Mit QR-Code bezahlen

Der European Payments Council veröffentlichte seinen Leitfaden zum QR-Code für die SEPA-Überweisung erstmals 2012, und Version 3.1 des Leitfadens (auf Englisch) gilt seit dem 19. März 2024. Das Dokument ist rein informativ, daher entscheidet jede Bank selbst, ob ihre App den Code liest, und es ist für Rechnungen gedacht, auf denen dieselben Zahlungsdaten zum Abgleich auch im Klartext stehen. Die Sparkassen nennen den Code GiroCode, und die Sparkassen-App liest Empfänger, IBAN, BIC, Betrag und Verwendungszweck von der Rechnung, bevor der Kunde die Überweisung mit einer TAN freigibt.

Der Code enthält Textzeilen in fester Reihenfolge: das Service-Tag BCD, die Version 001 oder 002, einen Zeichensatz, die Kennung SCT, die BIC, den Namen des Empfängers und die IBAN. Optionale Zeilen tragen den Betrag in Euro, einen Zweckcode und entweder eine strukturierte Gläubigerreferenz oder einen freien Text mit bis zu 140 Zeichen, und die gesamte Nutzlast darf 331 Byte nicht überschreiten. In Version 002 ist die BIC optional und bleibt nur bei Zahlungen mit Teilnehmern außerhalb des EWR Pflicht. Für Zahlungen, bei denen der Empfänger nur den Code zeigt, etwa am Kassenterminal oder im Warenkorb eines Onlineshops, verweist der EPC auf einen eigenen Standard.

Für Zahlungen am Point of Interaction legt das EPC-Dokument Standardisation of QR-codes for MSCTs (auf Englisch) einen vom Empfänger und einen vom Zahler gezeigten Code fest, für Zahlungen zwischen Personen, von Verbrauchern an Unternehmen und zwischen Unternehmen. Ein Code des Empfängers kann ein Token enthalten, das dessen Zahlungsdienstleister auflöst, einen Proxy für die Empfängerdaten oder alle Transaktionsdaten im Klartext, darunter Name, IBAN, Händlerkategorie und Betrag. Ein Code des Zahlers enthält nur ein Token, weil zwei Antworten der Europäischen Bankenaufsichtsbehörde die Varianten mit einer Kundenkennung im Klartext ausschließen.

Jeder Code nach diesem Standard ist eine Webadresse aus der Domain des Verfahrens, einer Version, einem Typ, der Kennung des Anbieters und der Nutzlast. Ein Code kann mehrere Nutzlasten tragen, sodass ein Geschäft mit einem einzigen Aufkleber oder Bildschirm mehr als eine Bezahl-App annehmen kann. Bizum in Spanien nutzt den kundenseitigen Modus in den Lotterieannahmestellen von Loterías y Apuestas del Estado, wo der Kunde in der Banking-App einen QR-Code erzeugt, der 15 Minuten gültig ist (auf Englisch), und ein Mitarbeiter ihn scannt.

Die Arbeit geht auf eine Erklärung des Euro Retail Payments Board zurück, das den EPC im Juni 2021 um QR-Codes bat, mit denen Echtzeitüberweisungen am Point of Interaction verfahrensübergreifend funktionieren. Der EPC antwortete 2021 mit dem Dokument EPC212-21, und seine Multi-Stakeholder-Gruppe für mobil ausgelöste SEPA-Überweisungen machte daraus einen Standard für alle Zahlungssituationen, veröffentlicht im Januar 2023. Version 2.10 vom 17. Juni 2024 (auf Englisch) stellt klar, dass jedes Zahlverfahren und jede Zahlungslösung das Format nutzen darf, auch ohne SCT Inst oder SCT.

Der Standard legt das Format fest und überlässt die Umsetzung den einzelnen Verfahren, deshalb braucht ein Geschäft weiterhin einen Anbieter, der es mit den Apps seiner Kunden verbindet. Die European Payments Alliance und die European Payments Initiative wollen ihre nationalen Apps und Wero über einen gemeinsamen Hub verbinden, Zahlungen im Laden folgen in einer späteren Phase. Auch die App für den digitalen Euro der EZB sieht QR-Code-Zahlungen im Handel unter ihren ersten Funktionen vor.

Die Schweiz hat ihre Einzahlungsscheine durch die QR-Rechnung ersetzt, die SIX für den Schweizer Finanzplatz am 30. Juni 2020 eingeführt hat. Die QR-Rechnung besteht aus einem Zahlteil und einem Empfangsschein, und ihr Swiss QR Code enthält alle Daten für Zahlung und Verbuchung. PostFinance legte den 30. September 2022 als Enddatum der roten und orangen Einzahlungsscheine für alle Schweizer Bankkunden fest. Kunden von PostFinance und den anderen Schweizer Banken scannen die QR-Rechnung im Mobile- oder E-Banking.

In Belgien ist Wero an der Ladenkasse angekommen, und Kunden scannen einen Wero-QR-Code auf einem Bildschirm, einem Aufkleber oder einem Plakat (auf Französisch), prüfen Empfängername und Betrag und bestätigen. Die European Payments Initiative nannte Payworld als Anbieter (auf Englisch), dessen belgische Kassenterminals den Wero-Code anzeigen, und alte Payconiq-QR-Codes auf Rechnungen und in Geschäften funktionieren bis Ende 2026 weiter über Wero. Die European Payments Initiative betreibt Wero, und in Deutschland funktioniert die Wallet bereits beim Onlineshopping.

Quishing ist Phishing mit einem QR-Code, der auf eine gefälschte Website führt oder den Download von Schadsoftware startet. Die BaFin warnte am 7. Oktober 2024, dass Betrüger Briefe verschicken, die angeblich von Banken stammen, und Menschen auch per E-Mail, SMS und WhatsApp ansprechen. Die BaFin rät, einen Code nur zu scannen, wenn das Ziel sicher ist, und das Smartphone so einzustellen, dass es Links vor dem Öffnen anzeigt.

Aufgedruckte statische Codes an Parkautomaten sind das zweite Ziel von Quishing in Deutschland. Die Frankfurter Polizei fand Ende Juni 2026 mindestens acht Aufkleber über den Codes der Park-App easypark im Nordend und Westend, und die gefälschten Seiten fragten Kreditkartendaten ab. Die Polizei rät zu prüfen, ob ein Code Teil der offiziellen Beschriftung ist und ob die Domain zum Anbieter passt. Der EPC-Standard empfiehlt einen Integritätsschutz für Daten im Klartext und unterscheidet statische Codes auf Aufklebern von Codes, die für jede Transaktion neu entstehen und nach Gebrauch ungültig sind. Hectronic liefert Bezahlsysteme für Ladesäulen und Parkautomaten, und seine Geräte zeigen für jede Zahlung einen neuen Wero-Code auf dem Display (auf Englisch), was Quishing mit überklebten Codes nach Einschätzung von EPI praktisch unmöglich macht.

Ein Rechnungsprogramm oder ein GiroCode-Generator schreibt die Zeilen in der Reihenfolge des EPC-Leitfadens und kodiert sie als QR-Code mit Fehlerkorrekturstufe M, höchstens in Version 13. Der EPC-Leitfaden (auf Englisch) ist für Rechnungen gedacht, die Empfänger, IBAN, Betrag und Verwendungszweck zusätzlich im Klartext zeigen, damit der Zahler beides vergleichen kann. Ein Testscan mit einer Banking-App vor der ersten Rechnung zeigt, ob jedes Feld im Überweisungsformular ankommt.

Der QR-Code füllt die Zahlung nur aus, freigeben muss der Zahler sie weiterhin in der Banking-App mit starker Kundenauthentifizierung. Das Risiko liegt in einem Code, der auf eine gefälschte Website führt, deshalb sollte der Zahler Empfängername und Betrag in der App vor der Freigabe prüfen. Bei einer SEPA-Überweisung müssen Banken im Euroraum seit dem 9. Oktober 2025 zusätzlich eine Empfängerüberprüfung anbieten, die den Namen des Empfängers mit der IBAN abgleicht.

GiroCode ist der Name, den deutsche Banken für den EPC-QR-Code verwenden, der eine SEPA-Überweisung in Euro auslöst. Die Schweizer QR-Rechnung ist ein eigener Standard von SIX mit eigenem Swiss QR Code und besteht aus Zahlteil und Empfangsschein. Der Swiss QR Code enthält zusätzlich die Daten für die Verbuchung der Rechnung, während der EPC-Code nur die Felder einer Überweisung trägt.

Wero, die Wallet der European Payments Initiative, funktioniert in Deutschland für Onlinezahlungen und in einzelnen physischen Bezahlsituationen wie an Ladesäulen (auf Englisch) für Elektroautos. EPI plant eine breitere Verfügbarkeit an Ladenkassen in Deutschland und Frankreich ab 2027, nach dem Start in belgischen Geschäften mit QR-Codes auf Kassenterminals.