Achtung vor Fake-Versandmails!

Du hast nichts bestellt und trotzdem eine Bestellbestätigung im Postfach? Oder eine Versandmail mit dem Hinweis: „Zustellung nicht möglich” oder  “Bitte Adresse bestätigen“?
Neu (und gerade auf dem Vormarsch) sind QR-Codes auf Benachrichtigungskarten im Briefkasten und Paket-Links per WhatsApp. Die Polizei warnt derzeit besonders vor der QR-Code-Variante, Quishing genannt.  Der Trick dahinter ist immer ähnlich: Erst wird Stress erzeugt (Paket! Frist! Gebühr!). Und nach nur einem Klick landet man auf einer täuschend echten Seite mit der Bitte um einen schnellen Login.
Wie du Fake-Bestellbestätigungen (Fake Delivery Scams) erkennst und was zu tun ist, wenn du bereits in die Falle getappt bist:

Was sind Fake Delivery Scams?

Der Begriff “Fake Delivery Scams” umfasst verschiedene Betrugsvarianten, die sich gegenseitig verstärken. Das Ziel ist immer das gleiche: Mit Zeitdruck werden Empfängerinnen und Empfänger genötigt, auf einen Link zu klicken und dort persönliche Daten weiterzugeben oder Zahlungen zu leisten. Häufig sind:

• Fake-Bestellbestätigungen: Du sollst stornieren oder ein Abo beenden. Der Klick führt auf eine Phishing-Seite oder lädt Schadsoftware herunter.

• Fake-Versandmails und Fake-Sendungsverfolgung: Du wirst aufgefordert, eine Zustellung zu planen, Zoll/Porto zu zahlen oder deine Adresse zu korrigieren.

• Smishing (SMS-Phishing): Paket-SMS mit Link, Verbraucherzentralen warnen regelmäßig.

• WhatsApp und Messenger: gleiche Story, anderer Kanal. Der Link wirkt privater und wird schneller geöffnet.

• Quishing: QR-Codes auf Briefen oder Benachrichtigungskarten führen auf gefälschte Webseiten.

Warum diese Masche so gut funktioniert

1. Ein Paket erwartet fast jeder: Online-Shopping ist Alltag, eine Paketbenachrichtigung wirkt plausibel.

2. Kleine Beträge als Türöffner: “Nur 1,99 Euro“ klingt harmlos, ist aber der Türöffner zu deinen Kartendaten.

3. Täuschend echte Fake-Seiten: Logos, Layout und Sendungsnummern wirken echt.

4. Kanal-Mix: E-Mail, SMS, WhatsApp, QR-Code im Briefkasten – nach dem Motto: Irgendwas wird schon passen.

5. Zeitdruck: “Frist läuft ab!“, “Nur heute kostenlos abholen!“ forcieren das spontane Klicken.

Die 20-Sekunden-Prüfung: echt oder Fake?

1. Absender prüfen, Link-Check

• E-Mails: die Domain nach dem @ prüfen (und nicht nur den Anzeigenamen). Sieht die URL seltsam aus (Buchstaben-Zahlen-Kombi, oft erst auf den zweiten Blick ersichtliche Tippfehler)?

• SMS und WhatsApp: Unbekannte Nummer, Link und Zeitdruck? Dann Finger weg!

2. Vorsicht bei Zahlungsaufforderungen

• Zoll und DHL warnen immer wieder vor Phishing rund um angebliche Zollgebühren oder Postsendungen.

• Forderungen über anonyme Prepaid-Zahlwege (z. B. Paysafecard) gelten als klares Betrugszeichen.

3. QR-Code (auch auf Papier) ist kein Echtheitsbeweis

• Quishing: Der QR-Code auf Papier wirkt harmlos und täuschend sicher. Es bestehen aktuelle Polizeiwarnungen (Stand 2026).

Was tun, wenn du bereits geklickt, Daten eingegeben oder bezahlt hast?

Sofortmaßnahmen:

1. Zahlung stoppen: Kontaktiere umgehend deine Bank oder den Kartenanbieter, lass die Karte sperren und starte ggf. einen Chargeback.

2. Passwörter ändern: Zuerst beim E-Mail-Postfach (weil hierüber Passwort-Resets laufen), dann bei betroffenen Accounts.

3. Apps prüfen: Besonders bei Android: Gerät prüfen, verdächtige Apps löschen, im Zweifel Werksreset durchführen.

4. Beweise sichern: Screenshot, Absender, Uhrzeit, Link/QR-Code.

5. Melden statt nur löschen: Unerwünschte SMS/Messenger-Spam bei der Bundesnetzagentur melden. Verdächtige DHL/Deutsche-Post-Mails an phishing@dhl.com weiterleiten (als Anhang, wenn möglich).

Fazit:

Auch wenn solche Fake-Benachrichtigungen auf allen Kanälen immer raffinierter werden: Mit ein wenig Aufmerksamkeit und den richtigen Prüfungen ist Schutz sehr gut möglich. Das Wichtigste: Links nie spontan öffnen.

Weitere Infos und Hilfestellen:

• Bundesnetzagentur – Spam melden
• DHL – Phishing erkennen
• Verbraucherzentrale – Aktuelle Warnungen