Passwortgeschützte QR-Codes: was sie wirklich schützen

Wer nach "verschlüsselten QR-Codes" fragt, will meist eines von zwei sehr verschiedenen Dingen: niemand, der zufällig vorbeikommt, soll das öffnen können — oder das muss wirklich vertraulich sein. Ein Passwort auf einem dynamischen Code beantwortet das Erste gut und das Zweite gar nicht.

Wie es genau funktioniert

Ein dynamischer Code trägt eine kurze Adresse. Normalerweise antwortet sie "geh dorthin". Mit Passwort antwortet sie stattdessen mit einem kleinen Formular. Stimmt das Passwort, läuft die Weiterleitung; ein Cookie sorgt dafür, dass dasselbe Telefon 12 Stunden nicht erneut gefragt wird — und dieser Cookie gilt nur für diesen einen Code.

Das Passwort liegt als bcrypt-Hash, ist also auch für uns nicht lesbar: Vergessenes wird ersetzt, nicht wiederhergestellt.

Der Satz, der entscheidet

Das Passwort schützt die Weiterleitung, nicht das Ziel.

Ihre Seite liegt weiterhin unter ihrer eigenen Adresse, und die ist ungeschützt. Wer sie hat — jemand, dem Sie sie geschickt haben, jemand, der nach dem Entsperren in die Adresszeile sah, eine Suchmaschine, die die Seite indexiert hat — öffnet sie direkt und sieht das Formular nie.

Was ein Passwort also bringt, ist echt, aber begrenzt: es stoppt den beiläufigen Scan. Nicht den, der es wirklich darauf anlegt.

Die zweite Grenze: ein geteiltes Geheimnis auf einem gedruckten Ding

• Es sickert konstruktionsbedingt durch. Nach einer Woche echter Nutzung ist ein Passwort auf einem öffentlichen Code nicht mehr privat.
• Wechseln heißt: allen erneut Bescheid geben. Für zwölf Kollegen in Ordnung, für vierhundert Messebesucher aussichtslos.
• Es sagt nicht, wer hereinkam. Ein Scan trägt keine Identität, und das Passwort erschafft keine.
• Nicht neben den Code drucken. Passiert häufiger, als man denkt, und macht die Funktion zur Dekoration.

Wo es wirklich passt

• Mitgliederinhalte auf öffentlicher Fläche. Foyer, Fitnessstudio, Vereinsheim.
• Etwas, das noch nicht so weit ist. Ein vor dem Start gedruckter Code, aktiv aber geschlossen.
• Interne Codes in gemischt genutzten Räumen. Eine Prozedur an einer Maschine, an der auch Besucher vorbeigehen.
• Dokumente, die nicht beiläufig weitergereicht werden sollen — eine Händlerpreisliste.
• Lärm reduzieren. Nur die, denen man davon erzählt hat, statt aller mit Kamera.

Wo es das falsche Werkzeug ist

• Alles wirklich Vertrauliche. Personendaten, Gesundheitsdaten, Finanzen, Verträge — das gehört hinter einen Login.
• Alles, was pro Person entziehbar sein muss. Ein geteiltes Passwort ist alles oder nichts.
• Nachweispflichtige Zugangskontrolle. Ein Protokoll mit Namen kann daraus nicht entstehen.
• Zahlungen und alles, was Betrüger anziehen würde. Ein Passwortfeld nach dem Scannen sieht genau aus wie eine Phishing-Seite — diese Gewohnheit sollte man Kunden nicht antrainieren.

Praktisches

• Pro und Business, zusammen mit Ablauf und Scan-Limit.
• Entsperrung gilt 12 Stunden je Gerät und Code.
• Einen Hinweis drucken, nicht das Passwort. "An der Rezeption erfragen", "das Wort auf Ihrem Ausweis".
• Das Ziel auch aus Suchergebnissen halten. Das Passwort verhindert keine Indexierung.
• Mit Ablauf kombinieren, wenn die Sache befristet ist.

Kurze Antworten

• Ist der Code selbst verschlüsselt? Nein. Geschützt ist der Schritt danach.
• Lässt sich das Passwort umgehen? Wer die Ziel-URL hat, begegnet ihm nie.
• Wie lange gilt die Entsperrung? 12 Stunden, gerät- und codebezogen.
• Sehe ich, wer es eingegeben hat? Nein.
• Für vertrauliche Dokumente geeignet? Nein — Login verwenden.
• Vergessenes Passwort wiederherstellbar? Nein, nur ersetzbar.