Ordnen Sie sich zunächst einem von drei Zuständen zu
Ein QR-Code auf einem Paket, das Sie nicht erwartet haben – ein unbekannter Absender, ein „Rücksende-“ oder „Zustellhinweis“-Etikett, eine Notiz mit der Bitte, eine Adresse zu bestätigen – ist ein Link, den Sie nicht angefordert haben. Die entscheidende Frage ist nicht „Ist dieses Paket echt?“, sondern „Wie weit ist dieser Code in meine Konten vorgedrungen?“
Nutzen Sie diese Tabelle, um Ihren Zustand zu bestimmen, bevor Sie etwas anderes tun.
| Zustand | Was passiert ist | Was Sie zuerst tun sollten |
|---|---|---|
| A. Ungescannt | Sie haben das Paket oder Etikett, aber den Code nicht gescannt | Scannen Sie ihn nicht, um „zu sehen, was es ist“. Bewahren Sie die Verpackung auf und notieren Sie Absendertext, Datum und Zustellervermerke |
| B. Nur gescannt | Der Code hat eine Seite oder eine App-Aufforderung geöffnet, aber Sie haben kein Passwort, keinen Code und keine Kartennummer eingegeben | Schließen Sie die Seite. Geben Sie nichts ein. Prüfen Sie das Konto, das die Seite angeblich vertritt, über die offizielle App oder ein bereits vorhandenes Lesezeichen |
| C. Zugangsdaten eingegeben | Sie haben nach dem Scannen ein Passwort, einen Einmalcode, eine Kartennummer oder andere Anmeldedaten eingegeben | Behandeln Sie das Konto als kompromittiert und gehen Sie zu den Wiederherstellungsschritten unten über |
Scannen Sie den Code nicht testweise, auch nicht auf einem Zweitgerät. Der Scan ist genau der Schritt, der die Seite lädt.
Zustand A: Der Code ist noch ungescannt
Sie müssen den Absender nicht identifizieren, um sich zu schützen. Sie müssen vermeiden, den aufgedruckten Weg zu nutzen.
- Scannen Sie den Code nicht und öffnen Sie keinen daneben aufgedruckten Kurzlink.
- Bewahren Sie Verpackung und Etikett auf. Fotografieren Sie das Etikett, die Absenderzeile und eine eventuelle Sendungsnummer. Das dient Ihren eigenen Unterlagen, nicht als Beweis für die Echtheit des Absenders.
- Prüfen Sie, ob Sie tatsächlich eine Lieferung bestellt haben. Nutzen Sie die App des Zustellers oder Händlers oder eine Website, die Sie selbst aufrufen – nicht die Telefonnummer oder den Link auf dem Etikett.
- Wenn das Paket wirklich unerwartet kommt und Sie es keiner Bestellung zuordnen können, behandeln Sie es als unverlangt. Was Sie damit tun dürfen, hängt davon ab, wo Sie leben; dieser Artikel enthält keine Rechtsberatung für einzelne Länder.
- Melden Sie es, wenn Sie möchten. In den USA veröffentlicht die FTC Verbraucherhinweise zu Betrugs-SMS und -Paketen. Meldewege unterscheiden sich je nach Land; wenden Sie sich an Ihre lokale Verbraucherschutzbehörde, statt anzunehmen, ein US-Verfahren gelte bei Ihnen.
Ein Paket ohne passende Bestellung ist nicht automatisch eine Straftat, und ein QR-Code ist nicht automatisch bösartig. Der Punkt ist: Sie können es dem Etikett allein nicht ansehen, also müssen Sie das Risiko nicht eingehen, um es herauszufinden.
Die FTC warnt, dass ein QR-Code auf einem unerwarteten Paket zu einer Phishing-Website führen kann, die Anmelde- oder Zahlungsdaten stiehlt, oder zu Malware. Quelle
Zustand B: Gescannt, aber nichts eingegeben
Wenn der Code eine Seite geöffnet hat und Sie vor der Eingabe gestoppt haben, besteht Ihre Hauptaufgabe darin, den tatsächlichen Kontostatus über einen Weg zu prüfen, den Sie kontrollieren.
- Schließen Sie die Seite oder die App-Aufforderung. Melden Sie sich nicht „zum Abbrechen“ an und bestätigen Sie nicht „die Lieferung“ auf der Seite, die der Code geöffnet hat.
- Öffnen Sie die offizielle App des Dienstes oder tippen Sie seine Adresse selbst in einen neuen Browser-Tab ein. Verwenden Sie nicht den Link aus dem Scan.
- Prüfen Sie, ob das behauptete Ereignis existiert. Wenn die Seite behauptete, ein Paket werde zurückgehalten, suchen Sie nach demselben Hinweis im eigenen Konto-Bereich des Zustellers oder Händlers. Wenn dort nichts steht, war die Seite kein echter Hinweis.
- Installieren Sie nichts, was die Seite anbietet. Eine App-Installationsaufforderung von einem Paket-QR-Code ist keine Liefervoraussetzung, die Sie überprüfen können.
- Notieren Sie, wonach die Seite gefragt hat – Passwort, Kartennummer, Einmalcode, Zustellgebühr –, damit Sie es bei einer Meldung genau beschreiben können.
Allein das Scannen beweist nicht, dass auf Ihre Konten zugegriffen wurde. Das Risiko in diesem Zustand liegt in dem, was Sie als Nächstes tun; die sichere nächste Handlung ist, den aufgedruckten Weg nicht weiter zu nutzen.
Zustand C: Zugangsdaten wurden eingegeben
Dies ist der Zustand, der Handeln erfordert – und die Reihenfolge ist wichtig.
Wenn nach dem Scannen eines solchen Codes Kontozugangsdaten eingegeben wurden, rät die FTC, das Passwort zu ändern und die Zwei-Faktor-Authentifizierung zu aktivieren. Quelle
Arbeiten Sie diese Schritte in der Reihenfolge ab, über die App des Kontos oder eine Seite, die Sie selbst aufrufen:
- Ändern Sie das Passwort über die offizielle App oder Website, nicht über die Seite, die der Code geöffnet hat.
- Aktivieren Sie die Zwei-Faktor-Authentifizierung, falls noch nicht geschehen. Bevorzugen Sie eine Authenticator-App oder einen Hardware-Schlüssel gegenüber SMS, wenn das Konto dies anbietet.
- Ändern Sie dasselbe Passwort überall dort, wo Sie es wiederverwendet haben. Ein Passwort, das in eine Phishing-Seite eingegeben wurde, muss als jemand anderem bekannt gelten.
- Wenn Sie Karten- oder Bankdaten eingegeben haben, kontaktieren Sie den Kartenherausgeber oder Ihre Bank über die Nummer auf Ihrer Karte oder deren offizielle App. Verwenden Sie keine Nummer und keinen Link vom Paket oder von der gescannten Seite. Dieser Artikel verspricht nicht, dass eine Zahlung rückgängig gemacht werden kann.
- Behalten Sie den Zugang zu Ihrer Wiederherstellungsmethode, bis Sie fertig sind. Entfernen Sie Ihre E-Mail-Adresse, Telefonnummer oder Wiederherstellungscodes nicht, bevor die Passwortänderung und die Zwei-Faktor-Einrichtung nachweislich funktionieren – sonst können Sie sich selbst aussperren.
- Prüfen Sie die letzten Kontoaktivitäten in der offiziellen App: Anmeldeorte, verbundene Apps, Weiterleitungsregeln und Zahlungsmethoden. Machen Sie alles rückgängig, was Sie nicht erkennen.
Eine Anmeldeverbindung zu entfernen oder ein Profil zu bearbeiten ist nicht dasselbe wie das Löschen gespeicherter Daten. Wenn Sie ein Konto vollständig schließen, folgen Sie dem Schließungsprozess des Anbieters und behalten Sie eine funktionierende Wiederherstellungsmethode, bis die Schließung bestätigt ist.
Nutzen Sie bekannte Kontowege, nicht den aufgedruckten Code
Ein Paketetikett kann jede Adresse, Telefonnummer oder jeden QR-Code aufdrucken. Es kann nicht beweisen, wem das Ziel gehört. Beginnen Sie bei jeder Kontoentscheidung – Passwort zurücksetzen, Lieferung bestätigen, Zahlung, Rückerstattung – mit einem Weg, dem Sie bereits vertrauen:
| Aufgabe | Vertrauenswürdiger Ausgangspunkt |
|---|---|
| Eine Lieferung bestätigen | Die App des Zustellers oder Händlers oder eine Adresse, die Sie selbst eingeben |
| Ein Passwort zurücksetzen | Die offizielle App oder Website des Dienstes oder dessen dokumentierter Konto-Wiederherstellungsablauf |
| Eine Zahlung prüfen | Die App Ihrer Bank oder Ihres Kartenherausgebers oder die Nummer auf Ihrer Karte |
| Eine verdächtige Nachricht melden | Ihre lokale Verbraucherschutzbehörde; in den USA die veröffentlichten Hinweise der FTC |
Wenn eine Nachricht behauptet, von einem Support-Konto zu stammen, und Sie bittet, das Gespräch in eine Chat-App zu verlegen oder sich durch Anmelden zu „verifizieren“, gilt dieselbe Regel: Bestätigen Sie über die eigene App des Dienstes. Zu dieser separaten Situation siehe gefälschte Social-Media-Konten von Kundensupport prüfen.
Ein öffentlicher Benutzername-Treffer ist ein Hinweis, kein Eigentumsnachweis. Wenn Sie versuchen herauszufinden, wer hinter einem Handle steckt, das Sie kontaktiert hat, kann eine Benutzernamen-Suche wie TraceSeek zeigen, wo ein Handle auf 3.000+ Plattformen erscheint – aber sie ändert keine Kontoeinstellungen, stellt keine Wiederherstellungscodes aus, holt kein Geld zurück und verifiziert keine reale Identität.
Was Sie nicht daraus schließen sollten
- Nicht jeder QR-Scan installiert Malware. Die FTC beschreibt Phishing und Malware als mögliche Folgen; sie sagt nicht, dass jeder Scan eines von beidem auslöst.
- Eine gescannte Seite, die echt aussah, ist kein Beweis, dass sie echt war. Prüfen Sie das behauptete Ereignis in der eigenen App des Dienstes.
- Ein Paket ohne passende Bestellung identifiziert den Absender nicht. Betrachten Sie einen Namen oder eine Rücksendeadresse auf dem Etikett nicht als verifiziert.
- Regeln für unverlangte Waren unterscheiden sich je nach Land. Dieser Artikel überträgt keine nationale Regel auf andere Märkte.
- Eine Passwortänderung ist keine Garantie für Wiederherstellung. Sie verringert die Exposition; ob ein Konto oder eine Zahlung wiederhergestellt wird, hängt vom Anbieter ab.
Ein kurzes Arbeitsblatt zum Kopieren
Füllen Sie es aus, bevor Sie handeln, damit Sie es später nicht rekonstruieren müssen:
- Zustand: A / B / C
- Datum und Uhrzeit des Scans (falls erfolgt):
- Was die Seite oder Aufforderung zu sein behauptete (Zusteller, Händler, Bank, anderes):
- Wonach gefragt wurde (Passwort / Einmalcode / Kartennummer / Gebühr / App-Installation):
- Was Sie eingegeben haben, falls überhaupt:
- Betroffene Konten:
- Passwort geändert: ja / nein – über offizielle App oder Website: ja / nein
- Zwei-Faktor aktiviert: ja / nein
- Wiederherstellungsmethode weiterhin zugänglich: ja / nein
- Kartenherausgeber kontaktiert (falls Kartendaten eingegeben): ja / nein
- Gemeldet bei (lokale Behörde, Zusteller, Händler):
Wenn Sie fertig sind, ist die sinnvolle nächste Handlung, jedes betroffene Konto über seine eigene App zu bestätigen: Passwort geändert, Zwei-Faktor aktiv, Wiederherstellungsmethode funktioniert und keine unbekannten Sitzungen oder verbundenen Apps.