Sparkasse-Brief mit QR-Code: Warnung vor Phishing

Was in den Briefen steht

Das Computer-Notfallteam der Sparkassen-Finanzgruppe warnt vor gefälschten Schreiben. Laut CHIP tauchten die Briefe zuletzt in einer nicht genannten Stadt im Westen Deutschlands auf. Sie tragen den Namen und den Briefkopf einer konkreten Filiale. Auch eine persönliche Anrede ist dabei.

Der Inhalt ist immer ähnlich. Du sollst deinen Online-Banking-Zugang "verifizieren". Dazu sollst du einen QR-Code im Brief scannen und eine Internetseite aufrufen. Wenn du nichts tust, drohe die Sperrung deines Zugangs.

Ein QR-Code ist ein quadratisches Muster, das dein Handy mit der Kamera liest. Es öffnet dann eine Internetadresse, ohne dass du sie tippen musst. Genau das nutzen die Betrüger: Du siehst nicht, wohin der Code führt, bevor du ihn scannst.

Was auf der gefälschten Seite passiert

Der Code führt nicht zu deiner Sparkasse. Die Seite dahinter gehört den Betrügern. Sie fragt deine Zugangsdaten fürs Online-Banking und weitere persönliche Angaben ab. Zusätzlich sollst du eine Kopie deines Ausweises hochladen.

Mit diesen Daten können die Täter laut Sparkasse zum Beispiel im Namen der Sparkasse bei dir anrufen oder Kontodaten ändern. Ein Ausweisfoto in fremden Händen ist dabei besonders unangenehm, weil du es nicht wie ein Passwort ändern kannst.

So erkennst du den Betrug

1. Die Drohung. Ein Brief, der dir mit der Sperrung deines Zugangs droht, wenn du nicht sofort etwas scannst, ist ein Warnsignal. Zeitdruck soll dich vom Nachdenken abhalten.
2. Der QR-Code als Weg zum Login. Ein Code, der dich zur Eingabe von Zugangsdaten und zum Hochladen eines Ausweises schickt, gehört nicht zu einer normalen Bankpost.
3. Die Anrede ist kein Beweis. Die Verbraucherzentrale Niedersachsen nennt eine allgemeine Anrede wie "Sehr geehrte Kontoinhaberin, sehr geehrter Kontoinhaber" als Warnzeichen. Die aktuellen Briefe haben aber eine persönliche Anrede. Dass dein Name drinsteht, heißt also nicht, dass der Brief echt ist.
4. Die Kontaktdaten im Brief. Ruf nicht die Nummer an, die im Brief steht. Such die Nummer deiner Sparkasse selbst heraus, zum Beispiel von deiner Karte oder aus der App.

Was du tun solltest

Wenn du nichts gescannt hast: Nichts tun, den Brief nicht beantworten. Willst du sicher sein, ob wirklich etwas mit deinem Zugang ist, öffne deine Sparkassen-App oder tippe die Adresse deiner Sparkasse selbst in den Browser.

Wenn du schon Daten eingegeben hast: Ruf sofort deine Sparkasse an. Sie kann den Online-Banking-Zugang sperren und Schritte zum Schutz von Sparkassen-Card und Kreditkarte einleiten. Die Berliner Sparkasse rät in ihrer Warnliste außerdem, die Online-Banking-PIN sofort über ein anderes Gerät zu ändern.

Rechne danach mit Anrufen. Wer dich im Namen der Sparkasse anruft und dich nach einer TAN fragt, ist ein Betrüger, auch wenn er deine Daten kennt. Leg auf und ruf selbst bei der Sparkasse an.

Warum Betrüger jetzt Briefe nehmen

Spam-Filter prüfen E-Mails, Briefe prüft niemand. Dazu vertrauen viele Menschen Post mehr als einer Mail. Die Verbraucherzentrale beschreibt gefälschte Bankbriefe mit QR-Code deshalb als Teil einer größeren Masche. Sie heißt Quishing und kommt auch an Parkautomaten und Ladesäulen vor. Mehr dazu steht in unserem Artikel zu Quishing.

Zwei Handgriffe helfen beim Scannen generell. Prüfe die Internetadresse, die dein Handy anzeigt, bevor du sie öffnest. Und schalte, wenn möglich, die Funktion ab, die gescannte Codes sofort öffnet.

Echte Änderung nicht mit dem Betrug verwechseln

CHIP weist in demselben Artikel auf eine echte Änderung hin. Die App S-ID-Check wird am 31. Januar 2027 eingestellt. Wer Online-Zahlungen mit der Sparkassen-Karte weiter bestätigen will, braucht dafür die S-pushTAN-App. Auch dazu können Betrüger Nachrichten fälschen. Den Wechsel stößt du deshalb selbst über die App deiner Sparkasse an und nicht über einen Link oder Code in einer Nachricht.

Alle aktuellen Warnungen findest du auf unserer Phishing-Übersichtsseite.