QR-Code auf der Rechnung: Quishing im geschäftlichen Zahlungsverkehr
Ein ausgetauschter QR-Code auf einer täuschend echten Rechnung genügt, damit Firmengelder binnen Sekunden auf ein fremdes Konto fließen.
QR-Code Rechnung Betrug beschreibt eine Betrugsmasche, bei der Kriminelle die Zahlungsdaten auf einer Rechnung durch einen manipulierten QR-Code ersetzen. Wer den Code scannt, überweist statt an den echten Lieferanten unbemerkt an ein fremdes Konto. Das Bundesamt für Sicherheit in der Informationstechnik nennt QR-Codes einen zunehmend genutzten Angriffsvektor, weil Mitarbeiter im Zahlungsverkehr Codes selten kritisch prüfen, bevor sie eine Überweisung freigeben.
Im geschäftlichen Zahlungsverkehr trifft diese Masche Unternehmen besonders hart: Rechnungsbeträge liegen deutlich über privaten Transaktionen, Freigaben laufen unter Zeitdruck durch die Buchhaltung, und die Kommunikation mit Lieferanten erfolgt häufig ausschließlich per E-Mail. Ein einziger gescannter Code kann so binnen Sekunden fünf- oder sechsstellige Summen auf ein fremdes Konto umleiten, ohne dass ein technischer Fehler in der eigenen IT-Infrastruktur vorliegt.
Dieser Beitrag ordnet die verschiedenen Varianten von QR-Code Rechnung Betrug rechtlich ein, erklärt den entscheidenden Unterschied zwischen autorisierten und nicht autorisierten Zahlungen und zeigt, welche Fristen, Rückforderungswege und Organisationspflichten für betroffene Unternehmen relevant sind.
Wenn eine manipulierte Rechnung mit gefälschtem QR-Code bereits zu einer Fehlüberweisung geführt hat, zählt für die Sicherung Ihrer Ansprüche jede Stunde. Jetzt unverbindlich Kontakt aufnehmen.
QR-Code Rechnung Betrug: Wie die Masche im Zahlungsverkehr funktioniert
Der klassische GiroCode beziehungsweise EPC069-12-Standard kodiert IBAN, Betrag und Verwendungszweck direkt in einem QR-Code, damit Kunden Rechnungen bequem mit der Banking-App scannen können. Genau diese Bequemlichkeit machen sich Täter zunutze: Sie tauschen auf einer täuschend echten Rechnungskopie den ursprünglichen Code gegen einen eigenen aus oder verschicken von vornherein eine gefälschte Rechnung, deren einziges augenfälliges Merkmal der neue QR-Code ist. Wer den Code scannt und die Überweisung bestätigt, zahlt an das hinterlegte Fremdkonto, ohne dass Absenderadresse oder Layout der Rechnung einen Verdacht wecken.
- Manipulierte PDF-Rechnung per E-Mail, bei der ein echter Zahlschein durch einen gefälschten QR-Code ersetzt wurde
- Physisch überklebte QR-Codes auf gedruckten Rechnungen oder Mahnungen im Posteingang
- QR-Codes, die nicht direkt zu Zahlungsdaten, sondern zu einer gefälschten Login-Seite des Online-Bankings führen
- Kompromittierte Lieferantenpostfächer, aus denen Rechnungen mit ausgetauschtem Code im laufenden Schriftverkehr verschickt werden
Zwei technische Varianten mit unterschiedlichen Rechtsfolgen
Für die rechtliche Bewertung ist entscheidend, welche der beiden gängigen Varianten vorliegt. Bei der ersten Variante enthält der QR-Code die Zahlungsdaten selbst; die Buchhaltung scannt den Code, prüft Betrag und Empfänger nicht im Detail und gibt die Überweisung eigenhändig frei. Bei der zweiten Variante führt der Code auf eine gefälschte Anmeldeseite, auf der Zugangsdaten oder eine TAN abgegriffen werden, während die eigentliche Überweisung anschließend die Täter selbst auslösen. Nur im zweiten Fall handelt es sich rechtlich um eine nicht autorisierte Zahlung, im ersten Fall hat der Zahler selbst und bewusst überwiesen, lediglich über den Empfänger getäuscht – dies ist die Grundunterscheidung, an der sich jede Prüfung von QR-Code Rechnung Betrug orientiert.
QR-Codes spielen auch im Zahlungsverkehr mit Kryptowährungen eine Rolle, etwa wenn Lieferanten Wallet-Adressen für Rechnungen in Fremdwährung per Code bereitstellen. Wird die hinterlegte Adresse ausgetauscht, ist die Transaktion nach der Bestätigung auf der Blockchain unwiderruflich; ähnliche Manipulationsrisiken bestehen bei gefälschten Hardware-Wallets, bei denen Empfängeradressen ebenfalls unbemerkt ausgetauscht werden.
Fall 1: Die Buchhaltung zahlt selbst – autorisierte Überweisung an das falsche Konto
Scannt ein Mitarbeiter den manipulierten Code und gibt die Überweisung selbst frei, liegt eine autorisierte Zahlung vor. Der verschuldensunabhängige Erstattungsanspruch aus § 675u BGB greift hier nicht, weil die Norm nur nicht autorisierte Verfügungen erfasst. Die rechtliche Ausgangslage entspricht damit der bereits bekannten Konstellation einer Rechnung mit gefälschter IBAN: Betroffen ist regelmäßig nicht das Verhältnis zur eigenen Bank, sondern die Frage, ob und wie das gezahlte Geld vom tatsächlichen Empfänger zurückgeholt werden kann.
Seit dem 9. Oktober 2025 ist für Euro-Echtzeitüberweisungen die sogenannte Verification of Payee verpflichtend: Banken müssen Name und IBAN des Empfängers abgleichen und bei Abweichungen warnen. Unterlässt die Bank diese Warnung, kann sie für den daraus entstehenden Schaden haften, obwohl die Zahlung technisch autorisiert war. Die Pflicht ergibt sich aus der Verordnung über Sofortüberweisungen, VO (EU) 2024/886, die zugleich die Sendepflicht für Echtzeitüberweisungen ab dem 9. Oktober 2025 vorschreibt.
Ist das Geld bereits abgeflossen, bleibt außer der eigenen Bank der SEPA Instant Recall als schnellster Weg: ein Kulanzverfahren, bei dem die empfangende Bank um Rückbuchung gebeten wird, auf das jedoch kein Rechtsanspruch besteht. Anders als bei einer SEPA-Lastschrift, die Zahlende innerhalb bestimmter Fristen ohne Angabe von Gründen zurückrufen können, ist eine ausgeführte Überweisung nach § 675p BGB grundsätzlich unwiderruflich.
Fall 2: Phishing über den QR-Code – nicht autorisierte Zahlung nach § 675u BGB
Führt der Code stattdessen auf eine gefälschte Banking-Oberfläche, geben Mitarbeiter dort Zugangsdaten oder eine TAN preis, ohne selbst eine Überweisung auszulösen. Die anschließende Verfügung nehmen die Täter vor. Die TAN-Weitergabe ist keine wirksame Autorisierung; es bleibt eine nicht autorisierte Zahlung, für die dem Grunde nach ein Erstattungsanspruch aus § 675u S. 2 BGB besteht. Dieses Muster ist strukturell mit Angriffen auf Konten bei Banking-as-a-Service-Anbietern vergleichbar, etwa dem Phishing über die Solaris-Banking-Plattform, über die zahlreiche Fintech-Geschäftskonten laufen.
Die Bank kann dem Anspruch grobe Fahrlässigkeit entgegenhalten, muss diese jedoch beweisen (§ 675v BGB). Der Bundesgerichtshof hat mit Urteil vom 22.07.2025 (XI ZR 107/24) entschieden, dass ein situatives Augenblicksversagen für sich allein die grobe Fahrlässigkeit nicht ausschließt, im Einzelfall aber zusammen mit weiteren Umständen zu einer Bewertung unterhalb der groben Fahrlässigkeit führen kann; in dem entschiedenen Fall verlor die Kundin den Prozess dennoch, weil sie am Folgetag nach ausreichender Bedenkzeit erneut eine TAN preisgab. Die Entscheidung stärkt Betroffene damit nicht pauschal, sondern verlangt eine genaue Betrachtung des zeitlichen Ablaufs.
Auf europäischer Ebene hat der Generalanwalt beim Europäischen Gerichtshof am 05.03.2026 in der Rechtssache C-70/25 Schlussanträge vorgelegt, wonach Banken nicht autorisierte Zahlungen zunächst unverzüglich erstatten sollen und sich erst nachgelagert auf grobe Fahrlässigkeit berufen dürfen, außer bei begründetem Betrugsverdacht mit Meldung an die zuständige Behörde. Ein Endurteil liegt noch nicht vor; der Gerichtshof folgt den Schlussanträgen des Generalanwalts jedoch häufig.
Als erfahrene Anwälte im Bank- und Kapitalmarktrecht helfen wir Ihnen, die Vorgehensweise der Betrüger rechtlich einzuordnen und konkrete Schritte zur Rückforderung Ihrer Gelder einzuleiten. Kontaktieren Sie uns jederzeit für ein unverbindliches Erstgespräch.
Verbreitungswege im Unternehmensalltag
QR-Code Rechnung Betrug erreicht Unternehmen über mehrere Kanäle gleichzeitig. Häufig beginnt die Masche mit einem kompromittierten Lieferantenpostfach, aus dem eine ansonsten unauffällige Rechnung mit ausgetauschtem Code im laufenden Schriftverkehr verschickt wird. Ebenso verbreitet sind gefälschte Werbeanzeigen, die vorgeblich zu Zahlungsportalen oder Rechnungsdiensten führen; das Muster ähnelt dem Betrug über Fake-Google-Anzeigen von Banken, bei dem bezahlte Suchanzeigen Nutzer auf gefälschte Seiten locken.
- Absenderadresse weicht im Detail von der bisherigen Korrespondenz ab
- Rechnung enthält plötzlich einen QR-Code, obwohl frühere Rechnungen desselben Lieferanten keinen hatten
- Zahlungsaufforderung erfolgt unter ungewöhnlichem Zeitdruck oder mit Hinweis auf eine angebliche Kontoänderung
- QR-Code führt beim Testscan zu einer Login-Seite statt direkt zu Zahlungsdaten
Künftige Rechtslage: PSD3, PSR und die Haftung für betrügerisch veranlasste Zahlungen
Rat und Europäisches Parlament haben sich am 27.11.2025 im Trilog politisch auf die dritte Zahlungsdiensterichtlinie (PSD3) und die begleitende Zahlungsdiensteverordnung (PSR) geeinigt; die endgültigen Kompromisstexte veröffentlichte der Rat am 23.04.2026.
Nach der Veröffentlichung im Amtsblatt, die für das zweite Quartal 2026 erwartet wird, beginnt eine Übergangsfrist, bevor die neuen Regeln unmittelbar anwendbar sind. Die Regelungen gelten heute noch nicht; die geltende Rechtslage richtet sich weiterhin nach §§ 675u, 675v BGB.
Kernstück der Reform ist Art. 59 PSR-E: Banken und Zahlungsinstitute sollen künftig auch für autorisierte, aber betrügerisch veranlasste Zahlungen haften, vor allem bei Call-ID-Spoofing über gefälschte Bankrufnummern. Ob und in welchem Umfang sich dieser Haftungsmaßstab in der finalen Fassung auch auf Fälle von manipulierten Rechnungs-QR-Codes übertragen lässt, ist im Verordnungstext bislang nicht abschließend geklärt und sollte für konkrete Fälle anwaltlich geprüft werden, sobald die Verordnung veröffentlicht ist.
Geld zurückholen: Rückforderung, Fristen und seriöse Wege
Gegen den tatsächlichen Empfänger des Geldes besteht grundsätzlich ein Bereicherungsanspruch aus § 812 BGB, der in der Praxis jedoch oft leerläuft, weil das Empfängerkonto binnen Stunden leergeräumt wird. Häufig handelt es sich um sogenannte Finanzagenten, deren Konten als Durchlaufstation dienen; wer ein solches Konto wissentlich oder leichtfertig zur Verfügung stellt, macht sich nach § 261 StGB wegen Geldwäsche strafbar, wobei bereits Leichtfertigkeit nach Absatz 6 genügt.
Meldet die eigene oder die empfangende Bank die Transaktion als verdächtig, kann sie die Ausführung vorübergehend nach § 46 GwG zurückstellen; eine dauerhafte pauschale Kontosperre erlaubt diese Norm nicht. Für die Anzeige nicht autorisierter Zahlungen gegenüber der eigenen Bank gilt zudem eine 13-Monats-Ausschlussfrist aus § 676b Abs. 2 BGB, weshalb Unternehmen den Vorfall zügig melden sollten.
Nach einem Verlust häufen sich Angebote sogenannter Rückhol-Dienste, die gegen Vorkasse angeblich verlorene Gelder wiederbeschaffen. Solche Angebote sind in aller Regel selbst betrügerisch; wir haben die Masche im Beitrag Geld nach Betrug zurückholen: Vorsicht vor unseriösen Rückhol-Diensten eingeordnet.
Als geschädigtes Unternehmen sind Sie im Strafverfahren Verletzte im Sinne des § 406e StPO und können über einen Rechtsanwalt Akteneinsicht verlangen, um beispielsweise IP-Adressen, weitere Empfängerkonten oder Ermittlungsergebnisse für die zivilrechtliche Anspruchsdurchsetzung zu nutzen.
Prävention: Organisationspflichten und interne Kontrollen im Unternehmen
Ein Vier-Augen-Prinzip bei jeder Zahlungsfreigabe reduziert das Risiko erheblich: Eine zweite Person prüft Betrag, Empfänger und, bei per QR-Code übermittelten Zahlungsdaten, das im Code hinterlegte Klarfeld gegen die eigentliche Rechnung. Bei jeder Änderung von Kontoverbindungen sollte die Buchhaltung ausschließlich über eine bereits bekannte, nicht aus der aktuellen Rechnung entnommene Telefonnummer beim Lieferanten rückfragen. Betrugsmuster wie der beim KI-Anlagebetrug beschriebene Einsatz gefälschter Kommunikationskanäle zeigen, wie professionell solche Täuschungen inzwischen aufgebaut sind.
Für Unternehmen, die unter das NIS-2-Umsetzungsgesetz fallen, gehört ein strukturiertes Management von Cyberrisiken zu den Pflichten der Geschäftsleitung; das Umsetzungsgesetz ist am 5. Dezember 2025 im Bundesgesetzblatt verkündet worden und in Kraft. Es sieht eine persönliche Haftung der Geschäftsleitung sowie Bußgelder bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes vor.
- QR-Codes auf Rechnungen nie ungeprüft scannen und die Überweisung bestätigen
- Zahlungsdaten aus dem Code manuell mit der Original-Rechnung abgleichen
- Kontoänderungen ausschließlich über bekannte Kontaktwege verifizieren
- Mitarbeiter regelmäßig zu aktuellen Varianten von QR-Code Rechnung Betrug schulen
Fazit: Nach QR-Code Rechnung Betrug schnell und rechtssicher handeln
Ob eine autorisierte Zahlung an ein falsches Konto oder eine über Phishing ausgelöste, nicht autorisierte Verfügung vorliegt, entscheidet maßgeblich über die rechtliche Strategie. Je schneller Betroffene die eigene Bank, die empfangende Bank und die Strafverfolgungsbehörden einschalten, desto größer sind die Chancen auf Rückbuchung, Kontosperre oder zumindest verwertbare Ermittlungsergebnisse für spätere zivilrechtliche Ansprüche. Eine anwaltliche Ersteinschätzung hilft, die richtige Anspruchsgrundlage zu wählen und Fristen wie die 13-Monats-Frist des § 676b BGB nicht zu versäumen.
Kanzlei Dr. Araujo Kurth – Ihr Partner im Bank- und Kapitalmarktrecht
Die Kanzlei Dr. Araujo Kurth berät und vertritt Mandanten bundesweit im Bank- und Kapitalmarktrecht. Rechtsanwalt Dr. Michel de Araujo Kurth M.A. verfügt über langjährige Erfahrung im Bankwesen und in der anwaltlichen Praxis und hat sich auf die Vertretung von Mandanten in bank- und kapitalmarktrechtlichen Streitigkeiten spezialisiert.
Die Kanzlei begleitet Mandanten sowohl außergerichtlich als auch vor Gericht – von der ersten rechtlichen Einordnung über die Kommunikation mit Banken, Zahlungsdienstleistern und Finanzinstituten bis zur Durchsetzung von Schadensersatz- und Rückforderungsansprüchen. Beratungen finden in den Büros in Frankfurt am Main, Darmstadt und Offenbach am Main sowie bundesweit per Videokonferenz statt.
Wenn Sie rechtliche Unterstützung benötigen, stehen wir Ihnen jederzeit zur Verfügung. Kontaktieren Sie uns über unser Kontaktformular für ein unverbindliches Erstgespräch – telefonisch, per E-Mail oder online.
FAQs – Häufig gestellte Fragen zu QR-Code Rechnung Betrug
Was versteht man unter Quishing bei Rechnungen?
Der Begriff bezeichnet die Manipulation des Zahlungs-QR-Codes auf einer Rechnung, sodass die Überweisung nicht beim echten Lieferanten, sondern auf einem fremden Konto ankommt. Betroffen sind sowohl digitale PDF-Rechnungen als auch gedruckte Belege.
Haftet meine Bank, wenn ich den QR-Code selbst gescannt und die Zahlung freigegeben habe?
In diesem Fall liegt eine autorisierte Zahlung vor, für die § 675u BGB nicht greift. Ansprüche bestehen vorrangig gegen den tatsächlichen Empfänger nach § 812 BGB, was in der Praxis durch bereits abgeflossenes Geld häufig erschwert wird.
Wann greift der Erstattungsanspruch aus § 675u BGB?
Der Anspruch greift, wenn nicht Sie selbst, sondern Dritte die Zahlung ausgelöst haben, etwa nachdem der QR-Code auf eine Phishing-Seite geführt und dort Zugangsdaten oder eine TAN abgegriffen wurden.
Kann meine Bank den Erstattungsanspruch wegen grober Fahrlässigkeit ablehnen?
Ja, sofern sie grobe Fahrlässigkeit nachweist. Nach der Rechtsprechung des Bundesgerichtshofs kann ein situatives Augenblicksversagen grobe Fahrlässigkeit im Einzelfall jedoch ausschließen.
Gilt PSD3 mit der neuen Bankhaftung schon heute?
Nein. PSD3 und die begleitende Zahlungsdiensteverordnung sind final im Trilog beschlossen, treten aber erst nach Veröffentlichung im Amtsblatt und einer Übergangsfrist in Kraft. Heute gilt weiterhin die Rechtslage nach §§ 675u, 675v BGB.
Was ist die Verification of Payee und hilft sie gegen manipulierte Rechnungs-QR-Codes?
Die Verification of Payee ist der seit dem 9. Oktober 2025 verpflichtende Namensabgleich zwischen Empfängername und IBAN bei Euro-Echtzeitüberweisungen. Warnt die Bank bei einer Abweichung nicht, kann sie für den entstandenen Schaden haften.
Wie schnell muss ich eine nicht autorisierte Zahlung melden?
Innerhalb von 13 Monaten nach § 676b Abs. 2 BGB, praktisch sollten Sie jedoch sofort nach Entdeckung Ihre Bank und die empfangende Bank kontaktieren, um einen SEPA Instant Recall auszulösen.
Kann ich mein Geld über einen Rückhol-Dienst zurückbekommen?
Seien Sie vorsichtig: Zahlreiche im Internet beworbene Rückhol-Dienste verlangen Vorkasse und sind selbst betrügerisch. Seriöse Wege führen über die eigene Bank, den SEPA Instant Recall und gegebenenfalls eine anwaltliche Strafanzeige.
Welche Rolle spielt § 261 StGB, wenn das Geld an ein fremdes Konto ging?
Wer ein Konto wissentlich oder leichtfertig als Durchlaufstation für Betrugserlöse zur Verfügung stellt, kann sich nach § 261 StGB wegen Geldwäsche strafbar machen; bereits Leichtfertigkeit nach Absatz 6 genügt.
Was sollte mein Unternehmen jetzt tun, um sich vor manipulierten Rechnungs-QR-Codes zu schützen?
Führen Sie ein Vier-Augen-Prinzip bei jeder Zahlungsfreigabe ein, prüfen Sie Kontoänderungen ausschließlich über bekannte Kontaktwege und schulen Sie Ihre Buchhaltung regelmäßig zu aktuellen Betrugsvarianten.
