Der Code ist nur ein Transportmittel. Jedes echte Risiko liegt am Ziel — und Ihr Handy zeigt Ihnen dieses Ziel, bevor es öffnet.
Ein QR-Code ist nichts weiter als eine Art, Text aufzuschreiben. Das Muster kodiert einige hundert Zeichen — fast immer eine Webadresse, manchmal eine Telefonnummer, ein WLAN-Passwort oder Kontaktdaten. Das ist der gesamte Inhalt. Es steckt kein Programm darin, kein Anhang und nichts Ausführbares.
Damit ist klar begrenzt, was ein QR-Code Ihnen überhaupt antun kann. Ein Scanner liest den Text aus und übergibt ihn an Ihr Telefon, und was danach passiert, ist genau das, was Ihr Telefon mit einem Text dieser Art tut. Bei einer Webadresse heißt das: Es bietet an, sie zu öffnen.
Die folgenden Grenzen ergeben sich unmittelbar daraus. Keine davon hängt davon ab, ob Ihr Telefon aktuell ist, ob eine Sicherheits-App läuft oder ob Sie besonders vorsichtig sind — sie sind schlicht die Folge davon, dass das Format nichts als Text enthält.
Moderne Telefone zeigen Ihnen zudem das Ziel an, bevor sie es öffnen — das ist die mit Abstand nützlichste Schutzfunktion im gesamten System. Diese Vorschau zu lesen, macht den größten Teil des sicheren Scannens aus.
Ein QR-Code ist ein Link, den Sie nicht lesen können. Das ist die ehrliche Zusammenfassung. Auf einem Bildschirm können Sie mit dem Mauszeiger über einen Link fahren und sehen, wohin er führt; ein gedrucktes Quadrat verrät Ihnen nichts, bis die Kamera bereits darauf gerichtet ist.
Jedes Risiko, das mit QR-Codes verbunden ist, ist deshalb ein Risiko, das mit Links verbunden ist: eine Seite, die Ihre Bank nachahmt und Sie zur Anmeldung auffordert, ein gefälschtes Parkschein- oder Paketzahlungsformular, eine Seite, die Sie zur Installation von etwas außerhalb des App-Stores drängt. Die Masche hat inzwischen einen Namen — Quishing — aber neu daran ist nichts. Der Code ist der Umschlag, nicht die Bedrohung.
Was das Format tatsächlich hinzufügt, ist Vertrauen durch Platzierung. Ein Aufkleber an einem Parkautomaten oder auf einem Restauranttisch borgt sich die Glaubwürdigkeit der Fläche, auf der er klebt — und genau das macht ihn wirksam.
Der übliche Angriff in der Praxis ist physisch, nicht technisch. Jemand druckt einen Code und klebt ihn über den echten auf einem Parkautomaten, einer Ladesäule, einem Plakat oder einem Zahlungsterminal. Die Fläche wirkt weiterhin offiziell, weil sie es ist. Nur das Quadrat hat sich geändert.
Die Prüfung dauert eine Sekunde: Fahren Sie mit dem Finger über den Code. Ein Aufkleber, der über eine bedruckte Fläche geklebt wurde, hat eine fühlbare Kante, oft auch einen leichten Unterschied in Farbe oder Glanz. Überall dort, wo Geld im Spiel ist, lohnt sich dieser Handgriff.
Fast alles läuft auf eine einzige Gewohnheit hinaus: Schauen Sie sich das Ziel an, bevor Sie darauf tippen. Der Rest besteht darin, zu wissen, welche Situationen mehr als einen flüchtigen Blick verdienen.
Dafür braucht es keine Sicherheits-App. Die Vorschau Ihres Telefons und ein Moment Aufmerksamkeit decken die ganz überwiegende Mehrheit der Fälle ab.
Ein Teil der Verantwortung geht auf Sie über, denn Sie gewöhnen Ihre Kundschaft daran, Dinge zu scannen. Lassen Sie Codes auf Ihre eigene Domain zeigen statt auf einen Kurzlink-Dienst, damit die Vorschau etwas Wiedererkennbares zeigt. Drucken Sie die Adresse in kleiner Schrift neben den Code, damit vorsichtige Personen die Seite auch ganz ohne Scannen erreichen.
Prüfen Sie Ihre Codes anschließend von Zeit zu Zeit physisch. Hängen sie im öffentlichen Raum, muss jemand ein Auge darauf haben: Ein Aufkleber über Ihrem Code wird in der Wahrnehmung der Kundschaft zu Ihrem Problem — unabhängig davon, wer ihn angebracht hat.
Das Ziel in kleiner Schrift neben den Code zu drucken, kostet nichts und erlaubt vorsichtigen Kundinnen und Kunden, den Code vollständig zu umgehen.
Ein WLAN-Code enthält Netzwerknamen und Passwort im Klartext — wer ihn abfotografiert, hat also Ihr Passwort. Für ein Gästenetz ist das unproblematisch, für das Netz, in dem Ihre Kasse hängt, eine schlechte Idee.
Ein Kontakt-Code enthält genau die Daten, die Sie hineinschreiben. Eine private Mobilnummer auf ein öffentliches Plakat zu drucken, ist in manchen Situationen eine vertretbare Entscheidung und in anderen eine, die man bereut — aber es sollte eine Entscheidung sein und kein Versehen.
QR Code Agent erzeugt das Muster in Ihrem Browser. Was Sie eingeben, verlässt Ihr Gerät nie, wird an keinen Server gesendet und nicht gespeichert — schon weil es gar kein Konto gibt, unter dem es gespeichert werden könnte.
Die Codes sind statisch und tragen Ihre Adresse damit direkt in sich, ohne zwischengeschaltete Weiterleitung, die später geändert oder übernommen werden könnte. Der Preis dafür: Wir können einen einmal erstellten Code weder einsehen noch bearbeiten oder deaktivieren — was aus Sicherheitssicht überwiegend von Vorteil ist, denn es gibt keine Zwischenstelle, die kompromittiert werden könnte.
Kostenlos, ohne Anmeldung, und Ihr Code läuft nie ab.
Code erhalten? ☕ Spendieren Sie mir einen Kaffee — so bleibt dieses Tool für alle kostenlos.