Was ist Quishing? QR Code Betrug erkennen und sich schützen

Kurz gesagt: Die Gefahr steckt nicht im Code selbst, sondern in der Adresse dahinter. Wir, Talha Aslan und Team, betrachten das Thema in diesem Ratgeber von zwei Seiten: aus Sicht der Person, die scannt, und aus Sicht des Unternehmens, das Codes druckt. Wenn Sie selbst einen Code sicher erstellen möchten, nutzen Sie unseren kostenlosen QR Code Generator. Er erzeugt den Code komplett in Ihrem Browser, Ihre Eingaben gelangen also nicht auf einen Server.

Das Wort Quishing verbindet „QR“ und „Phishing“. Phishing bezeichnet Angriffe, die eine vertraute Marke oder Behörde nachahmen, um auf einer falschen Seite Ihre Daten abzugreifen. Beim QR Code Betrug transportiert der Code lediglich den Link. Deshalb gelten die meisten klassischen Phishingtipps auch hier. Der Unterschied: Statt einer lesbaren Adresse sehen Sie zunächst nur schwarze und weiße Quadrate.

Wie läuft ein Angriff mit gefälschtem QR Code Schritt für Schritt ab?

Ein QR Code ist ein zweidimensionaler Barcode, der Text als Muster aus Quadraten speichert. Meist handelt es sich bei diesem Text also um eine Webadresse. Ihre Handykamera entschlüsselt das Muster und bietet an, die Adresse zu öffnen. Den technischen Aufbau beschreibt die internationale Norm ISO/IEC 18004. Denso Wave, das Unternehmen hinter dem Format, erklärt auf seiner offiziellen Website außerdem die Stufen der Fehlerkorrektur.

Allerdings legt die Norm nur fest, wie ein Lesegerät das Muster entschlüsselt. Wohin der Code führt, prüft sie dagegen nicht; das bleibt Ihre Aufgabe. Das heißt: Ein gültiger QR Code und ein sicherer QR Code sind zwei verschiedene Dinge. Ein typischer Angriff folgt diesem Ablauf:

1. Zunächst baut der Angreifer eine falsche Seite, die eine bekannte Marke oder Behörde imitiert.
2. Dann wandelt er die Adresse dieser Seite in einen QR Code um.
3. Er druckt den Code auf einen Aufkleber, fügt ihn in eine E-Mail ein oder legt ihn einem Brief bei.
4. Sie scannen den Code, landen auf der falschen Seite und geben Ihre Daten ein.
5. Schließlich übernimmt der Angreifer mit diesen Daten ein Konto oder leitet eine Zahlung um.

Manchmal fordert die Seite Sie stattdessen auf, eine App oder Datei zu installieren. Das kanadische Zentrum für Cybersicherheit beschreibt in seinem Leitfaden zur Sicherheit von QR Codes geklonte Codes, die einen echten Code ersetzen und auf eine schädliche Seite führen oder Schadsoftware installieren. Zudem setzen Angreifer gern auf Zeitdruck. Sätze wie „Ihr Bußgeld erhöht sich“ oder „Ihr Konto wird heute gesperrt“ sollen Sie zum schnellen Handeln bringen.

Warum nutzen Betrüger QR Codes statt normaler Links?

Das britische National Cyber Security Centre (NCSC) nennt in seinem Beitrag über das tatsächliche Risiko von QR Codes drei Gründe:

• Viele Menschen misstrauen seltsamen Links und Kurzlinks inzwischen. Ein QR Code verbirgt die Adresse vollständig.
• Nicht jedes Sicherheitswerkzeug für E-Mail Nachrichten scannt Bilder. Da der Code ein Bild ist, kann er einen Filter umgehen.
• Sie scannen meist mit dem privaten Smartphone. Diesem Gerät fehlen oft die Schutzmaßnahmen eines Firmenrechners.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) weist auf seiner Seite zu Passwortdiebstahl durch Phishing auf denselben Punkt hin. Laut BSI stufen Virenscanner QR Codes als harmloses Bild ein und erkennen daher so getarnte Betrugsversuche nicht.

Kurz gesagt versteckt ein QR Code die Adresse gleichzeitig vor Ihnen und vor dem Filter. Außerdem erschwert der kleine Bildschirm, die Adresszeile genau zu lesen. Der Angreifer verbindet beide Lücken: Sie öffnen die Seite, ohne die Adresse zu prüfen, und ein vertrautes Logo erledigt den Rest.

Diese Kombination erklärt auch, warum die Masche selbst bei vorsichtigen Menschen funktioniert. Sie nutzt keine technische Schwachstelle Ihres Handys aus. Stattdessen nutzt sie eine Gewohnheit: Wir scannen Codes schnell, weil sie meistens funktionieren und meistens zu etwas Nützlichem führen.

Wie sieht QR Code Betrug am Parkautomaten aus?

Beispielszenario: An einem Parkautomaten auf einem offenen Parkplatz klebt ein Hinweis „Schnell per Scan bezahlen“. Jemand hat einen zweiten Aufkleber in gleicher Größe über den echten Code geklebt. Eine Autofahrerin scannt ihn, landet auf einer Seite, die der Bezahlseite der Stadt ähnelt, und gibt ihre Kartendaten ein. Danach erscheint eine Art Erfolgsmeldung, doch die Kartendaten landen beim Angreifer.

Laut NCSC passiert der Großteil des Betrugs mit QR Codes an offenen Orten wie Bahnhöfen und Parkplätzen. Zudem verbinden die Täter die Masche oft mit Social Engineering. Zum Beispiel ruft Sie danach jemand an, der sich als Bankmitarbeiter ausgibt. Auch das BSI hat vor überklebten Bezahlcodes an Parkautomaten gewarnt.

Achten Sie bei jedem physischen Code auf diese Zeichen:

• Der Code wirkt wie ein nachträglich angebrachter Aufkleber, mit abstehenden oder schiefen Kanten.
• Auf derselben Fläche befinden sich zwei Codes, oder ein Code klebt über einem anderen.
• Das Etikett passt in Farbe oder Schrift nicht zum Rest des Automaten.
• Der Automat akzeptiert Karte oder offizielle App, aber der Code lockt Sie auf einen anderen Weg.

Wirkt etwas merkwürdig, scannen Sie den Code nicht. Nutzen Sie stattdessen die Zahlungsfunktion des Automaten, die offizielle App des Betreibers oder die Adresse vom offiziellen Schild, die Sie selbst eintippen. Melden Sie den Aufkleber danach dem Betreiber, damit die nächste Person geschützt bleibt. Das gleiche Prinzip gilt übrigens an Ladesäulen: Nutzen Sie dort im Zweifel die App oder Ladekarte statt eines aufgeklebten Codes.

Sind QR Codes auf der Speisekarte im Restaurant sicher?

Meistens ja. Das NCSC hält QR Codes in Pubs und Restaurants für wahrscheinlich sicher. Dafür gibt es einen nachvollziehbaren Grund: Der Betrieb kontrolliert den Code, und das Personal ist den ganzen Tag vor Ort. Trotzdem gilt: Ist der Code auf Ihrem Tisch ein Aufkleber und klebt daneben ein zweiter, fragen Sie das Personal.

Das kanadische Zentrum für Cybersicherheit rät bei Etiketten, die einen anderen Code verdecken könnten, ebenfalls zur Rückfrage beim Personal. Vielleicht hat der Betrieb seinen Code einfach erneuert. Die Frage kostet Sie schließlich nur ein paar Sekunden. Außerdem beseitigt das Eintippen der Adresse bei einer einfachen Speisekarte das Risiko vollständig.

Beispielszenario: Sie scannen den Code für die Speisekarte, doch statt der Karte erscheint eine Seite mit dem Text „Für kostenloses WLAN mit Ihrem E-Mail Konto anmelden“. Für eine Speisekarte braucht niemand Ihr E-Mail Passwort. Also ist diese Aufforderung allein schon ein Warnsignal. Schließen Sie die Seite und informieren Sie das Personal.

Wenn Sie ein Restaurant führen, finden Sie unseren Vergleich in dem Beitrag Restaurant App oder QR Menü. Ganz gleich, wofür Sie sich entscheiden: Eine Speisekarte auf Ihrer eigenen Domain schafft mehr Vertrauen als eine Seite unter fremder Adresse.

Warum sind QR Codes in E-Mail Nachrichten besonders riskant?

Das NCSC rät zur Vorsicht bei QR Codes in E-Mail Nachrichten und beobachtet eine Zunahme solcher Quishingangriffe. Das BSI formuliert es noch deutlicher: Scannen Sie in E-Mail Nachrichten, die angeblich von Banken oder Behörden stammen, keine QR Codes, auch wenn die Nachricht noch so seriös wirkt. Kontaktieren Sie stattdessen die Stelle auf einem anderen Weg, etwa telefonisch.

Beispielszenario: Eine E-Mail mit dem Betreff „Ihre Zweifaktorauthentifizierung läuft heute ab“ landet im Postfach. Sie trägt das Firmenlogo, enthält keinen klickbaren Link und nur einen einzigen QR Code. Scannen Sie ihn mit dem Handy, öffnet sich eine Kopie der Firmenanmeldung und fragt nach Ihrem Passwort.

Der Trick dabei: Sie öffnen die E-Mail am Rechner, scannen den Code aber mit dem Smartphone. Somit wandert der riskante Schritt auf ein Gerät, das die Sicherheitswerkzeuge Ihres Unternehmens womöglich nicht überwachen. Weil die E-Mail außerdem keinen klickbaren Link enthält, schöpft auch der Filter oft keinen Verdacht.

Wie gefälschte Warnmails allgemein aufgebaut sind, zeigen wir am Beispiel der Frage, ob eine Instagram Deaktivierungsmail echt oder gefälscht ist. Damit Kriminelle Ihre eigene Domain schwerer missbrauchen, lesen Sie unsere Anleitung SPF, DKIM und DMARC einrichten. Diese Einträge stoppen nicht jede Fälschung. Allerdings helfen sie empfangenden Servern, echte Mails von Imitaten zu unterscheiden.

Kann man QR Codes in Briefen, Paketen und SMS vertrauen?

Behandeln Sie jeden Code, den Sie nicht erwartet haben, zunächst als nicht vertrauenswürdig. Die US Handelsbehörde FTC warnt in ihren Verbraucherhinweisen vor QR Codes auf Zetteln in Paketen, die Sie nie bestellt haben. Außerdem warnt sie vor Textnachrichten, die per QR Code die Zahlung eines Bußgelds verlangen. Gedruckte Briefe im Stil Ihrer Bank können nach demselben Muster funktionieren.

Gemeinsam ist diesen Kanälen, dass der Code zu Ihnen kommt. Sie haben nichts gesucht; der Code hat Sie gefunden. Zudem wirkt ein gedruckter Brief offizieller als eine E-Mail. Genau diesen Eindruck nutzt der Angreifer deshalb aus.

Stellen Sie sich drei Fragen:

• Habe ich diese Nachricht, diesen Brief oder dieses Paket erwartet?
• Drängt mich der Code zu einer Zahlung, einer Anmeldung oder einer Installation?
• Kann ich dasselbe über die offizielle App oder eine mir bekannte Adresse erledigen?

Weckt auch nur eine Antwort Zweifel, lassen Sie den Code links liegen. Prüfen Sie dann über die bekannte Telefonnummer oder die offizielle App, ob die Stelle wirklich etwas von Ihnen will. Kommt zum Beispiel ein Bußgeldbescheid, tippen Sie die Adresse der zuständigen Behörde selbst ein, statt irgendetwas zu scannen.

Warnzeichen für QR Code Betrug nach Kanal

Die Tabelle fasst die häufigsten Kanäle und den jeweils sicheren Weg zusammen. Jedes Szenario ist ein Beispielszenario; es soll Ihnen helfen, die Zeichen zu erkennen.

Der rote Faden ist also einfach. Verlangt ein Code Geld, ein Passwort oder persönliche Daten, wählen Sie einen Weg ohne diesen Code. Diese eine Gewohnheit ist Ihr stärkster Schutz gegen jeden QR Code Betrug.

Woran erkennen Sie einen sicheren QR Code vor dem Scannen?

Die wenigen Sekunden vor dem Scan zählen mehr als alles danach. Das kanadische Zentrum für Cybersicherheit rät davon ab, Codes an öffentlichen Orten wie Bahnhöfen oder auf Straßenwerbung zu scannen. Zudem rät es von Codes in E-Mail Nachrichten oder SMS ab, solange Sie den Absender nicht sicher kennen. Vor allem sollen Sie Bequemlichkeit nicht über Sicherheit stellen.

Machen Sie vor dem Scannen einen kurzen Check:

1. Prüfen Sie den Zustand: Aufkleber oder Druck, und liegt darunter ein anderer Code?
2. Denken Sie an die Quelle: Haben Sie den Code erwartet, oder kam er unaufgefordert?
3. Bewerten Sie das Versprechen: Geht es um Zahlung, Anmeldung, Geschenk oder Bußgeld?
4. Erkennen Sie den Druck: Stehen dort Wörter wie „sofort“, „letzter Tag“ oder „Konto gesperrt“?
5. Suchen Sie einen Umweg: Geht dasselbe in der offiziellen App oder per eingetippter Adresse?

Diese Liste müssen Sie zudem nicht auswendig lernen. Sobald sie zur Gewohnheit wird, läuft sie bei jedem Code von selbst ab. Vor allem bei Geld und Passwörtern sollten Sie diese fünf Schritte nie überspringen.

Wie prüfen Sie den Link hinter einem QR Code?

Ihre Handykamera zeigt meist eine Vorschau der Adresse, bevor sie etwas öffnet. Auch die FTC weist darauf hin, dass viele QR Leser den Link vorab anzeigen. Diese Vorschau ist Ihr wichtigster Kontrollpunkt, also lesen Sie sie, bevor Sie tippen.

Konzentrieren Sie sich dabei auf die Domain. Lautet die echte Adresse zum Beispiel example.com, dann ist die Domain der Teil direkt vor dem ersten einfachen Schrägstrich, und Sie lesen ihn von rechts nach links. Angreifer setzen „example.com“ manchmal an den Anfang einer langen Adresse, während die eigentliche Domain ganz woanders steht. Anders gesagt: Es reicht nicht, „example.com“ irgendwo in der Adresse zu sehen. Es muss an der richtigen Stelle stehen.

Beachten Sie außerdem diese Punkte:

• Das Schlosssymbol zeigt nur eine verschlüsselte Verbindung. Wem die Seite gehört, verrät es nicht.
• Bei einem Kurzlink zeigt die Vorschau nur den Kürzungsdienst, nicht das eigentliche Ziel.
• Ähnlich aussehende Buchstaben lassen eine falsche Adresse auf den ersten Blick echt wirken.

Wie Kurzlinks funktionieren, erklären wir in unserem URL Shortener Vergleich. Nehmen Sie zudem Browserwarnungen ernst. Google Safe Browsing führt ständig aktualisierte Listen von Phishing und Malwareseiten, und Apps können Sie anhand dieser Listen warnen. Trotzdem beweist eine fehlende Warnung nicht, dass eine Seite sicher ist.

Welchen QR Code Scanner sollten Sie verwenden?

In der Praxis ist die eingebaute Kamera Ihres Handys oder der Scanner des Betriebssystems meist die sicherste Wahl. Das NCSC empfiehlt den eingebauten Scanner statt Apps von Drittanbietern aus dem App Store. Auch das kanadische Zentrum für Cybersicherheit warnt vor Scanner Apps unbekannter Firmen.

Warum ist das wichtig? Eine separate Scanner App fordert womöglich Berechtigungen an, die zum Lesen eines Codes gar nicht nötig sind. Laut dem kanadischen Leitfaden können schädliche Scanner Apps Schadsoftware verbreiten und auf Datenschutzeinstellungen Ihres Geräts zugreifen. Daher lohnt sich eine unbekannte App selbst mit dem Versprechen „schneller scannen“ nicht.

Zusätzlich können Sie einige Einstellungen anpassen:

• Schalten Sie Optionen ab, die eine Aktion nach dem Scan automatisch starten, und verlangen Sie vor jeder Aktion eine Bestätigung.
• Öffnet ein Scan eine verdächtige Seite, schließen Sie den Browser sofort.
• Lassen Sie automatische Updates für Handy und Browser eingeschaltet.

Kurz gesagt: Ein guter Scanner zeigt Ihnen die Adresse und überlässt Ihnen die Entscheidung. Tut Ihr eingebauter Scanner das bereits, brauchen Sie keine zusätzliche App.

Worauf achten Sie bei WLAN und Bezahlcodes?

Ein WLAN Code enthält statt einer Webadresse den Netzwerknamen und das Passwort. Beim Scannen bietet Ihr Handy an, sich mit diesem Netz zu verbinden. Deshalb kann ein gefälschter Code versuchen, Sie mit einem ähnlich benannten Netz zu verbinden. Vergleichen Sie vor dem Verbinden den Netzwerknamen mit der Angabe des Personals. Geben Sie danach auf plötzlich auftauchenden Seiten keine Passwörter ein.

Bei Bezahlcodes ist dagegen der Empfänger der entscheidende Kontrollpunkt, denn dort fließt Ihr Geld. Zeigt Ihre Banking App vor der Bestätigung den Namen des Empfängers oder Angaben zum Geschäft, lesen Sie diese. Zahlen Sie zum Beispiel in einem Café, sehen aber den Namen einer fremden Privatperson, brechen Sie die Zahlung ab.

Vorsicht ist außerdem geboten, wenn ein Bezahlcode Sie auf eine Webseite statt in Ihre Banking App führt. Müssen Sie Kartendaten in ein Webformular eingeben, prüfen Sie die Adresse doppelt. Im Zweifel zahlen Sie an der Kasse oder über eine offizielle App.

Diese beiden Codearten verdienen besondere Sorgfalt, denn die eine betrifft Ihren Datenverkehr und die andere direkt Ihr Geld. Ein paar zusätzliche Sekunden ersparen Ihnen hier womöglich einen langen Aufräumprozess.

Was tun, wenn Sie einen gefälschten QR Code gescannt haben?

Bleiben Sie ruhig. Der Scan allein richtet oft keinen Schaden an. Entscheidend ist, ob Sie auf der Seite Daten eingegeben oder etwas heruntergeladen haben. Gehen Sie in dieser Reihenfolge vor:

1. Schließen Sie die Seite sofort und füllen Sie kein Feld aus.
2. Haben Sie ein Passwort eingegeben, ändern Sie es über die offizielle App oder eine selbst eingetippte Adresse. Ändern Sie es danach auch bei allen Konten mit demselben Passwort.
3. Haben Sie Kartendaten eingegeben, rufen Sie sofort Ihre Bank an, am besten über die Nummer auf der Kartenrückseite.
4. Aktivieren Sie die Zweifaktorauthentifizierung und melden Sie unbekannte Sitzungen ab.
5. Haben Sie eine Datei oder App geladen, löschen Sie sie und halten Sie Ihr Gerät aktuell.
6. Kontrollieren Sie in den folgenden Tagen Ihre Konto und Kartenumsätze genau.
7. Erstatten Sie Anzeige, etwa über die Onlinewache Ihres Bundeslandes, und informieren Sie bei physischen Codes auch den Betreiber.

Auch das BSI rät Betroffenen, sofort die Bank zu kontaktieren und Anzeige zu erstatten. Was Ihre Bank tun kann, hängt vom Einzelfall ab; ein früher Anruf erweitert also Ihre Möglichkeiten. Eine sichere Rückholung kann Ihnen niemand versprechen, doch schnelles Handeln begrenzt den Schaden.

Seien Sie schließlich misstrauisch gegenüber Fremden, die gegen Gebühr anbieten, „Ihr Geld zurückzuholen“. Solche Angebote sind oft der zweite Betrug. Zahlen Sie niemandem außerhalb offizieller Kanäle etwas.

Wie schützen Unternehmen ihre eigenen Codes vor QR Code Betrug?

Wer einen Code druckt, übernimmt auch Verantwortung dafür. Fällt ein Kunde auf einen gefälschten Code herein, gibt er die Schuld oft dem Ort, an dem er ihn gesehen hat, also Ihnen. Deshalb gehört der Schutz vor QR Code Betrug schon in die Gestaltungsphase.

Diese Maßnahmen empfiehlt unser Team in Kundenprojekten:

• Lassen Sie den Code nur auf eine Adresse Ihrer eigenen Domain zeigen.
• Drucken Sie dieselbe Adresse als Klartext direkt unter den Code, damit Kunden sie mit der Vorschau vergleichen können.
• Bevorzugen Sie nach Möglichkeit Direktdruck, einen Platz hinter Glas oder Laminierung statt loser Aufkleber.
• Führen Sie die Regel „ein Code pro Fläche“ ein, damit ein zweiter Code sofort auffällt.
• Die Seite hinter dem Code sollte nie nach einem Passwort oder unnötigen persönlichen Daten fragen.
• Kontrollieren Sie die Codes regelmäßig mit eigenen Augen, zum Beispiel zu Beginn jeder Schicht.

Denken Sie zudem an die unsichtbare Seite. Selbst wenn der Code auf die richtige Adresse zeigt, kann eine kompromittierte Website eine schädliche Seite ausliefern. Dieses Risiko behandeln wir im Ratgeber WordPress Seite gehackt, was tun. Sicherheit der Website und Sicherheit des Codes sind Glieder derselben Kette.

Wie merken Sie, dass jemand Ihren QR Code kopiert hat?

Ein falscher Aufkleber arbeitet oft im Stillen, denn niemand rechnet mit ihm. Allerdings geben manche Zeichen früh Hinweise. Sagen Kunden zum Beispiel „Ich habe bezahlt, aber bei Ihnen ist nichts angekommen“, schauen Sie zuerst auf den Code.

Auch Messung funktioniert als Alarmanlage. Geben Sie jedem physischen Standort eine eigene Adresse mit UTM Parametern, zeigt Ihr Analysetool, wie oft jeder Code gescannt wird. Fallen die Scans an einem Standort plötzlich auf null, hat womöglich jemand den Code überklebt. Wie Sie das aufsetzen, erklären wir im Beitrag zu UTM Parametern und Kampagnentracking.

Beispielszenario: Eine Cafékette hat fünf Filialen, und jeder Tischcode trägt eine filialspezifische UTM Kennung. In vier Filialen sehen die Scans normal aus. In der fünften verschwinden sie innerhalb einer Woche fast vollständig. Das Team prüft die Tische und findet an zwei davon fremde Aufkleber über den Originalcodes.

Diese Methode liefert keinen Beweis, denn Scans können auch aus anderen Gründen sinken. Trotzdem zeigt ein regelmäßig geprüfter Bericht, wo sich die Kontrolle vor Ort lohnt. Sammeln Sie Kundenbeschwerden und Beobachtungen des Personals am selben Ort, dann wird das Bild klarer.

Wie erstellen Sie Schritt für Schritt einen sicheren QR Code?

Ein sicherer Code führt zur richtigen Adresse, lässt sich leicht scannen und macht Kopien leicht erkennbar. So gehen Sie vor:

1. Öffnen Sie den QR Code Generator und wählen Sie als Inhaltstyp Web / URL.
2. Tippen Sie die vollständige Adresse auf Ihrer eigenen Domain ein, zum Beispiel einen kurzen, klaren Pfad wie https://example.com/menu.
3. Scannen Sie die Vorschau mit Ihrem eigenen Handy und prüfen Sie, ob die Adresse Zeichen für Zeichen mit Ihrer Eingabe übereinstimmt.
4. Wird der Code klein gedruckt oder hängt er im Freien, wählen Sie bei der Fehlerkorrektur die Stufe Q oder H.
5. Laden Sie für den Druck SVG und für Bildschirme PNG herunter.
6. Setzen Sie dieselbe Adresse als Klartext unter den Code und testen Sie ihn vor dem Druck auf mehreren Handys.

Laut Denso Wave kann Stufe M etwa 15 Prozent der Codewörter wiederherstellen, Stufe Q etwa 25 Prozent. Allerdings hilft die Fehlerkorrektur nur gegen Abnutzung und Schäden. Ein neuer Aufkleber darüber ist ein völlig eigener Code. Verlassen Sie sich deshalb beim physischen Schutz nie auf die Fehlerkorrektur.

Lässt sich Ihr Code auf manchen Handys nicht lesen, hilft Ihnen unser Ratgeber QR Code wird nicht erkannt Schritt für Schritt weiter.

Statisch oder dynamisch: Welcher QR Code ist sicherer?

Bei einem statischen Code steckt die Adresse direkt im Muster. Die Codes aus unserem Tool sind statisch. Sie hängen an keinem Abo und funktionieren, solange die Adresse erreichbar bleibt. Ein dynamischer Code zeigt dagegen auf einen Weiterleitungsdienst, und dieser Dienst schickt Besucher zur eigentlichen Adresse. So ändern Sie das Ziel, ohne neu zu drucken.

Diese Bequemlichkeit hat allerdings ihren Preis. Beim dynamischen Code wird Ihr Konto beim Weiterleitungsdienst selbst zum Angriffsziel. Verschafft sich jemand Zugang, kann er das Ziel aller gedruckten Codes auf einmal ändern. Außerdem funktionieren Ihre Codes womöglich nicht mehr, wenn der Dienst schließt oder Ihr Abo endet.

Wir empfehlen meist einen Mittelweg. Lassen Sie einen statischen Code auf eine kurze, dauerhafte Adresse Ihrer eigenen Domain zeigen. Eine Adresse wie example.com/m leitet dann bei Bedarf auf eine neue Seite Ihrer Website weiter. Somit behalten Sie die Flexibilität und zugleich die Kontrolle über die Weiterleitung.

Egal welchen Weg Sie wählen: Nutzen Sie in jedem Verwaltungsbereich starke Passwörter und Zweifaktorauthentifizierung. Arbeiten Sie mit einem dynamischen Dienst, begrenzen Sie den Kreis der Zugriffsberechtigten und prüfen Sie Zieländerungen regelmäßig.

Wie informieren Sie Ihr Team und Ihre Kunden?

Technische Maßnahmen wirken nur halb, solange Menschen nicht wissen, worauf sie achten sollen. Geben Sie Ihrem Personal deshalb eine kurze, konkrete Einweisung: Wo hängen unsere Codes, wie sehen sie aus, und welche Adresse öffnen sie? Halten Sie außerdem schriftlich fest, was bei einem zusätzlichen Aufkleber zu tun ist.

Für Kunden genügt dann oft ein einziger Satz. Ein Hinweis wie „Unser Code öffnet nur example.com, und wir schicken Ihnen nie einen Bezahlcode per E-Mail“ hilft Kunden, eine Fälschung zu hinterfragen. Wiederholen Sie diesen Hinweis auf der Karte, an der Kasse und auf Ihrer Website.

Zudem sollte das Bewusstsein im Team nicht beim QR Code enden. Gefälschte E-Mail Nachrichten, falsche Anrufe und geklonte Stimmen folgen derselben Logik des Social Engineering. Diese Seite beleuchten wir für Unternehmen im Beitrag über Deepfake und Stimmklon Betrug.

Meldet ein Kunde schließlich einen falschen Code, danken Sie ihm und prüfen Sie die Stelle sofort. So eine Meldung hilft Ihnen, ein Problem zu entdecken, das Ihr Team allein nicht gesehen hätte.

Verbreitete Irrtümer über QR Code Betrug

Einige Annahmen hören wir oft, und sie wiegen Menschen in falscher Sicherheit. Die häufigsten sind diese:

• „Mit Schloss ist die Seite sicher.“ Das Schloss zeigt nur eine verschlüsselte Verbindung, und auch falsche Seiten nutzen Verschlüsselung.
• „Sieht der Code sauber aus, passt alles.“ Ein gefälschter Code ist technisch einwandfrei. Der Unterschied liegt im Ziel.
• „Hohe Fehlerkorrektur macht einen Code sicherer.“ Fehlerkorrektur verbessert die Lesbarkeit. Über das Ziel sagt sie nichts.
• „Handys sind besser geschützt als Computer.“ Wie das NCSC betont, fehlen privaten Handys oft die Schutzmaßnahmen am Arbeitsplatz.
• „Nur Unvorsichtige fallen darauf herein.“ Eile, Müdigkeit und ein vertrautes Logo treffen jeden. Deshalb schlagen Gewohnheiten die Aufmerksamkeit.

Vor allem knüpfen diese Irrtümer Vertrauen an das Aussehen eines Codes. Tatsächlich entsteht Vertrauen erst, wenn Sie Adresse und Anfrage prüfen. Behandeln Sie daher jeden Code wie einen Link: Hinterfragen Sie Quelle, Ziel und das, was er von Ihnen will.

Checkliste: So schützen Sie sich vor QR Code Betrug

Hier ist der Kern dieses Ratgebers in einer Liste. Speichern Sie ihn in den Notizen Ihres Handys oder hängen Sie ihn ans Schwarze Brett für Ihr Personal:

• Prüfen Sie vor dem Scan Zustand und Herkunft des Codes.
• Lesen Sie die Domain in der Vorschau, und verlassen Sie sich nicht auf das Schloss.
• Zahlen Sie nie und melden Sie sich nie über Codes aus E-Mail Nachrichten, SMS oder unerwarteten Sendungen an.
• Nutzen Sie den eingebauten Scanner und schalten Sie automatische Aktionen ab.
• Haben Sie Daten eingegeben, ändern Sie das Passwort, rufen Sie Ihre Bank an und erstatten Sie Anzeige.
• Als Unternehmen verknüpfen Sie Codes mit Ihrer eigenen Domain, drucken die Adresse darunter und kontrollieren regelmäßig.

Unterm Strich ist ein QR Code weder gut noch böse; er transportiert schlicht eine Adresse. Mit den richtigen Gewohnheiten nutzen Sie diese Bequemlichkeit sicher, als Kunde ebenso wie als Unternehmen.

Grundlagen: Was ist Online Marketing? Arten, Beispiele und Vorgehen auf einer Seite, mit einem interaktiven Film durch das Gehirn.