Du hast nichts bestellt und trotzdem eine Bestellbestätigung im Postfach? Oder eine Versandmail mit dem Hinweis: „Zustellung nicht möglich” oder “Bitte Adresse bestätigen“?
Neu (und gerade auf dem Vormarsch) sind QR-Codes auf Benachrichtigungskarten im Briefkasten und Paket-Links per WhatsApp. Die Polizei warnt derzeit besonders vor der QR-Code-Variante, Quishing genannt. Der Trick dahinter ist immer ähnlich: Erst wird Stress erzeugt (Paket! Frist! Gebühr!). Und nach nur einem Klick landet man auf einer täuschend echten Seite mit der Bitte um einen schnellen Login.
Wie du Fake-Bestellbestätigungen (Fake Delivery Scams) erkennst und was zu tun ist, wenn du bereits in die Falle getappt bist:
Der Begriff “Fake Delivery Scams” umfasst verschiedene Betrugsvarianten, die sich gegenseitig verstärken. Das Ziel ist immer das gleiche: Mit Zeitdruck werden Empfängerinnen und Empfänger genötigt, auf einen Link zu klicken und dort persönliche Daten weiterzugeben oder Zahlungen zu leisten. Häufig sind:
Fake-Bestellbestätigungen: Du sollst stornieren oder ein Abo beenden. Der Klick führt auf eine Phishing-Seite oder lädt Schadsoftware herunter.
Fake-Versandmails und Fake-Sendungsverfolgung: Du wirst aufgefordert, eine Zustellung zu planen, Zoll/Porto zu zahlen oder deine Adresse zu korrigieren.
Smishing (SMS-Phishing): Paket-SMS mit Link, Verbraucherzentralen warnen regelmäßig.
WhatsApp und Messenger: gleiche Story, anderer Kanal. Der Link wirkt privater und wird schneller geöffnet.
Quishing: QR-Codes auf Briefen oder Benachrichtigungskarten führen auf gefälschte Webseiten.
Ein Paket erwartet fast jeder: Online-Shopping ist Alltag, eine Paketbenachrichtigung wirkt plausibel.
Kleine Beträge als Türöffner: “Nur 1,99 Euro“ klingt harmlos, ist aber der Türöffner zu deinen Kartendaten.
Täuschend echte Fake-Seiten: Logos, Layout und Sendungsnummern wirken echt.
Kanal-Mix: E-Mail, SMS, WhatsApp, QR-Code im Briefkasten – nach dem Motto: Irgendwas wird schon passen.
Zeitdruck: “Frist läuft ab!“, “Nur heute kostenlos abholen!“ forcieren das spontane Klicken.
E-Mails: die Domain nach dem @ prüfen (und nicht nur den Anzeigenamen). Sieht die URL seltsam aus (Buchstaben-Zahlen-Kombi, oft erst auf den zweiten Blick ersichtliche Tippfehler)?
SMS und WhatsApp: Unbekannte Nummer, Link und Zeitdruck? Dann Finger weg!
Zoll und DHL warnen immer wieder vor Phishing rund um angebliche Zollgebühren oder Postsendungen.
Forderungen über anonyme Prepaid-Zahlwege (z. B. Paysafecard) gelten als klares Betrugszeichen.
Quishing: Der QR-Code auf Papier wirkt harmlos und täuschend sicher. Es bestehen aktuelle Polizeiwarnungen (Stand 2026).
Zahlung stoppen: Kontaktiere umgehend deine Bank oder den Kartenanbieter, lass die Karte sperren und starte ggf. einen Chargeback.
Passwörter ändern: Zuerst beim E-Mail-Postfach (weil hierüber Passwort-Resets laufen), dann bei betroffenen Accounts.
Apps prüfen: Besonders bei Android: Gerät prüfen, verdächtige Apps löschen, im Zweifel Werksreset durchführen.
Beweise sichern: Screenshot, Absender, Uhrzeit, Link/QR-Code.
Melden statt nur löschen: Unerwünschte SMS/Messenger-Spam bei der Bundesnetzagentur melden. Verdächtige DHL/Deutsche-Post-Mails an phishing@dhl.com weiterleiten (als Anhang, wenn möglich).