Scam-Pattern der Woche: Krypto-Wallet-Phishing per Brief mit QR-Code

Die meisten Betrugswarnungen, die wir hier behandeln, drehen sich um E-Mails, Telefonanrufe oder Chat-Nachrichten. Diesmal geht es um etwas, das viele gar nicht mehr auf dem Schirm haben: einen echten Brief im Briefkasten.

Der Fall

Die Schweizer Cybersicherheitsbehörde BACS meldete Mitte August eine laufende Welle physischer Briefe, die sich als Ledger oder Trezor ausgeben - beides bekannte Hersteller von Hardware-Wallets. Der Inhalt: Wegen der Einführung einer sogenannten "Quantum Resistance" sei ein kritisches Sicherheits-Update erforderlich. Im Brief liegt ein QR-Code bei, der angeblich zu diesem Update führt. Tatsächlich landet man auf einer nachgebauten Webseite, die zur Eingabe der Wiederherstellungsphrase auffordert. Gibt man diese ein, haben die Angreifer vollen Zugriff auf die Wallet - das Geld ist unwiderruflich weg.

Wichtig für die Einordnung: Es handelt sich nicht um einen Einzelfall. Bereits Ende Juli hatte dieselbe Behörde eine erste Meldung dazu veröffentlicht, die Welle läuft also nachweislich schon mehrere Wochen. Auch Ledger selbst warnte bereits im Juni vor genau dieser Art von Schreiben.

Warum ausgerechnet Papier?

Auf den ersten Blick wirkt ein Brief altmodisch und aufwendig im Vergleich zu einer E-Mail, die man in Sekunden an tausende Adressen verschicken kann. Genau das ist aber der Trick: Die meisten Menschen sind bei verdächtigen E-Mails inzwischen vorsichtig - bei einem gedruckten Brief auf offiziellem Papier reagieren viele völlig anders. Ein gedrucktes Schreiben wirkt automatisch seriöser, weil man unbewusst denkt: Wer bezahlt schon Porto für einen Betrug?

Hinzu kommt ein technischer Aspekt: Beim Scannen eines QR-Codes mit dem Smartphone gibt es keinen Spam-Filter, keine Vorwarnung, keinen rot markierten Link wie im E-Mail-Postfach. Die meisten scannen einfach und tippen weiter, ohne die eigentliche Ziel-URL überhaupt anzuschauen.

Der ungewöhnliche Zeitdruck-Trick

Ein Detail sticht besonders heraus: Die Frist im Brief ist auffällig lang bemessen - über zwei Wochen. Das ist für Betrugsversuche eher untypisch, da Angreifer ihre Opfer normalerweise mit künstlich erzeugtem Zeitdruck zu unüberlegten, schnellen Handlungen bewegen wollen. Die großzügige Frist ist hier vermutlich selbst Teil der Täuschung: Sie soll zusätzlich Seriosität vermitteln, weil klassische Betrugsmaschen eben genau nicht so wirken.

Die Dimension des Problems

Laut CertiK beliefen sich die Verluste durch Krypto-Phishing insgesamt allein im Januar 2026 auf über 311 Millionen Dollar, im gesamten Jahr 2025 waren es rund 17 Milliarden Dollar. Kein Nischenproblem also, sondern eine der größten Bedrohungen für Selbstverwahrer überhaupt.

Was das für euch bedeutet

Auch wenn die bisherige Meldung offiziell nur aus der Schweiz stammt: Wallet-Marken und die zugrunde liegenden, oft aus Datenlecks stammenden Adresslisten kennen keine Landesgrenze. Eine deutsche Behördenmeldung mit demselben Wortlaut gibt es aktuell noch nicht - das heißt aber nicht, dass hierzulande niemand betroffen sein könnte, sondern nur, dass dazu bislang keine belegte Zahl vorliegt.

Die wichtigste Regel bleibt unverändert, egal über welchen Kanal sie kommt: Kein Hersteller einer Hardware-Wallet, keine Börse und kein Support wird euch jemals per Brief, E-Mail, Anruf oder Chat nach eurer Wiederherstellungsphrase fragen. Ein "Sicherheits-Update", für das ihr eure Seed-Phrase eingeben müsst, ist per Definition kein echtes Update - es ist der Diebstahl selbst.

Solltet ihr ein solches Schreiben erhalten: nicht scannen, nicht auf die im Brief genannte Adresse antworten, sondern bei Unsicherheit direkt über die offizielle Webseite des jeweiligen Herstellers nachfragen.

Quellen: BACS Wochenrückblick 33, Zerberos