Falscher Paket-Retouren-QR-Code ist eine besonders schwer erkennbare Variante des Phishings: Kriminelle können echte Abläufe von DHL, Hermes oder Online-Shops nachbilden, einen angeblichen Retourenlink oder QR-Code verschicken und Nutzer auf eine gefälschte Seite führen, wie die Redaktion von Techify.de. Das Risiko ist plausibel, weil QR-Codes bei echten Rücksendungen tatsächlich eingesetzt werden: DHL und Hermes ermöglichen mobile Retouren, bei denen ein digitaler Code im Paketshop, an geeigneten Packstationen oder beim Zusteller gescannt und daraus das Versandlabel erzeugt wird.
Gerade diese vertraute Funktionsweise macht manipulierte Rücksendeaufforderungen glaubwürdig. Betrüger müssen keinen völlig neuen Prozess erfinden: Sie können eine echte Bestellung, eine angeblich ablaufende Rückgabefrist, einen fehlgeschlagenen Retourenauftrag oder eine vermeintliche „Bestätigung der Rücksendung“ als Anlass verwenden und anschließend Zahlungs-, Login- oder Kartendaten verlangen. Für eine aktuell flächendeckende Betrugswelle speziell mit gefälschten DHL- oder Hermes-Retouren-QR-Codes gibt es derzeit keine belastbare öffentliche Warnung der beiden Paketdienste; dokumentiert und offiziell bestätigt sind jedoch Paket-Phishing, Smishing sowie Quishing mit gefälschten QR-Codes.
Warum gefälschte Retouren-QR-Codes so glaubwürdig wirken
Bei einer echten DHL-Retoure kann der Online-Händler dem Kunden einen QR-Code bereitstellen. Dieser dient dazu, ein Retourenlabel erzeugen beziehungsweise ausdrucken zu lassen; DHL beschreibt dafür Abgabestellen, Packstationen und unter bestimmten Voraussetzungen auch die Übergabe an Zustellkräfte. Bei Geschäftskundenlösungen kann ein digital bereitgestelltes DHL-Retourenlabel als QR-Code laut Anbieter maximal 30 Tage gültig sein.
Hermes arbeitet ähnlich. Kunden können einen vom Online-Shop erhaltenen Retouren-QR-Code auf dem Smartphone vorzeigen; im PaketShop wird der Code gescannt und das Retourenlabel ausgedruckt. Hermes bietet seinen Geschäftskunden außerdem Online-Retourenformulare und Schnittstellen an, über die digitale Retourenlabels bereitgestellt werden können.
Genau hier entsteht das Angriffspotenzial. Ein Empfänger hält eine E-Mail mit der Überschrift „Ihre Retoure wurde erstellt“ oder „Retourenlabel aktualisieren“ zunächst nicht zwangsläufig für ungewöhnlich, wenn er wenige Stunden zuvor tatsächlich einen Artikel zurückgeben wollte. Ein nachgebautes Händlerlogo, der Name des Paketdienstes und ein QR-Code reichen optisch oft aus, um einen legitimen Prozess zu imitieren.
Die Polizeiliche Kriminalprävention bezeichnet Phishing über QR-Codes als „Quishing“. Das zentrale technische Problem: Hinter dem grafischen Code ist das tatsächliche Ziel nicht unmittelbar sichtbar. Nach dem Scan kann eine manipulierte Website geöffnet werden, die dem echten Kundenportal sehr ähnlich sieht.
„Quishing ist eine Betrugsmasche, die sich an Phishing anlehnt.“
(Polizeiliche Kriminalprävention, Warnhinweis zu QR-Code-Betrug vom 28. Februar 2025.)
Ein gefälschter Retourenprozess kann deshalb mehrere bekannte Angriffstechniken verbinden: Markenmissbrauch, QR-Code-Phishing, gefälschte Login-Seiten, Zahlungsabfragen und künstlichen Zeitdruck.
| Echter Retourenvorgang | Verdächtiger oder gefälschter Vorgang |
|---|---|
| Rückgabe wurde zuvor im Shop gestartet | Unaufgeforderte Nachricht zu angeblicher Retoure |
| QR-Code kommt über bekannten Händlerprozess | QR-Code kommt plötzlich per SMS oder unbekannter Mail |
| Code dient vor allem der Erstellung des Versandlabels | Scan führt zuerst zu Login-, Bank- oder Kartenformular |
| Händler und Paketdienst sind nachvollziehbar | Absender, Bestellung oder Händler fehlen |
| Keine ungewöhnliche Sicherheitsprüfung | Passwort, TAN oder Banking-PIN werden verlangt |
| Status lässt sich im Shopkonto kontrollieren | Nutzer soll ausschließlich dem QR-Code folgen |
| Domain gehört zum Händler oder Paketdienst | Ähnlich aussehende Domain mit Zusätzen oder Tippfehlern |
| Keine Drohung mit wenigen Minuten Frist | „Retoure verfällt heute“, „sofort bestätigen“ |
So kann ein gefälschter Rücksendeprozess aussehen
Der Angriff muss nicht damit beginnen, dass ein QR-Code direkt per E-Mail verschickt wird. Die Täter können zunächst eine Nachricht versenden, die angeblich von einem Online-Shop stammt und erklärt, für eine Bestellung sei eine Rückgabe angefordert worden.
Danach sind beispielsweise folgende Schritte denkbar:
- Eine E-Mail oder SMS behauptet, die Rücksendung müsse bestätigt werden.
- Der Empfänger erhält einen QR-Code oder einen Link zur angeblichen Retourenseite.
- Nach dem Scan öffnet sich eine nachgebaute Seite des Händlers.
- Die Seite zeigt Bestellnummer, Retourengrund oder Paketdienst-Auswahl.
- Anschließend soll sich der Nutzer angeblich erneut anmelden.
- E-Mail-Adresse und Passwort werden an die Täter übermittelt.
- Danach erscheint eine angebliche Bearbeitungs- oder Versandgebühr.
- Kreditkartendaten oder Bankinformationen werden abgefragt.
- Unter Umständen folgt eine echte 3-D-Secure- oder Banking-Freigabe für eine von den Tätern initiierte Zahlung.
- Die Seite zeigt anschließend „Retoure erfolgreich erstellt“ oder eine Fehlermeldung.
Eine professionell gestaltete Bestätigungsseite ist kein Beweis dafür, dass tatsächlich ein Retourenlabel erzeugt wurde.
DHL, Hermes und Online-Shop unterscheiden: Diese Prüfungen sind entscheidend
DHL bestätigt ausdrücklich, dass mobile Versandmarken und Retouren-QR-Codes legitime Bestandteile des Versandprozesses sind. Bei der mobilen Paketmarke wird der QR-Code nach dem Kauf per E-Mail beziehungsweise mobil bereitgestellt; an einer Annahmestelle kann daraus das Versandlabel gedruckt werden. Bei Retouren kommt der Retourenschein häufig direkt vom Versandhändler.
Das bedeutet jedoch nicht, dass jede Mail mit DHL-Logo und QR-Code echt ist. DHL warnt auf seiner Sicherheitsseite grundsätzlich vor Phishing, bei dem Täter gefälschte Websites einsetzen, um Passwörter oder Zahlungsinformationen zu erlangen. Empfänger sollten deshalb nicht nur das Logo, sondern Absender, Anlass und insbesondere die Zieladresse kontrollieren.
„Drücken Sie nicht auf enthaltene Links.“
(DHL, Sicherheitshinweise zu gefälschten Nachrichten.)
Bei Hermes gibt es zusätzlich ein klares Warnsignal für Paket-SMS. Das Unternehmen erklärt in seinen Sicherheitshinweisen, dass von Hermes verschickte SMS grundsätzlich keine Links enthalten und immer die Sendungs-ID nennen. Eine SMS mit angeblichem Hermes-Zustell-, Zahlungs- oder Retourenlink passt deshalb nicht zum von Hermes veröffentlichten Muster.
„Von Hermes versendete SMS enthalten dabei grundsätzlich keine Links.“
(Hermes, offizielle Sicherheitshinweise.)
Bei einer echten mobilen Hermes-Retoure kann dagegen sehr wohl ein QR-Code existieren. Der entscheidende Unterschied liegt im Ablauf: Der Code wird im Rahmen der Rückgabe bereitgestellt und anschließend vom Hermes PaketShop oder Zusteller gescannt, damit das Retourenlabel erstellt werden kann.
Für Kunden heißt das: Nicht „QR-Code ja oder nein“ entscheidet über die Echtheit, sondern woher er stammt, wann er erzeugt wurde und was nach dem Scan verlangt wird.
Sieben Prüfungen vor jedem Scan
1. Wurde die Retoure tatsächlich selbst gestartet?
Wer nichts zurücksenden möchte und plötzlich einen „Retourencode“ erhält, sollte nicht scannen.
2. Stimmt der Händler?
Bestellung im Browser oder in der offiziellen Shop-App öffnen und die Rückgabe dort kontrollieren.
3. Gibt es denselben QR-Code im Kundenkonto?
Wenn die Mail einen Code enthält, der Retourenbereich des Shops aber keine Rückgabe zeigt, ist das ein starkes Warnsignal.
4. Wohin führt der QR-Code?
Nach dem Scan zunächst die URL-Vorschau lesen. Nicht sofort öffnen.
5. Gehört die Domain wirklich zum Unternehmen?dhl-kunden-retoure.example wäre nicht deshalb eine DHL-Seite, weil „dhl“ im Namen vorkommt. Entscheidend ist die eigentliche registrierte Domain.
6. Welche Daten werden verlangt?
Eine Retourenseite braucht normalerweise weder die komplette Onlinebanking-PIN noch mehrere TANs, Wiederherstellungscodes oder Fernzugriff auf das Smartphone.
7. Wird plötzlich Geld verlangt?
Ob eine Rücksendung kostenlos oder kostenpflichtig ist, ergibt sich aus den Bedingungen des Händlers. Eine überraschende Mini-Gebühr von beispielsweise wenigen Cent oder Euro sollte nicht über eine unbekannte QR-Seite bezahlt werden.
Die Verbraucherzentrale weist bei Quishing auf genau das strukturelle Problem hin: QR-Codes verbergen die enthaltene Adresse zunächst vor dem Nutzer. Kriminelle verwenden sie unter anderem in E-Mails, Briefen und an öffentlich zugänglichen Zahlungssystemen, um auf gefälschte Seiten zu führen.
Wer die allgemeine Paket-Phishing-Masche genauer prüfen möchte, findet dazu bereits eine Anleitung zu Fake-Paket-SMS von DHL, Hermes oder DPD. Dort werden unter anderem gefälschte Zustellprobleme, manipulierte Links und typische Nachzahlungsforderungen erklärt. Die Seite war am 18. August 2026 erreichbar.
Dasselbe technische Prinzip wird bei physischen QR-Codes eingesetzt. Wie Täter beispielsweise echte Codes überkleben und anschließend Zahlungsseiten imitieren, zeigt der Beitrag über gefälschte QR-Codes auf Parkplätzen und Ladesäulen. Auch dort ist nicht der QR-Code selbst der Beweis für Betrug, sondern die manipulierte Zieladresse und der anschließende Datenabgriff.
QR-Code bereits gescannt: Jetzt entscheidet, was danach passiert ist
Ein Scan allein bedeutet noch nicht automatisch, dass das Smartphone kompromittiert wurde. Das BSI und die Polizei beschreiben Quishing vor allem als Weiterleitungsmethode: Der QR-Code bringt Nutzer auf eine manipulierte Website, auf der anschließend Daten abgefragt oder weitere Aktionen ausgelöst werden. Das konkrete Risiko hängt deshalb davon ab, ob nur die URL-Vorschau betrachtet, die Website geöffnet, ein Passwort eingegeben, eine Zahlung bestätigt oder eine Datei installiert wurde.
Wer lediglich die Vorschau gesehen und die Seite nicht geöffnet hat, muss normalerweise keine Passwörter ändern. Wurde die Webseite geladen, sollten Nutzer sie schließen und prüfen, ob Downloads, Browser-Berechtigungen oder App-Installationen ausgelöst wurden. Nach Eingabe von Zugangsdaten müssen die betroffenen Passwörter dagegen unmittelbar über die echte Website geändert werden. Bei Kartendaten oder Bankfreigaben ist zusätzlich die Bank einzuschalten.
Besonders kritisch sind Fälle, in denen dieselben Zugangsdaten bei mehreren Diensten verwendet werden. Ein gestohlenes Shop-Passwort kann über Credential Stuffing gegen E-Mail-Konten, andere Händler oder Zahlungsdienste getestet werden. Wer seinen Mailzugang verliert, riskiert zusätzlich Passwort-Resets für zahlreiche weitere Konten.
Auch eine nachträgliche Kontaktaufnahme ist möglich. Hat das Opfer Telefonnummer, Name, Händler und Bestelldaten eingegeben, können spätere Anrufe wesentlich glaubwürdiger wirken: „Wir sehen Ihre Retoure vom heutigen Nachmittag“ klingt überzeugender als ein völlig ungezielter Betrugsanruf.
„Überprüfen Sie die angezeigte URL nach dem Scannen des QR-Codes genau, bevor Sie sie öffnen.“
(Polizeiliche Kriminalprävention, Empfehlungen gegen Quishing.)
Die Reaktion sollte vom erreichten Angriffsschritt abhängen:
| Was ist passiert? | Was jetzt zu tun ist |
|---|---|
| QR-Code nur gescannt | URL nicht öffnen, Nachricht löschen beziehungsweise melden |
| Website geöffnet | Seite schließen, Downloads und Browser-Berechtigungen prüfen |
| E-Mail-Adresse eingegeben | Mit weiteren personalisierten Phishing-Nachrichten rechnen |
| Passwort eingegeben | Passwort über echte Website sofort ändern |
| Passwort mehrfach verwendet | Auch bei allen anderen betroffenen Diensten ändern |
| Kreditkartendaten eingegeben | Bank beziehungsweise Kartenanbieter sofort kontaktieren |
| Banking-Zugang eingegeben | Onlinebanking sperren und Bank informieren |
| TAN/Push-Freigabe bestätigt | Bank unverzüglich kontaktieren und Transaktion prüfen lassen |
| App installiert | App entfernen, Berechtigungen und Gerätesicherheit überprüfen |
| Geld abgebucht | Zahlung dokumentieren, Bank informieren, gegebenenfalls Anzeige erstatten |
Wer nach einer verdächtigen Seite plötzlich von seiner Banking-App zu einer Gerätefreigabe aufgefordert wird, sollte besonders vorsichtig sein. Wie echte technische Neuregistrierungen von ungewöhnlichen Freigabeaufforderungen unterschieden werden können, erklärt die Anleitung zur erneuten Gerätefreigabe in Banking-Apps.
Beweise sichern, bevor Nachricht und Browser-Verlauf gelöscht werden
Bei einem erfolgreichen oder versuchten Angriff können wenige Informationen später entscheidend sein. Screenshots sollten möglichst vor dem Löschen erstellt werden.
Sinnvoll sind:
- vollständige E-Mail oder SMS;
- sichtbare Absenderadresse beziehungsweise Telefonnummer;
- Datum und Uhrzeit;
- Screenshot des QR-Codes;
- Zieladresse nach dem Scan;
- Screenshot der gefälschten Website;
- Name des angeblichen Händlers;
- angezeigte Bestell- oder Retourennummer;
- tatsächlich bestehende Bestellung;
- eingegebene Daten;
- bestätigte TAN oder Push-Freigabe;
- vorgemerkte oder gebuchte Kartenumsätze;
- heruntergeladene Dateien oder installierte Apps.
Eine echte Retoure sollte zusätzlich dokumentiert werden. Die Verbraucherzentralen empfehlen bei Rücksendungen unter anderem, Einlieferungsbelege aufzubewahren und den Versand über eine Sendungsverfolgung zu dokumentieren. Gerade bei hochwertigen Waren können Fotos vom Inhalt und vom verpackten Paket spätere Streitigkeiten erleichtern.
Damit lässt sich ein zweites Problem vermeiden: Selbst wenn der Phishing-Angriff gestoppt wurde, könnte die echte Ware noch immer nicht ordnungsgemäß zurückgesendet worden sein.
Der sicherste Retourenweg: Rückgabe immer beim Händler beginnen
Die belastbarste Regel ist technisch simpel: Eine Rücksendung sollte dort gestartet werden, wo auch die Bestellung sichtbar ist. Wer in der offiziellen Shop-App oder im selbst geöffneten Kundenkonto auf „Artikel zurücksenden“ klickt, reduziert das Risiko, einen von außen zugeschickten manipulierten Prozess zu verwenden.
Bei DHL weist der Paketdienst ausdrücklich darauf hin, dass der Retourenschein normalerweise vom Versandhändler bereitgestellt wird. Hermes beschreibt ebenfalls den Fall, dass Kunden den QR-Code von ihrem Online-Shop erhalten und anschließend im PaketShop vorzeigen.
Ein unerwarteter QR-Code sollte deshalb nicht als Einstiegspunkt dienen. Der Empfänger kann stattdessen den Shop selbst öffnen, die Bestellung aufrufen und kontrollieren, ob dort exakt dieselbe Rückgabe angezeigt wird.
Für DHL-Retouren lassen sich die offiziellen Abläufe direkt bei DHL prüfen. Hermes erläutert seine mobilen Rücksendungen auf der offiziellen Seite zu Retouren mit Hermes. Beide Seiten waren bei der Recherche erreichbar.
Die fünf wichtigsten Sicherheitsregeln:
- Retoure im offiziellen Kundenkonto des Shops starten.
- Keine unerwarteten QR-Codes aus SMS oder fremden Mails verwenden.
- Zieladresse nach dem Scan vollständig kontrollieren.
- Niemals Banking-PIN, Passwort oder ungewöhnliche TAN-Abfragen akzeptieren.
- Nach der Abgabe Einlieferungsbeleg und Sendungsnummer aufbewahren.
Ein echter Retouren-QR-Code ist ein Transport- beziehungsweise Labelwerkzeug. Er sollte nicht plötzlich zu einer umfassenden Identitäts- oder Banking-Prüfung werden.
Fragen und Antworten zum falschen Paket-Retouren-QR-Code
Kann ein echter DHL-Retourenschein als QR-Code kommen?
Ja. DHL unterstützt mobile Retouren- und Versandmarken als QR-Code. Der Code kann an geeigneten Annahmestellen beziehungsweise Packstationen verwendet werden, damit ein Versandlabel erzeugt wird. Entscheidend ist, dass die Retoure über einen nachvollziehbaren Händler- oder DHL-Prozess erstellt wurde.
Verwendet Hermes echte Retouren-QR-Codes?
Ja. Ein Online-Shop kann einen mobilen Hermes-Retourencode bereitstellen. Der QR-Code wird anschließend im PaketShop oder unter bestimmten Voraussetzungen durch einen Hermes-Zusteller gescannt und das Retourenlabel gedruckt.
Ist eine Hermes-SMS mit einem Retourenlink echt?
Nach den veröffentlichten Sicherheitshinweisen von Hermes enthalten vom Unternehmen verschickte SMS grundsätzlich keine Links und nennen die Sendungs-ID. Eine Hermes-SMS mit anklickbarem Paket-, Zahlungs- oder Retourenlink sollte deshalb nicht geöffnet werden.
Kann ein QR-Code schon beim bloßen Scannen Geld stehlen?
Normalerweise nicht. Das zentrale Risiko entsteht, wenn anschließend eine manipulierte Seite geöffnet, dort Daten eingegeben, eine Zahlung bestätigt oder Software installiert wird. Deshalb sollte bereits die Linkvorschau vor dem Öffnen überprüft werden.
Was tun, wenn Kartendaten bereits eingegeben wurden?
Nicht auf eine vermeintliche Fehlermeldung der Retourenseite verlassen. Die Bank oder der Kartenanbieter sollte über einen selbst recherchierten offiziellen Kontaktweg informiert werden. Zusätzlich sind Kartenumsätze, Screenshots, URL und Zeitpunkt des Vorgangs zu dokumentieren.
Wie lässt sich ein Retouren-QR-Code am zuverlässigsten überprüfen?
Den Link aus der Nachricht zunächst nicht verwenden. Stattdessen die Shop-App oder die selbst eingegebene Händleradresse öffnen, Bestellung auswählen und dort prüfen, ob tatsächlich eine Retoure angelegt wurde. Stimmen Auftrag, Paketdienst und Retourencode nicht überein, sollte der Code nicht verwendet werden.
Sie können dies und weitere nützliche Informationen auf unserer Website nachlesen. Wir empfehlen Ihnen außerdem die Lektüre folgender Artikel: Apple Pay: „Karte konnte nicht hinzugefügt werden“ – diese Ursachen liegen nicht immer bei der Bank
