Neue Betrugsmasche mit QR-Code: Commerzbank-Kunden werden per Phishing-Brief abgezockt

Zurzeit häufen sich gefälschte Briefe von Banken - wie etwa der Commerzbank, der Deutschen Bank oder der Targobank - in mehreren Bundesländern, die per Post verschickt werden.

In den Schreiben werden die vermeintlichen Kund:innen aufgefordert, einen QR-Code zu scannen und dem darin hinterlegten Link zu folgen. Dieses Vorgehen wird als "Quishing" bezeichnet, also eine Kombination aus "QR-Code" und "Phishing".

Über diesen Weg spähen die Betrüger:innen insbesondere schutzwürdige persönliche Daten und Passwörter aus, warnt das Landeskriminalamt Nordrhein-Westfalen (LKA). Wer hinter der Betrügerei steckt, ist bislang noch nicht bekannt.

Die Quishing-Methode

Ein QR-Code besteht zunächst aus vielen Quadraten in einem Quadrat. In diesem werden Informationen - meist eine Internetseite - gespeichert, die mit einem Smartphone erfasst werden können. Das Tückische hierbei ist, dass nicht alle internetfähigen Handys sofort anzeigen, welche Mitteilung sich hinter den Quadraten verbirgt, bevor die entsprechende Aktion ausgeführt wird. Daher öffnen manche Endgeräte die Seite sofort.

Durch das Scannen des per Post zugesendeten QR-Codes gelangen die betrogenen Kund:innen dann über einen Link auf eine gefälschte Banking-Seite. Je nach Gerät und Browser ist nicht gleich zu erkennen, dass der Link zu einer gefälschten Internetseite führt und nicht zur Website des Anbieters.

Hier sollen die betrogenen Verbraucher:innen sensible Daten - wie etwa Zugangsdaten - eingeben oder einen Geldtransfer veranlassen.

Insbesondere die Landeskriminalämter (LKA) Niedersachsen und Nordrhein-Westfalen warnen zurzeit vor dieser Betrugsmasche und appellieren an die Verbraucher:innen, auf solche Schreiben möglichst nicht zu reagieren.

Hintergründe und exklusive Videos

Mehr Nachrichten aus Politik, Wirtschaft, Panorama und Sport finden Sie jederzeit auf newstime.de.

Diese Schreiben sind im Umlauf

Offenbar beziehen sich die Betrüger:innen auf EU-Vorschriften, die besagen, dass die Identität der Kund:innen überprüft werden müsse, schreibt "web.de". Auch seien gefälschte Schreiben im Umlauf, die die geprellten Kund:innen auffordern, das "photoTAN-Verfahren zur Sicherheit der Bankgeschäfte" zu aktualisieren.

Demnach heißt es in einem gefälschten Schreiben der Commerzbank:

"Aufgrund bedauerlicher Vorfälle von Betrug in Verbindung mit dem PhotoTAN-Verfahren sehen wir uns gezwungen, ab sofort eine regelmäßige Erneuerung dieses Sicherheitsverfahrens einzuführen."

Bei der Targobank und der Deutschen Bank hingegen heißt es in den Fake-Briefen:

"Gemäß der EU-Vorschriften zur Verhinderung von Geldwäsche (AML) und den Know Your Customer (KYC) Richtlinien sind wir als Kreditinstitut verpflichtet, die Identiät unsere Kunden genau festzustellen und diese in reglmäßigen Abstände erneut zu prüfen."

So können sich Verbraucher:innen schützen

Flattert solch ein Schreiben ins Haus, sollten Verbraucher:innen wachsam sein und im Zweifelsfall über die offiziellen Kommunikationswege ihre Bank kontaktieren.

Grundsätzlich gilt, dass QR-Codes erst dann gescannt werden sollen, wenn die "Integrität und Rechtschaffenheit des Erstellers feststehen", so das LKA Nordrhein-Westfalen.

Um persönliche Daten vor Kriminellen zu schützen, sollte daher auch immer eine Multi-Faktor-Authentifizierung stattfinden. Bei dieser Authentifizierungsmethode wird die Zugangsberechtigung durch mehrere unabhängige Merkmale (Faktoren) überprüft (also nicht nur durch Benutzername und Passwort, sondern beispielsweise auch zusätzlich durch einen Code per Handy).

Dass es sich um Betrüger:innen handelt, wird außerdem schnell klar, wenn gar kein Konto bei dem jeweiligen Kreditinstitut besteht - auch wenn die Briefe auf den ersten Blick echt wirken (also postalische Anschrift, das Logo der jeweiligen Bank, keine auffälligen Rechtschreibfehler, ein Betreff oder eine Unterschrift der Vorstände).

Auch gewisse Formulierungen sollten die Alarmglocken schrillen lassen. Hierzu zählen beispielsweise:

• "Sehr geehrte Kontoinhaberin, sehr geehrter Kontoinhaber"
• "Vielen Dank für Ihr Verständnis und Ihre sofortige Kooperation in dieser Angelegenheit."
• "Wir bitten Sie daher, Ihr PhotoTAN-Verfahren umgehend zu aktualisieren."
• "Bitte beachten Sie, dass diese Aktualisierung für alle Kunden verpflichtend ist."

Zudem fordert eine Bank in der Regel nicht per QR-Code ihre Kund:innen auf, die photoTAN zu aktualisieren, wie beispielsweise die Commerzbank auf ihrer Internetseite warnt.

Bei Erkennung eines solchen Betrugsversuches sollte man daher niemals den QR-Code scannen und umgehend die Polizei informieren.

Falls doch der Code gescannt und eine Aktion bereits ausgeführt wurde, rät das LKA, nicht nur die Polizei über den möglichen Missbrauch zu informieren, sondern auch das Konto vom Kreditinstitut sperren zu lassen (entweder über die bekannte Telefonnummer oder den Sperr-Notruf 116 116).

• Verwendet Quellen:
• web.de: "Jetzt kommt der Betrug schon mit der Post"
• Verbraucherzentrale: "Quishing": Falsche QR-Codes in Bank-Briefen und im Straßenverkehr"
• LKA NRW: "'Quishing': Gefälschte Briefe von vermeintlichen Kreditinstituten im Umlauf"
• LKA: "Gefälschte Briefpost im Namen von diversen Banken mit QR-Code"