Fake-Paketkarten: Vorsicht vor der QR-Code-Falle

Lange Zeit war fast ausschließlich das gelbe Design der Deutschen Post / DHL betroffen, da diese den größten Marktanteil in Deutschland haben und somit die Trefferquote für die Betrüger am höchsten ist. Das hat sich jedoch geändert. Die Täter diversifizieren ihre Angriffe, um glaubwürdiger zu wirken.

Nach aktuellem Kenntnisstand der Verbraucherzentralen und des Landeskriminalamts (LKA) sind Fälschungen im Umlauf, die die Corporate Identity fast aller großen Logistiker imitieren:

• Hermes: Hier nutzen die Täter das typische Blau und imitieren oft die Zettel, die normalerweise an der Haustür kleben.
• DPD & UPS: Auch deren Designs (Rot/Weiß bzw. Braun/Gold) werden kopiert.
• Amazon Logistics: Da Amazon oft eigene Zusteller einsetzt, tauchen vereinzelt auch Fälschungen in deren Design auf.

Das gefährliche daran: Die Betrüger passen sich teilweise den lokalen Gegebenheiten an. In Regionen, wo beispielsweise Hermes sehr stark vertreten ist, tauchen vermehrt blaue Fake-Karten auf. Lassen Sie sich also nicht in Sicherheit wiegen, nur weil die Karte nicht von der DHL zu sein scheint.

Die Fälschungen sind optisch oft hochwertig, doch im Detail scheitern sie fast immer an der Logistik-Realität. Achten Sie auf diese Merkmale:

1. Die fehlende Individualisierung (Das wichtigste Merkmal)

Eine echte Karte wird vom Zusteller in der Eile ausgefüllt oder gedruckt. Sie enthält immer:

• Ihren Namen oder den des Nachbarn.
• Das Datum und die Uhrzeit.
• Oft eine krakelige Handschrift oder einen Aufkleber mit einer Sendungsnummer.
• Eine konkrete Handlungsanweisung (z.B. „Komme morgen wieder“ oder „Bei Nachbar Müller abgegeben“).

Die Fälschung hingegen ist generische Massenware. Sie muss für jeden Briefkasten passen. Deshalb fehlen Namen, konkrete Sendungsnummern und individuelle Ankreuzfelder. Eine Karte, die keinen Empfängernamen trägt, ist fast garantiert Betrug.

Die spezifische Masche mit gefälschten Paketbenachrichtigungen im Briefkasten ist eine der neuesten Eskalationsstufen im Bereich Cybercrime. Während digitale Angriffe (per SMS oder E-Mail) schon lange existieren, lässt sich der Trend zur physischen Postkarte wie folgt zeitlich einordnen:

1. Die Vorläufer (2023): Parkscheinautomaten und Ladesäulen

• Bevor die Betrüger in Ihren Briefkasten kamen, übten sie im öffentlichen Raum.
• Ab 2023 häuften sich Berichte über überklebte QR-Codes an Parkscheinautomaten (z. B. in Berlin und München) und an E-Ladesäulen.
• Autofahrer wollten per App zahlen, scannten den aufgeklebten Code und landeten auf gefälschten Zahlungsseiten. Dies war der erste große „Testlauf“ für physisches Quishing (QR-Code-Phishing) in Deutschland.

2. Der Sprung in den Briefkasten: Die Bankbriefe (Herbst 2023 / Anfang 2024)

• Der nächste Schritt war der direkte Einwurf von Post.
• Ende 2023 und verstärkt im Jahr 2024 tauchten plötzlich sehr professionell gefälschte Briefe von Banken (u. a. Commerzbank, Deutsche Bank, Sparkassen) in deutschen Briefkästen auf.
• Inhalt: Man solle sein PhotoTAN-Verfahren aktualisieren, indem man einen QR-Code scannt. Diese Welle bereitete den Boden für die Paket-Masche, da die Täter hier die Logistik für den massenhaften Briefeinwurf perfektionierten.

3. Die Paketkarten-Welle (Start: Frühjahr 2024 in Österreich)

• Die spezifische Variante mit den Paketkarten hat ihren Ursprung im deutschsprachigen Raum interessanterweise in Österreich.
• Im April/Mai 2024 warnten die österreichische Polizei und „Post.at“ massiv vor gelben Zetteln („Hinterlegungsanzeigen“), die fast identisch aussahen wie die echten, aber einen Phishing-QR-Code enthielten.

Machen Sie es sich zur Gewohnheit, dem Papier nicht blind zu vertrauen:

• Gegenprüfung in der App: Erwarten Sie ein Paket? Schauen Sie in die offizielle App des Anbieters. Wenn dort steht „In Zustellung“ oder „Liegt in Filiale“, stimmt das. Steht dort nichts von einem Problem, lügt die Karte.
• Keine Daten ohne Sendungsnummer: Geben Sie niemals Daten auf einer Webseite ein, wenn Sie nicht vorher eine valide Sendungsnummer eingegeben haben. Die Betrüger-Seiten fragen oft direkt nach Adresse und Kreditkarte, ohne vorher nach der Paketnummer zu fragen – das würde kein echter Dienstleister tun.
• Wegwerfen: Wenn Sie nichts bestellt haben und die Karte unpersönlich wirkt: Ab damit ins Altpapier!