Person scannt einen verdächtigen QR-Code aus einem angeblichen Wallet-Brief

Krypto-Phishing per Brief – so erkennen Anfänger die QR-Code-Falle

1. September 2026

·

Krypto-Phishing kommt längst nicht mehr nur per E-Mail. Sicherheitsbehörden warnen vor täuschend echten Briefen, die angeblich von einer Kryptobörse oder einem Wallet-Hersteller stammen. Ein QR-Code soll zu einem dringenden Sicherheitsupdate führen. Tatsächlich wartet dahinter eine gefälschte Internetseite, die den Zugang zum gesamten Kryptovermögen stehlen kann.

Die Masche ist für Anfänger besonders gefährlich, weil ein Schreiben im Briefkasten seriöser wirkt als eine unbekannte Nachricht im Spam-Ordner. Hochwertiges Papier, persönliche Anrede und ein scheinbar offizielles Design erzeugen Vertrauen. Der technische Angriff beginnt aber erst, wenn der Empfänger den QR-Code scannt.

So funktioniert die neue Brief-Falle

Das Schweizer Bundesamt für Cybersicherheit berichtete im August über Briefe mit QR-Codes, die ein dringendes Wallet-Update vortäuschen. Nach dem Scan landen die Empfänger auf einer Phishing-Seite. Dort sollen sie ihre Wiederherstellungsphrase eingeben.

Diese meist zwölf oder 24 Wörter umfassende Seed Phrase ist der Generalschlüssel einer selbstverwalteten Wallet. Wer sie kennt, kann die Wallet auf einem anderen Gerät wiederherstellen und die enthaltenen Kryptowerte übertragen. Für den Diebstahl brauchen die Täter weder das ursprüngliche Smartphone noch die Hardware-Wallet des Opfers.

Die Briefpost macht den Angriff aufwendiger, aber auch überzeugender. Kriminelle nehmen diese Kosten in Kauf, weil eine erfolgreiche Wallet-Übernahme hohe Beute verspricht. Die persönliche Anschrift kann aus Datenlecks, gestohlenen Kundendaten oder frei verfügbaren Adressbeständen stammen.

Der wichtigste Satz für jeden Anfänger

Kein seriöser Wallet-Hersteller, keine Kryptobörse, kein Support-Mitarbeiter und keine Behörde benötigt die Seed Phrase. Sie gehört weder in ein Internetformular noch in eine E-Mail, einen Chat oder ein Telefongespräch. Sie wird ausschließlich für die bewusste Wiederherstellung der eigenen Wallet in einer vertrauenswürdigen Umgebung verwendet.

Auch ein angebliches Sicherheitsupdate ist kein Grund, die Wörter einzugeben. Offizielle Aktualisierungen werden nur über die bestätigte App, die Gerätesoftware oder die selbst aufgerufene Herstellerseite installiert. Links und QR-Codes aus unerwarteten Schreiben sind dafür ungeeignet.

Fünf Warnzeichen im Briefkasten

Zeitdruck – Das Schreiben droht mit einer Sperrung, einem Verlust oder einer kurzen Frist.
QR-Code als einziger Weg – Es gibt keine nachvollziehbare Mitteilung im offiziellen Kundenkonto.
Abfrage geheimer Daten – Seed Phrase, privater Schlüssel, Passwort oder Freigabecode werden verlangt.
Angeblicher Sicherheitsumzug – Coins sollen in eine neue oder vermeintlich sichere Wallet übertragen werden.
Ungefragter Kontakt – Der Absender meldet sich überraschend per Brief, SMS, E-Mail oder Telefon.

Falscher Support arbeitet mit Angst

Die Bundesnetzagentur warnt zusätzlich vor E-Mails und SMS im Namen von Finanz- und Handelsplattformen. Häufig ist von einer Anmeldung aus dem Ausland, einer beantragten Auszahlung oder einem verdächtigen Identitätsverfahren die Rede. Die Empfänger sollen eine Telefonnummer anrufen und landen bei einem falschen Support.

Im Gespräch versuchen die Täter, Passwörter zu erfragen, einen Fernzugriff auf das Gerät einzurichten oder eine Überweisung an eine angeblich sichere Wallet auszulösen. Die Grundregel bleibt dieselbe. Nicht die angegebene Nummer anrufen, sondern die App schließen und den Anbieter über einen selbst gewählten offiziellen Kontakt erreichen.

Was nach einem Scan zu tun ist

Wer nur einen QR-Code gescannt und die Seite wieder geschlossen hat, sollte keine weiteren Schritte auf der Seite ausführen. Wurde ein Passwort eingegeben, muss es über die offizielle Anbieter-App oder die eigenhändig aufgerufene Internetseite sofort geändert werden. Eine aktive Sitzung auf anderen Geräten sollte beendet und eine Zwei-Faktor-Absicherung geprüft werden.

Wurde die Seed Phrase oder ein privater Schlüssel preisgegeben, gilt die Wallet als kompromittiert. Noch vorhandene Kryptowerte sollten von einem sauberen Gerät aus in eine völlig neue Wallet mit neuer Seed Phrase übertragen werden. Die alte Phrase darf anschließend nicht wiederverwendet werden. Bei Unsicherheit ist fachkundige Hilfe sinnvoll, ohne dabei weitere geheime Daten herauszugeben.

Nach einem Schaden sollten Betroffene Transaktionsnummern, Wallet-Adressen, Schreiben, Umschlag, Telefonnummern und Bildschirmaufnahmen sichern. Danach kommen eine Meldung beim Anbieter und eine Strafanzeige in Betracht. Blockchain-Transaktionen lassen sich in der Regel nicht eigenmächtig zurückholen, doch die Dokumentation kann Ermittlungen und mögliche Sperren bei beteiligten Börsen unterstützen.

Ein einfacher Sicherheitsablauf

Unerwartete Mitteilung zunächst liegen lassen
Keine Links, QR-Codes oder Telefonnummern daraus verwenden
App oder offizielle Internetadresse selbst öffnen
Mitteilungen im echten Kundenkonto prüfen
Seed Phrase ausschließlich offline und sicher verwahren

Das Anfänger-Fazit

Der Brief mit QR-Code ist keine völlig neue Technik, sondern Phishing mit einer glaubwürdigeren Verpackung. Die beste Abwehr ist ein fester Ablauf, der unabhängig vom Absender funktioniert. Niemals unter Zeitdruck handeln, keine fremden Kontaktwege benutzen und die Seed Phrase grundsätzlich geheim halten.

Eine Hardware-Wallet schützt die privaten Schlüssel vor vielen digitalen Angriffen. Sie schützt aber nicht davor, dass ein Besitzer selbst eine betrügerische Transaktion bestätigt oder seine Wiederherstellungsphrase preisgibt. Sicherheit beginnt deshalb nicht beim Gerät, sondern bei der Entscheidung vor dem nächsten Klick oder Scan.

Quellen

Disclaimer

Keine Anlageberatung: Dieser Artikel dient der journalistischen Information und allgemeinen Prävention. Er ersetzt keine individuelle Rechts-, Sicherheits- oder Anlageberatung. Kryptowerte können vollständig verloren gehen.