Ein QR-Code im offiziellen Elternbescheid der Stadt Witten führte in eine Abo-Falle. Wie das passieren konnte und wie du dich jetzt schützt.

Wenn der Behördenbrief zur Kostenfalle wird

Das klingt wie ein schlechter Krimi – ist aber leider bittere Realität für Eltern in Witten: Ein offizieller Elternbeitragsbescheid der Stadt enthielt einen QR-Code, der statt auf ein städtisches Formular auf eine ominöse Abo-Seite führte. ¹ Genau das ist passiert – und wer nicht aufgepasst hat, könnte jetzt tief in der Tasche greifen müssen.

Was steckt hinter dem QR-Code?

Eigentlich war die Idee ganz praktisch: Eltern sollten mit dem QR-Code in ihrem Elternbeitragsbescheid schnell und einfach ein SEPA-Lastschriftmandat für die Kindergartenkosten erteilen können. Nur leider landeten sie dabei nicht auf der Seite der Stadt Witten, sondern auf einer dubiosen externen Seite. ¹

Michael Recht, der die Panne als Erster bemerkt hat, bringt es auf den Punkt: „Gleich nach dem Enkeltrick ist das für mich die unterste Schublade.“ Er scannte den Code, landete auf einer Seite, auf der man nur auf „Weiter“ klicken konnte – und sollte plötzlich einen Euro zahlen. Der Empfänger? Nicht die Stadt Witten. Recht brach den Vorgang ab und warnte sofort andere Eltern aus der Kita. ¹

Wie ist das überhaupt passiert?

Der Anbieter, über den die Stadt den QR-Code erstellt hat, schaltete offenbar einfach seine eigene Werbung dazwischen – und zwar für genau dieses Abo-Modell. Wer also den einen Euro zahlte, schloss damit ein kostenpflichtiges Abonnement ab. Recht spricht von 49 Euro, die nach der Testzeit fällig werden. ¹

Die Stadt Witten hat am Mittwochmorgen eine Mitteilung veröffentlicht und sich für die Panne entschuldigt. Carsten Danielmeier, Chef der IT-Abteilung der Stadt Witten, betont: Gehackt wurde die Stadt nicht. Mit dem Ersteller des Codes arbeitet die Stadt auch nicht regelmäßig zusammen. ¹ Wie der fehlerhafte Code überhaupt entstehen konnte, ist aktuell noch unklar – das soll nächste Woche aufgearbeitet werden, wenn der zuständige Mitarbeiter wieder verfügbar ist.

So schützt du dich jetzt

Die Stadt Witten hat die Empfehlung klar kommuniziert: Finger weg von dem QR-Code! Wer das SEPA-Lastschriftmandat abgeben möchte, soll direkt auf die offizielle Internetseite der Stadt Witten gehen und dort das Formular suchen. Bescheide, die noch nicht verschickt wurden, werden inzwischen aktualisiert. ¹

Übrigens: Die Werbung auf der ominösen Seite ließ sich erst nach neun Sekunden schließen – danach wurden Nutzerinnen und Nutzer tatsächlich zur Stadtseite weitergeleitet. Ein fieses Design, das gezielt auf Unaufmerksamkeit setzt.

Wer ist besonders gefährdet?

Michael Recht, der selbst ein IT-Unternehmen leitet, macht sich vor allem um weniger technikaffine Eltern Sorgen: „Gerade, weil Eltern zwischen allen möglichen Tätigkeiten, die sie haben, immer noch probieren, alles zu erledigen. Wenn man die auf dem falschen Fuß erwischt, kann man da schnell reinfallen.“ ¹ Und genau das ist das Perfide daran – der Brief kommt von einer offiziellen Behörde, das Vertrauen ist automatisch da.

Was kommt als Nächstes?

Die Stadt Witten will den Fall vollständig aufarbeiten und neue Sicherheitsstandards etablieren. Eine Mail an zuständige Mitarbeiter soll die neuen Prozesse festlegen. Ob der externe Anbieter rechtlich belangt werden kann, bezweifelt Danielmeier allerdings. ¹

Bleibt also festzuhalten: Auch bei offiziellen Briefen lohnt es sich, zweimal hinzuschauen – und QR-Codes im Zweifelsfall lieber nicht einfach so zu scannen. Im Netz lauern leider auch dort Fallen, wo man sie am wenigsten erwartet.

Quellen

1. tagesschau.de: QR-Code der Stadt Witten führt auf ominöse Abo-Seite