apoBank QR-Code-Betrug: Gefälschter Brief zur Verifizierung - was Betroffene jetzt tun sollten

Ein Brief im Design der apoBank liegt im Praxis- oder Hausbriefkasten. Darin steht, eine “verpflichtende Verifizierung” Ihres digitalen Bankzugangs sei noch offen. Wenn Sie nicht reagieren, würden App, Online-Banking und apoTAN vollständig deaktiviert, Zahlungsaufträge würden nicht mehr ausgeführt. Unten auf dem Schreiben: ein QR-Code mit dem Hinweis “Hier bitte scannen”.

Dieser Brief stammt nicht von Ihrer Bank. Es handelt sich um sogenanntes Quishing, also Phishing per QR-Code. Hier erfahren Sie, woran Sie den Betrug erkennen, was Sie sofort tun sollten, wenn Sie den Code schon gescannt haben, und welche Rechte Sie gegenüber Ihrer Bank haben.

So funktioniert die Masche

Die Täter verschicken echt wirkende Briefe per Post, laut Berichten unterschrieben von einem angeblichen Leiter Kundenservice oder von einem IT-Organisator. Der QR-Code führt nicht zur apoBank, sondern auf eine nachgebaute Login-Seite. Wer dort seine Zugangsdaten wie PIN und Passwort eingibt, liefert sie direkt an die Betrüger. Mit diesen Daten versuchen die Täter dann, auf das Konto zuzugreifen und Überweisungen auszulösen.

Neu ist die Masche nicht. Bereits im Frühjahr 2025 gab es mehrere Wellen gefälschter Briefe, jeweils unter einem anderen Vorwand: mal sollte eine angeblich neue apoTAN-App installiert werden, mal ging es um vermeintliche Änderungen im europäischen Zahlungsverkehr, jetzt um eine angebliche Verifizierung. Ähnliche Briefe mit QR-Code gab es in der Vergangenheit auch im Namen anderer Banken, etwa der Commerzbank.

Warum ein Brief? Viele Menschen sind bei E-Mails inzwischen vorsichtig, einem Schreiben auf Papier vertrauen sie dagegen eher. Genau das nutzen die Täter aus.

Woran Sie den gefälschten Brief erkennen

• Der Brief nennt keine Kontonummer.
• Es wird mit einer Sperrung oder Deaktivierung gedroht und Zeitdruck aufgebaut.
• Sie sollen einen QR-Code scannen und sich auf einer Webseite anmelden.
• Die Adresse, die sich nach dem Scannen öffnet, gehört nicht zur apoBank.

Grundsätzlich gilt: Ihre Bank fordert Sie nicht per Brief auf, über einen QR-Code Zugangsdaten einzugeben oder Freigaben zu erteilen. Im Zweifel rufen Sie Ihre Bank über die Nummer an, die Sie selbst kennen, zum Beispiel von der Karte oder der offiziellen Webseite, nicht über eine Nummer aus dem Brief.

Code gescannt oder Daten eingegeben: Diese Schritte jetzt

Wenn Sie den QR-Code bereits gescannt und Daten eingegeben haben, zählt jede Minute.

1. Zugang sperren lassen: Rufen Sie sofort Ihre Bank an. Alternativ können Sie Online-Banking und Karten über den Sperrnotruf 116 116 sperren lassen.
2. Konto prüfen: Sehen Sie Ihre Umsätze durch. Achten Sie auf Überweisungen, die Sie nicht kennen, und auf neu registrierte Geräte oder geänderte Limits.
3. Bank schriftlich informieren: Melden Sie jede nicht autorisierte Zahlung schriftlich und verlangen Sie ausdrücklich die Erstattung. Notieren Sie Datum und Uhrzeit Ihres Anrufs.
4. Strafanzeige erstatten: Das geht bei jeder Polizeidienststelle oder über die Online-Wache Ihres Bundeslandes, in Berlin und Brandenburg jeweils über die Internetwache der Polizei.
5. Beweise sichern: Bewahren Sie den Brief samt Umschlag auf, machen Sie Screenshots von der Webseite und Ihrem Konto. Werfen Sie nichts weg.

Muss die Bank das Geld erstatten?

Häufig ja. Nach § 675u BGB muss die Bank eine Zahlung, die Sie nicht autorisiert haben, grundsätzlich erstatten, und zwar unverzüglich. Eine Überweisung, die Betrüger mit Ihren abgegriffenen Daten auslösen, ist in aller Regel nicht von Ihnen autorisiert, auch wenn technisch Ihre Zugangsdaten verwendet wurden.

Die Banken berufen sich in solchen Fällen aber oft auf § 675v BGB: Hat der Kunde grob fahrlässig gehandelt, haftet er selbst für den Schaden. Ob grobe Fahrlässigkeit vorliegt, ist immer eine Frage des Einzelfalls. Die Beweislast dafür trägt die Bank, nicht Sie. Dass Ihre Zugangsdaten verwendet wurden, reicht für diesen Nachweis allein nicht aus (§ 675w BGB).

Der Bundesgerichtshof hat mit Urteil vom 22. Juli 2025 (Az. XI ZR 107/24) entschieden, dass ein Kunde grob fahrlässig handeln kann, wenn er trotz deutlicher Warnzeichen mehrere TANs an einen Anrufer weitergibt. Das heißt aber nicht, dass jeder Betrugsfall automatisch zulasten des Kunden geht. Gerichte schauen genau hin: Wie professionell war die Täuschung? Gab es echte Warnsignale? Hat die Bank selbst alle Sicherheitsanforderungen, etwa die starke Kundenauthentifizierung, eingehalten?

Wie Gerichte in Berlin Fälle von Onlinebanking-Betrug bewerten, lesen Sie in unserem Beitrag zum Kammergericht Berlin. Einen Überblick über Ihre Rechte bei Betrug im Bankbereich finden Sie auf unserer Themenseite.

Die Frist: 13 Monate

Nach § 676b BGB müssen Sie eine nicht autorisierte Zahlung spätestens 13 Monate nach der Belastung bei Ihrer Bank anzeigen. Danach ist der Erstattungsanspruch in der Regel ausgeschlossen. Warten Sie aber nicht so lange: Je früher Sie reagieren, desto besser stehen die Chancen, dass Geld noch zurückgeholt werden kann.

Typische Fehler, die Sie vermeiden sollten

• Die Ablehnung der Bank einfach hinnehmen: Viele Banken lehnen die Erstattung zunächst pauschal mit dem Hinweis auf grobe Fahrlässigkeit ab. Das ist keine abschließende Entscheidung und rechtlich oft angreifbar.
• Aus Scham schweigen: Diese Briefe sind professionell gemacht. Wer darauf hereinfällt, ist nicht naiv. Wichtig ist, schnell zu handeln.
• Beweise entsorgen: Ohne Brief und Screenshots lässt sich die Täuschung schwer belegen.

Häufige Fragen

Ich habe den Code nur gescannt, aber nichts eingegeben. Ist das gefährlich? Das reine Öffnen der Seite ist meist weniger kritisch als die Eingabe von Daten. Schließen Sie die Seite, geben Sie nichts ein und informieren Sie im Zweifel Ihre Bank.

Gilt das auch für das Praxiskonto? Die Erstattungsregeln für nicht autorisierte Zahlungen gelten grundsätzlich auch für Geschäftskonten. Bei Kunden, die keine Verbraucher sind, etwa bei einem Praxis- oder Apothekenkonto, darf die Bank aber abweichende Vereinbarungen treffen, insbesondere zur Haftung und zur 13-Monats-Frist. Deshalb kommt es hier auch auf die Vertragsbedingungen Ihrer Bank an, die im Einzelfall geprüft werden sollten.

Was kostet eine Prüfung durch die Kanzlei? Die erste Einschätzung Ihres Falls ist kostenlos. Wenn Sie danach eine ausführliche Beratung oder die Prüfung Ihrer Unterlagen wünschen, ist dies kostenpflichtig. Darüber sprechen wir vorher offen mit Ihnen. Mehr zu unserer Arbeit im Bankrecht finden Sie auf unserer Themenseite.