Wie erkenne ich gefälschte QR-Codes an Ladesäulen?

Du stehst an einer fremden Ladesäule, die App des Betreibers kennst du nicht, und mittendrauf klebt ein QR-Code: „Scannen und bezahlen“. Bequemer geht es kaum. Genau darauf setzen Betrüger. Ein Aufkleber kostet ein paar Cent, ein überzeugender Bezahl-Bildschirm auch nicht viel mehr. Dieser Beitrag zeigt, wie die Masche funktioniert und wie du trotzdem entspannt lädst.

Kurze Antwort: Scanne an Ladesäulen nur einen Code, der fest in das Gerät oder sein Display gehört, und prüf vor jeder Eingabe die Adresse. Im Zweifel bezahlst du per App, Ladekarte oder Kartenterminal. Mit einem Tesla am Supercharger brauchst du ohnehin keinen QR-Code.

Was Quishing ist

Quishing setzt sich aus QR und Phishing zusammen. Das BSI zählt es neben Smishing (per SMS) und Vishing (per Anruf) zu den Spielarten des Phishings. Der Trick: Ein QR-Code verrät nicht, wohin er führt. Bei einem Link in einer Mail kannst du mit der Maus über die Adresse fahren. Beim QR-Code siehst du die Adresse erst, wenn du ihn scannst, und viele tippen dann sofort auf „Öffnen“.

Dazu kommt ein Wechsel des Geräts. Den Code siehst du auf einem Bildschirm oder Papier, geöffnet wird er auf dem Handy. Dort ist die Adresszeile kurz, Warnungen des Mailprogramms fehlen, und zum Bezahlen sind Wallet und Banking-App nur einen Fingertipp entfernt. Genau deshalb funktioniert die Masche auch auf Papier, etwa auf Flyern oder in Briefen.

Quelle: BSI: Passwortdiebstahl durch Phishing, abgerufen am 06.10.2026.

Warum gerade Ladesäulen

Ladesäulen stehen oft unbeaufsichtigt, auf Parkplätzen, an Raststätten, in Tiefgaragen. Ein Aufkleber fällt dort tagelang niemandem auf. Dazu kommt die Lage der Fahrer: Viele Betreiber, viele Apps, wenig Lust, für eine einzige Ladung noch eine App zu installieren. Wer unterwegs ist und weiterwill, greift zur bequemsten Lösung. Ein QR-Code mit „Scannen und laden“ ist genau das.

Ladesäulen: überklebte Codes erkennen

• Fühlen. Fahr mit dem Finger über den Code. Ein erhabener Rand oder eine Kante, unter der noch etwas durchschimmert, ist ein deutliches Zeichen.
• Vergleichen. Passt der Code in Farbe und Schrift zum Rest der Säule? Hängen an der Nachbarsäule andere Aufkleber?
• Adresse lesen. Die meisten Kamera-Apps zeigen die Adresse vor dem Öffnen an. Passt sie nicht zum Betreiber, der auf der Säule steht, brich ab.
• Seite prüfen. Eine echte Ad-hoc-Bezahlseite fragt nach Zahlungsdaten für den Ladevorgang, nicht nach Passwort, Geburtsdatum oder einer Online-Banking-TAN.

Melde einen verdächtigen Aufkleber dem Betreiber über die Hotline, die fest auf der Säule steht. Ein Foto hilft ihm, die Stelle zu finden.

QR-Codes in Mails im Tesla-Design

Die zweite Variante kommt per Post oder Mail. Im Corporate Design eines Autoherstellers steht dann etwa: „Ihr Ladekonto wird gesperrt, bestätigen Sie Ihre Daten“, daneben ein QR-Code. Gerade bei Mails ist der Code ein Trick, um Filter zu umgehen und dich vom Rechner aufs Handy zu holen, wo Adressen schwerer zu prüfen sind. Teslas eigene Aussagen zu solchen Mails konnten wir nicht lesen, weil tesla.com unsere Abrufe blockiert. Die Regel ist trotzdem einfach: Öffne dein Konto immer über die App oder eine Adresse, die du selbst eintippst, nie über einen Code aus einer Nachricht.

Das Handy richtig einstellen

Nutz die eingebaute Kamera-App deines Handys zum Scannen. Sie zeigt in der Regel die Adresse an, bevor sie etwas öffnet. Zusätzliche Scanner-Apps aus unbekannter Quelle, die Links sofort und ohne Vorschau öffnen, brauchst du nicht. Und wenn eine Seite nach dem Scannen sofort eine App installieren will, brich ab und hol dir die App selbst aus dem offiziellen Store.

Sicher bezahlen beim Laden

An öffentlichen Ladepunkten muss Ad-hoc-Laden ohne Vertrag möglich sein. Das schreibt die EU-Verordnung über die Infrastruktur für alternative Kraftstoffe (AFIR) in Art. 5 vor; die Bundesnetzagentur überwacht das laut § 5 der Ladesäulenverordnung 2026 (gesetze-im-internet.de). Das heißt: Du bist nicht auf einen Aufkleber angewiesen.

• App des Betreibers aus dem offiziellen App-Store, nicht über einen Link auf der Säule.
• Ladekarte deines Anbieters, wenn du eine hast. Wann sich welche lohnt, steht in unserem Vergleich Ladekarten oder Supercharger.
• Kartenterminal, wenn die Säule eines hat. Hier gibst du nichts in eine Webseite ein.
• Mit dem Tesla am Supercharger: Tesla-Fahrer starten das Laden am Supercharger ohne QR-Code; abgerechnet wird über das Tesla-Konto. Fordert dich dort ein Aufkleber zum Scannen und Bezahlen auf, ist er für dich auf jeden Fall überflüssig.

Eine seriöse Bezahlseite nennt den Betreiber mit Namen und Impressum und passt zu dem, was auf der Säule steht. Sie verlangt Daten für genau diesen Ladevorgang. Was darüber hinausgeht – ein Login zu einem anderen Konto, eine Bestätigung per Online-Banking, ein „Abo“ für spätere Ladungen – ist ein Grund, sofort abzubrechen.

Mit dem Tesla an fremden Säulen

Auch mit einem Tesla lädst du manchmal woanders, etwa am Hotel, beim Einkaufen oder an einer Säule eines anderen Anbieters. Dann gelten dieselben Regeln wie für alle. Am entspanntesten ist es, wenn du dir die App oder Ladekarte eines großen Anbieters in Ruhe zu Hause einrichtest, statt sie an der Säule unter Zeitdruck zu suchen. Wer vorbereitet ist, muss an der Säule gar nichts scannen.

Schon Daten eingegeben?

1. Karte sperren. Ruf sofort deine Bank an oder den Sperr-Notruf 116 116.
2. Passwort ändern, falls du eins eingegeben hast, und überall dort, wo du dasselbe benutzt.
3. Beweise sichern: Foto vom Aufkleber, Adresse der Seite, Zeitpunkt, Standort der Säule.
4. Betreiber und Polizei informieren. Der Betreiber kann den Aufkleber entfernen, die Polizei nimmt die Anzeige auf.

Andere Maschen, die den Namen Tesla benutzen, beschreiben wir im Beitrag über Krypto-Giveaways. Die Grundregeln gegen Fake-Gutscheine stehen auf der Seite zum Gutschein-Betrug.