Was ein Code kann und was nicht
Das Dekodieren eines Symbols liefert Ihrem Handy eine Zeichenkette. Diese kann eine URL, ein WLAN-Eintrag, eine Kontaktkarte, eine Telefonnummer oder einfacher Text sein. Nichts im Format wird ausgeführt. Das Handy entscheidet, was es anbietet, und Sie entscheiden, ob Sie es annehmen.
Die Grenze zwischen Lesen und Handeln
- Ein Scan kann keine App von allein installieren Ein Code kann auf eine App-Store-Seite zeigen. Die Installation braucht weiterhin Ihren Fingertipp und Ihr Konto.
- Ein Scan kann von allein keine Zahlung abbuchen Er kann eine Zahlungsmaske öffnen. Die Überweisung müssen Sie bestätigen, meist mit einer Gesichts- oder Fingerabdruckprüfung.
- Ein Scan kann ohne viel Aufhebens einem Netzwerk beitreten WLAN-Einträge sind für einen einzigen Fingertipp gemacht. Bei diesem Nutzdatentyp ist auf dem Plakat eines Fremden die größte Vorsicht angebracht.
- Ein Scan kann eine Seite öffnen, die genau wie eine echte aussieht Darin besteht der ganze Angriff. Die Seite nimmt die Kartennummer, nicht das Quadrat.
Wie die Betrugsmaschen tatsächlich ablaufen
Das vorherrschende Muster ist physisch. Jemand druckt einen Aufkleber und klebt ihn über den echten Code an einer Parkuhr, einer Ladesäule, einem Restauranttisch oder einer Benachrichtigungskarte. Der Ersatz zeigt auf eine Kopie der echten Zahlungsseite. Niemand hat eine Kryptografie gebrochen. Man hat ein Stück Papier mit einem anderen Stück Papier überklebt.
Das zweite Muster kommt per E-Mail oder Brief: ein Code in einer Nachricht über eine offene Maut, ein zurückgehaltenes Paket oder ein gesperrtes Konto. Der Link im Bild kommt an Filtern vorbei, die Text lesen. Das verräterische Zeichen ist die Dringlichkeit, nicht das Format.
Das dritte ist ein Code, der auf eine Anmeldeseite für einen Dienst führt, den Sie wirklich nutzen. Sie kommen von einem greifbaren Gegenstand, es fühlt sich also weniger nach Phishing-E-Mail an, und genau deshalb funktioniert es.
Vier Prüfungen vor dem Tippen
- Die Domain in der Vorschau lesen Die meisten Kameras zeigen den dekodierten Link, bevor sie ihn öffnen. Sehen Sie sich die Domain selbst an, nicht die freundlichen Wörter daneben. Ein langer Link mit einer bekannten Marke irgendwo in der Mitte gehört nicht zu dieser Marke.
- Den Aufkleber ertasten Fahren Sie mit dem Finger über den Code an einer Parkuhr oder auf einem Tisch. Eine Folienschicht über gedrucktem Papier ist das zuverlässigste Zeichen für eine Manipulation.
- Bei allem, was mit Zahlungen zu tun hat, die Adresse eintippen Für Parken, Maut oder eine Rechnung öffnen Sie die App des Betreibers oder tippen die Adresse ein, die Sie schon kennen. Lassen Sie das Quadrat ganz weg.
- Einen WLAN-Code wie ein Netzwerk behandeln, das man Ihnen anbietet Beitreten heißt, dem Betreiber Ihre Verkehrsmetadaten anzuvertrauen. Was der Eintrag enthält, steht unter wie WLAN-QR-Codes funktionieren.
Sicherheit, wenn Sie selbst einen erstellen
Die Frage dreht sich um, wenn Sie derjenige sind, der einen Code erzeugt. Jetzt liegt das Risiko darin, dass Ihre Nutzdaten auf dem Server eines anderen landen oder dass jeder künftige Scan protokolliert wird.
| Frage | Upload- oder dynamischer Generator | Vaultaire |
|---|---|---|
| Wo die Nutzdaten verarbeitet werden | Oft auf dem Server des Anbieters | In Ihrem Browser |
| Wer ein von Ihnen kodiertes WLAN-Passwort lesen kann | Wer die Server-Protokolle hat | Niemand, es verlässt den Tab nie |
| Wohin ein Scan führt | Über eine Weiterleitung des Anbieters, wenn dynamisch | Direkt zu den Nutzdaten, die Sie eingetippt haben |
| Scan-Verfolgung | Oft enthalten | Keine, es gibt nichts, womit man verfolgen könnte |
Der Vaultaire-Generator erzeugt nur statische Codes. Er baut das Symbol lokal, dekodiert das fertige PNG und SVG erneut mit einem eigenen Leser und gibt den Download frei, sobald die dekodierten Nutzdaten mit dem übereinstimmen, was Sie geprüft haben. Diese Prüfung verhindert, dass ein verstümmelter Eintrag in die Druckerei geht. Sie sagt nichts darüber, ob das von Ihnen eingetippte Ziel vertrauenswürdig ist, und das kann kein Generator beantworten.
Häufige Fragen zur QR-Code-Sicherheit
Kann ein QR-Code mein Handy mit einem Virus infizieren?
Scannen allein installiert nichts. Ein Code speichert Text. Die Gefahr beginnt, sobald der Text zu einer Handlung wird: ein Link, den Sie öffnen, eine App-Seite, von der Sie installieren, ein Netzwerk, dem Sie beitreten, oder eine Zahlung, die Sie bestätigen.
Wie funktionieren QR-Code-Betrugsmaschen?
Meist ein Aufkleber über einem echten Code an einer Parkuhr, auf einem Tisch oder auf einem Paket. Der Ersatz schickt Sie auf eine Seite, die die echte kopiert und nach einer Kartennummer oder einem Login fragt.
Wie kann ich einen Code vor dem Öffnen prüfen?
Lesen Sie die Domain im Vorschaubanner Ihrer Kamera, nicht die Wörter drumherum. Prüfen Sie, ob der Code auf die Oberfläche gedruckt und nicht über einen anderen geklebt ist. Tippen Sie bei allem, was mit Zahlung zu tun hat, die Adresse ein, die Sie schon kennen.
Sind WLAN-QR-Codes sicher?
Ein WLAN-Code verbindet Sie mit dem Netzwerk, das er nennt, und der Betreiber sieht Ihre Verkehrsmetadaten wie in jedem anderen Netzwerk. Scannen Sie einen von einem unbekannten Plakat, landen Sie in einem fremden Netz, und das ist das eigentliche Risiko.
Ist ein QR-Code-Generator sicher in der Nutzung?
Das hängt davon ab, wohin die Nutzdaten gehen. Viele laden den Inhalt hoch oder geben einen dynamischen Code aus, der jeden Scan über eine Weiterleitung führt und protokolliert. Ein Generator, der in Ihrem Browser läuft und einen statischen Code erzeugt, verschickt gar nichts.
Sollte ich eine QR-Scanner-App nutzen?
Die eingebaute Kamera reicht bei aktuellen Handys und zeigt den Link vor dem Öffnen. Zusätzliche Scanner-Apps verlangen Kamerazugriff und bringen oft eigene Verfolgung mit, was eine kleine Bequemlichkeit gegen echte Kosten tauscht.