Was steckt hinter dem Begriff Quishing-Betrug?
Quishing ist ein Kunstwort aus „QR-Code“ und „Phishing“ und beschreibt eine Betrugsmasche, bei der Cyberkriminelle gefälschte oder manipulierte QR-Codes einsetzen, um Nutzer:innen auf täuschend echte Fake-Webseiten zu leiten. Dort werden dann sensible Daten abgegriffen: Kreditkarteninformationen, Log-in-Daten oder Kontodaten.
Was Quishing so tückisch macht: Während eine verdächtige E-Mail noch durch einen kritischen Blick auf den Absender auffällt, ist bei einem QR-Code mit dem bloßen Auge nicht erkennbar, wohin er führt. Das Smartphone zeigt die Ziel-URL oft erst nach dem Scannen an und bis dahin kann der Schaden bereits angebahnt sein. Herkömmliche Sicherheitssoftware erkennt schädliche Links hinter QR-Codes häufig nicht, weil die Codes als Bilder übermittelt werden, nicht als Text.
Hinweis: Laut Sicherheitsanalysen haben sich Quishing-Angriffe innerhalb weniger Monate vervielfacht. Sicherheitsforscher beobachten, dass mittlerweile ein signifikanter Anteil aller Phishing-E-Mails einen bösartigen QR-Code enthält, Tendenz weiter steigend.
Quishing-Betrug an Ladesäulen: Wie die Masche funktioniert
Öffentliche Ladesäulen für Elektroautos sind ein besonders attraktives Ziel für Quishing-Betrug. Der Grund: Viele Ladestationen setzen statische QR-Code-Aufkleber ein, über die Nutzer:innen im sogenannten Ad-hoc-Verfahren direkt bezahlen können, ohne vorherige Registrierung oder Ladekarte.
Genau diese Aufkleber werden von Täter:innen mit eigenen, gefälschten QR-Codes überklebt. Der Ablauf einer typischen Ladesäulen-Quishing-Attacke sieht so aus:
- Kriminelle bringen an einer öffentlichen Ladesäule einen gefälschten QR-Code-Aufkleber an, oft kaum von einem echten zu unterscheiden.
- Die E-Auto-Fahrer:in scannt den Code, um den Ladevorgang zu starten und zu bezahlen.
- Das Smartphone leitet auf eine Fake-Webseite weiter, die der originalen Bezahlseite des Betreibers täuschend ähnlich sieht.
- Dort gibt das Opfer seine Kreditkartendaten ein.
- In einigen Fällen leiten die Betrüger:innen beim zweiten Versuch auf die echte Seite weiter, damit der anfängliche „Fehlversuch“ im Gedächtnis verblasst.
- Die eingegebenen Daten landen bei den Täter:innen, die sie für betrügerische Abbuchungen oder weitere Angriffe nutzen.
Hinweis: Das BSI stuft öffentliche Ladepunkte als Teil kritischer Infrastruktur ein und arbeitet gemeinsam mit dem Bundesministerium für Verkehr an strengeren IT-Sicherheitsvorgaben für Betreiber, mit Fokus auf Schwachstellen bei Kommunikationsprotokollen und eingesetzter Software.
Wie verbreitet ist Quishing-Betrug in Deutschland?
Die Zahlen sind alarmierend. Deutschland war 2025 das weltweit zweithäufigste Ziel von Phishing-Attacken und Quishing ist dabei ein wachsender Angriffsvektor. Die Global Anti-Scam Alliance (GASA) bezifferte den gesamten Betrugsschaden in Deutschland für 2025 auf rund zehn Milliarden Euro. Jede:r dritte Deutsche war laut einer PwC-Studie bereits Opfer eines Betrugsversuchs bei Online-Zahlungen.
Speziell beim QR-Code-Betrug ist die Lage ernst: Sicherheitsexperten verzeichneten einen Anstieg der Quishing-Angriffe um rund 146 Prozent. Nahezu 90 Prozent aller erkannten Quishing-Attacken zielen darauf ab, persönliche Daten zu erfassen. Das BSI und die Verbraucherzentrale warnen seit Mitte 2024 kontinuierlich vor dieser Masche, sowohl an Ladesäulen als auch an Parkautomaten, in Bankbriefen und im ÖPNV.
Für Betreiber:innen von Ladesäulen zeigt sich das Problem ebenfalls: Ubitricity entdeckte in Berlin gefälschte QR-Sticker an eigenen Ladesäulen. Aus dem Leserkreis von „Auto Motor und Sport“ wurden mehrere dokumentierte Fälle gemeldet. Der ADAC fordert daher, dass Ladestationsbetreiber ihre Bezahllösungen deutlich betrugssicherer gestalten.
Wer ist besonders gefährdet?
Besonders gefährdet sind E-Auto-Fahrer:innen, die:
- häufig an wechselnden, öffentlichen Ladesäulen laden
- das Ad-hoc-Verfahren per QR-Code nutzen, statt eine Ladekarte oder Lade-App zu verwenden
- sich an unbekannten Standorten, etwa auf Autobahnraststätten oder in fremden Städten, befinden und unter Zeitdruck stehen
- keinen Sicherheitscheck der angezeigten URL vor der Eingabe von Zahlungsdaten durchführen
Grundsätzlich gilt: Wer eine Ladekarte oder die offizielle App des Ladesäulenbetreibers nutzt, bietet Quishing-Betrug keine Angriffsfläche. An neueren Schnellladepunkten ist nach der europäischen AFIR-Verordnung eine kontaktlose Kartenzahlung vorgeschrieben, an älteren Bestandsanlagen ist der QR-Code für Ad-hoc-Zahler:innen jedoch häufig noch die einzige Möglichkeit ohne Ladekarte. Wer keine Ladekarte dabei hat, sollte daher besonders wachsam sein.
Quishing-Betrug erkennen: So identifizieren Sie gefälschte QR-Codes
Das Erkennen eines gefälschten QR-Code-Aufklebers an einer Ladesäule ist nicht immer einfach, aber mit etwas Aufmerksamkeit möglich. Diese Warnsignale sollten Sie kennen:
Physische Hinweise am Aufkleber:
- Der QR-Code-Aufkleber wirkt leicht erhöht oder hat sichtbare Kanten, ein Zeichen, dass er über den Original-Code geklebt wurde
- Der Aufkleber sitzt schief, ist in einer anderen Qualität gedruckt oder hat eine andere Farbe als der Rest der Ladesäule
- Beim vorsichtigen Anfassen des Aufklebers hebt sich eine Kante, darunter könnte ein Original-Code stecken
Digitale Hinweise nach dem Scannen:
- Die angezeigte URL entspricht nicht der offiziellen Domain des Ladesäulenbetreibers (z.B. „enbw-pay.de“ statt „enbw.com“)
- Die Webseite lädt ungewöhnlich schnell oder langsam, wirkt unprofessionell oder hat Rechtschreibfehler
- Es werden mehr Daten abgefragt, als für einen normalen Bezahlvorgang nötig sind
- Der Ladevorgang startet nicht, obwohl die Zahlung angeblich verarbeitet wird
Hinweis: Nutzen Sie ausschließlich die vorinstallierte Kamera-App Ihres Smartphones zum Scannen von QR-Codes. Moderne Betriebssysteme (iOS und Android) zeigen die Hauptdomain der Ziel-URL direkt und sicher an. Von Drittanbieter-QR-Scanner-Apps wird ausdrücklich abgeraten, viele enthalten Tracking-Module oder sind selbst unsicher. Laden Sie keine zusätzlichen Scanner-Apps herunter, nur um QR-Codes zu lesen.
So schützen Sie sich vor Quishing-Betrug an Ladesäulen
Der beste Schutz ist eine konsequente Nutzung sicherer Zahlungsmethoden. Diese Maßnahmen helfen:
1. Ladekarte oder App statt QR-Code: Wer eine Ladekarte oder die offizielle App des Ladesäulenbetreibers nutzt, umgeht den QR-Code vollständig. Das ist die sicherste Methode und spart in vielen Fällen auch noch Kosten. Beim Laden ohne Ladekarte sollte die Direktzahlung per Kreditkarte am Terminal bevorzugt werden.
2. Display-Code bevorzugen: Einige Ladesäulenbetreiber zeigen den QR-Code dynamisch auf dem Display der Säule an. Dieser kann nicht überklebt werden und ist daher deutlich sicherer als ein statischer Aufkleber.
3. QR-Codes auf Manipulation prüfen: Bevor Sie einen Code scannen: kurz mit dem Fingernagel an der Ecke des Aufklebers testen, ob darunter ein weiterer steckt. Optische Unregelmäßigkeiten wie Überstände, Falten oder eine andere Druckqualität sind Warnzeichen.
4. URL immer prüfen: Nach dem Scannen eines QR-Codes immer zuerst die angezeigte URL prüfen, bevor eine Weiterleitung bestätigt oder Daten eingegeben werden. Offizielle Seiten nutzen die Hauptdomain des jeweiligen Betreibers.
5. Auf offizielle App-Stores vertrauen: Apps für Ladesäulen nur aus den offiziellen App-Stores (Google Play Store, Apple App Store) herunterladen. Niemals Apps über Links aus QR-Codes installieren.
6. Bei Verdacht abbrechen und melden: Erscheint eine Webseite verdächtig oder werden ungewöhnlich viele Daten abgefragt, Vorgang sofort abbrechen, ggf. Kreditkarte sperren (Sperrhotline: 116 116) und Vorfall beim Betreiber der Ladesäule sowie bei der Polizei melden.
Tipp: Wer regelmäßig öffentlich lädt, ist mit einer Ladekarte ohne Grundgebühr oder einer passenden Lade-App nicht nur sicherer, sondern oft auch günstiger als mit dem Ad-hoc-Verfahren.
Was tun, wenn Sie Opfer von Quishing-Betrug geworden sind?
Falls Sie vermuten, Opfer eines Quishing-Angriffs an einer Ladesäule geworden zu sein, handeln Sie schnell:
- Kreditkarte sofort sperren – über die Sperrhotline 116 116 (kostenlos, 24/7 erreichbar) oder direkt beim kartenausgebenden Institut
- Bank oder Kreditkartenanbieter informieren – Missbrauchsfälle sofort melden. Ob eine Rückbuchung möglich ist, hängt vom Einzelfall ab: Haben Sie Zahlungsdaten aktiv eingegeben und eine Transaktion selbst freigegeben, werten Banken und Gerichte das häufig als grobe Fahrlässigkeit. Je schneller Sie reagieren, desto besser, eine Garantie auf Erstattung gibt es jedoch nicht.
- Anzeige bei der Polizei erstatten – Cyberkriminalität lässt sich auch online beim LKA des jeweiligen Bundeslandes anzeigen
- Betreiber der Ladesäule informieren – damit der gefälschte Aufkleber schnellstmöglich entfernt werden kann und andere Nutzer:innen geschützt werden
- Passwörter ändern – falls Sie auf der Fake-Seite auch Log-in-Daten eingegeben haben, diese sofort überall ändern, wo dieselbe Kombination verwendet wird
Was tun Ladesäulenbetreiber gegen Quishing?
Die Betreiber:innen öffentlicher Ladeinfrastruktur reagieren unterschiedlich auf die Bedrohung. Technische Lösungsansätze sind:
- Dynamische QR-Codes auf Displays statt statischer Aufkleber, diese können nicht physisch manipuliert werden
- Kennzeichnung von QR-Codes mit der Ladepunkt-Nummer und dem Betreibernamen (wie z. B. bei EnBW mit „Intercharge Direct“), um Fälschungen zu erschweren
- Kartenterminals als alternative oder primäre Bezahlmethode ohne QR-Code-Nutzung
- Regelmäßige Sichtkontrollen der Ladesäulen auf manipulierte Aufkleber
BSI und Bundesministerium für Verkehr arbeiten gemeinsam daran, einheitliche IT-Sicherheitsstandards für die öffentliche Ladeinfrastruktur zu definieren und verbindliche Vorgaben für Hersteller und Betreiber zu schaffen. Bis diese Standards flächendeckend greifen, liegt ein wesentlicher Teil des Schutzes jedoch weiterhin bei den Nutzer:innen selbst.
Zusammenfassend: Sicher laden ist einfacher als gedacht
Quishing-Betrug an Ladesäulen ist eine reale und wachsende Bedrohung, aber kein Grund, auf das Laden in der Öffentlichkeit zu verzichten. Die Masche lässt sich mit wenigen einfachen Maßnahmen konsequent umgehen: eine Ladekarte nutzen, die offizielle App bevorzugen und QR-Codes vor dem Scannen kurz auf Manipulation prüfen. Wer auf Ad-hoc-Zahlung per QR-Code angewiesen ist, sollte immer die URL der Zielseite überprüfen und niemals ungeprüft Zahlungsdaten eingeben.
Als E-Auto-Fahrer:in, die oder der regelmäßig öffentlich lädt, lohnt sich außerdem ein Blick auf die verfügbaren THG-Prämienmodelle bei emobility.energy, damit Sie nicht nur sicher, sondern auch noch finanziell von Ihrer E-Mobilität profitieren.
Jetzt THG-Prämie für Ihr Elektroauto beantragen
Neben dem sicheren Laden können E-Auto-Fahrer:innen noch auf eine weitere Weise von ihrer E-Mobilität profitieren: die THG-Prämie 2026. Halter:innen von Elektrofahrzeugen können einmal jährlich eingesparte CO₂-Emissionen zertifizieren lassen und als THG-Quote verkaufen. Bei emobility.energy stehen dafür verschiedene Modelle zur Verfügung:
Hinweis: Die genannten Beträge entsprechen den aktuellen Modellen von emobility.energy. Die tatsächlich erzielbare Prämie hängt vom gewählten Modell und dem aktuellen Marktpreis für THG-Quoten ab. Alle Details und aktuellen Konditionen finden Sie direkt auf der Angebotsseite. Der Antrag läuft volldigital und DSGVO-konform über Server in Deutschland, einfach Zulassungsbescheinigung Teil 1 hochladen und Prämie sichern.
Betreiber:innen von öffentlich zugänglichen Wallboxen oder Ladesäulen können ihre Ladepunkte zusätzlich über das Ladestromportal anmelden und eine separate THG-Prämie für Ladeinfrastruktur erhalten.
FAQ: Quishing-Betrug an Ladesäulen
Was ist Quishing-Betrug?
Quishing ist eine Betrugsmasche, bei der Kriminelle gefälschte QR-Codes einsetzen, um Nutzer:innen auf Phishing-Webseiten zu leiten und dort sensible Daten wie Kreditkarteninformationen zu stehlen. Der Begriff setzt sich aus „QR-Code“ und „Phishing“ zusammen.
Wie erkenne ich einen gefälschten QR-Code an einer Ladesäule?
Prüfen Sie, ob der QR-Code-Aufkleber über einen anderen geklebt wurde, das ist oft am Rand spürbar. Achten Sie auf eine andere Druckqualität oder schiefe Platzierung. Nach dem Scannen: URL vor der Dateneingabe immer prüfen.
Was soll ich tun, wenn ich Opfer von Quishing geworden bin?
Sperren Sie sofort Ihre Kreditkarte (116 116), informieren Sie Ihre Bank, erstatten Sie Anzeige bei der Polizei und melden Sie den Fall dem Ladesäulenbetreiber.
Wie kann ich Quishing-Betrug an Ladesäulen vermeiden?
Am sichersten ist die Nutzung einer Ladekarte oder einer offiziellen Lade-App, die ohne QR-Code funktioniert. Alternativ: Direktzahlung per Kreditkarte am Terminal. Falls Sie einen QR-Code scannen, prüfen Sie immer die Ziel-URL, bevor Sie Daten eingeben.
Sind alle Ladesäulen betroffen?
Grundsätzlich sind Ladesäulen mit statischen QR-Code-Aufklebern anfälliger als solche mit dynamischen Display-Codes. Wer per Ladekarte oder App bezahlt, ist unabhängig vom Ladesäulentyp sicher vor Quishing-Betrug.
Haftet die Bank bei Quishing-Schäden?
Das kommt auf den Einzelfall an. Nach geltendem Recht (§ 675w BGB) müssen Banken grobe Fahrlässigkeit konkret nachweisen. Haben Betroffene jedoch Zahlungsdaten aktiv auf einer Phishing-Seite eingegeben und eine Transaktion selbst bestätigt, wird dies in der Praxis oft als grobe Fahrlässigkeit gewertet. Eine Erstattung ist nicht garantiert, schnelles Handeln und eine sofortige Meldung erhöhen die Chancen dennoch.
Besuchte Quellen
- Quelle – Besucht am (10.08.2026 - 06:32 Uhr):
https://www.adac.de/news/auto-quishing-betrug-ladesaeule/ - Quelle – Besucht am (10.08.2026 - 06:46 Uhr):
https://www.verbraucherzentrale-niedersachsen.de/wissen/digitale-welt/datenschutz/betrug-mit-qrcodes-quishing-so-schuetzen-sie-sich-119850 - Quelle – Besucht am (10.08.2026 - 06:54 Uhr):
https://www.enbw.com/blog/elektromobilitaet/laden/vorsicht-quishing-gefaelschte-qr-codes-erkennen/
