Zwei aktuelle Maschen: manipulierte, aber echte PayPal-Mails mit gefälschtem Betreff und gefälschte QR-Codes an Parkuhren, Speisekarten und Kassen. Mehr als jede zehnte Person in Deutschland war im letzten Jahr Opfer einer Straftat im Internet.

Was ist passiert?

Betrüger:innen senden sich über PayPal minimale Beträge, etwa 0,0025 Euro in ungarischen Forint, und lösen damit eine echte PayPal-Bestätigungsmail aus. Diese fangen sie ab und ändern den Betreff, zum Beispiel zu „Ausstehende Belastung von 987,90 USD, rufen Sie diese Nummer bei Fragen an“. Die Nummer führt direkt zu den Betrüger:innen und zielt darauf ab Daten abzugreifen.

Parallel dazu kleben Kriminelle gefälschte QR-Codes über echte, etwa an Parkuhren oder auf Speisekarten. Gerade auf Mallorca scheint das, laut der spanischen Polizei, eine neue und gängige Betrugsmasche zu sein. Der Code führt dann zu einer Fake-Zahlungsseite, die der echten täuschend ähnlich sieht. Für sorglose Urlauber:innen eine ernstzunehmende Gefahr. Diese Art des Betrugs nennt sich „Quishing“, und ist eine Form des Phishings, allerdings über QR-Code, anstatt über E-Mail.

Wie funktioniert der Betrug?

Der Trick bei der PayPal-Mail ist sogar für vorsichtige Menschen schwer zu durchschauen. Die Mail selbst ist echt und kommt tatsächlich von PayPal, nur der Betreff ist gefälscht. Wer die Nummer aus dem Betreff anruft, wird am Telefon unter Druck gesetzt und mit einer Rückerstattung geködert, um Kontodaten preiszugeben oder Fernzugriff zu gewähren.

Beim Quishing ist entscheidend, dass Opfer selbst aktiv werden: Sie geben ihre Daten ein und überweisen direkt, anders als bei klassischem Phishing per Link in einer E-Mail. Das macht eine Rückerstattung schwieriger, da Banken bei grober Fahrlässigkeit nicht ersetzungspflichtig sind. Beide Maschen nutzen dieselben Grundmechanismen: ein Moment der Ablenkung oder Entspannung (z. B. im Urlaub), Zeitdruck und der Anschein von Vertrautheit oder Seriosität.

Warum ist das relevant?

Phishing war 2025 das häufigste Einfallstor für Cyberkriminalität in der EU. Beide hier beschriebenen Maschen zeigen, dass sich Betrug nicht mehr zuverlässig an offensichtlichen Fehlern erkennen lässt. Die PayPal-Mail ist technisch echt, gefälschte QR-Codes und Fake-Webseiten können nahezu perfekt wirken. Wachsamkeit muss deshalb über den ersten Blick hinausgehen, weswegen Expert:innen sogar raten grundsätzlich misstrauisch zu sein.