Quishing: Wenn der QR-Code Ihr Konto plündert

Wenn der QR-Code Ihr Konto plündert – was Bankkunden 2026 wissen müssen

Ein QR-Code auf dem Parkschein-Automaten. Ein QR-Code in der E-Mail Ihrer „Bank“, die angeblich eine Sicherheitsüberprüfung verlangt. Ein QR-Code, den Ihnen ein freundlicher Anrufer durchs Telefon „zur Bestätigung“ schickt. Sie zücken das Handy, scannen kurz – und Minuten später ist Ihr Konto leer.

Willkommen bei Quishing, der Betrugsmasche, die 2026 alle anderen Phishing-Varianten in den Schatten stellt. Und ja: Sie haben den Namen wahrscheinlich noch nie gehört. Ihre Bank aber schon – und trotzdem behauptet sie im Ernstfall gerne, Sie seien schuld.

Was ist Quishing überhaupt?

Quishing ist Phishing über QR-Codes statt über klassische Links. Der Trick dahinter ist so simpel wie perfide: Ein normaler Phishing-Link lässt sich zumindest theoretisch prüfen, bevor man draufklickt – man sieht die verdächtige Domain im Vorschautext. Bei einem QR-Code sehen Sie gar nichts. Sie scannen, das Handy öffnet automatisch eine Seite, und erst wenn Sie schon auf einer täuschend echten Nachbildung Ihres Online-Bankings gelandet sind, merken Sie – wenn überhaupt –, dass etwas nicht stimmt.

Die Zahlen dazu sind beunruhigend: Allein zwischen Januar und März 2026 haben QR-Code-Phishing-Angriffe laut einer Auswertung von Microsoft um 146 Prozent zugenommen. In Großbritannien meldete die Betrugsbehörde Action Fraud einen Anstieg entsprechender Meldungen um 587 Prozent zwischen 2023 und 2025, und Europol führt Quishing in seinem aktuellen Lagebericht als am schnellsten wachsenden Angriffsvektor bei Zahlungsauslösungen in der EU. Besonders im Visier: Banking-Apps und Online-Konten, denn ein gescannter Code fühlt sich für die meisten Menschen einfach „sicherer“ an als ein Link in einer E-Mail. Genau dieses trügerische Sicherheitsgefühl macht Quishing so wirksam.

Die entscheidende Rechtsfrage: Wer haftet?

Für Betroffene stellt sich sofort die immer gleiche Frage: Muss die Bank das Geld zurückzahlen – oder bleibe ich auf dem Schaden sitzen, weil ich ja „selbst“ den Code gescannt habe?

Die gesetzliche Grundlage ist eigentlich klar zugunsten der Kunden formuliert. Nach § 675u BGB muss die Bank den Betrag eines nicht autorisierten Zahlungsvorgangs unverzüglich erstatten. Eine Ausnahme gilt nur, wenn die Bank dem Kunden grobe Fahrlässigkeit nachweisen kann – und zwar die Bank muss das beweisen, nicht der Kunde seine Unschuld. Genau an diesem Punkt versuchen Banken in der Praxis regelmäßig, die Beweislast faktisch umzudrehen, indem sie die Erstattung erst einmal pauschal verweigern.

Wie wenig tragfähig diese Praxis ist, zeigt ein aktuelles Urteil, das für Quishing-Fälle wegweisend sein dürfte: Presseberichten zufolge hat das Landgericht Berlin II im April 2026 eine Bank zur Rückzahlung von mehr als 200.000 Euro an ein Phishing-Opfer verurteilt. Der Grund: Die auffällige Diskrepanz zwischen der IP-Adresse beim eigentlichen Login und der IP-Adresse bei der Geräteregistrierung hätte dem Sicherheitssystem der Bank auffallen müssen. Das Gericht verneinte grobe Fahrlässigkeit auf Kundenseite – die Täter hatten eine derart professionelle Kombination aus gefälschten Schreiben, nachgebauten Webseiten und Anruf-Spoofing eingesetzt, dass dem Opfer kein schwerer Vorwurf zu machen war.

Diese Linie fügt sich in eine Reihe weiterer aktueller Entscheidungen:

• BGH, Urteil vom 22.07.2025 – XI ZR 107/24: Grobe Fahrlässigkeit wurde bejaht, weil eine Kundin nachts wiederholt TANs erzeugte und telefonisch durchgab, obwohl Empfänger-IBAN und ein fünfstelliger Betrag auf dem TAN-Generator klar sichtbar waren. Der BGH macht damit deutlich: Es kommt immer auf die konkreten Warnsignale an, nicht auf das bloße „Hereinfallen“.
• BGH, Urteil vom 03.03.2026 – XI ZR 20/24: Der BGH stellte klar, dass beim manuellen chipTAN-Verfahren keine Anzeige des Empfängernamens erforderlich ist, um als starke Kundenauthentifizierung zu gelten – ein Punkt, der die Verteidigungsmöglichkeiten in manchen Konstellationen einschränkt, aber eben nicht per se die Bank aus der Haftung entlässt.
• OLG Linz, 2026: Eine Bank genügt ihrer Warnpflicht nicht damit, dass sie allgemeine Phishing-Warnungen auf ihrer Login-Seite platziert. Entscheidend ist, ob das Fraud-Monitoring bei einem erkennbaren Betrugsmuster tatsächlich funktioniert hat – tut es das nicht, liegt ein eigenständiges Organisationsverschulden der Bank vor.
• EuGH, Rechtssache C-70/25: Der Generalanwalt hat in seinen Schlussanträgen vom 5. März 2026 eine für Verbraucher sehr günstige Linie vorgeschlagen: Banken sollen nicht autorisierte Zahlungen zunächst unverzüglich erstatten müssen, selbst wenn der Vorwurf grober Fahrlässigkeit im Raum steht. Erst danach dürfte die Bank – mit voller eigener Beweislast – versuchen, das Geld vom Kunden zurückzufordern. Das Verfahren ist beim EuGH derzeit noch anhängig; das endgültige Urteil wird noch im Laufe des Jahres 2026 erwartet. Sollte der EuGH dieser Linie folgen, wäre das ein Paradigmenwechsel: erst erstatten, dann streiten – nicht umgekehrt.

Warum Quishing rechtlich eine eigene Betrachtung braucht

Banken argumentieren bei klassischem Phishing gerne, ein aufmerksamer Kunde hätte die gefälschte URL erkennen können. Bei Quishing greift dieses Argument deutlich schlechter: Ein QR-Code zeigt die Ziel-URL überhaupt nicht an, bevor die Seite bereits geladen ist. Wer hier grobe Fahrlässigkeit unterstellen will, muss also andere, konkretere Warnsignale nachweisen – etwa dass der QR-Code sichtbar über einen bestehenden Code geklebt war oder dass die aufgerufene Seite offensichtliche Fehler enthielt. Pauschale Vorwürfe („Sie hätten misstrauisch sein müssen“) reichen bei dieser Angriffsform noch weniger aus als ohnehin schon.

Was Betroffene jetzt tun sollten

Wenn Sie Opfer eines Quishing-Angriffs geworden sind:

1. Sofort die Bank informieren und den Zugang sperren lassen – jede Stunde zählt, auch für die spätere rechtliche Bewertung.
2. Strafanzeige erstatten. Das ist keine reine Formalie, sondern wichtiges Beweismittel für das zivilrechtliche Verfahren.
3. Erstattung schriftlich verlangen – und sich nicht mit einer pauschalen Ablehnung wegen „grober Fahrlässigkeit“ zufriedengeben. Die Bank muss diesen Vorwurf konkret belegen, nicht nur behaupten.
4. Alle Unterlagen sichern: Screenshots der Nachrichten, des QR-Codes (falls noch vorhanden), Kontoauszüge, Kommunikation mit der Bank.
5. Rechtlich prüfen lassen, bevor Sie eine Ablehnung akzeptieren. Gerade die aktuelle Rechtsprechung – von BGH bis EuGH – verschiebt die Kräfteverhältnisse spürbar zugunsten der Geschädigten.

Fazit

Quishing ist keine Randerscheinung mehr, sondern die am schnellsten wachsende Betrugsform im Online-Banking 2026 – und die Rechtsprechung entwickelt sich gerade in eine sehr verbraucherfreundliche Richtung. Wer sich von seiner Bank mit dem Standardsatz „Sie waren grob fahrlässig“ abspeisen lässt, gibt möglicherweise Geld auf, das ihm eigentlich zusteht. Banken tragen die Beweislast – nicht Sie.

Sie sind Opfer eines Phishing- oder Quishing-Angriffs geworden und Ihre Bank verweigert die Erstattung? Als Fachanwältin für Bank- und Kapitalmarktrecht vertrete ich ausschließlich Verbraucherinnen und Verbraucher – nie Banken. Kontaktieren Sie mich gern für eine Einschätzung Ihres Falls.