QR-Code-News 2026: 8 Änderungen, die kleine Unternehmen kennen sollten

Die QR-Code-News 2026 ziehen in zwei Richtungen. FBI, FTC, städtische Behörden, Meta und Microsoft veröffentlichten Warnungen und Angriffszahlen zu schädlichen Codes, während Normungsgremien und eine Steuerbehörde QR-Codes weiter in Barcodes, Normen und Rechnungen einbauten. Es folgen acht datierte Entwicklungen; wo eine Quelle es stützt, endet jede mit dem, was sie für ein kleines Unternehmen bedeutet.

Fakten geprüft am 17. Oktober 2026.

Die acht Entwicklungen im Überblick

Warnungen vor schädlichen QR-Codes

1. Das FBI sagte, QR-Codes rutschen durch E-Mail-Filter

Das FLASH AC-000001-MW des FBI vom 8. Januar 2026 beschreibt, wie die nordkoreanische Gruppe Kimsuky QR-Codes per E-Mail an Thinktanks und Regierungsstellen schickte. Laut FBI liefern solche Kampagnen QR-Bilder häufig als Anhänge oder eingebettete Grafiken, die URL-Prüfung, URL-Umschreibung und Sandboxing umgehen und das Opfer auf ein Handy verlagern. Es rät, Mitarbeitende im Umgang mit unaufgefordert erhaltenen Codes zu schulen, „unabhängig von ihrer Quelle (E-Mail, Brief, Flyer, Verpackung)“.

Für ein kleines Unternehmen: Die Warnung richtet sich an Organisationen mit Bezug zu Nordkorea, nicht an Geschäfte. Ihre Prüfung ist einfach: Bestätige einen unerwarteten Code über einen anderen Kanal beim Absender, bevor du ein Passwort eingibst oder eine Datei herunterlädst.

2. Microsoft zählte QR-Phishing erst steigend, dann fallend

Microsofts E-Mail-Bedrohungsbericht für Q1 2026 sagt, QR-Code-Angriffe stiegen von 7,6 Millionen im Januar auf 18,7 Millionen im März. Sein Bericht für Q2 sagt, das Volumen sank im April um 7 % auf 17,4 Millionen, fiel im Mai um 38 % und schloss den Juni mit 8,3 Millionen, als QR-Phishing „auf ein Niveau zurückkehrte, das zuletzt Mitte 2025 zu sehen war“.

Für ein kleines Unternehmen: Das sind Erkennungszahlen eines einzelnen Anbieters (Anbieterdaten), und die QR-Abschnitte erklären nicht, wie ein Angriff gezählt wird; lies sie also als Trend, nicht als Branchensumme. Unser Leitfaden, um einen gefälschten QR-Code zu erkennen, gilt so oder so.

3. Gefälschte Aufkleber tauchten an Parkautomaten auf

Die Stadt Mississauga warnte am 24. April: „Jeder QR-Code an einem städtischen kostenpflichtigen Parkautomaten ist nicht legitim“, und sagte, rund 80 betrügerische Aufkleber seien entfernt worden. Die Warnung der FTC vom 3. September sagt, Menschen hätten gemeldet, dass Betrüger echte QR-Codes an Parkuhren mit ihren eigenen überdeckten, und rät, die Linkvorschau auf Tippfehler oder vertauschte Buchstaben zu prüfen. Auckland Transport sagte am 8. September, dass es an keiner seiner Parkuhren und keinem seiner Automaten QR-Codes verwendet.

Für ein kleines Unternehmen: Die beiden Behörden gaben Autofahrern eine Regel, die keine Prüfung erfordert, und die FTC ergänzt eine Prüfung für Codes, die es tatsächlich gibt. Für deine eigenen gedruckten Codes siehe gedruckte QR-Codes vor Aufkleber-Betrug schützen.

4. WhatsApp kündigte Warnungen zur Geräteverknüpfung an

Metas Ankündigung vom 11. März 2026 sagt, Betrüger könnten versuchen, Menschen dazu zu bringen, ein WhatsApp-Konto mit ihrem Gerät zu verknüpfen, unter anderem indem sie sie unter falschem Vorwand einen QR-Code scannen lassen. Die Warnungen von WhatsApp zeigen, woher die Anfrage kommt, und weisen darauf hin, dass es sich um Betrug handeln könnte.

Für ein kleines Unternehmen: Nach Metas Darstellung ist das Scannen eines QR-Codes einer der Wege, auf denen Betrüger versuchen, ein Konto mit ihrem Gerät zu verknüpfen.

Barcodes und Normen

5. GS1 will, dass Kassenscanner bis Ende 2027 2D-Barcodes lesen

GS1, das Normungsgremium für Barcodes, sagt in einem Positionspapier vom August 2026, die Branche habe sich ein Ziel gesetzt: Bis Ende 2027 sollen alle Kassensysteme im Einzelhandel einen festgelegten Satz GS1-konformer 2D-Barcodes lesen können. Sein Leitfaden vom Dezember 2025 nennt den Übergang „freiwillig“ und sagt, lineare Barcodes „werden nicht verschwinden“. Dieser Leitfaden nennt das Ziel „Ambition 2027“; GS1 US nennt es Sunrise 2027 und sagt, es sei nicht nötig, bis dahin jede 2D-Fähigkeit umzusetzen. Die Kassenformate sind GS1 DataMatrix, ein Data Matrix mit GS1-Digital-Link-URI-Syntax und ein QR-Code mit GS1-Digital-Link-URI-Syntax. Ein QR-Code mit einer gewöhnlichen Webadresse, die nicht in GS1-Digital-Link-URI-Syntax geschrieben ist, gehört nicht dazu.

Im April 2026 sagte Tesco in einer Pressemitteilung, es stelle 13 Sorten seiner Eigenmarken-Würstchen von Barcodes auf QR-Codes um, und bezeichnete sich als ersten britischen Supermarkt, der ein ganzes Sortiment auf das neue System umstellt. Stand Oktober 2026 ist das GS1-Ziel eine freiwillige Branchenvorgabe, kein Gesetz, und dies ist keine Rechtsberatung.

Für ein kleines Unternehmen: Ein Code auf der Verpackung, den Kundinnen und Kunden zu Hause scannen, ist etwas anderes als der Kassenbarcode. Ein dynamischer Code, etwa von QR Maker AI (drei aktive im kostenlosen Tarif, Stand Oktober 2026), kodiert einen Kurzlink; nachdem du das Ziel geändert hast, geht der nächste Scan also an die neue Adresse, ohne Neudruck. Er ist kein GS1-Digital-Link-Code und ersetzt deinen Barcode an der Kasse nicht. Siehe QR-Codes für Produktverpackungen, wie lange ein QR-Code-Link funktionieren muss oder erstelle einen dynamischen Code.

6. ISO begann mit einer fünften Ausgabe der QR-Code-Norm

Die Komitee-Seite der ISO führt ISO/IEC 18004 Ausgabe 5 als in Entwicklung, gedacht als Ersatz für ISO/IEC 18004:2024; das Projekt wurde am 25. Februar 2026 genehmigt, die Kommentierungsfrist endete am 19. Juni 2026.

Für ein kleines Unternehmen: Die Seite sagt nicht, was sich ändern wird, es gibt also noch nichts zu planen.

Zahlungen und Rechnungen (regional)

7. Indien: Eine UPI-Händlergebühr gilt ab dem 15. Oktober

Das FAQ-Dokument der NPCI vom 15. September 2026 sagt, dass ab dem 15. Oktober 2026 eine Händlergebühr von 0,4 % auf UPI-Zahlungen von Personen an Händler über ₹2.000 anfällt, ab ₹75.000 gedeckelt auf ₹300 pro Zahlung, mit abweichenden Sätzen für einige Branchen. Zahlungen bis ₹2.000 sind nicht betroffen, und kleine Händler, die monatlich bis zu ₹1 Lakh (100.000 Rupien) per UPI-QR direkt auf ihr Konto erhalten, bleiben gebührenfrei.

Für ein kleines Unternehmen: Die NPCI sagt, vorhandene QR-Aufsteller und Soundboxen müssen nicht ersetzt werden. Das Dokument stammt aus der Zeit vor dem Starttermin, und die Quellen hier enthalten keine Daten zur Wirkung der Regel.

8. Spanien: Regeln für Rechnungssysteme bringen einen QR-Code auf Rechnungen

Spaniens Steuerbehörde sagt auf einer am 13. Oktober 2026 aktualisierten Seite, dass, sobald die Regeln für Rechnungssysteme (SIF) für einen Aussteller gelten, alle Rechnungen, vollständige wie vereinfachte, einen QR-Code tragen müssen. Ein Gesetzesdekret vom Dezember 2025 setzt die Frist für Rechnungssysteme auf vor dem 1. Januar 2027 für Steuerpflichtige nach Artikel 3.1.a) und vor dem 1. Juli 2027 für die übrigen nach Artikel 3.1.

Für ein kleines Unternehmen: Der QR-Code gilt für Aussteller, die unter die Regeln für Rechnungssysteme fallen; laut der Seite der Steuerbehörde erfassen diese keine Vorgänge, für die keine Rechnung nötig ist, prüfe also, ob sie für dich gelten. Diese Termine gelten Stand Oktober 2026 und können sich ändern; prüfe daher den amtlichen Text. Dies ist keine Rechtsberatung.

FAQ

Nimmt QR-Code-Phishing 2026 zu?

Die Zahlen in Microsofts Q1-Bericht stiegen von 7,6 Millionen Angriffen im Januar auf 18,7 Millionen im März, dann zeigt sein Q2-Bericht einen Rückgang auf 8,3 Millionen im Juni. Das sind Daten eines einzelnen Anbieters, keine Branchensumme.

Werden QR-Codes an der Kasse Barcodes ersetzen?

Das Ziel von GS1 ist, dass Kassenscanner bis Ende 2027 sowohl lineare als auch 2D-Barcodes lesen können, und sein Leitfaden sagt, lineare Barcodes werden nicht verschwinden. Der Übergang ist freiwillig.

Ändert irgendetwas davon, wie mein normaler QR-Code funktioniert?

In den von uns gelesenen Quellen sagt keine, dass ein QR-Code, der eine Webseite öffnet, anders erstellt oder gelesen wird. Die ISO-Seite führt eine fünfte Ausgabe der Norm in Entwicklung, sagt aber nicht, was sie ändern würde, und die Punkte zu GS1, Zahlungen und Rechnungen betreffen bestimmte Formate.

Quellen

1. FBI Internet Crime Complaint Center — North Korean Kimsuky Actors Leverage Malicious QR Codes in Spearphishing Campaigns Targeting U.S. Entities (FLASH AC-000001-MW). Published 8 January 2026. Accessed 17 October 2026.
2. Microsoft Threat Intelligence — Email threat landscape: Q1 2026 trends and insights. Published 30 April 2026. Accessed 17 October 2026. (vendor data)
3. Microsoft Threat Intelligence — Email threat landscape: Q2 2026 trends and insights. Published 23 July 2026. Accessed 17 October 2026. (vendor data)
4. City of Mississauga — City warns about fraudulent QR codes on parking machines. Published 24 April 2026. Accessed 17 October 2026.
5. Federal Trade Commission — See a QR code parked somewhere? Don't scan it...yet!. Published 3 September 2026. Accessed 17 October 2026.
6. Auckland Transport — Aucklanders warned about scam parking meter QR codes. Published 8 September 2026. Accessed 17 October 2026.
7. Meta — Meta Launches New Anti-Scam Tools, Deploys AI Technology to Fight Scammers and Protect People. Published 11 March 2026. Accessed 17 October 2026.
8. GS1 — Position Paper: Migration to a single GS1 conformant 2D barcode for retailer private label, retailer-exclusive and in-store labelled products. Release 2.0, August 2026. Accessed 17 October 2026.
9. GS1 — 2D Barcodes at Retail Point-of-Sale Implementation Guideline. Release 1.1.0, ratified December 2025. Accessed 17 October 2026.
10. GS1 US — What is GS1 Sunrise 2027?. Undated. Accessed 17 October 2026.
11. Tesco PLC — Tesco sausage range becomes first UK products to switch over exclusively to QR codes. Published 20 April 2026. Accessed 17 October 2026.
12. ISO/IEC JTC 1/SC 31 — ISO/IEC WD 18004, QR code bar code symbology specification (Edition 5). Stage dates February to June 2026. Accessed 17 October 2026.
13. National Payments Corporation of India — Merchant Discount Rate (MDR) on Select UPI (P2M) Transactions: Frequently Asked Questions. Dated 15 September 2026. Accessed 17 October 2026.
14. Agencia Tributaria (Spain) — Cuestiones generales: Sistemas informáticos de facturación y VERI*FACTU. Page updated 13 October 2026. Accessed 17 October 2026.
15. Boletín Oficial del Estado — Real Decreto-ley 15/2025, de 2 de diciembre. Published 3 December 2025. Accessed 17 October 2026.