Quishing per Briefpost: Gefälschte Bankbriefe mit QR-Code

Woran erkennst du sie?

• Anders als beim Quishing an Parkautomaten und Ladesäulen wird hier kein Aufkleber vor Ort über einen echten Code geklebt — der QR-Code ist Teil eines eigens gedruckten Briefes, der über den Postweg kommt und jeden Spamfilter umgeht
• Der Brief trägt Logo und Anschrift genau des Instituts, bei dem die angeschriebene Person tatsächlich Kundin oder Kunde ist, mit korrekter postalischer Anschrift
• Als Aufhänger dient eine angeblich verpflichtende Verifizierung der Kundendaten, begründet mit Änderungen im europäischen Zahlungsverkehr, mit Geldwäsche-Vorschriften und Know-Your-Customer-Pflichten oder mit der Umstellung eines TAN-Verfahrens
• Verwiesen wird auf reale Neuerungen wie den IBAN-Namensabgleich (Verification of Payee), der seit Oktober 2025 gilt — für ihn müssen Kundinnen und Kunden jedoch nichts bestätigen und nichts verifizieren
• Klare Frist und Drohkulisse: ohne Verifizierung würden Zugänge gesperrt und die Geschäftsbeziehung beendet
• Der QR-Code führt auf eine gefälschte Banking-Seite, häufig über einen Kurzlink oder eine Adresse mit fremder Länderendung; auf dem Smartphone ist von der langen Adresse oft nur der plausibel klingende Anfang sichtbar
• Allgemeine Anrede wie „Sehr geehrte Kundin, sehr geehrter Kunde“ statt namentlicher Ansprache sowie umständliche, teils fehlerhafte Formulierungen
• Der Brief kann der Auftakt einer Kette sein: Behörden dokumentieren Fälle, in denen kurz darauf eine SMS und danach ein Anruf angeblicher Bankmitarbeitender folgten
• Das echte Institut ist selbst geschädigt: Es versendet solche Schreiben nicht und verlangt keine Verifizierung über einen QR-Code

Typischer Ablauf

1. Täter verfügen über Adress- und Bankdaten, die vermutlich aus früheren Phishing-Vorfällen oder aus abgeflossenen Kundendatenbeständen stammen, und ordnen jeder Anschrift das passende Institut zu
2. Sie drucken und versenden massenhaft Briefe im Erscheinungsbild dieses Instituts, inklusive Logo und Absenderanschrift
3. Der Brief behauptet eine gesetzlich oder technisch begründete Pflicht zur Verifizierung der Kundendaten und setzt eine Frist bis zur angeblichen Sperrung des Zugangs
4. Zur Bequemlichkeit liege ein QR-Code bei, der zur „gesicherten Verifizierungsseite“ führe; das Scannen mit der Smartphone-Kamera öffnet die Phishing-Seite
5. Auf der nachgebauten Banking-Seite werden Anmeldedaten abgefragt, anschließend führen die Täter durch weitere Schritte bis hin zur Bestätigung per TAN oder TAN-App
6. Mit den Daten verschaffen sich die Täter Zugriff auf das echte Online-Banking und lösen Überweisungen aus
7. In manchen Fällen folgen dem Brief noch SMS und Anrufe im Namen derselben Bank, um fehlende Angaben oder Freigaben nachzuholen

Typische Formulierungen der Täter

Sinngemäß wiedergegeben, keine wörtlichen Originalzitate.

• „Damit Sie auch weiterhin alle Bankdienstleistungen ohne Einschränkungen nutzen können, ist es erforderlich, dass Sie Ihre Kundendaten verifizieren und die aktualisierten Geschäftsbedingungen lesen und bestätigen.“
• „Wichtiger Hinweis – bitte sofort handeln! Ohne die verpflichtende Verifizierung bis spätestens Ende des Monats sehen wir uns leider gezwungen, Ihre Zugänge zu sperren und die Geschäftsbeziehung zu beenden.“
• „Verifizierungsablauf: Bitte scannen Sie den untenstehenden QR-Code, um zur gesicherten Verifizierungsseite zu gelangen.“
• „Gemäß den EU-Vorschriften zur Verhinderung von Geldwäsche und den Know-Your-Customer-Richtlinien sind wir als Kreditinstitut verpflichtet, die Identität unserer Kunden erneut zu überprüfen.“
• „Um Ihnen diesen Prozess so einfach wie möglich zu gestalten, haben wir einen QR-Code beigefügt. Scannen Sie diesen bitte mit der Kamera Ihres Smartphones.“