QR-Code-Sicherheit: So scannst du, ohne betrogen zu werden
QR-Codes sind vom Nischenwerkzeug der Lagerverwaltung zu etwas geworden, das man ein Dutzend Mal pro Woche scannt: Speisekarten, Parkautomaten, Flyer, Paketlabels, sogar TV-Werbung. Genau diese Bequemlichkeit ist der Grund, warum Betrüger angefangen haben, eigene Codes aufzukleben. Ein QR-Code lässt sich nicht wie eine Webadresse mit dem Auge lesen; du vertraust darauf, dass dich die Handykamera ungesehen an einen sicheren Ort bringt.
Warum QR-Codes ein leichtes Ziel sind
Ein Link wie paypaI-secure-login.com kann bei genauem Lesen Verdacht erregen. Ein QR-Code verbirgt das vollständig: Du siehst nur ein schwarz-weißes Quadrat, bis die Kamera darauf gerichtet ist und das Handy den Link schon geöffnet hat. Angreifer nutzen dieses blinde Vertrauen auf mehrere Arten:
- Überklebte Aufkleber: Ein gefälschter QR-Aufkleber wird direkt auf den echten geklebt, etwa an einem Parkautomaten, Restauranttisch oder Aushang, und leitet auf eine täuschend echte Bezahl- oder Login-Seite um.
- „Quishing“-E-Mails: Phishing-Mails mit einem QR-Code statt eines klickbaren Links, in der Hoffnung, dass Mailfilter (und dein Instinkt) auf Textlinks achten, nicht auf Bilder.
- Gefälschte Hinweise: Ein ausgedruckter Zettel am Auto oder an der Tür, der dazu auffordert, „zum Bezahlen einer Gebühr zu scannen“ oder „die Lieferung neu zu terminieren“.
So scannst du sicher
- URL vorab ansehen. Die meisten Kameras zeigen eine Linkvorschau; lies die Domain, bevor du tippst. Passt sie nicht zum erwarteten Unternehmen oder ist es ein gekürzter Link ohne Kontext, öffne ihn nicht.
- Physische Codes auf Manipulation prüfen. Ein leicht verschobener Aufkleber oder einer, der über einen Druckrand ragt, ist ein Warnsignal. Rufe im Zweifel die Seite des Unternehmens direkt auf.
- Gib nach dem Scannen kein Passwort und keine Zahlungsdaten ein, wenn du das Ziel nicht sicher kennst.
- Sei bei QR-Codes in E-Mails und Nachrichten besonders vorsichtig, vor allem wenn sie Dringlichkeit erzeugen („Paket festgehalten“, „Konto jetzt bestätigen“).
- Halte das Betriebssystem deines Handys aktuell, denn manche Angriffe zielen auf veraltete Kamera- oder Browser-Software.
Nicht der Code ist das Problem, sondern blindes Vertrauen
Der Code ist nur ein Behälter für einen Link; er weiß nicht, ob der Link sicher ist. Für ihn gelten dieselben Regeln wie für jeden unbekannten Link, nur einen Schritt früher angewandt.
Wenn du selbst einen QR-Code brauchst, ist die Erzeugung im eigenen Browser sicherer und transparenter als ein beliebiger Online-Generator, der womöglich mitprotokolliert. Unser QR-Code-Generator arbeitet komplett clientseitig, und der QR-Code-Scanner zeigt dir das rohe Ziel, bevor du mit dem Handy scannst.