Gedruckte QR-Codes vor Aufkleber-Betrug schützen: was Städte getan haben

Um gedruckte QR-Codes vor Aufkleber-Betrug zu schützen, mach es wie die Städte, als gefälschte Codes an Parkautomaten auftauchten: öffentlich sagen, welche Zahlungswege echt sind, jedes Gerät prüfen, Fälschungen schnell entfernen, die Nutzer des Dienstes warnen und ihnen eine Möglichkeit zum Melden geben. Keine der hier geprüften Quellen hat Sicherheitsetiketten, Rahmen oder Abdeckungen getestet, keines davon kann also als bewiesen gelten.

Die Fälle unten betreffen öffentliche Parkgeräte, keine Drucksachen von Unternehmen. Der Mechanismus ist derselbe (der Code eines Kriminellen über einem echten), aber die Übertragung auf deine eigenen Schilder ist unsere Lesart. Für die Verbraucherseite siehe Wie man einen gefälschten QR-Code erkennt.

Fakten geprüft am 17. Oktober 2026.

Drei Fälle: New York, Mississauga und eine FTC-Warnung

Fünf Dinge, die die Behörden getan haben

1. Gesagt, welcher Zahlungsweg echt ist. Das NYC DOT nannte die offizielle ParkNYC-App und die Parkuhren selbst als einzigen Weg, gebührenpflichtiges Parken zu bezahlen. Mississauga schrieb: „QR-Codes waren an städtischen Parkautomaten nie ein legitimes Zahlungsmittel.“ Which? berichtete im Juni 2025, dass auch der Stadtrat von Southend-on-Sea an seinen Parkautomaten keine QR-Codes verwendet. Für ein Unternehmen entspricht das einer Zeile auf Website und Belegen, die sagt, was deine Codes tun und was nicht.
2. Alles geprüft und Fälschungen schnell entfernt. New York begann eine stadtweite Prüfung; Mississauga schickte Teams zu jedem Automaten. Cyber Security NSW rät Organisationen, „eingesetzte QR-Codes regelmäßig auf Anzeichen von Manipulation oder Missbrauch zu prüfen“ (undatiertes Merkblatt; PDF-Metadaten und Webadresse deuten auf Oktober bis Dezember 2024). Einen verdächtigen Aufkleber gefunden? Der kostenlose QR-Code-Reader dekodiert ein Foto im Browser und zeigt die Adresse, ohne sie zu öffnen.
3. Nutzer dort gewarnt, wo sie ohnehin sind. New York kündigte an, dass ParkNYC-Nutzer eine Mitteilung in der App erhalten. Mississauga nannte Warnzeichen, darunter einen Aufkleber auf oder neben dem Automaten statt eines eingebauten Codes und eine Zahlungsseite mit leicht abweichender Adresse.
4. Eine Meldemöglichkeit gegeben. New York nannte eine Telefonnummer und E-Mail-Adresse von ParkNYC, Mississauga bat die Bürger, 311 anzurufen, und die FTC verweist Menschen, die einen schädlichen Code gescannt haben, an ReportFraud.ftc.gov. Ein FBI FLASH vom Januar 2026, das sich mit Quishing per E-Mail statt mit Aufklebern befasst, rät Organisationen ebenfalls, „klare Abläufe für die Meldung verdächtiger QR-Codes“ einzurichten.
5. Die Polizei informiert. Das NYC DOT gab an, die Strafverfolgung informiert zu haben.

Was die Zahlen sagen

Zahlen sind rar, und sie zählen Verschiedenes.

Die beiden Zeiträume von Action Fraud unterscheiden sich, und keine der beiden Seiten stammt von Action Fraud selbst. Addiere keine Zeilen: Sie zählen Meldungen, Angriffsvolumen, eindeutige Codes und Crawler-Funde. Keine weist Aufkleber auf physischen Schildern gesondert aus.

Behörden und Anbieter zeichnen unterschiedliche Bilder. Das britische National Cyber Security Centre schrieb in einem Blogbeitrag vom Februar 2024, QR-gestützter Betrug im Vereinigten Königreich sei „im Vergleich zu anderen Arten von Cyberbetrug relativ gering“ und finde meist an offenen Orten wie Bahnhöfen und Parkplätzen statt. Die Anbieterzahlen decken unterschiedliche Quartale ab: Die Zählung von Mimecast sank in Q4 2025, während Microsoft für Q1 2026 Wachstum bei E-Mails meldet. Keine Quelle hier misst, wie oft gedruckte Codes überklebt werden.

Wie man gedruckte QR-Codes vor Manipulation schützt: was bewiesen ist und was nicht

Keine der hier geprüften Quellen testet Sicherheitsaufkleber, Umrandungen, durchsichtige Abdeckungen oder einen anderen physischen Schutz, und keine geprüfte offizielle Seite empfiehlt einen. Die Schritte 1 bis 5 sind das, was die Quellen stützen; der Rest ist eine Grenze oder eine unbewiesene Idee.

Ein dynamischer Code stoppt keinen Aufkleber. Ein gefälschter Aufkleber trägt seine eigene Adresse, nichts, was du in einem Konto bearbeitest, ändert also, was er kodiert. Ein dynamischer Code deckt die andere Hälfte des Problems ab. Mit einem dynamischen URL-Code in QR Maker AI kodiert das gedruckte Muster einen Kurzlink, und du kannst das Ziel dahinter ab dem nächsten Scan ändern, ohne neu zu drucken, falls deine Zielseite kompromittiert wird oder umzieht. Der APWG-Bericht weist darauf hin, dass Kriminelle ebenfalls die Funktionen von Generatoren zum Ändern des Ziels und zum Scan-Tracking nutzen; keine von beiden ist also für sich ein Schutz. Du kannst einen dynamischen Code erstellen, um zu sehen, wie das Bearbeiten funktioniert.

Idee 1, unbewiesen: Scanzahlen beobachten. Bitlys Produktmanager für Vertrauen und Sicherheit meint, ein physischer Code, dessen Scans plötzlich auf null fallen, „könnte manipuliert oder von einem betrügerischen Code überdeckt worden sein“. Das ist ein Vorschlag eines Anbieters mit einem hypothetischen Beispiel und ohne Daten, und er wird Fehlalarme auslösen: Eine Saison endet, eine Kampagne läuft aus, ein Schild wird versetzt. Nimm einen Einbruch als Anlass, hinzugehen und nachzusehen. In unserem kostenlosen Tarif pausiert das Zählen, sobald ein Konto in einem Monat 500 erfasste Scans überschreitet, während die Codes weiterleiten; eine flache Linie gegen Monatsende kann also die Obergrenze sein, kein Aufkleber. Siehe QR-Code-Scans messen.

Idee 2, unbewiesen: eine Domain nutzen, die Menschen erkennen. Unit 42, ein Sicherheitsanbieter, schrieb im April 2025, „Menschen können über die Kamera-App ihres Smartgeräts nur den Domainnamen sehen“, ohne eine Methode anzugeben. Falls das stimmt, gibt ein Code, der eine eigene Domain wie go.example.com öffnet, Scannenden etwas Vertrautes zum Abgleichen. Das ist unsere Schlussfolgerung, und keine hier geprüfte Quelle hat es getestet. Der Business-Tarif enthält eine eigene Kurzlink-Domain auf einer Subdomain in deinem Besitz (Preise).

Idee 3, unbewiesen: den Code ins Schild drucken. Mississauga wertet einen Aufkleber auf oder neben einem Automaten statt eines eingebauten Codes als Warnzeichen, und das NSW-Merkblatt sagt, ein überklebter Code lasse sich manchmal sehen oder ertasten. Ist dein echter Code direkt auf das Schild gedruckt, sollte alles, was darüber klebt, stärker auffallen. Keine Quelle hat getestet, ob das jemanden abschreckt.

FAQ

Kann ein dynamischer QR-Code verhindern, dass jemand einen Aufkleber darüber klebt?

Nein. Ein Aufkleber kodiert seine eigene Adresse; mit einem dynamischen Code kannst du nur ändern, wohin dein eigener Code zeigt.

Gibt es einen manipulationssicheren QR-Code-Aufkleber?

Keine der hier geprüften offiziellen Seiten bewertet Sicherheitsaufkleber, Rahmen oder Abdeckungen, dieser Artikel kann also keinen empfehlen. Die Städte setzten auf Kontrollen, schnelles Entfernen und öffentliche Warnungen.

Was tue ich, wenn ich einen gefälschten Aufkleber über meinem Code finde?

Die Städte entfernten die Aufkleber und warnten die Nutzer, und New York informierte die Strafverfolgung. In den USA fordert die FTC Menschen, die einen schädlichen Code gescannt haben, auf, ihn bei ReportFraud.ftc.gov zu melden.

Quellen

1. NYC DOT — NYC DOT Issues Parking Meter Scam Advisory. Published 6 June 2025. Accessed 17 October 2026.
2. City of Mississauga — City warns about fraudulent QR codes on parking machines. Published 24 April 2026. Accessed 17 October 2026.
3. Federal Trade Commission — See a QR code parked somewhere? Don't scan it…yet!. Published 3 September 2026. Accessed 17 October 2026.
4. Which? — Quishing scams warning: how to spot and avoid dodgy QR codes. Published 25 June 2025. Accessed 17 October 2026.
5. Cyber Security NSW — Quick Response (QR) code Fact Sheet. Undated; PDF metadata and web address point to October to December 2024. Accessed 17 October 2026.
6. Federal Bureau of Investigation — North Korean Kimsuky Actors Leverage Malicious QR Codes in Spearphishing Campaigns Targeting U.S. Entities. Published 8 January 2026. Accessed 17 October 2026.
7. Croft Parish Council — New quishing alert: £3.5 million lost last year to fraudulent QR codes. Published 15 July 2025 (reposts an Action Fraud notice). Accessed 17 October 2026.
8. Federal Bureau of Investigation — 2025 IC3 Annual Report. Undated in the PDF text. Accessed 17 October 2026.
9. Microsoft Threat Intelligence — Email threat landscape: Q1 2026 trends and insights. Published 30 April 2026. Accessed 17 October 2026. (vendor data)
10. APWG — Phishing Activity Trends Report, 4th Quarter 2025. Published 18 February 2026. Accessed 17 October 2026. (vendor data, from member Mimecast)
11. Palo Alto Networks Unit 42 — Phishing on the Edge of the Web and Mobile Using QR Codes. Published 13 February 2026. Accessed 17 October 2026. (vendor data)
12. National Cyber Security Centre (UK) — QR Codes - what's the real risk?. Published 8 February 2024; page metadata shows a March 2025 update. Accessed 17 October 2026.
13. Bitly — How Dynamic QR Codes Help Businesses Fight Fraud (From an Expert). Published 22 May 2025. Accessed 17 October 2026. (vendor data)
14. Palo Alto Networks Unit 42 — Evolution of Sophisticated Phishing Tactics: The QR Code Phenomenon. Published 1 April 2025. Accessed 17 October 2026. (vendor data)