Quishing: Wie sicher sind QR-Code-Speisekarten 2026?

Ein Gast setzt sich, sieht den Code auf dem Tisch und scannt ihn, ohne nachzudenken. Dieser Reflex hat ein paar Jahre gebraucht und ist heute fast selbstverständlich.

Genau davon lebt eine Betrugsmasche namens Quishing, Phishing mit QR-Codes. Das Bundesamt für Sicherheit in der Informationstechnik warnt ausdrücklich davor.

Die gute Nachricht, die in vielen Berichten fehlt: Wie groß das Risiko ist, hängt stark davon ab, was hinter dem Code passieren soll. Ein manipulierter Code vor einer Bezahlseite ist gefährlich. Ein manipulierter Code vor einer reinen Speisekarte ist vor allem ärgerlich. Diesen Unterschied sollten Sie kennen, bevor Sie über Ihre Tische entscheiden.

Was das BSI sagt

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beschreibt Quishing als Phishing über QR-Codes. Ziel ist es, sensible Daten wie Zugangsdaten zum Onlinebanking zu stehlen. Das Smartphone dient dabei als Einfallstor, an klassischen Schutzmechanismen vorbei.

Als Beispiele nennt das BSI gefälschte Codes in angeblichen Bank-E-Mails und an Parkscheinautomaten; die Opfer landen oft auf täuschend echt wirkenden Anmeldeseiten. Und es warnt, dass KI das Problem auf eine neue Ebene hebt: Angreifer betten schädliche Adressen in QR-Codes ein und kombinieren sie mit sorgfältig formulierten Nachrichten, denen die üblichen Warnsignale fehlen.

Warum es funktioniert: die Prüflücke

Bei einer verdächtigen E-Mail kann man den Mauszeiger über einen Link halten, die Adresse lesen und stutzig werden. Ein QR-Code versteckt sein Ziel in einem Muster, das kein Mensch lesen kann. Es gibt keinen Absender, an dem man zweifeln könnte, keine sichtbare Adresse, bis man scannt, und das Ganze dauert auf dem Handy vier Sekunden.

Die Angreifer haben keine raffinierte Technik erfunden. Sie haben eine Gewohnheit gefunden.

Wie es im Lokal aussehen kann

Für Gastronomen ist vor allem die physische Variante relevant: ein Aufkleber, der über einen echten Code geklebt wird. Was am Parkscheinautomaten funktioniert, funktioniert auch auf Tischaufstellern, Fensteraufklebern und Karten im Hotelzimmer.

Das eigentliche Risiko für Restaurants ist dabei oft nicht der Betrug selbst, sondern das Vertrauen. Sobald Gäste sich fragen, ob der Code auf Ihrem Tisch wirklich Ihrer ist, scannen manche gar nichts mehr.

Der Unterschied, auf den es ankommt

Ein QR-Code ist nur eine verschlüsselte Webadresse. Er selbst kann nichts stehlen. Alles hängt davon ab, was am anderen Ende wartet, und davon, ob ein Betrüger es überzeugend nachbauen kann.

• Ein Code, über den bestellt und bezahlt wird, ist ein lohnendes Ziel. Der Gast erwartet ohnehin, Kartendaten einzugeben, eine gefälschte Bezahlseite fällt kaum auf.
• Ein Code, der nur eine Speisekarte zeigt, bringt einem Angreifer wenig. Es gibt kein Kartenfeld zu fälschen und keine Anmeldung abzugreifen. Ein vertauschter Link führt auf eine falsche Seite oder Werbung: ärgerlich, gelegentlich ein Schadsoftware-Versuch, aber nicht das, was ein Konto leert.

Verhindern können Sie nicht, dass jemand einen Aufkleber auf einen Tisch klebt. Entscheiden können Sie, wie wertvoll dieser Aufkleber für ihn ist.

So lässt sich auch MenuOnGo einordnen: eine reine Speisekartenanzeige, ganz bewusst. Keine Bestellung, keine Zahlung, nichts, was der Gast hinter dem Scan eintippen müsste. Die Zahlung bleibt an Ihrer Kasse, wo die Sicherheitsmechanismen hingehören. Jede Karte liegt unter einer erkennbaren Adresse auf menuongo.com mit dem Namen Ihres Betriebs, sodass ein Gast, dessen Kamera den Link vor dem Öffnen anzeigt, auf einen Blick sieht, dass es die echte Karte ist. Und mit dem kostenlosen QR-Code-Generator auf der Website erstellen Sie jederzeit einen neuen Code.

Was Gastronomen tun sollten

• Codes wöchentlich prüfen. Auf hochstehende Kanten achten oder Aufkleber, die leicht über der Oberfläche liegen.
• Feste, schwer manipulierbare Aufsteller verwenden, keine losen Aufkleber, die sich leicht überkleben lassen.
• Keine Generatoren mit ablaufenden Weiterleitungen. Manche schalten das Ziel ab, wenn eine Testphase endet. Ein Code auf 80 Tischaufstellern zeigt dann plötzlich ins Leere oder auf eine Seite, die jemand anderes kontrolliert.
• Das Team einweisen. Ein Gast, der fragt „Ist das richtig so?“, verdient eine sichere Antwort.
• Ein paar gedruckte Karten bereithalten. Das nimmt den Druck von allen, die heute lieber nicht scannen.

Was Gäste tun sollten

Die Hinweise des BSI lassen sich direkt auf den Restauranttisch übertragen:

• Jeden QR-Code hinterfragen, bevor man ihn scannt, und nur Codes aus vertrauenswürdigen Quellen nutzen.
• Die Adresse prüfen, bevor man sie öffnet. Die meisten Handykameras zeigen sie vorher an. Im Zweifel die Adresse von Hand eingeben.
• Am Tisch niemals Kartendaten oder Passwörter auf einer Seite eingeben, die man über einen Code erreicht hat. Bezahlen beim Service oder über ein System, dem man ohnehin vertraut.
• Ist doch etwas passiert: sofort die Bank kontaktieren und Anzeige erstatten.

Risiko nach Art des QR-Codes

Was der Code tut	Was ein Betrüger realistisch erbeuten kann	Relatives Risiko
Reine Speisekarte	wenig: keine Kartendaten, keine Anmeldung	gering
WLAN-Zugang	gering: höchstens Netzzugang	gering
Bestellung ohne Zahlung	Bestelldaten, einige persönliche Angaben	mittel
Bestellung mit Zahlung	vollständige Kartendaten	hoch
Parkschein-, Rechnungs- oder Bankzahlung	Kartendaten, Bankzugang	hoch
Alles, was nach Onlinebanking-Zugang fragt	Kontozugriff	sehr hoch

Häufige Fragen

Was ist Quishing? Quishing ist Phishing über QR-Codes. Betrüger verstecken einen schädlichen Link in einem Code, um Menschen auf Seiten zu locken, die Zugangsdaten oder Zahlungsdaten abgreifen. Das BSI nennt als Beispiele gefälschte Codes in Bank-E-Mails und an Parkscheinautomaten.

Ist es gefährlich, eine QR-Code-Speisekarte zu scannen? Ein Code, der nur zu einer Speisekarte führt, birgt vergleichsweise wenig Risiko, weil es keine Bezahlseite und keine Anmeldung zu fälschen gibt. Riskanter sind Codes, über die bezahlt wird.

Woran erkenne ich einen manipulierten QR-Code? An einem Aufkleber über einer anderen Oberfläche, an hochstehenden Kanten oder an einem Code, der neuer aussieht als alles um ihn herum. Prüfen Sie außerdem die Adresse, die Ihre Kamera vor dem Öffnen anzeigt.

Was sollte ein Restaurant tun, wenn es einen gefälschten Code findet? Den Code entfernen, alle Tische, Fenster und Aufsteller prüfen, das Team informieren und den Vorfall bei der Polizei melden. Gäste offen zu informieren schadet dem Ruf meist weniger als Schweigen.

Macht eine Karte ohne Bestellung und Zahlung den QR-Code sicherer? Deutlich. Wenn hinter dem Code keine Kartendaten eingegeben und keine Anmeldung abgefragt wird, lohnt sich eine Manipulation für Betrüger kaum.

---

Quellen: Bundesamt für Sicherheit in der Informationstechnik (BSI), „KI-gestützte QR-Code-Betrügereien“ (Newsletter Einfach Cybersicher, 1. April 2026). Bilder: Pexels (frei verwendbar). Stand: Oktober 2026.