Sicherheitsrisiken von QR-Codes und wie man einen prüft
Ein QR-Code ist ein Link, den man nicht lesen kann. Das ist die ganze Angriffsfläche.
Die vier echten Risiken
| Risiko | Wie es funktioniert | Was zu prüfen ist |
|---|---|---|
| Phishing (Quishing) | Code zeigt auf eine nachgebaute Anmeldeseite | Die Domain Zeichen für Zeichen lesen |
| Überklebte Aufkleber | Ein falscher Aufkleber über einem echten Code | Auf abstehende Kante oder abweichenden Druck achten |
| Umgeleitete Zahlung | Code an einem Zahlpunkt ausgetauscht | Mit der Anzeige des Händlers selbst vergleichen |
| Schadsoftware | Code führt zu APK- oder Profil-Download | Niemals aus einem QR-Code installieren |
Punycode und ähnlich aussehende Domains
Manche Zeichen aus nicht-lateinischen Alphabeten sehen lateinischen Buchstaben zum Verwechseln ähnlich. Eine damit registrierte Domain erscheint als vertrautes Wort, führt aber woandershin. Browser zeigen solche Domains in ihrer Punycode-Form – beginnend mit `xn--` –, genau damit sie auffallen.
Beginnt der Host einer URL mit `xn--`, gilt sie als verdächtig, bis das Gegenteil belegt ist. Es gibt keinen üblichen legitimen Grund, warum ein Link für Endnutzer so aussieht.
Gewohnheiten, die tatsächlich helfen
- Auf die Domain schauen, nicht auf das Design. Eine perfekte Kopie einer Anmeldeseite ist billig.
- Nie ein Passwort auf einer Seite eingeben, die man durch Scannen eines Codes an einem öffentlichen Ort erreicht hat.
- Zahlungs-Apps bevorzugen, die man selbst geöffnet hat, statt eines Codes, der einen Rabatt verspricht.
- Bei Speisekarten: Ein Code, der Kartendaten abfragt, ist keine Speisekarte.
Häufige Fragen
Kann das Scannen eines QR-Codes allein Schadsoftware installieren?
Nein. Ein QR-Code trägt nur Text. Das Risiko ist, was der Text bewirkt, wenn man handelt – eine bösartige Seite zu öffnen oder eine heruntergeladene Datei zu installieren, verlangt eine Bestätigung.
Was ist eine Punycode-Domain?
Eine Domain mit Nicht-ASCII-Zeichen, die Browser als `xn--` plus codierte Zeichenkette anzeigen. Damit lassen sich vertraute Markennamen nachahmen.
Ist es sicher, einen QR-Code auf einem Plakat zu scannen?
Das Scannen ist sicher. Vor der Eingabe von Daten prüfen, ob die Domain zur erwarteten Organisation passt, und bei Codes, die Zahlung oder Zugangsdaten verlangen, misstrauisch sein.