QR-Codes sicher scannen
Betrüger kleben falsche QR-Codes auf Parkautomaten, Ladesäulen und Plakate oder verschicken sie per Brief und E-Mail. Der Code führt dann auf eine Seite, die echt aussieht und Zahlungsdaten abgreift. Man nennt das Quishing. Das Gemeine: Einem Code sieht man nicht an, wohin er führt.
Woran du einen gefährlichen Link erkennst
- Die Adresse ahmt eine bekannte Marke nach, etwa mit vertauschten Buchstaben oder Ziffern statt Buchstaben.
- Die Adresse enthält Zeichen aus fremden Alphabeten, die wie lateinische Buchstaben aussehen.
- Statt eines Namens steht eine nackte IP-Adresse da.
- Die Adresse enthält Benutzername oder Passwort vor dem eigentlichen Ziel.
- Ein Kurzlink verschleiert, wohin es wirklich geht.
- Die Verbindung ist nicht verschlüsselt (http statt https).
Was der Scanner im QR Code Designer prüft
Bevor du einen Link öffnest, zeigt der Scanner die vollständige Adresse und bewertet sie. Er prüft alle oben genannten Warnzeichen, entpackt Weiterleitungen bis zum eigentlichen Ziel und warnt vor Inhalten, die gar keine Webadresse sind, sondern Skripte oder eingebettete Daten.
Außerdem entfernt er Tracking-Parameter wie utm_source oder fbclid. Die bereinigte Adresse führt zum selben Inhalt, verrät aber weniger über dich.
Faustregeln
- Auf Automaten prüfen, ob ein Aufkleber über dem Original klebt.
- Nie Zahlungsdaten eingeben, wenn die Adresse nicht zum Anbieter passt.
- Bei Briefen von Bank oder Behörde lieber die bekannte Adresse selbst eintippen.
Häufige Fragen
- Kann ein QR-Code mein Handy direkt infizieren?
- Der Code selbst nicht. Gefährlich ist die Seite, zu der er führt. Deshalb lohnt sich der Blick auf die Adresse, bevor man sie öffnet.
- Löst der Scanner Kurzlinks auf?
- Er erkennt sie und warnt davor, ruft sie aber nicht ab. Jeder Abruf wäre bereits eine Verbindung zum Unbekannten.
- Was sind Tracking-Parameter?
- Anhänge an einer Adresse, die verraten, woher du kommst, etwa utm_source oder fbclid. Für den Inhalt der Seite sind sie unnötig.