Die Weiterleitungsfalle: Wie QR-Codes mit Zwischenstation dich verfolgen

Jedes Mal, wenn du einen dynamischen QR-Code scannst, läuft dein Tippen womöglich zuerst über den Server eines Fremden — und dieser Server kann stillschweigend festhalten, wann du gescannt hast, ungefähr wo du warst und welches Handy du benutzt hast. Das ist die Weiterleitungsfalle, und die meisten Menschen ahnen nicht, dass sie da ist.

QR-Codes wirken herrlich direkt: draufhalten, scannen, ankommen. Aber eine ganze Kategorie von Codes schiebt einen unsichtbaren Zwischenhändler zwischen dich und die Seite, die du zu besuchen glaubst. Bist du ein Unternehmen, wird dir dieser Zwischenhändler als „Analyse" verkauft. Bist du die Person, die scannt, ist es Tracking, dem du nicht zugestimmt hast und das du nicht sehen kannst. Schauen wir uns an, wie das Tracking über QR-Weiterleitungen tatsächlich funktioniert, was es erfassen kann und was nicht, und was das für die Privatsphäre auf beiden Seiten des Codes bedeutet. 🐾

Die zwei Arten von Code, noch einmal

Ein statischer QR-Code codiert dein Ziel direkt. Ihn zu scannen schickt dein Handy geradewegs zur echten URL — kein Server sitzt dazwischen, also gibt es nichts zu protokollieren. Ein dynamischer QR-Code codiert stattdessen einen kurzen Link auf der Domain des Anbieters, der zum eigentlichen Ziel weiterleitet. Dieser Weiterleitungsschritt ist der ganze Trick: Für den Bruchteil einer Sekunde landet deine Anfrage auf dem Server des Anbieters, bevor sie weiterspringt, und in diesem Moment kann sie aufgezeichnet werden. Unser Überblick zu statischen vs. dynamischen QR-Codes deckt die Grundlagen ab; hier geht es uns um das Tracking.

Wie eine Weiterleitung aus einem Scan Daten macht

Wenn dein Handy einen Link öffnet, empfängt es nicht einfach nur eine Seite — es gibt auch einige Informationen preis, als Teil der ganz normalen Mechanik des Internets. Ein Weiterleitungsserver kann Folgendes auslesen und protokollieren:

Uhrzeit und Datum des Scans, sekundengenau.
Ungefährer Standort, abgeleitet aus deiner IP-Adresse — meist genau auf Stadt oder Region, nicht auf deinen exakten Punkt.
Gerät und Software, aus der User-Agent-Kennung, die dein Browser sendet: Handytyp, Betriebssystem, Browser.
Kontext der Herkunft in manchen Fällen, sowie Signale für wiederholte Besuche, wenn Cookies oder Kennungen gesetzt werden.

Nichts davon erfordert etwas Hinterhältiges oder Illegales. Es ist der normale Austausch, den jede Webanfrage vornimmt — die Weiterleitung bringt den Anbieter nur in die Position, ihn abzugreifen, bevor er dich weiterschickt. Multipliziere das mit jedem Scan jedes Codes, den sie hosten, und du erhältst einen großen, ununterbrochenen Strom an Verhaltensdaten.

Ein statischer Code ist ein Wegweiser: Er zeigt hin und sagt nichts. Ein dynamischer Code ist ein Drehkreuz: Jeder, der hindurchgeht, wird gezählt, mit einem Zeitstempel versehen und notiert.

Was die Weiterleitung nicht sehen kann

Fairness ist wichtig, also seien wir bei den Grenzen genau. Eine QR-Weiterleitung ist keine Abhöranlage. Sie kann in der Regel nicht:

deinen exakten GPS-Standort auslesen — die IP liefert einen groben Bereich, keine Nadel auf der Karte.
andere Apps, deine Kontakte, deine Dateien oder deine Nachrichten sehen.
etwas installieren oder dein Handy „hacken", nur weil sie weiterleitet. (Was Codes wirklich nicht können, steht in QR-Codes und bösartige URLs.)
dich zwangsläufig namentlich identifizieren, es sei denn, die Zielseite selbst fragt diese Information ab und verknüpft sie.

Bei der Weiterleitungsfalle geht es also um stilles, aggregiertes Verhaltens-Tracking, nicht um die Überwachung der Inhalte deines Geräts. Das ist weniger beunruhigend als die Schauergeschichten — aber es ist trotzdem eine Datensammlung, der die scannende Person nie zugestimmt hat.

Warum das für die scannende Person wichtig ist

Wenn du nur eine Speisekarte lesen willst, rechnest du wahrscheinlich nicht damit, dass ein fremdes Unternehmen deinen Besuch protokolliert. Doch bei einem dynamischen Code kann genau das passieren — und du hast keine Möglichkeit, es durch bloßes Hinsehen zu erkennen. Der Code gibt keinen sichtbaren Hinweis darauf, ob er statisch oder dynamisch ist. Die Bedenken bezüglich der Privatsphäre sind real:

Keine Zustimmung, kein Hinweis. Auf einem QR-Code gibt es kein Cookie-Banner. Du bist protokolliert, bevor du ein einziges Wort gelesen hast.
Profile im Laufe der Zeit. Wenn derselbe Anbieter Codes für viele Unternehmen hostet, lassen sich deine Scans über sie alle hinweg im Prinzip zusammenführen.
Daten, an die du nicht herankommst. Das Protokoll liegt auf den Servern des Anbieters, unter dessen Richtlinien, nicht bei dem Unternehmen, mit dem du eigentlich zu tun zu haben glaubtest.

Warum das auch für das Unternehmen wichtig ist

Wenn dir der Code gehört, klingt Tracking nach einer Funktion — und manchmal ist es das wirklich. Doch es bringt stille Verbindlichkeiten mit sich. Du leitest die Scans deiner Kundschaft über einen Dritten, dessen Datenpraxis du nicht kontrollierst, und du setzt deine gedruckten Materialien darauf, dass dieser Dritte am Leben bleibt (die Abhängigkeit, die wir in was ein dynamischer QR-Code wirklich kostet behandeln). Wenn sich deine Marke als datenschutzfreundlich vermarktet, passt ein stiller Weiterleitungs-Tracker schlecht zu diesem Versprechen.

Wie du dich als scannende Person schützt

Du kannst dynamischen Codes nicht immer aus dem Weg gehen, aber du kannst bewusster scannen:

Sieh dir den Link an. Die meisten Handykameras zeigen die URL an, bevor sie sie öffnen. Ein kurzer Link auf einer unbekannten Domain ist ein Zeichen für eine Weiterleitung.
Behalte die Adressleiste im Blick. Wenn du woanders landest, als der Link zu zeigen schien, bist du durch eine Weiterleitung gegangen.
Nutze Datenschutz-Werkzeuge. Ein VPN verwischt deinen IP-basierten Standort; Browser, die Tracker blockieren, begrenzen, was dir nach der Weiterleitung folgt.
Sei bei unerwarteten Codes besonders vorsichtig. Unsere Sicherheits-Checkliste für QR-Codes hilft dir zu entscheiden, ob du überhaupt scannen solltest.

Wie du als Code-Besitzer die Menschen respektierst

Wenn du Codes erstellst, ist der datenschutzfreundliche Weg unkompliziert: Nutze einen statischen Code, damit es schlicht keine Weiterleitung gibt, die irgendjemanden protokollieren könnte. Deine Kundschaft gelangt direkt auf deine Seite, und kein Dritter sitzt dazwischen. Du kannst einen kostenlosen statischen QR-Code erstellen, der genau das tut — kein Konto, kein Tracking, kein Ablaufdatum.

Wenn du wirklich eine Auswertung oder ein änderbares Ziel brauchst, betreibe die Weiterleitung lieber auf deiner eigenen Domain, unter deiner eigenen Datenschutzerklärung, statt die Daten deiner Besucher einem Anbieter zu überlassen. Du bekommst deine Zahlen, deine Kundschaft weiß, wer sie erhebt, und niemand kann den Code als Geisel nehmen — der Ansatz, den wir in dem Plädoyer für statische, offene QR-Codes beschreiben.

Die ehrliche Zusammenfassung

Dynamische QR-Codes sind keine Spyware, und Auswertungen sind nicht böse. Aber eine Weiterleitung verwandelt einen einfachen Scan stillschweigend in ein protokolliertes Ereignis, auf dem Server eines anderen, ohne Hinweis an die scannende Person. Wenn du das nicht brauchst — was meistens der Fall ist — ist ein statischer Code die sauberere, freundlichere und ehrlichere Wahl. Es ist ein zentraler Grund, warum QR Puppy ausschließlich statische Codes erstellt, wie unser Manifest erklärt.

Häufig gestellte Fragen

Kann ein QR-Code meinen genauen Standort verfolgen?

Nicht von allein. Die Weiterleitung eines dynamischen Codes kann aus deiner IP-Adresse einen ungefähren Standort protokollieren — typischerweise eine Stadt oder Region —, aber keine exakte GPS-Position. Ein präziser Standort würde erfordern, dass die Zielseite danach fragt und du die Erlaubnis erteilst.

Woran erkenne ich, ob ein QR-Code mich verfolgt?

Oft kannst du es durch bloßes Hinsehen nicht erkennen, aber eine Vorschau des Links hilft. Wenn er auf eine kurze URL auf einer unbekannten Domain zeigt, die dann woandershin weiterleitet, gehst du durch einen Zwischenhändler, der den Scan protokollieren kann. Ein Link direkt zum echten Ziel ist statisch und protokolliert nichts.

Verfolgt ein statischer QR-Code irgendetwas?

Nein. Ein statischer Code schickt dein Handy direkt zum Ziel, ohne einen Server dazwischen, also gibt es nichts, das den Scan aufzeichnet. Jedes Tracking danach kommt von der Zielwebseite selbst, genau so, als hättest du die Adresse eingetippt.

Ist Tracking über QR-Weiterleitungen legal?

In der Regel ja — es nutzt dieselben Anfragedaten, die jede Website erhält. Das Problem ist Transparenz und Zustimmung: Die scannende Person hat meist keine Ahnung, dass ein Dritter sie protokolliert, und je nach Region kann das stille Sammeln mit Datenschutzvorschriften kollidieren.

Kann ich Scan-Auswertungen bekommen, ohne meine Kundschaft über einen Anbieter zu verfolgen?

Ja. Betreibe die Weiterleitung auf deiner eigenen Domain unter deiner eigenen Datenschutzerklärung, damit alle erhobenen Daten bei dir bleiben und deine Kundschaft weiß, wer dahintersteht. Oder verzichte mit einem statischen Code ganz auf Auswertungen und halte die gesamte Interaktion privat.