Ein QR-Code an der Ladesäule kann E-Auto-Fahrer statt zur Bezahlseite des Betreibers auf eine täuschend ähnlich gestaltete Phishing-Seite führen. Kriminelle bringen dafür eigene Aufkleber über oder neben dem ursprünglichen Code an und versuchen, Kreditkartendaten, persönliche Angaben oder Zahlungsfreigaben abzugreifen, berichtet die Redaktion von Techify unter Berufung auf eine Mitteilung des Polizeipräsidiums Mainz.
Ein dokumentierter Fall ereignete sich am 9. März 2026 an einer öffentlichen Ladestation auf dem Marktplatz in Schwabenheim an der Selz. Ein Autofahrer scannte einen scheinbar regulären QR-Code mit dem Logo des Energieunternehmens RWE. Tatsächlich wurde die Säule jedoch von EWR betrieben. Nach dem Scan öffnete sich eine betrügerische Internetseite; anschließend versuchten Unbekannte, die Kreditkarte des Mannes zu belasten. Weil er die Zahlung nicht freigab, entstand nach Polizeiangaben kein finanzieller Schaden.
Wie der Betrug an der Ladesäule funktioniert
Die Masche wird als Quishing bezeichnet. Der Begriff setzt sich aus „QR-Code“ und „Phishing“ zusammen. Das Ziel entspricht klassischem Phishing: Nutzer sollen auf einer nachgebauten Webseite sensible Informationen eingeben oder eine nicht berechtigte Zahlung bestätigen.
Der entscheidende Unterschied liegt im Übertragungsweg. Während sich ein Link in einer E-Mail häufig vor dem Öffnen überprüfen lässt, ist das Ziel eines QR-Codes zunächst nicht sichtbar. Manche Smartphones zeigen die hinterlegte Internetadresse vor dem Aufruf an.
Andere öffnen die Webseite unmittelbar nach dem Scan. Die Verbraucherzentrale empfiehlt deshalb eine Scanner-Anwendung, die zunächst die vollständige Adresse einblendet.
An Ladestationen haben Täter eine besonders günstige Ausgangslage. Fahrer erwarten dort einen QR-Code, weil viele Betreiber das sogenannte Ad-hoc-Laden ohne Vertrag über eine mobile Webseite ermöglichen. Der Code wirkt deshalb nicht ungewöhnlich. Zudem stehen viele Säulen unbeaufsichtigt im öffentlichen Raum, sodass ein zusätzlicher Aufkleber unbemerkt angebracht werden kann.
Der ADAC beschreibt den Ablauf so: Täter überkleben den vorhandenen Code und leiten Nutzer auf eine nachgebaute Betreiberseite. Dort werden Kreditkartendaten eingegeben. Teilweise folgt nach einem fehlgeschlagenen ersten Versuch eine Weiterleitung zur echten Internetseite. Dadurch kann der Eindruck entstehen, beim ersten Zahlungsvorgang habe lediglich ein technischer Fehler vorgelegen.
„Ziel ist es, persönliche Daten sowie Zahlungsdaten der Nutzer zu erlangen.“
(Polizeipräsidium Mainz, Pressemitteilung zum Vorfall in Schwabenheim vom 12. März 2026)
Diese Warnzeichen sprechen für einen manipulierten QR-Code
Vor dem Scannen sollten Fahrer nicht nur den Code selbst, sondern den gesamten Aufkleber und die Angaben an der Ladestation prüfen. Ein professioneller Druck oder das Logo eines bekannten Unternehmens beweisen nicht, dass der Code echt ist.
Besonders verdächtig sind:
- ein Aufkleber, dessen Ränder über einem weiteren Etikett liegen;
- sichtbare Klebereste, Luftblasen, Farbunterschiede oder ein ungewöhnlich dicker Aufdruck;
- ein Betreibername auf dem Aufkleber, der nicht mit dem Namen an der Säule, im Display oder in der Lade-App übereinstimmt;
- eine Internetadresse mit zusätzlichen Wörtern, Bindestrichen, Buchstabendrehern oder einer fremden Domain;
- eine Zahlungsseite, die ungewöhnlich hohe Beträge, zusätzliche persönliche Angaben oder eine sofortige Freigabe verlangt;
- eine Fehlermeldung nach der ersten Eingabe, obwohl bereits Kreditkartendaten übermittelt wurden.
Im Schwabenheimer Fall war auf dem QR-Code „RWE“ angegeben, während die Ladestation tatsächlich von EWR betrieben wurde. Gerade solche Abweichungen zwischen Säule, Display, Betreiberlogo und Webseite sind ein konkretes Warnsignal.
Die Verbraucherzentrale weist außerdem darauf hin, dass Satzzeichen innerhalb einer Internetadresse entscheidend sind. Eine Adresse wie anbieter.de/laden gehört zur Domain anbieter.de. Eine Konstruktion wie anbieter.de-laden.com führt dagegen zur Domain de-laden.com und kann von einem völlig anderen Betreiber kontrolliert werden.
Ein Schloss-Symbol oder eine Adresse mit https:// reichen ebenfalls nicht als Echtheitsnachweis. Auch betrügerische Webseiten können verschlüsselte Verbindungen und gültige Zertifikate verwenden. Entscheidend ist, ob die vollständige Domain exakt dem offiziellen Internetauftritt des Ladeanbieters entspricht.
Sicher bezahlen, ohne den Aufkleber zu scannen
Der zuverlässigste Schutz besteht darin, einen außen angebrachten QR-Code nicht als einzige Zahlungsoption zu verwenden. Viele Ladestationen lassen sich über eine bereits installierte App, eine Ladekarte, eine Bankkarte oder einen dynamischen Code auf dem Display aktivieren.
Der ADAC und die Verbraucherzentrale empfehlen insbesondere folgende Vorgehensweisen:
- Die offizielle Lade-App direkt über das Smartphone öffnen, statt sie über einen QR-Code aufzurufen.
- Einen QR-Code im fest eingebauten Display der Ladestation einem aufgeklebten Code vorziehen.
- Eine vorhandene Lade- oder Roamingkarte verwenden.
- An Säulen mit Kartenterminal direkt per Debit- oder Kreditkarte bezahlen.
- Die offizielle Internetadresse des Betreibers manuell im Browser eingeben.
„Verfügt die Ladesäule über ein Display, sollte der Code von dort gescannt werden.“
(Verbraucherzentrale, Warnhinweis zu falschen QR-Codes an E-Ladesäulen)
Wer keine App besitzt, sollte zunächst den Betreiber der Station identifizieren. Name und Servicenummer befinden sich üblicherweise direkt an der Säule. Anschließend kann die offizielle Webseite über eine selbst eingegebene Adresse oder eine vertrauenswürdige App aufgerufen werden. Suchmaschinenanzeigen sind dafür weniger geeignet, weil auch manipulierte oder irreführende Treffer oberhalb der regulären Suchergebnisse erscheinen können.
Der ADAC fordert Betreiber auf, ihre Bezahlsysteme widerstandsfähiger gegen Manipulationen zu gestalten. Als mögliche Lösungen nennt der Automobilclub dynamische QR-Codes auf Displays und Kartenterminals für die Direktzahlung. Ein statischer Aufkleber lässt sich dagegen vergleichsweise leicht überdecken oder austauschen.
„Die Ladestationsbetreiber [sind] aufgefordert, die Bezahllösungen möglichst betrugssicher zu gestalten.“
(ADAC, Sicherheitshinweis zu Quishing an Ladesäulen)
Was nach der Eingabe von Kreditkartendaten zu tun ist
Wer Daten auf einer verdächtigen Seite eingegeben hat, sollte nicht auf eine tatsächliche Abbuchung warten. Die Kredit- oder Debitkarte muss unverzüglich über die Bank oder den Sperr-Notruf 116 116 gesperrt werden. Zusätzlich sollten Nutzer ihre Bank über den möglichen Datendiebstahl informieren und bereits vorgemerkte sowie abgeschlossene Buchungen kontrollieren.
Danach sind Beweise zu sichern:
- Internetadresse und geöffnete Zahlungsseite als Screenshot speichern;
- Standort, Nummer und Betreiber der Ladestation notieren;
- den manipulierten Aufkleber fotografieren, ohne ihn abzureißen;
- Uhrzeit, eingegebene Daten und angezeigte Beträge festhalten;
- den Vorfall bei der Polizei und beim Betreiber der Ladestation melden.
Wurde eine Zahlung bereits ausgeführt, sollte sie gegenüber der Bank ausdrücklich als nicht autorisiert beanstandet werden. Eine bloße Kartensperre verhindert weitere Belastungen, klärt aber nicht automatisch bereits erfolgte Transaktionen.
Auch Passwörter müssen geändert werden, falls auf der Seite Zugangsdaten eingegeben wurden. Wurde dasselbe Passwort bei weiteren Diensten verwendet, sind diese Konten ebenfalls betroffen. Die Verwendung identischer Passwörter erleichtert Tätern den Zugriff auf zusätzliche Kunden-, E-Mail- oder Zahlungsprofile.
Ein abgebrochener oder scheinbar fehlgeschlagener Ladevorgang bedeutet nicht, dass keine Daten übertragen wurden. Bereits mit dem Absenden eines Formulars können Kreditkarten- und Kontaktdaten bei den Tätern angekommen sein.
Polizeifall zeigt eine typische Unstimmigkeit
Der Vorfall in Schwabenheim verdeutlicht, warum der Betreibername vor jeder Zahlung kontrolliert werden sollte. Der QR-Aufkleber trug nach Angaben der Polizei den Namen RWE, die Säule gehörte jedoch zu EWR. Erst nach dem Scan gelangte der Fahrer auf die Phishing-Seite. Anschließend wurde versucht, seine Kreditkarte unberechtigt zu belasten.
Die Polizei informierte den tatsächlichen Betreiber, nahm Ermittlungen auf und sicherte Spuren an der Ladestation. Zum Zeitpunkt der Mitteilung waren den Ermittlern keine weiteren gleichgelagerten Fälle an dieser Säule bekannt.
Für E-Auto-Fahrer ergibt sich daraus eine klare Prüfreihenfolge: Betreiber an der Säule feststellen, Aufkleber auf Manipulationsspuren kontrollieren, vollständige Internetadresse lesen und nach Möglichkeit eine bekannte App, Ladekarte oder direkte Kartenzahlung verwenden. Weichen Betreibername, Domain oder angezeigter Zahlbetrag voneinander ab, darf die Zahlung nicht freigegeben werden.
Sie können dies und weitere nützliche Informationen auf unserer Website nachlesen. Wir empfehlen Ihnen außerdem die Lektüre folgender Artikel: iPhone zeigt „Abrechnungsproblem beim vorherigen Kauf“: So werden kostenlose Apps wieder freigeschaltet
