Manipulierter Pix-QR-Code: so erkennen Sie ihn vor dem Bezahlen

Ein manipulierter QR-Code für Pix (das Sofortzahlungssystem der brasilianischen Zentralbank) sieht aus wie der echte und verlangt denselben Betrag. Anders ist nur der Empfänger. Deshalb gibt es nur einen Weg, es vor dem Bezahlen zu bemerken: den Empfänger in der Banking-App ansehen. Name und CNPJ (die Registernummer von Unternehmen in Brasilien), die auf dem Bestätigungsbildschirm erscheinen, müssen zum Shop gehören oder zu dem Unternehmen, das seine Zahlungen abwickelt.

Wie der Pix-QR-Code manipuliert wird

Die Manipulation kann an drei Stellen passieren:

• Auf der Shopseite. Ein auf der Website eingeschleuster Schadcode tauscht beim Bezahlen den QR-Code und den Pix Copia e Cola (den Zahlungscode als Text, den der Kunde kopiert und in die Banking-App einfügt) aus. Im September 2026 bestätigte Kaspersky 90 brasilianische Onlineshops in dieser Lage. Der Kunde war auf der richtigen Website und sah nichts Ungewöhnliches.
• Auf Ihrem Computer oder Handy. Ein Schadprogramm oder eine Browsererweiterung tauscht den kopierten Code oder das angezeigte Bild aus. Diesen Fall erklären wir in Virus tauscht Pix-QR-Code.
• In der Nachricht. Ein QR-Code, den jemand, der sich als Shop ausgibt, per WhatsApp, E-Mail oder soziales Netzwerk außerhalb der Website schickt.

In allen drei Fällen stimmt der Betrag meist. Der Betrug funktioniert gerade deshalb, weil am Betrag nichts auffällt.

Was Sie vor dem Bestätigen prüfen sollten

1. Den Namen des Empfängers. Es sollte der eingetragene Firmenname des Shops sein, sein Handelsname oder der eines bekannten Zahlungsdienstleisters. Der Name einer Privatperson oder einer Firma ohne Bezug zum Kauf ist ein Grund, abzubrechen.
2. Den CNPJ. Viele Shops zeigen den CNPJ im Footer der Website. Vergleichen Sie ihn mit dem in der Banking-App.
3. Die empfangende Institution. Die App zeigt meist die Bank oder Institution, die das Geld erhält. Gibt der Shop an, über einen Anbieter zu kassieren, sollte dieser dort erscheinen.
4. Betrag und Beschreibung. Ein QR-Code des Shops enthält in der Beschreibung meist die Bestellnummer oder den Namen des Shops.

Procon-SP (die Verbraucherschutzbehörde des Bundesstaats São Paulo) gab im September 2026 dieselbe Empfehlung: Es reicht nicht, den Betrag zu prüfen. Name und CNPJ des Empfängers müssen geprüft werden, und die Zahlung sollte nicht abgeschlossen werden, wenn sie abweichen oder unbekannt sind.

Ein fairer Hinweis: Bei kleinen Shops kann Pix ganz legitim auf den Namen des Inhabers laufen. Passt der Name nicht, fragen Sie vor dem Bezahlen beim Shop nach, über einen Kanal, den Sie selbst gefunden haben, etwa die Telefonnummer oder den Chat der Website.

Anzeichen, dass etwas nicht stimmt

• Der Name des Empfängers hat keinen Bezug zum Shop.
• Die Bestellung steht noch lange auf „Zahlung ausstehend“, nachdem die Bank den Pix als abgeschlossen anzeigt.
• Der Shop sagt, er habe nichts erhalten, und der Beleg zeigt einen anderen CNPJ.
• Der QR-Code kam per Nachricht und nicht über die Zahlungsseite der Website.

Ich habe einen manipulierten QR-Code bezahlt: was jetzt

1. Öffnen Sie Ihre Banking-App und nutzen Sie die Option „Contestar Pix“ („Pix anfechten“). Diese Selbstbedienungsfunktion gibt es seit Oktober 2025. Wählen Sie die Transaktion und als Grund Betrug.
2. Tun Sie das möglichst noch am selben Tag. Die Frist, um die Rückzahlung über den Mecanismo Especial de Devolução, den MED (das Rückerstattungsverfahren von Pix bei Betrug), zu beantragen, beträgt 80 Tage. Das Geld kommt aber nur zurück, wenn auf den Empfängerkonten noch Guthaben ist. Betrüger verteilen den Betrag meist innerhalb weniger Stunden.
3. Informieren Sie den Shop. Schicken Sie den Beleg und erklären Sie, dass der Empfänger ein anderer ist. Das hilft dem Shop, die Lücke zu finden und zu schließen, und schützt andere Kunden.
4. Bewahren Sie alles auf. Beleg, Screenshots der Zahlungsseite, den Austausch mit dem Shop und die Vorgangsnummer der Bank.
5. Erstatten Sie Anzeige bei der Polizei. Für die Anfechtung ist das optional, aber es stärkt den Antrag und hilft der Polizei, die Fälle miteinander zu verknüpfen.

Wenn Sie nicht sicher sind, ob es Betrug war, lesen Sie Falscher Pix beim Onlinekauf: Irrtum oder Betrug. Der Unterschied entscheidet, ob der MED in Ihrem Fall greift.

Warum der Kunde keine Schuld trägt

Wenn die Manipulation auf der Website des Shops passiert, hat der Kunde alles richtig gemacht: Er hat die richtige Adresse aufgerufen, das Produkt gewählt und den verlangten Betrag bezahlt. Den Empfänger zu prüfen ist ein guter Schutz, sollte aber nicht der einzige sein. Den QR-Code zeigt die Seite des Shops an, und dort muss er geschützt werden.

Für Händler

Wenn Kunden plötzlich Belege auf den Namen einer anderen Firma schicken, behandeln Sie das als Sicherheitsvorfall. Lesen Sie den vollständigen Leitfaden zum Pix-Betrug im Checkout.

Proteside schützt genau diese Stelle: Es prüft auf dem Bildschirm des Zahlenden, ob QR-Code und Copia e Cola die vom Shop ausgestellten sind, und blockiert den Tausch vor der Bestätigung. Siehe den Pix-Schutz im Checkout.