Es ist der Klassiker im Briefkasten: ein gelber Zettel der Post, ein Paket konnte nicht zugestellt werden. Diesmal ist nur eines anders – darauf prangt ein QR-Code, der das Ganze «bequemer» machen soll. Wer ihn scannt, landet nicht bei der Post, sondern in einer Falle, die es auf das Wertvollste in Deinem Portemonnaie abgesehen hat: Deine Kreditkarte. Das Bundesamt für Cybersicherheit (BACS) warnt vor dieser Masche, die physisches Papier und digitales Phishing geschickt kombiniert.
So läuft die Masche ab
Kriminelle werfen gefälschte Abholeinladungen in Briefkästen – optisch täuschend echt, mit den Farben und dem Logo der Schweizerischen Post. Der aufgedruckte QR-Code führt auf eine Webseite, die der echten Post-Seite zum Verwechseln ähnlich sieht. Dort heisst es, ein Paket sei «blockiert» und die Zustellung müsse neu organisiert werden.
Dann beginnt das Abgreifen, Schritt für Schritt: Zuerst wählst Du ein neues Lieferfenster – ein reines Ablenkungsmanöver, das den Vorgang seriös wirken lässt. Danach sollst Du persönliche Daten eingeben: Name, Geburtsdatum, Adresse, E-Mail und Schweizer Telefonnummer. Und am Ende kommt das eigentliche Ziel – die Kreditkartendaten. Garniert wird das mit einer winzigen «Bearbeitungsgebühr» von oft CHF 2.10, im Bezahlschritt teils CHF 3.99. TWINT erscheint praktischerweise als «nicht verfügbar», damit Du wirklich die Karte zückst.
Woran Du den Schwindel erkennst
- Die Schweizerische Post verlangt für eine normale zweite Zustellung in der Regel keine Gebühr. Sobald Geld für eine Zustellung gefordert wird, ist höchste Vorsicht geboten.
- Für eine Paketzustellung braucht niemand Dein Geburtsdatum. Diese Abfrage hat nur einen Zweck – ein vollständigeres Profil von Dir.
- Ein QR-Code auf einem unerwarteten physischen Dokument ist grundsätzlich verdächtig. Er nimmt Dir genau die Prüfung ab, die Dich schützen würde: das bewusste Eintippen der echten Adresse.
Was Du tun solltest
- Scanne QR-Codes auf unerwarteten Briefen, Zetteln und Aufklebern nur mit grösster Vorsicht – oder gar nicht.
- Kontrolliere nach dem Scannen immer zuerst die Adresse in der Browserzeile, bevor Du irgendetwas eingibst.
- Gehe im Zweifel direkt zur offiziellen Post-Website oder nutze die Post-App und gib die Sendungsnummer von Hand in die Sendungsverfolgung ein.
- Hast Du bereits Zahlungsdaten eingegeben? Kontaktiere sofort Deine Bank oder Dein Kreditkarteninstitut und lass die Karte sperren.
Fazit
Bisher wurde die Masche vor allem aus der Westschweiz gemeldet – aber gute Betrugsvorlagen wandern schnell. Der Trick funktioniert, weil er zwei Welten verbindet: Ein Stück Papier im Briefkasten wirkt vertrauenswürdig, der QR-Code bringt Dich bequem ins Netz, und dort schnappt die Falle zu. Die einfachste Gegenwehr ist auch hier die langweiligste: nicht den bequemen Code scannen, sondern den Weg über die echte Post-App oder Website nehmen. Ein paar Sekunden mehr – und die Kreditkarte bleibt, wo sie hingehört.
Quelle: Bundesamt für Cybersicherheit BACS, Wochenrückblick (Meldung vom 16.06.2026).