Kann ein QR-Code Ihren Standort verfolgen? Was beim Scannen wirklich passiert

Kurz: Ein QR-Code kann Sie nicht verfolgen, weil ein QR-Code nichts tun kann. Er ist ein gedrucktes Muster, das sich zu Text auflöst — meist einer Webadresse. Kein Programm, keine Berechtigungen, keine Ausführung. Scannen ist näher am Lesen eines Schildes als am Installieren einer App.

Drei verschiedene Dinge heißen "Standort"

1. Genauer Standort vom Gerät. Eine Website kann über die Geolokalisierung des Browsers danach fragen. Nehmen kann sie ihn nicht: es erscheint eine Abfrage mit dem Namen der Seite, und ohne Ihr Ja gibt es nichts. Nur so entsteht Straßengenauigkeit — und leise geht das nicht.

2. Grober Standort aus der IP-Adresse. Jeder Server sieht die IP Ihrer Verbindung, kommerzielle Datenbanken ordnen ihr eine Gegend zu — oft die Stadt, häufig nur die Region, im Mobilfunk manchmal eine ganz andere Stadt. Keine Abfrage, weil keine Berechtigung nötig ist: ohne Adresse kann Ihnen niemand eine Seite schicken.

3. Was die Seite selbst erschließt. Anmeldung, Postleitzahl, eingebundene Karte oder Werbenetzwerk — das ist Sache der Seite, nicht des Codes.

Der genaue Satz lautet also: ein Scan verrät ungefähr, wo Ihre Verbindung ist — und genau, wo Sie sind, wenn Sie es erlauben. Die Abfrage ist die Grenze, und sie ist sichtbar.

Was der Code-Inhaber sieht

Ein dynamischer Code schiebt eine Weiterleitung dazwischen, und die lässt sich zählen. Wir erfassen Zeitpunkt, welchen Code, Gerätetyp, Betriebssystem und Browser laut Anfrage, den Referrer falls gesendet, und einen gesalzenen Hash der IP, um eindeutige Besucher zu zählen, ohne die Adresse zu behalten.

Keinen Standort — weder Stadt noch Land — und keine Identität. Das ist eine Entscheidung, keine Grenze: das Land wäre aus der IP ableitbar, und wir leiten es nicht ab.

Andere Dienste bieten Aufschlüsselungen nach Stadt oder Land aus derselben IP. Das ist legitim und meist offengelegt — schlicht eine andere Entscheidung, die man nachsehen und nicht annehmen sollte.

Was ein Scan wirklich nicht kann

• Etwas installieren. Eine Seite kann einen Download anbieten, den Sie selbst annehmen müssten.
• Fotografieren, Kontakte lesen, Dateien öffnen. Alles hinter Browser-Abfragen, wie auf jeder Website.
• Ihnen folgen. Der Code hat kein Gedächtnis. Verfolgung macht die Seite, mit Cookies oder Konto — genau wie beim Eintippen der Adresse.
• Geld abbuchen. Zahlungen erfordern Ihre Eingaben auf einer Seite.

Das echte Risiko ist nicht der Standort

Vorsicht verdient nicht, was ein Code misst, sondern wohin er führt. Jeder kann ein Quadrat drucken und über ein anderes kleben, und vor dem Scannen verrät ein Code sein Ziel nicht.

Die nützlichen Gewohnheiten sind langweilig: die angezeigte Adresse lesen, bevor Sie weitergehen; misstrauisch sein bei Codes auf Parkautomaten, Plakaten und Tischen, besonders wenn Zahlung oder Login verlangt wird. Ein seriöses Unternehmen druckt seine Adresse als Text daneben.

Wenn die Codes Ihnen gehören

Versprechen Sie keine Standortanalyse, die Sie nicht haben. Wer Städte meldet, macht IP-Auflösung — und die liegt im Mobilfunk oft daneben. Ein Druckbudget auf "welche Stadt scannt am meisten" zu stützen, ist Bauen auf Sand. Ein Code je Platzierung liefert dieselbe Antwort mit Gewissheit.

Sagen Sie klar, was Sie erfassen. Kunden erwarten inzwischen das Schlimmste, und eine konkrete Liste beruhigt mehr als ein Absatz Trost.

Kurze Antworten

• Sieht ein QR-Code meinen Standort? Nein. Die Seite kann fragen, und Sie sehen die Abfrage.
• Ohne Fragen? Nur grob über die IP, oft falsch.
• Installiert Scannen etwas? Nein.
• Sieht der Inhaber, wer ich bin? Nicht aus dem Scan.
• Was erfassen Sie? Zeit, Code, Gerät, System, Browser, Referrer, gehashte IP. Kein Standort, keine Identität.
• Wie bleibe ich sicher? Adresse lesen, aufgeklebten Codes misstrauen.