Strafanzeige bei Quishing: Was Sie der Polizei vorlegen müssen
Ein gefälschter QR-Code auf dem Parkschein, der Ladesäule oder der Rechnung genügt – wer die Falle bemerkt, muss danach schnell und strukturiert handeln.
Quishing bezeichnet Phishing über manipulierte QR-Codes – auf Parkautomaten, Ladesäulen, Paketbenachrichtigungen, Briefpost oder in gefälschten Rechnungen platziert. Wer den Code scannt, landet auf einer Fake-Seite, die Zugangsdaten, TAN oder Kartendaten abgreift. Das Bundesamt für Sicherheit in der Informationstechnik nennt QR-Codes seit einiger Zeit als relevanten und zunehmend häufiger genutzten Angriffsvektor. Eine belastbare Quishing Strafanzeige entscheidet maßgeblich darüber, ob Ermittlungen zum Erfolg führen und ob zivilrechtliche Ansprüche gegen Bank oder Zahlungsdienstanbieter überhaupt durchsetzbar bleiben.
Dieser Beitrag zeigt, welche Beweise Sie für die Quishing Strafanzeige sichern sollten, welche Behörde zuständig ist, welche Fristen laufen und wie sich die rechtliche Einordnung – nicht autorisierte Zahlung oder klassischer Betrug – auf Ihre Erstattungschancen auswirkt.
Wir prüfen Ihren Fall und bereiten die Quishing Strafanzeige gemeinsam mit Ihnen vor. Jetzt unverbindlich Kontakt aufnehmen.
Was Quishing technisch bedeutet und warum die Beweislage zählt
Beim Quishing wird ein manipulierter QR-Code über einen echten geklebt oder in eine gefälschte digitale Nachricht eingebettet – etwa eine vermeintliche Paketbenachrichtigung, eine Mahnung oder eine Parkgebühren-Erinnerung. Der Code führt auf eine Phishing-Seite, die täuschend echt wirkt und zur Eingabe von Online-Banking-Zugangsdaten, TAN oder Kreditkartendaten auffordert. Anders als beim klassischen E-Mail-Phishing entzieht sich der QR-Code oft der automatischen Spam-Filterung, weil der eigentliche Betrugslink erst nach dem Scan sichtbar wird.
Für eine erfolgreiche Quishing Strafanzeige ist entscheidend, dass die Kette vom gescannten Code bis zur Kontobewegung lückenlos dokumentiert ist. Fehlt ein Glied – etwa der Screenshot der Phishing-Seite oder der Kontoauszug mit der Abbuchung –, wird die Beweiswürdigung durch die Ermittlungsbehörde und später gegebenenfalls durch die Bank erschwert.
Sofortmaßnahmen: So sichern Sie Beweise für die Quishing Strafanzeige
Handeln Sie unmittelbar, sobald Sie den Betrug bemerken. Kontaktieren Sie zunächst telefonisch Ihre Bank oder Ihren Zahlungsdienstanbieter, um weitere Verfügungen zu sperren, und sichern Sie parallel alle digitalen Spuren, bevor sie verschwinden.
- Foto des betroffenen QR-Codes am Originalort (Parkautomat, Ladesäule, Briefkasten, Paketstation)
- Screenshot der Phishing-Website inklusive sichtbarer URL in der Adresszeile
- Screenshot oder E-Mail-Header der Phishing-Nachricht, falls der Code digital verschickt wurde
- Kontoauszug mit der fraglichen Buchung, Empfänger-IBAN und Buchungszeitpunkt
- Screenshots der Banking-App mit Uhrzeit der TAN-Eingabe und Freigabe
- Notiz zum eigenen Vorgehen: wann gescannt, wann Daten eingegeben, wann die Auffälligkeit bemerkt wurde
Diese Unterlagen bilden die Grundlage jeder Anzeige. Je präziser die Chronologie dokumentiert ist, desto eher lässt sich später auch beurteilen, ob ein Augenblicksversagen vorlag oder ob mehrere Warnsignale übersehen wurden – ein Punkt, der bei der Frage der groben Fahrlässigkeit erheblich ins Gewicht fällt.
Welche Unterlagen die Polizei bei einer Quishing Strafanzeige erwartet
Bei der Anzeigenerstattung sollten Sie nicht nur Beweismittel mitbringen, sondern auch eine schriftliche, chronologische Zusammenfassung des Geschehens. Das erleichtert der Sachbearbeitung die Einordnung und beschleunigt die erste Bewertung, ob ein Anfangsverdacht besteht.
- Vollständiger Ablauf: Ort und Zeitpunkt des Scans, aufgerufene Seite, eingegebene Daten
- Alle gesicherten Screenshots, Fotos und Kontoauszüge in ausgedruckter oder digital übertragbarer Form
- Bekannte oder vermutete Empfänger-IBAN und -Bankinstitut
- Kommunikation mit der eigenen Bank seit Entdeckung des Vorfalls
- Angaben zu bereits erfolgten Sperrungen von Karte, Konto oder Online-Banking-Zugang
Wer sich mit dieser strukturierten Unterlage vorbereitet, verschafft der Anzeige deutlich bessere Erfolgsaussichten als eine mündliche, unvollständige Schilderung. Ähnliche Prinzipien gelten bei verwandten Betrugsformen – etwa bei einer Phishing Anzeige oder beim klassischen Kryptobetrug, bei dem ebenfalls jede Transaktions- und Kommunikationsspur zählt.
Rechtliche Einordnung: nicht autorisierte Zahlung oder Betrug
Ob Sie sich auf § 675u BGB oder auf eine reine Strafanzeige wegen Betrugs stützen können, hängt davon ab, wer die Zahlung technisch ausgelöst hat. Haben die Täter mit den erschlichenen Zugangsdaten und TAN selbst eine Überweisung veranlasst, handelt es sich um eine nicht autorisierte Zahlung im Sinne des § 675u BGB. Die Bank muss den Betrag dem Grunde nach erstatten, kann sich aber unter Umständen nach § 675v BGB auf grobe Fahrlässigkeit berufen – die Beweislast dafür trägt jedoch die Bank.
Haben Sie hingegen selbst, durch Täuschung veranlasst, eine Überweisung freigegeben – etwa weil die Phishing-Seite eine angebliche Sicherheitsfreigabe verlangte –, liegt strafrechtlich ein Betrug nach § 263 StGB vor. Zahlungsdiensterechtlich handelt es sich dann um eine autorisierte, aber betrügerisch veranlasste Zahlung, für die nach heutiger Rechtslage grundsätzlich keine automatische Bankenerstattung greift. Diese Unterscheidung ist für die Anzeige zentral, weil sie die weitere zivilrechtliche Strategie bestimmt.
Die BGH-Linie zu TAN-Weitergabe und grober Fahrlässigkeit
Der Bundesgerichtshof hat sich mit Urteil vom 22.07.2025 (XI ZR 107/24) mit einem vergleichbaren Fall befasst: Eine Kundin gab nach einem Call-ID-Spoofing-Anruf TANs für eine Echtzeitüberweisung über 35.555 Euro heraus. Der BGH stellte klar, dass die TAN-Weitergabe für sich genommen keine wirksame Autorisierung darstellt – es bleibt eine nicht autorisierte Verfügung. Im konkreten Fall verlor die Kundin den Prozess dennoch, weil sie am Folgetag – nach Bedenkzeit – erneut TANs preisgab; das werteten die Richter als grobe Fahrlässigkeit, nicht mehr als bloßes Augenblicksversagen.
Für die Quishing Strafanzeige und den anschließenden zivilrechtlichen Anspruch heißt das: Ein situatives, überraschendes Fehlverhalten unmittelbar nach dem Scan kann grobe Fahrlässigkeit ausschließen, ein wiederholtes oder reflektiertes Fehlverhalten eher nicht. Genau deshalb ist die minutengenaue Dokumentation des eigenen Vorgehens so wichtig – sie entscheidet über die Erfolgsaussichten gegenüber der Bank.
Als erfahrene Anwälte im Bank- und Kapitalmarktrecht helfen wir Ihnen, die Vorgehensweise der Betrüger rechtlich einzuordnen und konkrete Schritte zur Rückforderung Ihrer Gelder einzuleiten. Kontaktieren Sie uns jederzeit für ein unverbindliches Erstgespräch.
Wo Sie die Quishing Strafanzeige erstatten und welche Frist läuft
Zuständig ist grundsätzlich jede Polizeidienststelle; viele Bundesländer bieten inzwischen zusätzlich eine Online-Wache an. Bei größeren Schadenssummen oder erkennbar organisierten Strukturen liegt die weitere Zuständigkeit meist bei spezialisierten Cybercrime-Dezernaten der Kriminalpolizei. Welche Behörde im Einzelfall greift, hängt vom Wohnsitz, vom Tatort und vom eingesetzten Zahlungsweg ab – eine Orientierung dazu bietet unser Beitrag Phishing Polizei Anzeige: Welche Behörde ist zuständig?.
Parallel zur Anzeige läuft eine wichtige zivilrechtliche Frist: Nicht autorisierte Zahlungen müssen nach § 676b Abs. 2 BGB spätestens innerhalb von 13 Monaten nach der Buchung gegenüber der Bank gerügt werden, sonst ist der Erstattungsanspruch ausgeschlossen. Diese Frist ist unabhängig von der strafrechtlichen Verjährung des Betrugs nach § 263 StGB, die regelmäßig fünf Jahre beträgt.
Erstattungsanspruch gegenüber der Bank durchsetzen
Eine gut dokumentierte Quishing Strafanzeige ist zugleich die beste Grundlage für die Auseinandersetzung mit der eigenen Bank. Legen Sie der Bank die Anzeigenbestätigung, die Chronologie und die gesicherten Screenshots vor und fordern Sie schriftlich die Erstattung nach § 675u BGB. Verweigert die Bank die Erstattung unter Berufung auf grobe Fahrlässigkeit, muss sie diese im Streitfall beweisen – nicht Sie als Kundin oder Kunde.
Die allgemeine zivilrechtliche Verjährungsfrist für den Erstattungsanspruch beträgt drei Jahre (§§ 195, 199 BGB), gerechnet ab Ende des Jahres der Kenntniserlangung; die kenntnisunabhängige Höchstfrist liegt bei zehn Jahren ab Entstehung des Anspruchs (§ 199 Abs. 3 S. 1 Nr. 1 BGB). Die 13-Monats-Frist aus § 676b Abs. 2 BGB läuft davon unabhängig und regelmäßig deutlich früher ab – ein häufig übersehener Punkt, gerade bei Fällen mit Parallelen zum Anlagebetrug, bei denen ebenfalls mehrere Fristen gleichzeitig laufen.
Verification of Payee und die künftige Zahlungsdiensteregulierung
Seit dem 09.10.2025 gilt für Euro-Echtzeitüberweisungen europaweit die Pflicht zum IBAN-Namensabgleich (Verification of Payee, VoP) nach der EU-Verordnung zu Instant Payments. Weicht der eingegebene Empfängername von den bei der Empfängerbank hinterlegten Daten ab, muss die überweisende Bank warnen. Unterlässt sie diese Warnung, kann sie für den daraus entstehenden Schaden haften – auch bei einer formal autorisierten Überweisung. Dieser Aspekt kann bei der Anzeige relevant werden, wenn die Betrüger eine abweichende Empfänger-IBAN nutzten und die Bank keinen Warnhinweis ausgegeben hat.
Zusätzlich verhandeln EU-Rat und -Parlament derzeit über die neue Zahlungsdiensterichtlinie PSD3 und die begleitende Zahlungsdiensteverordnung PSR. Die politische Einigung im Trilog erfolgte am 27.11.2025, die endgültigen Kompromisstexte veröffentlichte der Rat der EU am 23.04.2026; die Verordnung ist noch nicht in Kraft. Vorgesehen ist unter anderem in Art. 59 PSR-E künftig auch eine Bankenhaftung für autorisierte, aber betrügerisch veranlasste Zahlungen, insbesondere bei Call-ID-Spoofing. Nach heutiger Rechtslage gilt diese erweiterte Haftung noch nicht – maßgeblich bleiben §§ 675u, 675v BGB und die dargestellte BGH-Rechtsprechung.
Nach der Anzeige: Akteneinsicht und die Spur des Geldes
Nach Eingang der Anzeige eröffnet die Staatsanwaltschaft ein Ermittlungsverfahren und kann Auskunftsersuchen an Banken und Zahlungsdienstanbieter richten, um die Empfängerkonten zu identifizieren. Als Geschädigte oder Geschädigter haben Sie über einen Rechtsanwalt Anspruch auf Akteneinsicht nach § 406e StPO, um die ermittelten Täterdaten und den Kontenweg nachzuvollziehen. Details dazu erläutert unser Beitrag Akteneinsicht nach Strafanzeige: Wie Geschädigte an die Täterdaten kommen.
Fließt das Geld über zwischengeschaltete Konten sogenannter Finanzagenten weiter, kommt zusätzlich eine Geldwäsche nach § 261 StGB in Betracht, die Vorsatz oder zumindest Leichtfertigkeit voraussetzt. Betroffene Konten können durch die Bank vorübergehend gesperrt werden, wenn sie eine Verdachtsmeldung nach § 43 GwG abgibt; die Stillhaltefrist selbst ergibt sich aus § 46 GwG, eine weitergehende Untersagung kann die Financial Intelligence Unit auf Grundlage von § 40 GwG anordnen. In besonders eiligen Fällen kommt zudem ein strafprozessualer Vermögensarrest nach § 111e StPO in Betracht, um Gelder auf Täterkonten zu sichern, bevor sie weitertransferiert werden.
Warum sich anwaltliche Begleitung bei der Quishing Strafanzeige lohnt
Zwischen strafrechtlicher Anzeige, zivilrechtlichem Erstattungsanspruch, der 13-Monats-Frist und der Akteneinsicht bestehen mehrere parallele Zeitschienen, die sich leicht verwechseln lassen. Eine anwaltliche Begleitung stellt sicher, dass die Anzeige inhaltlich vollständig ist, die richtige Anspruchsgrundlage gegenüber der Bank benannt wird und keine Frist ungenutzt verstreicht.
Das gilt in besonderem Maß, wenn mehrere Betrugsmuster ineinandergreifen – etwa wenn dem Quishing-Vorfall zuvor bereits eine andere Täuschung vorausging, wie bei manchen Romance-Scam-Fällen beobachtet, oder wenn Empfängerkonten in ein größeres Betrugsnetzwerk eingebunden sind, wie es auch bei manchen Schneeballsystemen vorkommt. Eine frühzeitige rechtliche Einschätzung erhöht in all diesen Konstellationen die Chance, den Schaden zumindest teilweise zurückzuholen.
Kanzlei Dr. Araujo Kurth – Ihr Partner im Bank- und Kapitalmarktrecht
Die Kanzlei Dr. Araujo Kurth berät und vertritt Mandanten bundesweit im Bank- und Kapitalmarktrecht. Rechtsanwalt Dr. Michel de Araujo Kurth M.A. verfügt über langjährige Erfahrung im Bankwesen und in der anwaltlichen Praxis und hat sich auf die Vertretung von Mandanten in bank- und kapitalmarktrechtlichen Streitigkeiten spezialisiert.
Die Kanzlei begleitet Mandanten sowohl außergerichtlich als auch vor Gericht – von der ersten rechtlichen Einordnung über die Kommunikation mit Banken, Zahlungsdienstleistern und Finanzinstituten bis zur Durchsetzung von Schadensersatz- und Rückforderungsansprüchen. Beratungen finden in den Büros in Frankfurt am Main, Darmstadt und Offenbach am Main sowie bundesweit per Videokonferenz statt.
Wenn Sie rechtliche Unterstützung benötigen, stehen wir Ihnen jederzeit zur Verfügung. Kontaktieren Sie uns über unser Kontaktformular für ein unverbindliches Erstgespräch – telefonisch, per E-Mail oder online.
FAQs – Häufig gestellte Fragen zu Quishing Strafanzeige
Was genau ist eine Quishing Strafanzeige?
Sie bezeichnet die strafrechtliche Anzeige eines Betrugs, bei dem Täter über einen manipulierten QR-Code Zugangsdaten, TAN oder Kartendaten erbeuten. Die Anzeige richtet sich meist wegen Betrugs nach § 263 StGB an die Polizei und setzt eine strukturierte Beweisdokumentation voraus.
Welche Beweise sind für die Anzeige am wichtigsten?
Am wichtigsten sind ein Foto des manipulierten QR-Codes, ein Screenshot der Phishing-Website, Kontoauszüge mit der fraglichen Buchung sowie eine chronologische Notiz zum eigenen Vorgehen. Diese Unterlagen erleichtern sowohl die Ermittlungsarbeit als auch spätere Ansprüche gegen die Bank.
Muss ich die Anzeige persönlich bei der Polizei stellen?
Nein, viele Bundesländer bieten eine Online-Wache an, über die Sie die Anzeige digital erstatten können. Bei größeren Schäden empfiehlt sich zusätzlich der persönliche Kontakt zu einem spezialisierten Cybercrime-Dezernat.
Bekomme ich mein Geld nach der Anzeige automatisch zurück?
Nein, die Strafanzeige allein löst keine Rückzahlung aus. Bei einer nicht autorisierten Zahlung besteht ein separater zivilrechtlicher Erstattungsanspruch gegen die Bank nach § 675u BGB, der eigenständig geltend gemacht werden muss.
Welche Frist gilt gegenüber der Bank nach einem Quishing-Vorfall?
Nicht autorisierte Zahlungen müssen nach § 676b Abs. 2 BGB spätestens 13 Monate nach der Buchung gegenüber der Bank gerügt werden. Wird diese Frist versäumt, erlischt der Erstattungsanspruch unabhängig vom weiteren Strafverfahren.
Haftet meine Bank, wenn ich die TAN selbst eingegeben habe?
Die TAN-Eingabe allein ist keine wirksame Autorisierung, wie der BGH im Urteil XI ZR 107/24 klargestellt hat. Die Bank kann sich aber auf grobe Fahrlässigkeit berufen, wenn Sie trotz erkennbarer Warnsignale wiederholt Zugangsdaten preisgegeben haben; die Beweislast dafür trägt die Bank.
Was ist der Unterschied zwischen Betrug und nicht autorisierter Zahlung bei Quishing?
Löst der Täter die Überweisung selbst mit erschlichenen Daten aus, liegt eine nicht autorisierte Zahlung nach § 675u BGB vor. Geben Sie die Zahlung hingegen selbst, durch Täuschung veranlasst, frei, handelt es sich strafrechtlich um Betrug nach § 263 StGB mit anderer zivilrechtlicher Anspruchsgrundlage.
Hilft mir Verification of Payee bei Quishing-Fällen?
Verification of Payee kann relevant werden, wenn die überweisende Bank bei einer abweichenden Empfänger-IBAN nicht gewarnt hat. Diese Pflicht gilt seit 09.10.2025 für Euro-Echtzeitüberweisungen und kann einen eigenständigen Haftungsansatz gegenüber der Bank eröffnen.
Kann ich nach der Quishing Strafanzeige Akteneinsicht verlangen?
Ja, als Geschädigte oder Geschädigter haben Sie über einen Rechtsanwalt Anspruch auf Akteneinsicht nach § 406e StPO. So lassen sich ermittelte Empfängerkonten und mögliche Täterdaten nachvollziehen.
Wann sollte ich mich anwaltlich beraten lassen?
Am besten unmittelbar nach Entdeckung des Vorfalls, bevor Fristen wie die 13-Monats-Regel aus § 676b Abs. 2 BGB oder die Ausschlussfrist gegenüber der Bank ablaufen. Eine frühzeitige Beratung sichert Beweise und Ansprüche gleichermaßen.
