Wie Angreifer legitime QR-Codes überkleben

Ein QR-Code-Aufkleberangriff ist entwaffnend simpel: Ein Krimineller druckt einen bösartigen Code auf einen Aufkleber und platziert ihn über einem echten. Kein Hacken nötig — nur abziehen und andrücken. Weil die Fälschung identisch aussieht, sind die einzigen Verteidigungen, die Manipulation zu bemerken und den Link zu lesen. So funktionieren diese Überlagerungsangriffe und wie du sie ausschaltest. 🐾

Von allen QR-Betrügereien ist die Aufkleber-Überlagerung die physischste und die still am wirksamsten. Es gibt keine E-Mail zum Filtern, keine Software zum Ausnutzen — nur ein kleines Klebequadrat, platziert dort, wo Menschen dem darunterliegenden Code bereits vertrauen. Für Betrüger ist es billig, schnell und schwer nachzuverfolgen. Für den Rest von uns ist die gute Nachricht, dass ein wenig Aufmerksamkeit viel bewirkt.

Was ist ein QR-Code-Überlagerungsangriff?

Ein Überlagerungsangriff ersetzt einen legitimen QR-Code durch einen bösartigen, indem er ihn physisch überdeckt. Der Angreifer druckt seinen eigenen Code — einen, der auf eine Phishing-Seite, eine gefälschte Bezahlseite oder einen bösartigen Download verweist — auf einen Aufkleber und bringt ihn dann direkt über dem echten Code auf einem Schild, einer Maschine oder einem Produkt an. Jeder, der scannt, erhält das Ziel des Angreifers, während er glaubt, den offiziellen zu nutzen.

Weil das Ergebnis ein feindseliger Link ist, ist das eine Form von Quishing. Das Besondere ist die Übermittlung: Die Falle wird in der physischen Welt platziert, über etwas, dem du bereits vertraust.

Das Geniale und die Schwäche des Aufkleberangriffs sind dasselbe: Er geschieht vor aller Augen. Jeder kann einen anbringen — und jeder, der aufpasst, kann einen entdecken.

Wo passieren Aufkleberangriffe?

Überlagerungsangriffe bevorzugen Codes, die öffentlich und unbeaufsichtigt sind und von denen erwartet wird, dass sie gescannt werden:

Ziel	Warum es gewählt wird
Parkautomaten & Bezahlstationen	Unbeaufsichtigt, Bezahlen per Scan ist normal, Menschen sind in Eile
E-Ladepunkte	Abgelegene Orte, Zahlung wird erwartet
Restauranttische & Speisekarten	Lose Codes lassen sich leicht unbemerkt austauschen
Plakate & Flyer	Öffentliche Wände; ein Aufkleber fügt sich in belebte Grafik ein
Verkehrs- & Infobeschilderung	Vertrauenswürdiger offizieller Kontext verleiht falsche Glaubwürdigkeit
Produktverpackungen im Regal	Gefälschte „Produkt registrieren"- oder „Rabatt"-Codes

Parken ist ein so häufiges Ziel, dass wir ihm einen eigenen Leitfaden gewidmet haben: Gefälschte QR-Codes an Parkautomaten und andere echte Betrugsmaschen.

Wie erkenne ich einen überklebten Code?

Manipulation hinterlässt meist subtile Spuren. Bevor du einen Code an einem öffentlichen Ort scannst, nimm dir zwei Sekunden, um ihn physisch anzusehen.

Ist es überhaupt ein Aufkleber? Ein echter Code ist oft direkt in das Schild, die Fläche oder die Speisekarte gedruckt. Ein separates Klebeetikett ist einen zweiten Gedanken wert.
Sich lösende oder angehobene Ränder. Ein über einen anderen Aufkleber geklebter Aufkleber hat oft leicht abstehende Ecken.
Falsche Ausrichtung. Die Fälschung kann schief sitzen oder einen Teil des umgebenden Textes oder Logos verdecken.
Nicht passende Oberfläche. Anderes Papier, anderer Glanz oder andere Farbe als der Rest des gedruckten Materials.
Eine sichtbare Schicht darunter. Manchmal kannst du den Rand des echten Codes hervorlugen sehen.

Wenn ein Code aufgesetzt aussieht und du ihn abziehen kannst, um einen anderen Code darunter freizulegen, ist das ein nahezu sicherer Beweis für einen Angriff — lass ihn an Ort und Stelle, scanne ihn nicht und sag dem Betreiber Bescheid.

Die entscheidende Verteidigung: den Link lesen

Die physische Prüfung fängt viele Überlagerungen ab, aber die zuverlässige Absicherung ist immer dieselbe: Sieh dir das Ziel an, bevor du es öffnest. Selbst ein perfekt angebrachter Aufkleber kann nicht verbergen, wohin sein Code tatsächlich führt, sobald du ihn decodierst. Wenn du scannst, lies die Domain und frag dich, ob sie zum echten Betreiber gehört. Ein Scanner, mit dem du einen Code sicher scannen und das wahre Ziel zuerst sehen kannst, verwandelt den unsichtbaren Link in einen, den du beurteilen kannst. Für die Einzelheiten, wie man eine Adresse liest, siehe QR-Codes und bösartige URLs.

Was können Unternehmen tun, um ihre Codes zu schützen?

Wenn du einen Betrieb führst oder Maschinen mit Codes betreibst, bist du ebenfalls ein Ziel — und du kannst Überlagerungen schwerer und auffälliger machen.

Mach Codes manipulationssicher. Laminiere sie, drucke sie in die Oberfläche oder verwende manipulationssichere Etiketten, die sichtbar zerbrechen, wenn sie abgezogen werden.
Integriere den Code in das Design. Ein in Logos und Branding eingebetteter Code ist schwerer sauber zu überkleben als ein schlichtes Quadrat in einer Ecke.
Prüfe regelmäßig. Schule das Personal darin, wertvolle Codes (Zahlung, Parken, Tische) routinemäßig auf Aufkleber zu prüfen.
Veröffentliche die echte Domain. Drucke die offizielle Webadresse neben den Code, damit Kunden bestätigen können, dass das Ziel übereinstimmt.
Biete eine Alternative an. Eine benannte App oder eine kurze, einprägsame URL gibt Kunden eine Bezahlmöglichkeit, die nicht vom physischen Code abhängt.
Bevorzuge statische Codes mit deinem echten Link. Ein direkt codiertes Ziel auf deiner eigenen Domain ist für Kunden leicht zu überprüfen. Du kannst einen kostenlosen QR-Code erstellen, der genau das tut.

Was soll ich tun, wenn ich einen finde?

Wenn du eine verdächtige Überlagerung entdeckst:

Scanne ihn nicht, oder falls du es schon getan hast, gib keine Daten ein.
Fotografiere ihn an Ort und Stelle als Beweis, wenn es gefahrlos möglich ist.
Sag dem Betrieb oder Betreiber Bescheid, sofort, damit sie ihn entfernen und andere warnen können.
Melde ihn der zuständigen Betrugs- oder Verbraucherschutzstelle. Unser Leitfaden zum Melden eines bösartigen QR-Codes deckt ab, an wen du dich wenden kannst.

Das Ganze im rechten Licht

Aufkleberangriffe sind real, aber sie gehören auch zu den am leichtesten zu besiegenden Betrügereien, sobald du weißt, dass es sie gibt. Ein Blick auf die Oberfläche des Codes und ein Lesen des decodierten Links erledigen fast alle davon, und keines von beidem dauert länger als ein paar Sekunden. Kombiniere diese zwei Gewohnheiten — festgehalten in unserer Sicherheits-Checkliste für QR-Codes —, und eine aufgeklebte Fälschung wird zu etwas, das du bemerkst, statt zu etwas, auf das du hereinfällst.

Häufig gestellte Fragen

Woran erkenne ich, ob ein QR-Code manipuliert wurde?

Achte auf einen Aufkleber, der obenauf sitzt, besonders mit sich lösenden Rändern, schiefer Ausrichtung, einer nicht passenden Oberfläche oder einem anderen Code, der darunter sichtbar ist. Ein echter Code ist oft direkt in das Schild oder die Fläche gedruckt, statt als loses Etikett hinzugefügt.

Warum sind Aufkleberangriffe so wirksam?

Sie erfordern kein technisches Können und nutzen das Vertrauen in einen Ort aus, den Menschen bereits verwenden — einen Parkautomaten, eine Speisekarte, ein Plakat. Der gefälschte Code sieht identisch zum echten aus, also beruht der Betrug ganz darauf, dass Opfer den Aufkleber nicht prüfen oder den Link nicht lesen.

Kann ich einen verdächtigen Aufkleber einfach abziehen?

Es ist besser, ihn an Ort und Stelle zu lassen und zu melden, damit der Betrieb ihn sichern und andere warnen kann, aber wenn du eine Ecke anhebst und einen anderen Code darunter siehst, bestätigt das die Manipulation. So oder so, scanne ihn nicht und informiere den Betreiber.

Wie kann ein Unternehmen seine QR-Codes vor Überlagerungen schützen?

Verwende manipulationssichere oder laminierte Etiketten, drucke Codes in die Oberfläche oder das Branding, prüfe wertvolle Codes regelmäßig und zeige die offizielle Webadresse neben jedem Code, damit Kunden das Ziel bestätigen können. Eine App oder bekannte URL als Alternative anzubieten hilft ebenfalls.

Schützt mich das Ansehen des Links, selbst wenn der Aufkleber perfekt aussieht?

Ja. Egal wie überzeugend ein Aufkleber angebracht ist, das Decodieren seines Codes offenbart das wahre Ziel. Diesen Link zu lesen und die Domain zu prüfen, lässt dich eine Überlagerung erkennen, die du mit bloßem Auge nicht hättest entdecken können.