Gefälschte QR-Codes erkennen (und „Quishing“ vermeiden)

Ob ein QR-Code sicher ist, siehst du ihm nicht an, also prüfe das Ziel, bevor du handelst. Schau dir die Webadresse an, die dein Handy anzeigt, sei misstrauisch bei Codes in unerwarteten Nachrichten und bei Aufklebern über anderen Codes, und gib nie Passwörter oder Kartendaten auf einer Seite ein, die du über einen Code erreicht hast, den du nicht überprüfen kannst. Unternehmen können das Risiko senken, indem sie ihre Codes einrahmen, regelmäßig kontrollieren und ihren Namen daneben drucken.

Was „Quishing“ ist

Quishing ist Phishing mit einem QR-Code. Der Code ist nur ein Bild einer Webadresse; der Betrug ist die Seite, die er öffnet. Weil das Muster gleich aussieht, ob es zu einer Speisekarte oder zu einer gefälschten Anmeldeseite führt, werden Leute unvorsichtig, und Sicherheitsfilter, die Text nach schädlichen Links durchsuchen, lesen das Bild unter Umständen gar nicht. Die US-Handelsbehörde FTC hat im Dezember 2023 eine Verbraucherwarnung veröffentlicht, die genau das beschreibt, darunter Betrüger, die die Codes an Parkautomaten durch eigene ersetzen, und Nachrichten, die einen Notfall erfinden, etwa eine verpasste Zustellung, damit die Leute schnell scannen.

Die zwei häufigsten Tricks

Überklebte Sticker. Ein Krimineller druckt einen Code und klebt ihn über einen echten: an einem Parkautomaten, einem Restauranttisch, einem Plakat, einer Spendenbox. Kunden glauben, sie bezahlen oder lesen die Speisekarte, und landen auf einer täuschend ähnlichen Seite.

Unaufgeforderte Codes. Ein Brief, eine E-Mail oder eine SMS fordert dich auf, einen Code zu scannen, um eine Zustellung neu zu planen, eine Banktransaktion zu bestätigen oder einen Gewinn abzuholen. Der Zeitdruck ist das Warnzeichen.

Sieben Prüfungen, bevor du einen Code öffnest

1. Lies die Adresse, die dein Handy anzeigt. iPhone und Android zeigen das Ziel vor dem Öffnen an. Vergleiche die Domain mit dem, was du erwartet hast. Die Speisekarte eines Cafés sollte keine Domain öffnen, von der du nie gehört hast.
2. Misstraue gekürzten Links auf Stickern und in Nachrichten. Ein Kurzlink verbirgt, wo er endet. Er ist an sich nicht unsicher, nimmt dir aber eine Prüfung, die du sonst machen würdest.
3. Schau dir den Code selbst an. Ist es ein Aufkleber über einem anderen Druck? Heben sich die Ränder? Klebt er auf einer Fläche, auf der kein Aufkleber sein sollte?
4. Frag dich, ob du damit gerechnet hast. Codes in unaufgeforderter Post oder Nachrichten verdienen besonderes Misstrauen.
5. Geh selbst zur offiziellen Website. Behauptet ein Code, von deiner Bank oder deinem Paketdienst zu kommen, schließ ihn und öffne stattdessen die offizielle App oder Website.
6. Gib nie Zugangsdaten oder Kartennummern auf einer Seite ein, die du nicht überprüfen kannst. Prüfe, ob die Adresse stimmt und ob du wirklich auf dieser Seite sein musst.
7. Nutze einen Reader mit Link-Vorschau. Einen Code aus einem Screenshot mit einem Tool zu lesen, das die vollständige Adresse anzeigt, bevor etwas geöffnet wird, ist ein sicherer Weg, ihn zu prüfen.

Was Unternehmen tun sollten

Wenn du QR-Codes für Kunden druckst, bist du Teil der Abwehr.

• Bring Codes so an, dass sie nicht überklebt werden können. Nimm einen Rahmen, eine durchsichtige Abdeckung oder einen Tischständer statt eines losen Aufklebers.
• Druck deinen Namen neben den Code und zeig ihn auf der Seite. Kunden, die wissen, was auf der Seite stehen sollte, erkennen eine Fälschung.
• Kontrolliere Codes regelmäßig. Prüfe sie bei Geschäftsöffnung, besonders überall dort, wo Zahlungen oder Spenden laufen.
• Nutze einen Kurzlink auf einer Domain, die du kontrollierst, oder einen Anbieter, der Ziele prüft. Mit einem dynamischen Code änderst du ein Ziel schnell, falls etwas schiefgeht, und ein Anbieter, der auf Missbrauch prüft, verringert die Gefahr, dass deine eigenen Codes gegen Menschen eingesetzt werden.
• Frag nie auf einer Seite, die man über ein Plakat erreicht, nach Kartendaten. Schick die Leute auf die gehostete Zahlungsseite deines Zahlungsanbieters.

Wenn du etwas Verdächtiges gescannt hast

Schließ die Seite, ohne etwas einzugeben. Hast du ein Passwort eingegeben, ändere es auf der echten Website und aktiviere die Zwei-Faktor-Authentifizierung. Hast du Kartendaten eingegeben, ruf deine Bank an. Melde den Aufkleber dem Betreiber und, wo sinnvoll, der Verbraucherschutzbehörde in deinem Land.

FAQ

Kann allein das Scannen eines QR-Codes mein Handy infizieren?

Beim Scannen wird nur Text gelesen. Das Risiko entsteht durch das, was du danach tust: eine schädliche Seite öffnen, etwas installieren, das sie anbietet, oder Zugangsdaten eingeben. Halte dein Handy aktuell und sei vorsichtig mit der Seite, die sich öffnet.

Wie prüfe ich einen QR-Code, ohne ihn zu öffnen?

Schau dir die Adressvorschau der Kamera-App an oder dekodiere einen Screenshot des Codes mit einem Tool, das den Inhalt anzeigt, bevor etwas geöffnet wird. Unser kostenloser QR-Code-Reader macht das in deinem Browser, ohne das Bild hochzuladen.

Sind QR-Codes unsicher?

Nicht mehr als jeder andere Link. Sie sind sicher, wenn sie aus einer vertrauenswürdigen Quelle stammen und zu der Seite führen, die du erwartet hast. Behandle sie wie Links in einer E-Mail: Prüfe, wohin sie führen, bevor du handelst.