Gefährliche Quadrate: Wie sicher sind QR-Codes?

QR-Codes begegnen uns heute überall: auf Plakaten, in Geschäften, auf Rechnungen und auch auf den neuen inzahlungsscheinen. Sie sparen Zeit und Klicks — doch das Nationale Zentrum für Cybersicherheit (NCSC) macht auf Gefahren aufmerksam, die viele Nutzerinnen und Nutzer kaum auf dem Radar haben.

Der Grund liegt in der Natur des Codes: Menschen können die darin versteckten Informationen nicht direkt erkennen. Erst nach dem Scannen sieht man, wohin ein Code führt. Genau dieses «Blindvertrauen» machen sich Betrüger zunutze. Mögliche Risiken sind laut NCSC:

• QR-Codes können auf bösartige Dateien, fragwürdige App-Shops oder manipulierte Webseiten verlinken.
• Sie können Informationen zu unsicheren WLAN-Hotspots enthalten, die Geräte kompromittieren.
• Betrüger kleben gefälschte QR-Codes einfach über originale Codes auf — etwa auf Getränkeautomaten oder Plakaten.
• Dynamische QR-Codes lassen sich nachträglich umleiten; das Ziel kann sich also ändern, ohne dass der sichtbare Code angepasst wird.

Das NCSC rät deshalb zu mehr Vorsicht und gibt klare, praxisnahe Empfehlungen:

• Verwenden Sie eine zuverlässige Scanner-App oder die integrierte Kamerafunktion Ihres Smartphones — viele Systeme zeigen vor dem Öffnen bereits die Ziel-URL an.
• Prüfen Sie die eingeblendete Adresse sorgfältig, bevor Sie eine Website öffnen oder eine Aktion bestätigen.
• Geben Sie niemals Login-Daten oder persönliche Informationen auf einer Website ein, die Sie via QR-Code erreicht haben.
• Schauen Sie sich den Code vorher an: Fühlt sich ein Code wie ein Aufkleber an oder liegt er über dem Original, lassen Sie ihn besser liegen.
• Wenn Sie einen manipulierten oder verdächtigen Code entdecken, informieren Sie umgehend den Betreiber des Ortes (Café, Laden, Veranstalter).

Für viele Nutzerinnen und Nutzer sind diese Regeln leicht umsetzbar: Ein kurzer Blick auf die Adresse vor dem Öffnen genügt oft, um gefährliche Links zu erkennen. Gleichzeitig sollten Veranstalter und Anbieter darauf achten, QR-Codes nur an sicheren, kontrollierten Stellen anzubringen und bei wichtigen Anwendungen zusätzliche Sicherheitsmechanismen einzubauen (etwa eine Bestätigungsseite mit Erklärtext).

QR-Codes sind ein nützliches Werkzeug — mit ein wenig Aufmerksamkeit bleiben sie das auch. Wer die Hinweise des NCSC beachtet, reduziert das Betrugsrisiko erheblich und kann die Vorteile der Technologie weiterhin sorglos nutzen.