte Gestaltung plus Vertrauensvorschuss in eine bekannte Marke oder Infrastruktur.
Rechtliche Einordnung: Nicht autorisierte Zahlung nach § 675u BGB
Wird über die gefälschte Bezahlseite eine Überweisung, Lastschrift oder Kartenzahlung ausgelöst, die der Betroffene so nicht gewollt hat, handelt es sich rechtlich regelmäßig um eine nicht autorisierte Zahlung. Nach § 675u BGB hat die kontoführende Bank dem Kunden den Betrag einer nicht autorisierten Zahlung grundsätzlich zu erstatten. Die bloße Preisgabe von Zugangsdaten oder TANs auf der Fake-Seite ist dabei keine wirksame Autorisierung im Rechtssinne, denn der Kunde wollte die tatsächlich ausgeführte Transaktion nicht.
Dem Erstattungsanspruch kann die Bank die grobe Fahrlässigkeit des Kunden entgegenhalten, geregelt in § 675v BGB. Die Beweislast dafür trägt die Bank. Der Bundesgerichtshof hat in seinem Urteil vom 22.07.2025 (XI ZR 107/24) zu einem ähnlich gelagerten Phishing-Fall entschieden: Ein sogenanntes Augenblicksversagen kann grobe Fahrlässigkeit im Einzelfall ausschließen, etwa wenn die Täuschung überraschend kommt und keine Zeit zur Reflexion lässt. In dem konkreten Fall verlor die Klägerin jedoch, weil sie am Folgetag nach ausreichender Bedenkzeit erneut TANs preisgab – das wertete der BGH nicht mehr als Augenblicksversagen. Für Betroffene eines QR-Code Ladesäule Betrug ist diese Unterscheidung zentral: Ein spontaner Scan unter Zeitdruck an der Ladesäule liegt der Rechtsprechung zufolge näher am schützenswerten Augenblicksversagen als ein wiederholtes, überlegtes Handeln.
Wenn keine Zahlung ausgelöst wurde: Betrug nach § 263 StGB
Nicht jede Fake-Bezahlseite an der Ladesäule löst automatisch eine Zahlung im Sinne des Zahlungsdiensterechts aus. Werden lediglich Kartendaten abgegriffen und diese später missbraucht, oder wird der Nutzer zur Zahlung eines überhöhten, aber formal von ihm bestätigten Betrags verleitet, liegt der Schwerpunkt eher bei § 263 StGB, dem klassischen Betrugstatbestand. Entscheidend ist, dass ein Mensch über Tatsachen getäuscht wird und dadurch eine Vermögensverfügung trifft; § 263a StGB (Computerbetrug) tritt regelmäßig nur ergänzend hinzu, wenn zusätzlich automatisierte Datenverarbeitungsvorgänge manipuliert werden.
Diese Abgrenzung ist für Betroffene keine akademische Frage: Sie entscheidet, ob primär die Bank über das Zahlungsdiensterecht in Anspruch genommen wird oder ob der Fokus auf einer Strafanzeige und der zivilrechtlichen Rückforderung gegenüber dem Täter liegt. In der Praxis eines QR-Code Ladesäule Betrug lohnt sich häufig beides parallel, da die Täter selten ermittelt und greifbar sind, die Bank als Anspruchsgegnerin dagegen feststeht.
Als erfahrene Anwälte im Bank- und Kapitalmarktrecht helfen wir Ihnen, die Vorgehensweise der Betrüger rechtlich einzuordnen und konkrete Schritte zur Rückforderung Ihrer Gelder einzuleiten. Kontaktieren Sie uns jederzeit für ein unverbindliches Erstgespräch.
Fristen: Was Betroffene innerhalb welcher Zeit tun müssen
Für die Anzeige einer nicht autorisierten Zahlung gilt eine strenge Ausschlussfrist. Nach § 676b Abs. 2 BGB müssen Betroffene ihrer Bank die nicht autorisierte Zahlung spätestens 13 Monate nach der Belastung anzeigen, andernfalls erlischt der Erstattungsanspruch grundsätzlich. In der Praxis empfiehlt sich jedoch, deutlich schneller zu handeln: Je früher die Bank informiert wird, desto größer die Chance, weitere Abbuchungen zu stoppen und Spuren des Geldflusses zu sichern.
Parallel zur Bank sollte umgehend Strafanzeige erstattet werden, idealerweise bei der örtlichen Polizeidienststelle oder online über die jeweilige Landespolizei. Als Geschädigte eines Ermittlungsverfahrens steht Betroffenen nach § 406e StPO ein Recht auf Akteneinsicht zu, regelmäßig über einen Rechtsanwalt bei Darlegung eines berechtigten Interesses. Diese Einsicht kann später wichtig werden, um Kontoverbindungen der Täter oder beteiligte Finanzagenten nachzuverfolgen.
Was sich durch PSD3, PSR und Verification of Payee künftig ändert
Auf EU-Ebene haben sich Rat und Parlament am 27.11.2025 im Trilog politisch auf die neue Zahlungsdienste-Richtlinie PSD3 und die begleitende Zahlungsdienste-Verordnung PSR geeinigt; die endgültigen Kompromisstexte veröffentlichte der Rat am 23.04.2026. Nach Veröffentlichung im Amtsblatt voraussichtlich im zweiten Quartal 2026 gilt eine Übergangsfrist, bevor die Regeln unmittelbar anwendbar werden – die neuen Vorschriften gelten also noch nicht, sondern sind für die kommenden Jahre vorgesehen. Besonders relevant für Betroffene eines QR-Code Ladesäule Betrug ist Art. 59 des PSR-Entwurfs: Er sieht erstmals eine Haftung des Zahlungsdienstleisters auch für autorisierte, aber betrügerisch veranlasste Zahlungen vor, etwa bei Call-ID-Spoofing. Bis zur Geltung dieser Vorschriften bleibt es bei der heutigen Rechtslage nach §§ 675u, 675v BGB.
Bereits geltendes Recht ist dagegen die Verification of Payee, der IBAN-Namensabgleich nach der EU-Verordnung zu Echtzeitüberweisungen. Für Euro-Instant-Zahlungen ist der Namensabgleich seit dem 09.10.2025 verpflichtend: Weicht der Empfängername von der hinterlegten IBAN ab, muss die Bank warnen. Unterlässt sie diese Warnung, kann sie für den daraus entstehenden Schaden haften. Da Echtzeitüberweisungen seit dem 09.10.2025 auch sendeseitig verpflichtend angeboten werden müssen, sind gerade an Ladesäulen ausgelöste Sofortzahlungen in Sekunden unwiderruflich – eine Rückholung ist allenfalls über den kulanzbasierten SEPA-Instant-Recall möglich, auf den kein Rechtsanspruch besteht.
Rückforderung und Absicherung: Was jetzt konkret zu tun ist
Wer feststellt, dass eine Zahlung über eine gefälschte QR-Code-Seite ausgelöst wurde, sollte zunächst die eigene Bank telefonisch informieren und die Sperrung von Karte, Konto oder Online-Banking-Zugang veranlassen. Parallel empfiehlt sich die schriftliche Anzeige der nicht autorisierten Zahlung, um die Frist nach § 676b Abs. 2 BGB fristwahrend zu dokumentieren. Wurde Geld an eine unbekannte Kontoverbindung überwiesen, kommt zusätzlich ein bereicherungsrechtlicher Rückforderungsanspruch nach § 812 BGB gegenüber dem tatsächlichen Empfänger in Betracht, sofern dieser identifiziert werden kann.
Landet das Geld auf einem sogenannten Finanzagenten-Konto, ist auch an eine mögliche Geldwäsche-Konstellation zu denken; die Ermittlungsbehörden verfolgen solche Konten regelmäßig eigenständig. Für die eigene Absicherung an Ladesäulen gilt: Die offizielle App des Ladesäulenbetreibers nutzen statt spontan gescannter Codes, die URL nach dem Scan vor jeder Dateneingabe prüfen, und bei Zweifeln lieber eine andere Ladesäule anfahren. Ähnlich wie bei gefälschten Zahlungsaufforderungen im Zusammenhang mit Förderbanken, etwa im Beitrag zum KfW-Phishing, lohnt sich ein zweiter, kritischer Blick auf jede ungewöhnliche Zahlungsaufforderung.
Weitere Betrugsmaschen mit ähnlichem Muster erkennen
Der QR-Code Ladesäule Betrug ist kein isoliertes Phänomen, sondern reiht sich in eine Reihe von Maschen ein, bei denen physische oder digitale Vertrauensanker missbraucht werden. Bei Bankkunden kursieren vergleichbare Fake-Seiten im Zusammenhang mit gefälschten VR-SecureGo-Nachrichten der Volksbank oder mit gefälschten Mitteilungen an Kreditkarten-Kunden der Hanseatic Bank. Auch Fintech-Kunden von Bank-as-a-Service-Plattformen sind betroffen, wie der Beitrag zum Phishing bei Solaris-Banking-Konten zeigt.
Im Kryptobereich funktioniert das Grundprinzip ähnlich: Bei gefälschten Ledger-Wallet-E-Mails oder beim Betrug über gefälschte Bitcoin-Trading-Plattformen wird ebenfalls ein vertrauter, professioneller Anschein erzeugt, um Nutzer zu einer eigenständigen, aber täuschungsbedingten Handlung zu bewegen. Wer diese Parallelen kennt, erkennt auch neue Varianten des QR-Code Ladesäule Betrug schneller, etwa wenn Täter künftig auf andere Ladeinfrastruktur wie öffentliche Fahrrad-Ladestationen ausweichen.
Kanzlei Dr. Araujo Kurth – Ihr Partner im Bank- und Kapitalmarktrecht
Die Kanzlei Dr. Araujo Kurth berät und vertritt Mandanten bundesweit im Bank- und Kapitalmarktrecht. Rechtsanwalt Dr. Michel de Araujo Kurth M.A. verfügt über langjährige Erfahrung im Bankwesen und in der anwaltlichen Praxis und hat sich auf die Vertretung von Mandanten in bank- und kapitalmarktrechtlichen Streitigkeiten spezialisiert.
Die Kanzlei begleitet Mandanten sowohl außergerichtlich als auch vor Gericht – von der ersten rechtlichen Einordnung über die Kommunikation mit Banken, Zahlungsdienstleistern und Finanzinstituten bis zur Durchsetzung von Schadensersatz- und Rückforderungsansprüchen. Beratungen finden in den Büros in Frankfurt am Main, Darmstadt und Offenbach am Main sowie bundesweit per Videokonferenz statt.
Wenn Sie rechtliche Unterstützung benötigen, stehen wir Ihnen jederzeit zur Verfügung. Kontaktieren Sie uns über unser Kontaktformular für ein unverbindliches Erstgespräch – telefonisch, per E-Mail oder online.
FAQs – Häufig gestellte Fragen zu QR-Code Ladesäule Betrug
Was ist Quishing an einer Ladesäule genau?
Dabei kleben Täter einen gefälschten QR-Code über den Original-Code an der Ladesäule. Wer ihn scannt, landet auf einer nachgebauten Bezahlseite, über die Kartendaten oder Bankzugänge abgegriffen oder unmittelbar Zahlungen ausgelöst werden.
Bekomme ich mein Geld nach dieser Betrugsmasche zurück?
Bei einer nicht autorisierten Zahlung besteht grundsätzlich ein Erstattungsanspruch gegen die eigene Bank nach § 675u BGB. Die Bank kann sich nur bei nachgewiesener grober Fahrlässigkeit darauf berufen, dass sie nicht zahlen muss.
Was zählt bei Quishing an der Ladesäule als grobe Fahrlässigkeit?
Ein spontaner Scan unter Zeitdruck kann als Augenblicksversagen gewertet werden, das grobe Fahrlässigkeit ausschließt. Wiederholtes, überlegtes Preisgeben von Zugangsdaten nach ausreichender Bedenkzeit spricht dagegen eher für grobe Fahrlässigkeit.
Welche Frist gilt für die Anzeige einer nicht autorisierten Zahlung?
Nach § 676b Abs. 2 BGB muss die nicht autorisierte Zahlung spätestens 13 Monate nach der Belastung angezeigt werden. In der Praxis sollte deutlich schneller reagiert werden, um weitere Schäden zu verhindern.
Sollte ich nach der Masche an der Ladesäule Strafanzeige erstatten?
Ja, eine Strafanzeige wegen Betrugs nach § 263 StGB ist sinnvoll, auch wenn die Täter oft nicht sofort identifiziert werden. Als Geschädigte haben Sie zudem ein Recht auf Akteneinsicht nach § 406e StPO.
Kann ich eine per QR-Code ausgelöste Echtzeitüberweisung stoppen?
Instant-Überweisungen sind innerhalb von Sekunden unwiderruflich. Eine Rückholung ist nur über den kulanzbasierten SEPA-Instant-Recall möglich, auf den kein Rechtsanspruch besteht, weshalb schnelles Handeln entscheidend ist.
Was ist Verification of Payee und hilft sie gegen diese Masche?
Verification of Payee ist der verpflichtende IBAN-Namensabgleich bei Euro-Echtzeitüberweisungen seit dem 09.10.2025. Weicht der Name vom hinterlegten Kontoinhaber ab, muss die Bank warnen; unterbleibt die Warnung, kann sie haften.
Ändert die neue PSD3/PSR-Regulierung schon jetzt etwas an meinen Rechten?
Nein, PSD3 und PSR sind noch nicht in Kraft. Die geplante Bankenhaftung auch für autorisierte, aber betrügerisch veranlasste Zahlungen gilt erst nach Veröffentlichung und Ablauf der Übergangsfrist, aktuell zählt die geltende Rechtslage nach §§ 675u, 675v BGB.
Wie erkenne ich einen manipulierten QR-Code an der Ladesäule vorab?
Achten Sie auf Aufkleber, die uneben aufgeklebt wirken oder den Originalcode überdecken. Prüfen Sie nach dem Scan die angezeigte Internetadresse, bevor Sie Daten eingeben, und nutzen Sie wenn möglich die offizielle App des Betreibers.
Wer haftet, wenn meine Kreditkartendaten über die Fake-Seite gestohlen wurden?
Bei missbräuchlicher Nutzung gestohlener Kartendaten greift ebenfalls die Erstattungspflicht des Zahlungsdienstleisters für nicht autorisierte Zahlungen. Melden Sie den Kartenmissbrauch umgehend, damit die Karte gesperrt und weitere Abbuchungen verhindert werden.
