Wie sicher sind QR-Codes – Artikel in Kurzform
Parkautomat. Regen. Termin in fünf Minuten.
Ein Aufkleber verspricht: „Bequem per Handy bezahlen.“
Kamera drauf, Seite auf, Kreditkarte rein. Fertig?
Vielleicht. Vielleicht hat aber auch jemand einen eigenen QR-Code über den echten geklebt. Der Automat steht dann weiterhin im Auftrag der Stadt. Die Bezahlseite arbeitet inzwischen für jemand anderen.
Ein QR-Code ist eine Abkürzung. Kein Gütesiegel.
Hinter einem QR-Code steckt häufig eine Internetadresse. Das Smartphone liest sie aus und kann die entsprechende Seite öffnen.
Der Code bestätigt nicht, wem diese Seite gehört.
Auch Betrüger können QR-Codes erstellen, Logos kopieren und Bezahlseiten nachbauen. Die Polizei beschreibt solche gefälschten Codes an Parkautomaten.
Die Masche heißt Quishing: Betrug mit QR-Codes, um etwa Passwörter oder Kartendaten abzugreifen. Offenbar brauchte selbst der Aufkleberbetrug noch einen englischen Namen.
Warum das glaubwürdig wirkt
Ein Code am Parkautomaten passt zur Situation. Du willst bezahlen. Er bietet Bezahlen an.
Der Haken: Ein vertrauter Ort macht einen dort angebrachten Link nicht automatisch vertrauenswürdig.
Das gilt auch für Papier. Die Verbraucherzentrale berichtet über gefälschte Bankbriefe mit QR-Codes, die angeblich zur Sicherheitsprüfung führen.
Drei Situationen, drei bessere Wege
Parken: Eine bereits bekannte, passende Park-App selbst öffnen. Die Parkzone prüfen und gegebenenfalls den Zonencode eingeben. Einen überklebten Code nicht verwenden.
Bankbrief: Die bekannte Banking-App öffnen und nach Mitteilungen schauen. Bleibt die Aufforderung unklar, die Bank über eine bekannte Nummer kontaktieren. Die Nummer im verdächtigen Brief wäre keine unabhängige Kontrolle.
Speisekarte: Prüfen, was die Seite verlangt. Für die Anzeige des Mittagstischs braucht sie weder ein Banking-Passwort noch eine Zahlungsfreigabe. Bei unerwarteten Aufforderungen abbrechen und nachfragen.
Und wenn ich den Code benutzen möchte?
Lass dir die Internetadresse vor dem Öffnen anzeigen. Ein Markenname irgendwo im Link reicht als Nachweis nicht aus.
Auch HTTPS bestätigt keine ehrliche Website. Es verschlüsselt die Verbindung – selbst dann, wenn am anderen Ende Betrüger sitzen.
Unbekannte Zahlungsdienste können allerdings auch zu echten Anbietern gehören. Wenn sich die Adresse nicht verlässlich zuordnen lässt, hilft ein anderer Zugangsweg mehr als Rätselraten.
Schon gescannt?
Das Erfassen eines Codes bedeutet noch keinen Datendiebstahl. Entscheidend ist, was danach passiert ist.
- Verdächtige Seite geöffnet: Schließen und keinen weiteren Aufforderungen folgen.
- Passwort eingegeben: Über den echten Dienst ändern und andere aktive Anmeldungen möglichst beenden.
- Kartendaten eingegeben oder Zahlung freigegeben: Sofort die Bank kontaktieren und die betroffene Karte beziehungsweise den Zugang sperren lassen.
Weitere Schritte stehen in der Phishing-Checkliste von Polizei und BSI.
Die brauchbare Gewohnheit: Bei Geld und wichtigen Konten einen bekannten Zugang nutzen, wenn die Herkunft des Codes unklar bleibt.
Der QR-Code spart Tipparbeit. Die Entscheidung, wem du vertraust, nimmt er dir nicht ab.