In diesem Artikel
Irgendwo auf einer Terrasse, in einer Food Hall oder an einem Fenstertisch klebt heute jemand einen Sticker über einen QR-Code, der schon da war. Diesmal nicht auf einem Parkautomaten — sondern auf dem Code, mit dem Ihre Gäste die Speisekarte öffnen, bestellen oder die Rechnung bezahlen. Die Frage ist nicht, ob das passieren kann. Die Frage ist, wie oft es schon passiert, warum es kaum jemandem auffällt, und was es wirklich kostet, verglichen mit dem, was die Lösung kostet.
Vor vier Jahren hatte fast kein Restaurant einen QR-Code auf dem Tisch. Heute hat die Mehrheit mindestens einen: für die Speisekarte, für die Bestellung, und bei immer mehr Betrieben auch für die Rechnung. Dieser Wandel vollzog sich rasend schnell, und dabei hat sich fast niemand eine einfache Frage gestellt: Woher weiß ein Gast eigentlich, dass der Sticker, den er scannt, wirklich Ihrer ist?
Die ehrliche Antwort: Das weiß er nicht. Ein QR-Code ist ein schwarz-weißes Muster ohne erkennbaren Absender — kein Logo, keine Adresszeile zum Prüfen, kein „stimmt das wirklich?“-Gefühl wie bei einem verdächtigen Link in einer E-Mail. Genau das macht ihn zum perfekten Ziel für das, was Cybersicherheitsforscher „Quishing“ nennen: QR-Code plus Phishing.
In diesem Artikel geht es nicht um die Vorteile der QR-Bestellung — die sind an anderer Stelle auf dieser Website bereits ausführlich behandelt, und sie sind real. Es geht darum, was passiert, wenn jemand anderes als Sie einen Sticker auf Ihren eigenen Tisch klebt — das physische Gegenstück zum bestehenden Leitfaden dieser Website zur Cybersicherheit, der die Absicherung Ihrer eigenen Systeme behandelt: Dies hier ist der Angriff, der weder Ihr WLAN noch Ihr Kassensystem trifft, sondern nur das Stück Papier auf Tisch 4.
Sieben Zahlen, in dieser Reihenfolge: warum dieses Problem erst jetzt entsteht, wie der Austausch in der Praxis aussieht, warum Ihre Gäste ihn nicht bemerken, was ein gescannter Sticker im Schnitt kostet, die Rechnung, die es für einen Betrüger lohnend macht, was Polizei und Behörden dazu schon sagen, und die Lösung, die fast nichts kostet.
Warum „es ist doch nur ein Aufkleber“ das Problem am Leben hält
Die meisten Betriebe haben keinerlei Routine, um ihre eigenen QR-Codes zu prüfen — aus demselben Grund wie beim Zechpreller, der nie zahlt: Es wurde nie ausdrücklich durchdacht. Ein Sticker wird bei der Eröffnung einmal aufgeklebt, und danach schaut niemand mehr hin — außer wenn er sich löst oder verschmutzt.
Genau in diesem Zeitfenster lebt dieser Betrug. Ein Ersatz-Sticker, in derselben Farbe und ungefähr demselben Format wie das Original, fällt während eines belebten Service niemandem auf — nicht dem Gast, nicht dem Kellner, der mit vier Tellern gleichzeitig vorbeiläuft, und nicht dem Inhaber, der den Laden führt, statt jeden Tisch zu inspizieren.
Der Rest dieses Artikels baut auf dem auf, was wirklich bekannt ist: warum diese Angriffsfläche erst jetzt existiert, wie der Austausch in der Praxis aussieht, was es kostet, wenn es schiefgeht, und die eine Gewohnheit, die das Risiko am schnellsten senkt — kein neues System, sondern ein QR-Code, der sich nicht einfach austauschen lässt.
Kostenloser Leitfaden Alles Digitale für Ihren Betrieb, in einem Leitfaden Von QR-Bestellung bis Cybersicherheit — der vollständige Leitfaden zur digitalen Seite Ihres Restaurants. Leitfaden lesen7 Zahlen, die die meisten Betriebe nie nachgeschlagen haben
Jede dieser Zahlen steht für sich und stammt aus einer offiziellen Quelle oder einer veröffentlichten Studie — keine davon ist eine eigene Schätzung dieser Website. Zusammen erklären sie, warum ein QR-Sticker keine Dekoration ist, sondern ein Stück Zahlungsinfrastruktur, das genauso viel Aufmerksamkeit verdient wie Ihr Kassensystem.
1. Warum dieses Problem erst jetzt entsteht
Vor 2020 gab es diese Angriffsfläche kaum: QR-Codes auf Restauranttischen waren eine Kuriosität, keine Infrastruktur. Das hat sich geändert. Weltweit arbeitet heute 75 % der Restaurants mit einem QR-Code für Speisekarte, Bestellung oder Bezahlung — ein Wandel, der sich in weniger als fünf Jahren vollzog.
Jeder QR-Code, den Sie hinzufügen, ist ein weiteres Stück Vertrauen, das Sie von einem Gast verlangen, ohne dass er prüfen kann, wohin es führt. Bei einem einzigen Sticker auf dem Tisch ist das ein begrenztes Risiko. Bei einer Speisekarte, einem Bestellbutton und einem Zahlungslink sind es drei separate Gelegenheiten, die sich ein Betrüger greifen kann.
Das ist kein Grund, auf QR-Codes zu verzichten — der Komfort und die Kostenersparnis sind real, und diese Website hat das an anderer Stelle bereits behandelt. Es ist aber der Grund, warum sich der Rest dieses Artikels lohnt: Die Angriffsfläche ist neu, und in den meisten Betrieben sind die Gewohnheiten, sie abzusichern, es noch nicht.
Vier Zahlen aus jeweils einer anderen Quelle — zusammen der Grund, warum ein QR-Sticker heute ein attraktiveres Ziel ist als noch vor fünf Jahren.
Quellen: KeepNet Labs / CNBC (Juli 2025) für die Wachstums- und Erkennungszahlen; QR-Nutzungszahlen aus Branchenstudien zur QR-Nutzung in Restaurants, 2025.
2. Wie der Austausch in der Praxis aussieht
Die Methode ist auffallend simpel, und genau das macht sie so wirksam: Ein Betrüger druckt einen Sticker mit einem eigenen QR-Code, in etwa derselben Größe und auf ähnlichem Material wie das Original, und klebt ihn einfach über den vorhandenen Code. Kein Einbruch, keine technischen Kenntnisse Ihrer Systeme nötig — nur so viel Zugang zum Tisch, wie es braucht, um einen Sticker aufzukleben.
Die belgische Bundespolizei warnte ausdrücklich davor, nachdem Parkautomaten in Brüssel auf genau diese Weise angegriffen wurden: ein Fake-Sticker über dem echten QR-Code, der Nutzer auf eine gefälschte Zahlungsseite umleitete. Die US-amerikanische FTC und das NYC Department of Transportation gaben nahezu identische Warnungen heraus, nachdem ähnliche Vorfälle an Parkuhren und Ladesäulen für Elektrofahrzeuge auftraten.
Restauranttische stehen auf derselben Liste möglicher Ziele, zusammen mit Speisekarten, Plakaten und Zahlungsterminals — überall dort, wo ein QR-Code eine Weile unbeaufsichtigt hängen kann. Der Mechanismus ist immer derselbe: Der Gast scannt, was er für das Original hält, und landet auf einer Seite, die genauso aussieht.
3. Warum Ihre Gäste es nicht sehen
Ein QR-Code zeigt sein Ziel nicht, bevor Sie scannen. Bei einem Link in einer E-Mail können Sie mit der Maus darüberfahren und die echte URL sehen — bei einem schwarz-weißen Quadrat auf einem Sticker geht das schlicht nicht. Das Smartphone vertraut zudem einem Link, der über die Kamera geöffnet wird, schneller als demselben Link in einer E-Mail — gerade weil das Scannen eines QR-Codes sich wie eine physische, „sichere“ Handlung anfühlt.
Eine von CNBC anhand von FBI-, FTC- und Behördendaten analysierte Studie zum Verbraucherverhalten bei Quishing zeigt, dass nur 39 % der Menschen einen manipulierten QR-Code erkennen, bevor sie ihn scannen. Anders gesagt: 61 % sehen keinerlei Unterschied zwischen Ihrem echten Sticker und dem, den jemand darübergeklebt hat.
Das liegt nicht an unaufmerksamen Gästen. Ein Sticker, der identisch aussieht, an derselben Stelle sitzt und dasselbe „scann mich“-Gefühl vermittelt, ist genau darauf ausgelegt, dieses Vertrauen auszunutzen — bei einem aufmerksamen Gast ebenso gut wie bei einem hastigen.
4. Was ein gescannter Sticker im Schnitt kostet
Scannt ein Gast den Fake-Code, passiert eines von zwei Dingen. Die Seite sieht aus wie ein Zahlungsbildschirm und fragt Kartendaten ab, die direkt beim Betrüger landen — die Rechnung wird also nie bei Ihnen bezahlt, während der Gast glaubt, er habe bezahlt. Oder die Seite ahmt Ihre Speisekarte oder Ihr Bestellsystem nach und sammelt im Hintergrund Zugangsdaten oder persönliche Informationen, die später für Identitätsdiebstahl genutzt werden.
Eine Analyse von CNBC anhand von FBI-, FTC- und Behördendaten (Juli 2025) beziffert den durchschnittlichen Verlust pro Quishing-Opfer auf 1.225 $ — umgerechnet etwa 1.208 €. Das ist der Betrag pro erfolgreichem Scan, nicht pro Betrieb: Ein einziger anfälliger Tisch kann mehrfach getroffen werden, bevor es jemandem auffällt.
Für Ihren Betrieb ist der Schaden doppelt. Die Rechnung, die über die Fake-Seite „bezahlt“ wurde, landet nie auf Ihrem Konto — und der Gast, der sich betrogen fühlt, gibt Ihnen die Schuld, nicht dem Betrüger, der den Sticker geklebt hat. Dieser zweite Teil, das Vertrauen des Gastes, steht in keiner Buchhaltung, wiegt aber oft am schwersten.
5. Die Rechnung, die es für einen Betrüger lohnend macht
Einen Fake-Sticker zu drucken und zu laminieren kostet einen Betrüger kaum mehr als ein paar Euro — dasselbe Material und denselben Drucker wie für einen echten Sticker. Gegenüber einem durchschnittlichen Verlust von über tausend Euro pro erfolgreichem Scan ist das eine Rendite, die kaum eine andere Betrugsform erreicht.
Diese Rechnung erklärt auch, warum Quishing so rasant wächst. Laut Zahlen des Cybersicherheitsunternehmens KeepNet Labs, zitiert von CNBC, stieg die Zahl der Quishing-Angriffe seit 2023 um 587 % — vom FBI selbst als die am schnellsten wachsende Phishing-Form eingestuft. Gleichzeitig werden inzwischen 26 % aller bösartigen Links über einen QR-Code verschickt, nicht mehr über eine klassische Phishing-E-Mail.
Für einen Betrüger ist ein Tisch-QR-Code in einem Restaurant genau das richtige Ziel: billig zu fälschen, schwer vom Original zu unterscheiden, und garantiert, dass ihn während eines einzigen Service mehrere Personen scannen.
Was der Betrug einen Kriminellen kostet, gegenüber dem, was er ein Opfer kostet — dazwischen irgendwo der Schutz.
Der letzte Balken ist der durchschnittliche Verlust pro erfolgreichem Quishing-Scan (CNBC, Juli 2025), umgerechnet in Ihre eigene Währung. Die ersten beiden sind illustrative Größenordnungsbeträge, keine exakte Preisliste.
6. Was Polizei und Behörden dazu schon sagen
Das ist kein hypothetisches Szenario, das diese Website erfindet — es ist ein Problem, das Behörden ausdrücklich anerkennen. Das US-amerikanische FBI warnte erstmals im Januar 2022 vor Kriminellen, die QR-Codes manipulieren, um Opfer auf bösartige Websites umzuleiten, und wiederholte diese Warnung seither mehrfach, zuletzt 2025.
Näher an der Heimat warnte die belgische Bundespolizei ausdrücklich vor „Quishing“, nachdem Parkautomaten in Brüssel auf diese Weise angegriffen wurden, und der FOD Economie (die belgische Behörde für Wirtschaftsangelegenheiten) veröffentlichte eine eigene Verbraucherseite zu QR-Codes, die genutzt werden, um eine Rechnung „zu bezahlen“. Beide Stellen nennen Restauranttische, Parkuhren und Zahlungsterminals in einem Atemzug als gefährdete Orte.
Dieses Maß an behördlicher Anerkennung ist selbst eine bemerkenswerte Zahl: Wenn sowohl das US-amerikanische FBI als auch die belgische Bundespolizei unabhängig voneinander exakt dieselbe Methode beschreiben, ist das kein Einzelfall — es ist ein etabliertes Betrugsmuster, auf das sich Ihr Betrieb vorbereiten sollte.
7. Die Lösung, die fast nichts kostet
Der günstigste Schutz ist der einfachste: Lassen Sie Ihren QR-Code nicht als austauschbaren Sticker offen liegen. Laminieren Sie ihn in die Tischplatte ein, gravieren Sie ihn in einen Aufsteller, oder drucken Sie ihn direkt auf die Speisekarte statt als losen Sticker — jede Form, die einen darübergeklebten Sticker sichtbar auffällig macht, leistet den größten Teil der Arbeit.
Die zweite Schutzschicht kostet kein Material, nur eine Gewohnheit: Nehmen Sie das Prüfen jedes Tisch-QR-Codes in Ihre Öffnungs- und Schließrunde auf. Diese Website hat diese Routine an anderer Stelle bereits behandelt — genau für diese Art kurzer, wiederkehrender Kontrolle ist diese Checkliste gedacht, und ein übergeklebter Sticker fällt bei einem gezielten Blick sofort auf.
Die dritte Option für alle, die trotzdem lose Sticker verwenden möchten: ein dynamischer QR-Code, der sich pro Bestellung oder pro Tag ändert und direkt aus dem eigenen Kassensystem erzeugt wird, statt einmal gedruckt und über Jahre wiederverwendet zu werden. Ein Code, der schon morgen nicht mehr gültig ist, ist für einen Betrüger kein attraktives Ziel mehr.
Rechnen Sie es für Ihren Betrieb durch
Tragen Sie Ihre eigenen Zahlen ein. Der Vorfall-Prozentsatz steht standardmäßig auf einer vorsichtigen Annahme — es gibt keine verlässliche betriebsspezifische Häufigkeit für diesen Betrug, dies ist also eine Denkübung, keine Prognose.
Das ist keine Buchhaltung: Es geht nicht um den exakten Betrag, sondern darum, ob die Spalte „Risiko“ größer ausfällt als die Spalte „Schutz“ — unter Annahmen, die für Ihren Betrieb realistisch sind.
Jährliches Risiko gegenüber den Kosten, es zu verhindern
Tragen Sie Ihre eigenen Zahlen ein — der Rest rechnet sich von selbst.
—
Standard-Vorfallquote: 1 % der Wochen — eine vorsichtige Annahme, keine gemessene Häufigkeit. Ersetzen Sie sie gerne durch Ihre eigene Einschätzung.
Dies ist eine Denkübung mit Ihren eigenen Zahlen, keine buchhalterische Garantie — ersetzen Sie jede Annahme durch Ihre eigene Erfahrung.
Was das Tool nicht misst: das Vertrauen des Gastes, der sich betrogen fühlt und Ihrem Betrieb die Schuld gibt, nicht dem Betrüger, der den Sticker geklebt hat. Siehe Zahl 4 oben — dieser Teil des Schadens steht in keiner Buchhaltung.
Und was es nie ersetzt: Zahl 7 gilt unabhängig davon, was die Rechnung ergibt — ein QR-Code, der sich nicht einfach austauschen lässt, kostet in jedem Szenario weniger als allein schon der in diesem Tool berechnete Schutz.
So gehen Sie das schon morgen an, ganz ohne neues System
Drei Schritte, in dieser Reihenfolge — nicht weil der Rest keine Rolle spielt, sondern weil diese drei den schnellsten Effekt auf das haben, was ein manipulierter QR-Code Sie wirklich kostet.
1. Machen Sie jeden QR-Code schwer austauschbar
- Laminieren, gravieren oder drucken Sie Ihre QR-Codes direkt auf das Material — niemals als losen Sticker, den Sie irgendwann schnell mal aufgeklebt haben.
- Machen Sie dasselbe für jeden Code außerhalb des Tisches: Speisekarten, Plakate und das Zahlungsterminal selbst.
- Ein Code, der sichtbar beschädigt wird, wenn etwas darübergeklebt wird, ist sofort ein weniger attraktives Ziel.
2. Nehmen Sie die Kontrolle in eine bereits bestehende Routine auf
- Fügen Sie „QR-Codes prüfen“ zu Ihrer Öffnungs- und Schließrunde hinzu — siehe die Checkliste oben.
- Ein kurzer Blick pro Tisch beim Eindecken genügt; ein übergeklebter Sticker fällt dann sofort auf.
- Wiederholen Sie dieselbe Kontrolle bei Plakaten und Zahlungsterminals, nicht nur bei den Tischen.
3. Stellen Sie die Kosten dem Schutz gegenüber, nicht dem Einzelvorfall
- Nutzen Sie den Rechner oben mit Ihren eigenen Bestellmengen und Ihrer durchschnittlichen Rechnung.
- Vergleichen Sie diesen Betrag mit den Kosten für Laminierung, Gravur oder einen dynamischen Code aus Ihrem Kassensystem.
- Wiederholen Sie die Rechnung, sobald Ihr Anteil an QR-Bestellungen oder -Zahlungen spürbar wächst.
Die kurze Antwort
Ein manipulierter QR-Code auf Ihrem Tisch ist kein weit hergeholtes Szenario — es ist ein Betrugsmuster, das das FBI, die belgische Bundespolizei und der FOD Economie unabhängig voneinander bestätigt haben, und das genau deshalb wächst, weil Restaurants selbst massenhaft auf QR-Codes umgestiegen sind.
Der Schaden ist doppelt: die Rechnung, die nie bei Ihnen ankommt, und der Gast, der das Vertrauen in einen Betrieb verliert, der nichts damit zu tun hatte. Beide Teile zählen, auch wenn nur einer davon in einer Buchhaltung auftaucht.
Die Lösung ist klein im Vergleich zu dem, was sie verhindert: Machen Sie Ihre QR-Codes schwer austauschbar, und nehmen Sie deren Kontrolle in eine Runde auf, die Sie ohnehin schon gehen.