Betrug per DHL-Abholschein: Warum »Quishing« gerade jetzt so gefährlich ist und wie man sich schützt

Betrüger werfen täuschend echte DHL-Abholscheine in Briefkästen ein – so funktioniert die Masche. (Bildquelle: Duy Linh Dinh/GameStar Tech)

Zur Weihnachtszeit boomt der Paketversand und viele Haushalte warten sehnlichst auf Pakete, die hoffentlich vor dem Fest ankommen sollen. Genau diese Umstände machen sich Betrüger zu Nutze und führen nichtsahnende Menschen mit gefälschten DHL-Abholscheinen in die Irre.

Das steckt hinter »Quishing« und so schützt ihr euch.

Was ist Quishing?

Quishing ist im Grunde Phishing mit QR-Codes: Statt euch per Link in einer E-Mail oder SMS auf eine gefälschte Webseite zu locken, landet der »Köder« direkt als QR-Code auf einem Zettel, Aufkleber oder in einer Nachricht. Scannt ihr ihn, führt er euch auf eine nachgebaute Login- oder Zahlungsseite, die dem Original möglichst stark ähneln soll. Dort sollen dann Passwörter, Bankdaten oder andere sensible Informationen abgegriffen werden.

Beim Quishing führen euch QR-Codes auf gefälschte Webseiten. (Bildquelle: touchr - stock.adobe.com)

Wie funktioniert der Betrug mit falschen DHL-Abholscheinen?

Anstatt euer E-Mail-Postfach wird bei dieser Betrugsmasche euer echter Briefkasten das Ziel der Angriffe.

Die Täter werfen gefälschte DHL-Abholscheine ein und fordern auf, einen QR-Code einzuscannen, um mehr Informationen zur Abholung des Pakets zu erhalten. Dieser führt dann nicht zu DHL, sondern zu einer professionell gefälschten Webseite, bei der ihr sensible Daten eingeben müsst, um die gewünschten Informationen zur Sendung zu erhalten.

Warum diese Masche gerade jetzt so gefährlich ist:

Aktuell erwarten sehr viele von uns Pakete und nicht selten mehrere auf einmal.
DHL-Abholscheine suggerieren eine gewisse Dringlichkeit, um Pakete abzuholen, bevor sie wieder zurückgesendet werden. Zur Weihnachtszeit ist der Zeitdruck noch größer, weshalb Empfänger und Empfängerinnen weniger vorsichtig werden.
Zettel im Briefkasten wirken auf viele Menschen »offizieller« und wichtiger als E-Mails und SMS. Betroffene schenken einem physischen Schein mehr Vertrauen als einer E-Mail.

So schützt ihr euch

Gefälschte E-Mails lassen sich leicht über die Domain entlarven. Zum Beispiel nutzt DHL ausschließlich

@dhl.com
@dpdhl.com
und @dhl.de.

Bei gefälschten Abholscheinen ist die Ersterkennung etwas schwieriger. Solltet ihr einen QR-Code von so einem Schein einscannen, lässt sich der Betrugsversuch über die Webseiten-Adresse erkennen.

DHL verweist nur auf Webseiten, die mit dhl.com oder dpdhl.com beginnen. Sollte die verlinkte Seite davon abweichen, ist das ein wichtiges Warnsignal.

Das Versandunternehmen kennt das Problem und betont, dass Kundinnen und Kunden niemals per QR-Code sensible Daten eingeben müssen.

Solltet ihr einen verdächtigen Abholschein in eurem Briefkasten vorfinden, scannt den QR-Code nicht und fragt am besten direkt DHL oder überprüft eure Sendungsverfolgung von dem erwarteten Paket.