Was ein Code kann und was nicht
Das Dekodieren eines Symbols liefert deinem Handy eine Zeichenkette. Diese kann eine URL, ein WLAN-Eintrag, eine Kontaktkarte, eine Telefonnummer oder einfacher Text sein. Nichts im Format wird ausgeführt. Das Handy entscheidet, was es anbietet, und du entscheidest, ob du es annimmst.
Die Grenze zwischen Lesen und Handeln
- Ein Scan kann keine App von allein installieren Ein Code kann auf eine App-Store-Seite zeigen. Die Installation braucht weiterhin deinen Fingertipp und dein Konto.
- Ein Scan kann von allein keine Zahlung abbuchen Er kann eine Zahlungsmaske öffnen. Die Überweisung musst du bestätigen, meist mit einer Gesichts- oder Fingerabdruckprüfung.
- Ein Scan kann ohne viel Aufhebens einem Netzwerk beitreten WLAN-Einträge sind für einen einzigen Fingertipp gemacht. Bei diesem Nutzdatentyp ist auf dem Plakat eines Fremden die größte Vorsicht angebracht.
- Ein Scan kann eine Seite öffnen, die genau wie eine echte aussieht Darin besteht der ganze Angriff. Die Seite nimmt die Kartennummer, nicht das Quadrat.
Wie die Betrugsmaschen tatsächlich ablaufen
Das vorherrschende Muster ist physisch. Jemand druckt einen Aufkleber und klebt ihn über den echten Code an einer Parkuhr, einer Ladesäule, einem Restauranttisch oder einer Benachrichtigungskarte. Der Ersatz zeigt auf eine Kopie der echten Zahlungsseite. Niemand hat eine Kryptografie gebrochen. Man hat ein Stück Papier mit einem anderen Stück Papier überklebt.
Das zweite Muster kommt per E-Mail oder Brief: ein Code in einer Nachricht über eine offene Maut, ein zurückgehaltenes Paket oder ein gesperrtes Konto. Der Link im Bild kommt an Filtern vorbei, die Text lesen. Das verräterische Zeichen ist die Dringlichkeit, nicht das Format.
Das dritte ist ein Code, der auf eine Anmeldeseite für einen Dienst führt, den du wirklich nutzt. Du kommst von einem greifbaren Gegenstand, es fühlt sich also weniger nach Phishing-E-Mail an, und genau deshalb funktioniert es.
Vier Prüfungen vor dem Tippen
- Die Domain in der Vorschau lesen Die meisten Kameras zeigen den dekodierten Link, bevor sie ihn öffnen. Sieh dir die Domain selbst an, nicht die freundlichen Wörter daneben. Ein langer Link mit einer bekannten Marke irgendwo in der Mitte gehört nicht zu dieser Marke.
- Den Aufkleber ertasten Fahr mit dem Finger über den Code an einer Parkuhr oder auf einem Tisch. Eine Folienschicht über gedrucktem Papier ist das zuverlässigste Zeichen für eine Manipulation.
- Bei allem, was mit Zahlungen zu tun hat, die Adresse eintippen Für Parken, Maut oder eine Rechnung öffnest du die App des Betreibers oder tippst die Adresse ein, die du schon kennst. Lass das Quadrat ganz weg.
- Einen WLAN-Code wie ein Netzwerk behandeln, das man dir anbietet Beitreten heißt, dem Betreiber deine Verkehrsmetadaten anzuvertrauen. Was der Eintrag enthält, steht unter wie WLAN-QR-Codes funktionieren.
Sicherheit, wenn du selbst einen erstellst
Die Frage dreht sich um, wenn du derjenige bist, der einen Code erzeugt. Jetzt liegt das Risiko darin, dass deine Nutzdaten auf dem Server eines anderen landen oder dass jeder künftige Scan protokolliert wird.
| Frage | Upload- oder dynamischer Generator | Vaultaire |
|---|---|---|
| Wo die Nutzdaten verarbeitet werden | Oft auf dem Server des Anbieters | In deinem Browser |
| Wer ein von dir kodiertes WLAN-Passwort lesen kann | Wer die Server-Protokolle hat | Niemand, es verlässt den Tab nie |
| Wohin ein Scan führt | Über eine Weiterleitung des Anbieters, wenn dynamisch | Direkt zu den Nutzdaten, die du eingetippt hast |
| Scan-Verfolgung | Oft enthalten | Keine, es gibt nichts, womit man verfolgen könnte |
Der Vaultaire-Generator erzeugt nur statische Codes. Er baut das Symbol lokal, dekodiert das fertige PNG und SVG erneut mit einem eigenen Leser und gibt den Download frei, sobald die dekodierten Nutzdaten mit dem übereinstimmen, was du geprüft hast. Diese Prüfung verhindert, dass ein verstümmelter Eintrag in die Druckerei geht. Sie sagt nichts darüber, ob das von dir eingetippte Ziel vertrauenswürdig ist, und das kann kein Generator beantworten.
Häufige Fragen zur QR-Code-Sicherheit
Kann ein QR-Code mein Handy mit einem Virus infizieren?
Scannen allein installiert nichts. Ein Code speichert Text. Die Gefahr beginnt, sobald der Text zu einer Handlung wird: ein Link, den du öffnest, eine App-Seite, von der du installierst, ein Netzwerk, dem du beitrittst, oder eine Zahlung, die du bestätigst.
Wie funktionieren QR-Code-Betrugsmaschen?
Meist ein Aufkleber über einem echten Code an einer Parkuhr, auf einem Tisch oder auf einem Paket. Der Ersatz schickt dich auf eine Seite, die die echte kopiert und nach einer Kartennummer oder einem Login fragt.
Wie kann ich einen Code vor dem Öffnen prüfen?
Lies die Domain im Vorschaubanner deiner Kamera, nicht die Wörter drumherum. Prüfe, ob der Code auf die Oberfläche gedruckt und nicht über einen anderen geklebt ist. Tippe bei allem, was mit Zahlung zu tun hat, die Adresse ein, die du schon kennst.
Sind WLAN-QR-Codes sicher?
Ein WLAN-Code verbindet dich mit dem Netzwerk, das er nennt, und der Betreiber sieht deine Verkehrsmetadaten wie in jedem anderen Netzwerk. Scannst du einen von einem unbekannten Plakat, landest du in einem fremden Netz, und das ist das eigentliche Risiko.
Ist ein QR-Code-Generator sicher in der Nutzung?
Das hängt davon ab, wohin die Nutzdaten gehen. Viele laden den Inhalt hoch oder geben einen dynamischen Code aus, der jeden Scan über eine Weiterleitung führt und protokolliert. Ein Generator, der in deinem Browser läuft und einen statischen Code erzeugt, verschickt gar nichts.
Sollte ich eine QR-Scanner-App nutzen?
Die eingebaute Kamera reicht bei aktuellen Handys und zeigt den Link vor dem Öffnen. Zusätzliche Scanner-Apps verlangen Kamerazugriff und bringen oft eigene Verfolgung mit, was eine kleine Bequemlichkeit gegen echte Kosten tauscht.