Solltest du diesen QR-Code scannen? Eine Sicherheitscheckliste

Solltest du diesen QR-Code scannen? Diese Sicherheitscheckliste gibt dir eine ruhige, wiederholbare Routine — ein paar Dinge, die du vor dem Scannen prüfst, und ein paar mehr danach — sodass ein Code sich dein Vertrauen verdienen muss, bevor er deinen Tipp bekommt. 🐾

QR-Codes sind wirklich nützlich. Sie öffnen Speisekarten, teilen WLAN, dienen als Veranstaltungstickets und beschleunigen Zahlungen. Der Sinn dieses Leitfadens ist nicht, dir vor jedem Quadrat Angst zu machen — es ist, dir eine leichte geistige Gewohnheit zu geben, die den seltenen schlechten Code abfängt, ohne die guten auszubremsen. Das meiste dauert etwa zehn Sekunden und wird schnell zur zweiten Natur.

Die eine Regel, die am meisten zählt

Wenn du dir nichts anderes merkst, merk dir das: Ein QR-Code ist nie vertrauenswürdiger als das, worauf er zeigt. Der Code selbst ist bloß codierter Text, meist eine Webadresse. Er kann von sich aus nichts installieren; das Risiko liegt vollständig im Ziel. Das ganze Spiel besteht also darin, dieses Ziel sehen zu können, bevor du dich darauf einlässt. Alles Weitere geht wirklich darum, den unsichtbaren Link sichtbar zu machen und ihn dann vernünftig zu beurteilen. Zum Warum dahinter siehe kann ein QR-Code dein Handy hacken?

Vor dem Scannen: die Situation lesen

Noch bevor die Kamera überhaupt herauskommt, sagt ein Blick auf den Kontext viel.

Woher kam dieser Code?

Erwartet und offiziell? Ein Code auf einem gekauften Produkt, einer erwarteten Rechnung oder einer Speisekarte in einem Restaurant ist risikoarm.
Unaufgefordert? Ein Code in einer aus heiterem Himmel kommenden E-Mail, einer zufälligen SMS oder einem Brief, der dringendes Handeln fordert, verdient echtes Misstrauen. Das ist das klassische Setup für Quishing.
An einem öffentlichen Ort? Codes auf Parkautomaten, E-Auto-Ladesäulen, Plakaten und Tischen sind für einen Betrüger leicht mit einem Aufkleber zu überdecken. Prüfe, ob der Code original oder aufgeklebt wirkt. Unser Leitfaden zu gefälschten Parkautomaten-QR-Codes zeigt, worauf du achten musst.

Sieht der Code manipuliert aus?

Sieh dir den physischen Code an. Ist es ein Aufkleber, der über einem anderen Code sitzt? Lösen sich die Ränder ab, sind sie verschoben oder von leicht anderer Farbe als der umgebende Druck? Überlagerungsangriffe sind häufig, und ein nicht passender Aufkleber ist oft der einzige sichtbare Hinweis. Wir behandeln das in wie Angreifer legitime QR-Codes überkleben.

Ein Aufkleber über einem gedruckten Code ist die Version eines verdächtigen Links in der physischen Welt. Im Zweifel: nicht scannen — frag lieber einen Mitarbeiter oder nutze die offizielle App.

Im Moment des Scannens: die URL in der Vorschau prüfen

Das ist das Herz der Checkliste. Nahezu jede moderne Handykamera zeigt dir den dekodierten Link als Vorschau, bevor sie etwas öffnet. Lies diesen Link. Ein Werkzeug wie QR Puppy ist um diese Idee herum gebaut — du kannst einen Code sicher scannen und zuerst das echte Ziel sehen, sodass du mit offenen Augen entscheidest, statt blind zu tippen.

Wenn du den Link liest, prüfe:

Achte auf	Vertrauenssignal	Warnsignal
Die Domain	Die echte, erwartete Firmen-Domain	Eine Nachahmung (paypa1, amaz0n-secure)
Der Anfang der Adresse	Erkennbar und sauber	Ein Kürzungsdienst, der das echte Ziel verbirgt
Zusätzliche Wörter in der Domain	Keine	angehängtes "-login", "-verify", "-support"
Was er verlangt	Öffnet nur eine Seite	Fordert auf, WLAN beizutreten, eine SMS zu senden oder eine Datei herunterzuladen

Nachgeahmte Domains und gekürzte Links sind die häufigsten Tricks, und es lohnt sich, sie erkennen zu lernen. Unser Artikel zu QR-Codes und bösartigen URLs schlüsselt sie im Detail auf.

Nachdem du auf der Seite gelandet bist: urteile, bevor du handelst

Selbst wenn eine Seite geladen ist, hast du noch jede Chance, sicher zu bleiben. Der Betrug funktioniert nur, wenn du etwas tust.

Fragt sie nach einem Passwort? Sei äußerst misstrauisch, Anmeldedaten auf einer Seite einzugeben, die du durch Scannen erreicht hast. Musst du dich anmelden, öffne die offizielle App oder tippe die dir bekannte Website-Adresse.
Fragt sie nach Zahlung oder Kartendaten? Legitimes Parken, Maut und Zustellungen lassen sich fast immer über eine offizielle App oder Website bezahlen, die du selbst ansteuern kannst.
Drängt sie zur Eile? "Dein Konto wird geschlossen", "zahle jetzt, um ein Bußgeld zu vermeiden" — Druck ist eine Manipulationstaktik, keine echte Frist.
Hat sie eine Aktion ausgelöst? Versuchte das Scannen, eine Textnachricht automatisch auszufüllen, einen Kontakt hinzuzufügen oder sich mit WLAN zu verbinden, halte inne und überdenke es. Siehe WLAN-QR-Codes: Komfort vs. Risiko.

Sonderfälle, die besondere Sorgfalt verdienen

Zahlungen und Krypto

Zahlungs-QR-Codes verdienen ihre eigene Pause, besonders bei Krypto, wo eine ausgetauschte Wallet-Adresse dein Geld an einen Fremden schickt, ohne Möglichkeit, es rückgängig zu machen. Verifiziere den Empfänger immer unabhängig — siehe QR-Codes und Krypto-Betrug.

WLAN-Codes

Ein WLAN-QR-Code kann dein Handy still mit einem Netzwerk verbinden. Bei einem vertrauenswürdigen Code (der eigenen Beschilderung eines Cafés) ist das bequem. Bei einem unbekannten Code könnte er dich mit einem feindlichen Netzwerk verbinden. Behandle unerwartete WLAN-Codes mit Vorsicht.

Die Kurzfassung zum Auswendiglernen

Quelle — habe ich diesen Code erwartet, oder kam er zu mir?
Oberfläche — ist es ein aufgeklebter Aufkleber oder ein Originaldruck?
Den Link sehen — die URL in der Vorschau prüfen und die Domain lesen.
Genau hinschauen — Nachahmung? Kürzungsdienst? Zusätzliche Wörter?
Vor Geheimnissen stoppen — gib nie Passwörter oder Zahlungen aus einem unerwarteten Scan ein.

Geh das im Kopf durch, und du entschärfst die überwältigende Mehrheit bösartiger Codes ohne einen zweiten Gedanken. Und solltest du je auf einen schlechten stoßen, erklärt unser Leitfaden wie man einen bösartigen QR-Code meldet, wie du andere warnst. Wenn du eigene Codes erstellen musst, kannst du einen kostenlosen QR-Code erstellen, der deinen echten Link direkt kodiert, ohne etwas Verborgenes.

Häufig gestellte Fragen

Ist es gefährlich, einen QR-Code bloß zu scannen?

Für sich genommen meist nicht. Das Scannen dekodiert normalerweise nur einen Link und bietet an, ihn zu öffnen. Das Risiko beginnt, wenn du das Ziel besuchst und dann Informationen eingibst oder etwas herunterlädst — deshalb ist die Vorschau der URL zuerst so wirksam.

Wie prüfe ich einen Link in der Vorschau, bevor ich ihn öffne?

Die meisten Handykameras zeigen die dekodierte Webadresse an, bevor sie die Seite laden — halte inne und lies sie. Ein Scanner, der zuerst das echte Ziel klar offenbart, lässt dich die Domain auf Nachahmungen und Kürzungsdienste prüfen, bevor du durchtippst.

Was ist das größte Warnsignal in einem gescannten Link?

Eine Domain, die fast zu einer Marke passt, der du vertraust, aber nicht ganz stimmt, oder ein URL-Kürzungsdienst, der verbirgt, wohin du wirklich gehst. Kombiniert mit einer Aufforderung nach Passwort oder Zahlung ist das ein starkes Signal, zurückzurudern.

Sind QR-Codes auf Restaurant-Speisekarten sicher?

Im Allgemeinen ja, aber prüfe, ob der Code als Teil des Tisches oder der Speisekarte gedruckt ist statt ein loser, oben aufgeklebter Aufkleber. Überlagerungsaufkleber sind ein bekannter Trick an öffentlichen Orten, also ist ein nicht passender oder sich ablösender Code einen zweiten Blick wert.

Sollte ich eine spezielle QR-Scanner-App verwenden?

Musst du nicht, da moderne Handykameras den Link bereits vor dem Öffnen anzeigen. Wichtig ist, einen Scanner zu nutzen, der zuerst das echte Ziel klar offenbart, sodass du es beurteilen kannst, statt direkt zu einer unbekannten Seite geschickt zu werden.