Zur Weihnachtszeit schnellen nicht nur die Paketmengen in die Höhe – auch Cyberkriminelle fahren ihre Aktivitäten hoch. Besonders perfide: Gefälschte DHL-Abholscheine mit QR-Codes, die auf Phishing-Seiten führen. Wer rechtzeitig Warnzeichen erkennt, kann sich vor Datenklau und finanziellen Schäden schützen.
Moderne Betrugsmasche mit vertrautem Look
In der Vorweihnachtszeit herrscht Hochbetrieb bei Logistikdienstleistern – diese Dynamik nutzen Betrüger verstärkt aus. Seit Ende 2023 häufen sich laut dem Bundesamt für Sicherheit in der Informationstechnik (BSI) und der Verbraucherzentrale gemeldete Fälle vermeintlicher DHL-Abholscheine, die in Hausfluren, Briefkästen oder per E-Mail auftauchen. Der Clou: Ein scheinbar offizieller QR-Code, der auf eine gefälschte Tracking-Webseite führt – optisch identisch mit dem Original.
Opfer werden meist dazu aufgefordert, über den QR-Code ein druckfrisches Etikett herunterzuladen, ein „ausstehendes Porto“ zu bezahlen oder angeblich fehlende persönliche Daten zu ergänzen. Dabei geben sie unwissentlich Kreditkartendaten, Passwörter oder vollständige Identitätsdaten preis – mit potenziell verheerenden Folgen.
Phishing 2.0 – Wie Cyberkriminelle QR-Codes einsetzen
Die Nutzung von QR-Codes in Phishing-Angriffen – sogenanntes „Quishing“ – ist keine neue Erscheinung, aber sie nimmt in ihrer Raffinesse zu. Eine Untersuchung des Sicherheitsunternehmens Cofense zeigt, dass Quishing-Attacken 2023 um mehr als 66 % gegenüber dem Vorjahr zugenommen haben. Besonders tückisch ist dabei, dass Sicherheitsmechanismen vieler E-Mail-Provider nicht auf QR-Codes innerhalb von Bildern oder PDFs reagieren.
Der Versand physischer Zettel – wie vermeintliche DHL-Benachrichtigungen – stellt eine weitere Eskalationsstufe dar: Hier umgehen Betrüger sämtliche digitalen Spamfilter. Der QR-Code auf dem Papier verweist beispielsweise auf Domains mit leicht abgewandelter Schreibweise wie „dhi-parcel-de.com“ statt „dhl.de“ – ein Detail, das vielen Empfängern im Vorweihnachtsstress entgeht.
Warum gerade zur Weihnachtszeit?
Zwischen Mitte November und Anfang Januar transportiert DHL nach eigenen Angaben über 11 Millionen Pakete pro Tag – fast doppelt so viele wie im Jahresdurchschnitt. In dieser Hochsaison fällt es vielen schwer, den Überblick über legitime Paketbenachrichtigungen, Sendungsverfolgungen, Lieferdienste und Retouren zu behalten.
„Cyberkriminelle verstehen es zunehmend besser, psychologische Druckpunkte auszunutzen – Zeitdruck, Erwartungshaltung, Stress“, erklärt Dr. Heidi Rohde, IT-Forensikerin bei der Polizei NRW. „Wer beispielsweise sehnsüchtig auf ein Geschenkpaket wartet, scannt einen QR-Code eher, ohne zu hinterfragen.“
Konkrete Angriffsmethoden und Täuschungstaktiken
Typische Merkmale gefälschter Abholscheine sind:
- Fehlender DHL-Branding-Standard: z. B. falsches Logo, schwache Druckqualität oder leicht abweichende Schriftarten.
- Unerwartete Kostenforderungen wie „Versandgebühr in Höhe von 2,99 € nachzahlen“.
- QR-Code-Adressen, die auf unbekannte Domainendungen (.xyz, .click, .shop) oder Subdomains verweisen.
- Fehlende Sendungsnummer oder ein allgemein gehaltener Text ohne Angabe von Absender oder Paketinhalt.
- Aufruf zur Eingabe sensibler Informationen: Name, Adresse, Kreditkarten- oder Kontodaten.
Technisch nutzen Betrüger dynamische QR-Codes, deren Ziel-URLs sich über Cloud-Links später verändern lassen. Dadurch bleibt der Server zunächst harmlos, um Domain-Prüfungen zu umgehen, und wird erst später zur Phishing-Seite umgeleitet.
Statistiken belegen hohes Risiko für Endnutzer
Der Branchenverband Bitkom warnte bereits im Oktober 2024 davor, dass 67 % der befragten Internetnutzer in Deutschland mindestens einmal im Jahr von Phishing betroffen sind – über ein Drittel davon via gefälschte Paketbenachrichtigungen. Die Sicherheitsfirma Kaspersky analysierte im Dezember 2024 über 10 Millionen Quishing-Versuche weltweit. Deutschland zählte mit rund 980.000 Angriffen zu den europäischen Hotspots.
Wie lassen sich Betrugsversuche zuverlässig erkennen?
Zwar sind die gefälschten Zettel oft gut gemacht, dennoch gibt es eine Reihe klarer Warnzeichen. Wer folgende Hinweise beachtet, kann sich effektiv schützen:
- Durch direkten Abgleich verifizieren: Keine Informationen über QR-Codes eingeben. Stattdessen offizielle Paketnummer in der DHL-App oder auf dhl.de manuell prüfen.
- Absender prüfen: Kam es kürzlich zu einem Einkauf, einer Rücksendung oder Paketbestellung? Falls nicht, misstrauisch bleiben.
- Domain analysieren: Unseriöse oder ungewöhnliche URLs vermeiden – besonders bei .top, .click, .xyz, .store oder bei fremdsprachiger Gestaltung.
Auch die Rückverfolgung einer IP-Adresse, ein WHOIS-Abfrage der Domain oder das Scannen mit spezialisierten Apps wie QR Scanner by Trend Micro kann helfen, verdächtige QR-Codes zu entlarven.
Was tun im Ernstfall?
Wenn bereits persönliche Daten übermittelt wurden, gilt: Schnell reagieren. Kreditkarten oder Bankkontozugriffe sofort sperren und Betrugsverdacht der Bank sowie der Polizei melden. Die Rufnummer 116 116 hilft beim Sperren sämtlicher Bankdaten. Zusätzlich können betroffene Kunden sich an den DHL-Kundenservice oder an verbraucherschutz.de wenden.
Auch Unternehmen sollten im Rahmen ihres Sicherheitskonzepts konkrete Anleitungen für Mitarbeitende bereitstellen – insbesondere bei Versand- und Lagerpersonal. Neben Awareness-Trainings empfiehlt sich der Einsatz von Mobile Security-Lösungen, um QR-Code-Scans zu überwachen.
Präventionsmaßnahmen: So verhält man sich richtig
- Misstrauen bei QR-Codes üben: QR-Codes niemals direkt scannen – insbesondere nicht bei unklarer Herkunft oder auf Zetteln in öffentlichen Bereichen.
- Nur offizielle Apps und Websites nutzen: Für DHL ausschließlich die Apps „Post & DHL“ oder die Webseite www.dhl.de zur Sendungsabfrage nutzen. Keine Drittanbieter-Webseiten.
- Über Sicherheitsvorfälle informieren: Portale wie heise.de/security, BSI.de und verbraucherzentrale.de regelmäßig prüfen, um aktuelle Betrugsmethoden zu erkennen.
Fazit: Aufmerksam bleiben und andere informieren
Gefälschte DHL-Abholscheine mit betrügerischen QR-Codes sind eine ernstzunehmende Bedrohung – gerade zur Weihnachtszeit. Die Kombination aus Stress, hoher Paketfrequenz und raffiniertem Social Engineering macht es Betroffenen oft schwer, seriöse von gefälschten Zustellversuchen zu unterscheiden.
Jeder Nutzer kann mit einem kritischen Blick und dem richtigen Wissen viel zur eigenen Sicherheit beitragen. Teilen Sie diesen Artikel mit Freunden, Kollegen oder Ihrer Familie – denn Aufklärung ist der wirksamste Schutz vor digitalem Betrug in der Geschenkesaison.
