Phishing im Briefkasten: gefälschte Briefe mit QR-Code

Wenn der Betrug mit der Post kommt

In der Buchhaltung landet jeden Morgen ein Stapel Post. Rechnungen, Mahnungen, eine Abholkarte der Grenze, dazwischen ein Brief mit einem aufgedruckten QR-Code und der Bitte, das Konto zu bestätigen. Papier, Briefmarke, ein sauberes Logo. Wer das in zehn Minuten durch hat, scannt den Code und tippt ein, was verlangt wird.

Genau darauf setzen die Täter. Das Bundesamt für Cybersicherheit (BACS) hat im Wochenrückblick der Woche 33 im August 2026 vor gefälschten Briefen gewarnt, die Krypto-Wallets abgreifen. Schon in der Woche 24 ging es um gefälschte Abhol- und Paketkarten mit QR-Code. Die Masche ist immer dieselbe: Der Brief kommt auf Papier, der Code führt trotzdem auf eine Betrugsseite.

Warum ein Brief gefährlicher ist als eine Mail

Bei E-Mails sind viele inzwischen vorsichtig. Ein komischer Absender, ein Link, der nicht stimmt, und die Mail wandert in den Papierkorb. Diese Reflexe haben wir uns über Jahre antrainiert.

Beim Brief fehlt dieser Reflex. Ein physischer Brief wirkt verbindlich. Jemand hat ihn gedruckt, frankiert und verschickt, das kostet Geld und Mühe, also wird er schon echt sein. Dieser Gedanke ist der ganze Trick. Der QR-Code umgeht zusätzlich den gewohnten Blick auf die Adresszeile, denn Sie sehen die Zieladresse erst, wenn das Handy den Code schon gelesen hat. Und auf dem kleinen Display prüft kaum jemand, ob da wirklich die echte Bankadresse steht.

Dazu kommt der Ort, an dem der Brief landet. In vielen kleinen Firmen bearbeitet eine einzelne Person die Post, oft unter Zeitdruck, oft ohne Rückfrage. Eine angebliche Rechnung vom Hoster, eine Zahlungsaufforderung, eine Paketkarte für eine Lieferung, die man ja tatsächlich erwartet. Das passt zu gut in den Alltag, um Verdacht zu schöpfen.

So sieht die Masche konkret aus

Ein paar Varianten, die aktuell unterwegs sind:

Ein Brief im Namen einer Bank oder eines Krypto-Anbieters verlangt, das Konto über den QR-Code neu zu verifizieren, sonst werde es gesperrt. Die Seite dahinter sieht aus wie das echte Login und fängt Zugangsdaten und Wiederherstellungscodes ab.

Eine gefälschte Abholkarte im Briefkasten behauptet, ein Paket liege bereit, Sie müssten vorher eine kleine Gebühr zahlen oder Daten bestätigen. Der QR-Code führt auf eine nachgebaute Post- oder Zollseite, auf der Sie Ihre Kartendaten eingeben.

Auch Rechnungen für Dienste, die im Hintergrund laufen, sind ein beliebter Aufhänger. Hosting, Domain, ein Abo. Niemand kennt die genaue Fälligkeit auswendig, also wirkt die Forderung plausibel.

Allen gemeinsam ist der Zeitdruck. Es droht eine Sperrung, eine Gebühr, ein Verlust. Sie sollen handeln, bevor Sie nachdenken.

Der eine Satz, der fast immer hilft

Es gibt eine Faustregel, die bei dieser Masche fast immer trägt: Prüfen Sie den Absender auf einem Weg, den Sie selbst kennen, nicht auf dem, den der Brief vorgibt.

Konkret heisst das: Wenn Ihre Bank angeblich etwas von Ihnen will, loggen Sie sich direkt über die gewohnte Adresse oder die App ein. Nicht über den QR-Code. Wenn die Post ein Paket meldet, prüfen Sie die Sendung über die offizielle Tracking-Seite oder die bekannte Nummer. Wenn der Hoster eine Rechnung schickt, öffnen Sie Ihr Kundenkonto direkt im Browser.

Der QR-Code aus einem Brief, den Sie nicht erwartet haben, bleibt ungescannt. So einfach ist das. Ein echtes Anliegen verschwindet nicht, nur weil Sie es auf Ihrem eigenen Weg prüfen statt auf dem vorgegebenen.

Was Sie als Firma tun können

Die grösste Schwachstelle ist nicht die Technik, sondern die Routine in der Postbearbeitung. Dort setzen Sie an.

Sprechen Sie das Thema im Team an, bevor etwas passiert. Viele Mitarbeitende wissen, dass Mails gefährlich sein können, aber niemand hat ihnen gesagt, dass Betrug auch auf Papier kommt. Dieser eine Hinweis verändert, wie jemand den nächsten komischen Brief anschaut.

Legen Sie fest, wer im Zweifel gefragt wird. In einer kleinen Firma reicht ein kurzer Weg: Kommt ein Brief mit Zahlungsaufforderung oder QR-Code, der niemand zuordnen kann, geht er zuerst an die Geschäftsleitung oder an Ihren IT-Partner, bevor jemand reagiert. Diese halbe Minute kostet nichts und verhindert den Schaden.

Behandeln Sie Zahlungsänderungen und Kontobestätigungen immer nach dem Vier-Augen-Prinzip. Eine zweite Person, die nachfragt «woher kommt das eigentlich», ist die billigste Sicherheitsmassnahme überhaupt.

Wenn es doch passiert ist

Angenommen, jemand hat den Code gescannt und Daten eingegeben. Dann zählt Tempo.

Sperren Sie betroffene Karten und Konten sofort über die bekannte Nummer der Bank. Ändern Sie das Passwort des betroffenen Dienstes, und zwar auch überall dort, wo dasselbe Passwort noch im Einsatz ist. Wurde ein Login einer Krypto-Wallet preisgegeben, verschieben Sie das Guthaben umgehend, denn hier ist Geld oft innert Minuten weg. Danach erstatten Sie Anzeige und melden den Vorfall dem BACS über das Meldeformular auf ncsc.admin.ch. Das hilft nicht nur Ihnen, sondern auch dem nächsten Betrieb, der denselben Brief bekommt.

Wichtig ist, dass niemand aus Scham schweigt. Je früher ein Fehler auf dem Tisch liegt, desto mehr lässt sich retten. Eine Firmenkultur, in der man einen Fehlklick melden darf, ohne eine Standpauke zu befürchten, ist mehr wert als jede Schulung.

Checkliste: Betrugsbriefe mit QR-Code

• Unerwarteter Brief mit QR-Code? Code nicht scannen, erst den Absender prüfen.
• Absender immer auf eigenem Weg kontaktieren: bekannte Website, App oder Telefonnummer, nie über die Angaben im Brief.
• Bank-, Konto- oder Zahlungsbestätigungen grundsätzlich direkt im Kundenkonto einloggen, nicht über den Code.
• Zeitdruck und Drohungen («Konto wird gesperrt») als Warnsignal werten.
• Festlegen, wer im Zweifel gefragt wird, bevor jemand reagiert.
• Vier-Augen-Prinzip bei Zahlungen und Kontoänderungen, auch bei Post auf Papier.
• Team darauf hinweisen, dass Betrug nicht nur per Mail, sondern auch im Briefkasten kommt.
• Im Schadenfall: Karte und Konto sofort sperren, Passwörter ändern, Anzeige erstatten, dem BACS melden.