Vorsicht bei QR-Codes auf Parkautomaten: Betrug rechtzeitig erkennen

QR-Codes am Parkautomaten erleichtern das Bezahlen, können aber auf gefälschte Zahlungsseiten führen. Kriminelle überkleben echte Codes und nutzen vertraute Logos, um Kreditkartendaten oder Zahlungsfreigaben zu erhalten. Eine kurze Kontrolle von Aufkleber, Internetadresse und Zahlungsangaben hilft, solche Betrugsversuche zu erkennen.

Die Masche betrifft auch die Schweiz: Im Dezember 2024 berichtete Cybercrimepolice über manipulierte Bezahlcodes an Parkuhren in verschiedenen Städten. Besonders glaubwürdig wirkt der Angriff, weil zunächst gewöhnliche Angaben wie Kontrollschild und Parkdauer verlangt werden. Erst danach folgt die Aufforderung, vertrauliche Zahlungsdaten einzugeben.

Wie aus einer Parkgebühr ein Betrugsversuch wird

Ein QR-Code enthält Informationen, die das Smartphone auslesen kann. Häufig öffnet er eine Internetadresse oder übergibt Angaben an eine App. Die schwarz-weissen Kästchen verraten jedoch nicht, wem das Ziel gehört. Genau diese fehlende Lesbarkeit nutzen Betrüger: Ein kleiner Aufkleber genügt, um den vorgesehenen Zahlungsweg auf eine andere Seite umzulenken.

Die nachgebaute Seite kann Farben, Logo und Ablauf eines bekannten Parkdienstes übernehmen. Kontrollschild und Parkdauer schaffen zunächst Vertrauen, weil diese Angaben beim digitalen Parkieren tatsächlich gebraucht werden. Die anschliessende Kartenabfrage erscheint dadurch wie der logische nächste Schritt. Der Betrug wird als Quishing bezeichnet, eine Verbindung aus QR-Code und Phishing.

Aufkleber prüfen, ohne sich darauf zu verlassen

Vor dem Scannen lohnt sich ein Blick auf die gesamte Beschilderung. Verdächtig sind mehrere übereinanderliegende Etiketten, ungewöhnliche Ränder, eine abweichende Druckqualität oder ein Code, der andere Angaben verdeckt. Auch eine zusätzliche Zahlungsanweisung auf einem kleinen, separat angebrachten Zettel verdient Aufmerksamkeit. Das Erscheinungsbild sollte zum restlichen Automaten und zum angegebenen Betreiber passen.

Ein Aufkleber allein beweist allerdings keinen Betrug. Betreiber verwenden ebenfalls Etiketten, etwa für zusätzliche Bezahlmöglichkeiten oder technische Änderungen. Umgekehrt kann eine manipulierte Oberfläche ordentlich aussehen. Die Sichtkontrolle liefert deshalb einen ersten Hinweis, ersetzt aber keine Prüfung des digitalen Ziels. Bei Unsicherheit bleibt der Code ungenutzt, bis ein unabhängig bestätigter Zahlungsweg feststeht.

Die tatsächliche Internetadresse lesen

Bei einem QR-Code für eine Website sollte die verwendete Kamera oder Scanner-App zunächst den Inhalt anzeigen. Eine Anwendung, die unbekannte Ziele unmittelbar öffnet, nimmt diesen Kontrollschritt vorweg. Entscheidend ist die tatsächliche Domain, nicht ein bekannter Markenname irgendwo innerhalb der Adresse. Zusätzliche Wörter, vertauschte Buchstaben und ungewöhnliche Endungen können auf eine Nachahmung hinweisen.

Auch nach einer Weiterleitung verdient die Adresse einen erneuten Blick. Ein kurzer Link kann ein anderes Ziel verbergen, als zunächst erwartet. Lässt sich der Anbieter nicht zuverlässig zuordnen, ist ein Abbruch sinnvoll. Die allgemeine Funktionsweise solcher Angriffe erläutert der Beitrag „Gefälschte QR-Codes: So funktioniert Quishing und so schützen Sie sich vor Betrug“.

Logo und Verschlüsselung beweisen keine Echtheit

Ein bekanntes Logo lässt sich kopieren und auf einer fremden Website verwenden. Dasselbe gilt für Farben, Schriften, Fotos und vermeintliche Sicherheitszeichen. Eine professionell gestaltete Oberfläche kann deshalb ebenso betrügerisch sein wie eine Seite mit offensichtlichen Fehlern. Fehlende Umlaute oder unpassende Formulierungen sind Warnzeichen; fehlerfreie Sprache ist hingegen kein Entwarnungssignal.

Auch HTTPS bestätigt lediglich eine verschlüsselte Verbindung zur aufgerufenen Website. Es belegt nicht, dass diese Website dem erwarteten Parkdienst gehört. Ein Schloss- oder Sicherheitssymbol darf die Prüfung des Anbieters deshalb nicht ersetzen. Für die Beurteilung müssen Herkunft, Adresse und verlangte Handlung zusammenpassen. Ein einzelnes vertrautes Merkmal reicht dafür nicht aus.

Eine bekannte Park-App direkt öffnen

Eine bereits installierte, verifizierte Park-App lässt sich unabhängig vom Aufkleber starten. Unterstützt sie den betreffenden Parkplatz, kann die Zone nach den Angaben vor Ort ausgewählt werden. Standort, Zonennummer, Kontrollschild und Parkdauer müssen zusammenpassen. Eine automatisch vorgeschlagene Position verdient ebenfalls Kontrolle, besonders an Grenzen zwischen benachbarten Parkzonen.

EasyPark empfiehlt bei verdächtigen Codes, die App direkt zu öffnen und den Zonencode manuell einzugeben. Dieser Hinweis gilt für das Angebot dieses Anbieters und lässt sich nicht ungeprüft auf jeden anderen Parkdienst übertragen. Fehlt eine passende App, helfen unabhängig bestätigte Betreiberinformationen. Eine Installation sollte über den offiziellen App-Store und den geprüften Herausgeber erfolgen.

Bei TWINT gehört der Scan in die TWINT-App

Für TWINT-Zahlungscodes empfiehlt TWINT ausdrücklich den Scan mit der eigenen App. Die allgemeine Smartphone-Kamera oder eine fremde Scanner-App ist dafür nicht der vorgesehene Weg. Der Kontext entscheidet somit über das Werkzeug: Ein Webcode wird vor dem Öffnen als Adresse geprüft, ein TWINT-Code innerhalb der dafür vorgesehenen Zahlungsanwendung verarbeitet.

Auch innerhalb einer echten App bleibt Aufmerksamkeit erforderlich. Die angezeigten Zahlungsangaben müssen zur erwarteten Parkgebühr passen. Ein vermeintliches TWINT-Web-Login für Privatkunden ist ein besonders klares Warnzeichen: TWINT bietet diesen Zugang nicht an. PIN und persönliche Sicherheitscodes gehören ausschliesslich in die echte TWINT-App und werden weder einer fremden Website noch einer anrufenden Person mitgeteilt.

Ungewöhnliche Datenabfragen ernst nehmen

Kontrollschild, Zone und Parkdauer können für einen Parkvorgang erforderlich sein. Daraus folgt jedoch nicht, dass jede anschliessende Abfrage berechtigt ist. Eine Aufforderung zur Anmeldung im E-Banking, zur Eingabe eines vollständigen Bankpassworts oder zur Installation einer fremden Datei passt nicht zur gewöhnlichen Zahlung einer Parkgebühr. Der Vorgang sollte dann beendet werden.

Kartendaten können bei legitimen Zahlungsangeboten durchaus benötigt werden. Entscheidend ist deshalb der zuvor unabhängig geprüfte Zahlungsweg. Eine zufällig über einen Aufkleber geöffnete Seite bietet diese Sicherheit nicht. Besonders kritisch wird es, wenn zusätzlich Sicherheitscodes verlangt werden oder eine angebliche Identitätsprüfung den eigentlichen Parkvorgang verdrängt. Eine plausible erste Eingabemaske rechtfertigt keine beliebige zweite.

Jede Zahlungsfreigabe vollständig lesen

Eine Bestätigung in einer Bank- oder Karten-App ist kein blosser Formalitätsschritt. Sie kann eine tatsächliche Belastung autorisieren. Vor der Freigabe müssen Betrag, Währung, Händler und Zweck mit dem begonnenen Parkvorgang übereinstimmen. Eine höhere Summe oder eine fremde Händlerbezeichnung darf nicht mit einer Erklärung auf der verdächtigen Website übergangen werden.

Besondere Vorsicht verdienen angebliche Testzahlungen, Rückerstattungen und Aufforderungen, eine Belastung durch eine weitere Freigabe zu stoppen. Die Sicherheitsanzeige der echten Bank ist massgeblich, nicht die daneben geöffnete Bezahlseite. Weitere Hintergründe behandelt „Sicheres Onlinebanking: Geräte, Anmeldung und Transaktionen schützen“. Eine unerwartete Bestätigung wird abgebrochen und über einen bekannten Bankkontakt geklärt.

Bei Zweifeln eine andere Bezahlmöglichkeit wählen

Bietet der Automat eine nachvollziehbare Zahlung mit Münzen oder Karte an, kann diese den verdächtigen QR-Code umgehen. Voraussetzung ist, dass Gerät und Bedienelemente unauffällig erscheinen. Auffällige Anbauten, beschädigte Kartenleser oder zusätzliche Zahlungsanweisungen verdienen ebenfalls eine Klärung. Die Alternative sollte anhand der offiziellen Bedienhinweise gewählt werden.

Fehlt ein vertrauenswürdiger Zahlungsweg, hilft die Kontaktaufnahme mit dem Betreiber über unabhängig bestätigte Kontaktdaten. Eine Telefonnummer auf dem verdächtigen Zusatzaufkleber ist dafür ungeeignet. Lässt sich die Situation nicht klären, kann ein anderer Parkplatz die praktikablere Lösung sein. Zeitdruck vor einem Termin sollte nicht dazu führen, eine unklare Zahlungsaufforderung trotzdem zu bestätigen.

Eine Zahlung ist noch kein gültiger Parknachweis

Nach dem Bezahlen müssen Kontrollschild, Parkzone und bestätigte Parkdauer stimmen. Eine Meldung auf einer fremden Website, die den Vorgang als erfolgreich bezeichnet, belegt noch keine Buchung beim tatsächlichen Betreiber. Gerade eine täuschend gestaltete Bestätigungsseite kann den Eindruck erwecken, dass alles erledigt sei. Der Parkvorgang sollte im verifizierten System nachvollziehbar sein.

Diese Kontrolle trennt zwei Probleme: einen möglichen finanziellen Schaden und eine möglicherweise fehlende Parkberechtigung. Bei Verdacht auf Betrug muss zusätzlich geklärt werden, wie die Parkgebühr korrekt entrichtet werden kann. Eine Zahlung an einen falschen Empfänger ersetzt nicht automatisch die Zahlung an den zuständigen Betreiber. Belege über den tatsächlichen Parkvorgang sollten erhalten bleiben.

Nur gescannt: den weiteren Vorgang stoppen

Das Auslesen eines QR-Codes ist von der Eingabe vertraulicher Daten und einer Zahlungsfreigabe zu unterscheiden. Wurde lediglich die Zieladresse angezeigt, bleibt der Link bei Verdacht geschlossen. Ist bereits eine Website geöffnet, sollten keine weiteren Angaben eingegeben und keine angebotenen Dateien oder Apps heruntergeladen werden. Der Vorgang wird beendet.

Für die spätere Meldung lässt sich die bereits angezeigte Adresse festhalten, ohne die Seite erneut aufzurufen. Ein Scan allein ist nicht mit einem bestätigten Geldverlust gleichzusetzen. Wurde dagegen etwas installiert oder eine ungewöhnliche Berechtigung erteilt, entsteht zusätzlicher Abklärungsbedarf. Dann sollte vor weiteren sensiblen Vorgängen fachkundige Unterstützung für das betroffene Gerät eingeholt werden.

Bei preisgegebenen Daten sofort die Bank kontaktieren

Wurden Kartendaten, Zugangsdaten oder Sicherheitscodes auf einer verdächtigen Seite eingegeben, sollte unverzüglich die Bank beziehungsweise der Kartenaussteller informiert werden. Abwarten auf eine sichtbare Abbuchung kann wertvolle Zeit kosten. Der Anbieter kann beurteilen, welche Karte oder welcher Zugang gesperrt werden muss und welche weiteren Schritte für das konkrete Konto erforderlich sind.

Der Kontakt erfolgt über eine bekannte Telefonnummer oder die echte Bank-App. Hilfreich sind Angaben zu Zeitpunkt, eingegebenen Daten und bestätigten Vorgängen. Bereits preisgegebene Passwörter müssen über einen sicheren Zugang geändert werden; bei mehrfacher Verwendung sind weitere Konten betroffen. Ob eine Belastung zurückgeholt werden kann, muss das Finanzinstitut im Einzelfall prüfen. Eine Erstattung ist nicht automatisch gesichert.

Standort und Belege für die Meldung sichern

Ein verdächtiger Code sollte mit dem genauen Standort der Parkuhr gemeldet werden. Nützlich sind Strasse, Parkplatzbezeichnung und eine vorhandene Automatennummer. Ein Foto der gesamten Beschilderung und eine Detailaufnahme des Aufklebers dokumentieren den Zusammenhang. Eigene Zahlungsdaten, vollständige Kartennummern und Sicherheitscodes gehören nicht in öffentlich geteilte Bilder.

Cybercrimepolice empfiehlt, manipulierte Codes der örtlichen Polizei zu melden und nach einer Datenpreisgabe Anzeige zu erstatten. Auch der Betreiber sollte informiert werden, damit weitere Gäste geschützt werden können. Ergänzend kann ein Phishing-Versuch dem Bundesamt für Cybersicherheit gemeldet werden. Eine solche Meldung ersetzt jedoch weder den dringenden Bankkontakt noch eine erforderliche Strafanzeige.

Betreiber können Manipulationen schneller entdecken

Für Parkplatzbetreiber ist eine regelmässige Kontrolle der Zahlungsbeschilderung eine naheliegende Schutzmassnahme. Dabei sollten Mitarbeitende die Oberfläche ansehen und den vorgesehenen digitalen Zielweg prüfen. Eine dokumentierte Referenz hilft, zusätzliche Aufkleber oder veränderte Angaben zu erkennen. Kontrollen lassen sich beispielsweise mit Reinigung und Wartung verbinden.

Klare Hinweise zu unterstützten Apps, Parkzonen und alternativen Zahlungswegen erleichtern auch den Gästen die Prüfung. Meldungen über verdächtige Etiketten sollten rasch an eine zuständige Stelle gelangen. Nach einer bestätigten Manipulation braucht es eine kontrollierte Wiederherstellung und verständliche Information vor Ort. Ein neuer Aufkleber allein schafft noch kein Vertrauen, wenn der Zahlungsweg unklar bleibt.

Eine kurze Routine vor jeder Parkzahlung

Ein verlässlicher Ablauf beginnt beim Automaten: Stimmen Beschilderung und Anbieter, und wirkt der Code unverändert? Danach folgt die digitale Kontrolle: Führt der Vorgang zur erwarteten Website oder zur vorgesehenen App? Vor dem Abschluss werden Zahlungsangaben und Parkdaten gelesen. Bleibt ein Punkt unklar, wird eine unabhängig bestätigte Alternative gewählt.

Diese Routine braucht keine technische Spezialausrüstung. Sie schafft bewusste Unterbrechungen an den Stellen, an denen eine alltägliche Handlung sonst automatisch weiterläuft. QR-Codes bleiben praktisch, solange ihre Herkunft und die ausgelöste Handlung nachvollziehbar sind. Bei einem verdächtigen Parkautomaten sind Abbruch, korrekte Zahlung und Meldung die sinnvollsten nächsten Schritte.

Bildquellen: Titelbild: Adobe Stock/Cavan; Bild 1: Adobe Stock/Pavel (Pavel – stock.adobe.com); Bild 2: Adobe Stock/terovesalainen; Bild 3: Adobe Stock/edojob; Bild 4: Adobe Stock/Krakenimages.com