Pix-Betrug im Checkout: QR-Code-Tausch erkennen und verhindern

Der Pix-Betrug im Checkout (Pix ist das Sofortzahlungssystem der brasilianischen Zentralbank, des Banco Central do Brasil) spielt sich in echten Onlineshops ab. Ein auf der Zahlungsseite eingeschleuster Schadcode tauscht den QR-Code und den Pix Copia e Cola (den Zahlungscode als Text, den der Kunde kopiert und in seine Banking-App einfügt) gegen andere aus, exakt im Wert des Einkaufs, und das Geld landet auf dem Konto des Betrügers. Es gibt keine gefälschte Website und keinen verdächtigen Link. Der Kunde zahlt, der Shop erhält nichts, und beide merken es erst Tage später.

Dieser Leitfaden fasst zusammen, was über den Betrug bekannt ist, und verweist auf die Beiträge, in denen jeder Teil ausführlich behandelt wird.

So funktioniert der Betrug

1. Der Shop erstellt eine echte Pix-Zahlungsanforderung mit korrektem QR-Code und Copia e Cola.
2. Ein Code, der auf der Seite läuft und durch einen Einbruch, ein kompromittiertes Plugin oder Theme oder ein Drittanbieter-Skript dorthin gelangt ist, ersetzt den angezeigten QR-Code und den Text, den der Kopieren-Button liefert.
3. Der Kunde zahlt den richtigen Betrag, sieht in der Banking-App einen plausiblen Namen und bestätigt.
4. Das Geld geht auf ein Durchgangskonto und wird innerhalb weniger Stunden verteilt.
5. Die Bestellung bleibt offen. Die Beschwerde kommt, wenn die Ware nicht verschickt wird.

Derselbe Mechanismus wird seit Jahren genutzt, um Kartendaten zu stehlen, und ist als Magecart bekannt. Siehe Magecart: was es ist und wie Sie Ihren Onlineshop schützen.

Der Fall vom September 2026

Am 1. September machte der unabhängige Forscher, der unter dem Namen eremit4 bekannt ist, die Kampagne öffentlich. Kaspersky bestätigte 90 betroffene kleine und mittlere Shops, alle auf derselben Open-Source-E-Commerce-Plattform und mit verschleppter Wartung, und gab an, dass der Betrug seit Juni 2025 aktiv war. Der Code tauschte QR-Code und Copia e Cola aus und kopierte die Daten, wenn der Kunde Kreditkarte wählte. Am 12. September veröffentlichte Procon-SP (die Verbraucherschutzbehörde des Bundesstaats São Paulo) Hinweise für Verbraucher zu diesem Betrug. Die vollständige Analyse finden Sie unter Magecart bei Pix.

Wo der QR-Code getauscht werden kann

• Auf der Shopseite. Trifft alle Kunden, die Pix wählen. Das ist der Fall vom September 2026 und das Thema dieses Leitfadens.
• Auf dem Gerät des Kunden. Viren und Browsererweiterungen tauschen den kopierten oder angezeigten Code aus, in jedem Shop. Siehe Virus tauscht Pix-QR-Code: auf Ihrem Gerät oder im Shop?.
• In der Nachricht. QR-Code oder Pix-Schlüssel, die außerhalb der Website von jemandem geschickt werden, der sich als Shop ausgibt.

Dasselbe gilt für den Text des Copia e Cola, denn er ist selbst die Zahlungsanweisung.

Warum herkömmliche Schutzmaßnahmen nichts bemerken

Firewall, Betrugserkennung und Zahlungsgateway schützen Server und Transaktionen. Das Gateway hat den richtigen QR-Code erzeugt. Die Betrugserkennung sieht eine gültige Transaktion eines echten Kunden über den richtigen Betrag. Der Tausch passiert danach, im Browser des Käufers, zusammen mit allem anderen, was die Seite lädt.

Selbst Werkzeuge, die für PCI DSS entwickelt wurden, die Skripte der Seite auflisten und bei einem neuen Skript warnen, können stumm bleiben, wenn der Schadcode in einer bereits freigegebenen Datei steckt.

Die Warnsignale

Für Händler:

• Mehr Bestellungen mit offenem oder abgebrochenem Pix, ohne dass die Besuche im Checkout zurückgehen.
• Kunden mit abgeschlossenem Zahlungsbeleg auf den Namen einer anderen Firma oder Person.
• Geänderte Dateien ohne Veröffentlichung, unbekannte Administratoren im Admin-Bereich.

Für Kunden:

• Ein Empfänger ohne Bezug zum Shop auf dem Bestätigungsbildschirm der Bank.
• Eine Bestellung, die nach abgeschlossenem Pix weiter auf „Zahlung ausstehend“ steht. Siehe Pix bezahlt, aber die Bestellung ist noch offen.

Was Kunden tun sollten

• Vor dem Bezahlen: Name und CNPJ (die Registernummer von Unternehmen in Brasilien) des Empfängers in der Banking-App prüfen. Siehe Manipulierter Pix-QR-Code: so erkennen Sie ihn vor dem Bezahlen.
• Wenn Sie schon bezahlt haben: noch am selben Tag in der Banking-App die Option „Contestar Pix“ („Pix anfechten“) nutzen, den Shop informieren und den Beleg aufbewahren. Die Frist für den MED (Mecanismo Especial de Devolução, das Rückerstattungsverfahren von Pix bei Betrug) beträgt 80 Tage, die Rückzahlung hängt aber davon ab, dass noch Guthaben vorhanden ist. Siehe Falscher Pix beim Onlinekauf: Irrtum oder Betrug.

Was Händler tun sollten

1. Aktualisieren Sie Plattform, Theme und Plugins und entfernen Sie, was Sie nicht nutzen.
2. Schützen Sie den Admin-Bereich mit Zwei-Faktor-Authentifizierung und prüfen Sie, wer Zugriff hat.
3. Reduzieren Sie die Skripte im Checkout auf das Nötigste, jedes mit Verantwortlichem und Begründung.
4. Überwachen Sie die Seite im Live-Betrieb, so wie der Kunde sie sieht. Siehe Änderungen im Checkout überwachen.
5. Gleichen Sie den angezeigten Code mit dem ausgestellten ab und blockieren Sie Abweichungen vor der Bestätigung.
6. Verfolgen Sie die Quote offener Pix-Zahlungen jeden Tag.
7. Bereiten Sie den Kundenservice vor auf Kunden, die bezahlt und nichts erhalten haben.

Nicht nur Pix

Derselbe Code, der den QR-Code tauscht, kann auch die linha digitável (die Nummer) eines Boletos (des brasilianischen Bankzahlscheins) austauschen, ebenso die Adresse einer Stablecoin-Wallet oder den QR-Code anderer Sofortzahlungen, und er kann die Daten der Kreditkarte und der Debitkarte kopieren. Den Checkout zu schützen heißt, alle dort angezeigten Zahlungsarten zu schützen.

Wo Proteside ins Spiel kommt

Proteside ist eine Cybersicherheitsschicht, die auf dem Bildschirm des Zahlenden prüft, ob die Zahlungsdaten die vom Verkäufer ausgestellten sind, und den Tausch vor der Bestätigung blockiert. Es ist keine Betrugserkennung, keine Firewall und kein Gateway: Es arbeitet neben ihnen, auf jeder Plattform und mit jedem Anbieter. Siehe den Pix-Schutz im Checkout und so funktioniert es.