Sind QR-Codes sicher? Was sie mit Ihrem Handy tun können und was nicht

Die kurze Antwort: der Code selbst ist träge. Er ist ein Muster, das zu einem Stück Text wird — meist eine Webadresse. Er kann keine Software installieren, keinen Code ausführen und nichts vom scannenden Handy lesen.

Was schiefgehen kann, hängt vollständig am Ziel — und daran, ob der gescannte Code der ist, den der Betreiber angebracht hat.

Was ein QR-Code physisch nicht kann

• Er kann keinen Virus enthalten. Es gibt nichts auszuführen. Der dekodierte Text geht ans Betriebssystem, das entscheidet, was es anbietet — meist „diesen Link öffnen".
• Er kann keine App von selbst installieren. Er kann zu einer Store-Seite führen; die Installation braucht Ihre ausdrückliche Handlung.
• Er kann Kontakte, Fotos oder Nachrichten nicht lesen. Scannen erteilt überhaupt keine Berechtigungen.
• Er kann keine Zahlung auslösen. Er kann eine Zahlungsseite öffnen; freigeben müssen Sie.
• Er kann Sie nicht still ins WLAN bringen — das Handy fragt zuerst.

Was tatsächlich schiefgehen kann

1. Das Ziel ist eine Phishing-Seite. Eine überzeugende Kopie einer Bank, eines Paketdienstes, einer Parkgebühren-Seite. Das ist das ganze Spiel; der Code ist nur der Zustellweg — wie ein Link in einer SMS, nur dass man ihn vorher nicht lesen kann.
2. Der Code gehört nicht dem Betreiber. Ein Aufkleber über dem echten auf Parkautomat, Speisekarte oder Spendenplakat. Das Geschäft weiß nichts davon, und die physische Welt kennt keine Browserwarnung.
3. Das Ziel verlangt, was es nicht sollte. Zugangsdaten, Kartennummer, eine App außerhalb des Stores. Die Seite ist der Angriff.

Sicher scannen, praktisch

• Adresse vor dem Tippen lesen. Jedes moderne Handy zeigt die URL als Vorschau. Auf die Domain schauen — den Teil unmittelbar vor dem ersten einzelnen Schrägstrich.
• Zuerst dem physischen Kontext misstrauen. Aufkleber über einem gedruckten Code, Code am Laternenmast, Code auf den Parkautomaten geklebt.
• Niemals Zahlungs- oder Zugangsdaten auf einer Seite eingeben, die Sie über einen Straßen-Code erreicht haben.
• Dringlichkeit ist verdächtig. „Ihr Paket liegt fest", „die Gebühr verdoppelt sich morgen" — Druck ist die Konstante jedes Betrugs.
• Das Schloss heißt verschlüsselt, nicht ehrlich. Phishing-Seiten haben auch Schlösser.

Wenn die Codes Ihnen gehören

• Eine Domain verwenden, die man erkennt. Ein Kurzlink auf der eigenen Domain macht einen gefälschten Aufkleber für jeden sichtbar, der die Adresse liest.
• Die Adresse unter den Code drucken. Eine Zeile — und aus dem Rätselquadrat wird eine überprüfbare Behauptung.
• Die eigene Beschilderung ansehen. Manipulation ist ein physischer Angriff und braucht eine physische Kontrolle.

Ein dynamischer Code hilft hier auf eine leicht übersehene Weise: wird ein Code missbraucht oder eine Kampagnenseite kompromittiert, legen Sie ihn in Sekunden um, statt jemanden zum Austausch von Druckmaterial loszuschicken.

Was der Betreiber durch das Scannen über Sie erfährt

„Sicher" heißt auch „was wird erhoben". Bei diesem Dienst erfasst ein Scan Zeitpunkt, welchen Code, Gerätetyp, Betriebssystem und Browser laut Anfrage, den Referrer falls gesendet, und einen gesalzenen Hash der IP-Adresse zum Zählen eindeutiger Besucher.

Nicht erfasst: Ihre Identität, Ihre Rufnummer, Ihre Kontakte — und kein Standort. Viele Dienste leiten aus der IP ein Land ab; dieser erhebt sie nicht. Andere Anbieter handhaben das anders, weshalb die Frage sich lohnt.

Kurze Antworten

• Kann ein QR-Code einen Virus übertragen? Nein. Er wird zu Text, es gibt nichts auszuführen.
• Kann er beim Scannen Daten stehlen? Nein. Scannen erteilt keine Berechtigungen.
• Ist es sicher, einen Code auf der Straße zu scannen? Das Scannen ja. Die Frage ist das Ziel — Adresse lesen.
• Wie erkennt man Manipulation? Aufkleber über Aufkleber, und die Domain nach dem Scannen lesen.
• Sind Codes im Restaurant sicher? Meist ja, mit derselben Prüfung der Domain.
• Weiß der Betreiber, wer ich bin? Nein — hier keine Identität und kein Standort.