QR-Codes sind aus dem Alltag kaum noch wegzudenken. Sie stehen auf Speisekarten, Parkautomaten, Plakaten, Rechnungen oder Gewinnspielaktionen. Ein kurzer Scan mit dem Smartphone genügt – und schon öffnet sich eine Internetseite.
Genau diese Bequemlichkeit machen sich Betrüger zunutze. Denn anders als bei einem normalen Link ist vor dem Scannen oft nicht sofort sichtbar, wohin ein QR-Code tatsächlich führt. Kriminelle können Nutzer so auf gefälschte Webseiten, Phishing-Seiten oder Seiten mit Schadsoftware locken.
Besonders problematisch: Die Täter versuchen inzwischen gezielt, auch automatische Schutzmechanismen auszutricksen.
Geteilte QR-Codes sollen Virenscanner täuschen
Eine besonders raffinierte Methode besteht darin, einen QR-Code in zwei Teile zu zerlegen. Die beiden Hälften werden anschließend als getrennte Bilddateien gespeichert und in einer E-Mail oder auf einer Internetseite direkt nebeneinander platziert.
Für das menschliche Auge beziehungsweise die Smartphone-Kamera ergibt sich daraus wieder ein vollständig funktionierender QR-Code.
Automatische Sicherheitssysteme können dagegen scheitern. Wenn jede Bilddatei einzeln geprüft wird, enthalten die beiden Hälften jeweils keinen gültigen QR-Code. Dadurch können sie als unauffällig eingestuft werden.
Für den Nutzer sieht das Ergebnis trotzdem wie ein ganz gewöhnlicher Code aus.
Zwei QR-Codes übereinander
Noch komplexer ist eine weitere beschriebene Methode: sogenannte verschachtelte QR-Codes.
Dabei werden zwei unterschiedliche QR-Codes so übereinandergelegt, dass je nach Scan-Abstand ein anderer Code erkannt werden kann. Automatische Systeme könnten beispielsweise einen harmlosen Link auslesen, während das Smartphone des Nutzers beim tatsächlichen Scan auf eine betrügerische oder manipulierte Seite geleitet wird.
Die Täter versuchen damit nicht nur, Menschen zu täuschen, sondern gezielt auch technische Filter zu umgehen.
Gefahr lauert nicht nur in E-Mails
QR-Code-Betrug beschränkt sich längst nicht auf digitale Nachrichten.
Manipulierte Codes können auf falschen Strafzetteln, Briefen oder Rechnungen auftauchen. Ebenso können Betrüger vorhandene QR-Codes auf Plakaten, Parkautomaten oder anderen öffentlichen Stellen einfach mit einem eigenen Aufkleber überdecken.
Für Verbraucher ist der Unterschied häufig kaum zu erkennen.
Ein Code, der scheinbar zu einem seriösen Unternehmen, einer Behörde oder einem bekannten Gewinnspiel gehört, kann dadurch tatsächlich auf eine vollkommen andere Internetadresse führen.
Warum QR-Codes für Betrüger so attraktiv sind
Der entscheidende Vorteil aus Sicht der Täter ist die fehlende Transparenz.
Bei einer klassischen E-Mail kann ein Nutzer einen verdächtigen Link zumindest ansehen und feststellen, dass die Adresse nicht zum angeblichen Absender passt. Bei einem QR-Code besteht diese Möglichkeit häufig erst nach dem Scan.
Genau diesen Moment wollen Kriminelle ausnutzen.
Auf der anschließend geöffneten Seite können Nutzer beispielsweise aufgefordert werden, Zugangsdaten, Kreditkarteninformationen oder persönliche Angaben einzugeben. Ebenso können Downloads angeboten werden, hinter denen Schadsoftware steckt.
Misstrauisch bei QR-Codes in unerwarteten E-Mails
Besonders skeptisch sollte man sein, wenn eine E-Mail ohne nachvollziehbaren Grund einen QR-Code enthält.
Wenn ein Unternehmen dem Nutzer ohnehin eine digitale Nachricht schickt, könnte es normalerweise auch einen gewöhnlichen Link verwenden. Ein QR-Code, der zwingend mit einem zweiten Gerät gescannt werden soll, kann deshalb ein zusätzliches Warnzeichen sein.
Das bedeutet nicht, dass jeder QR-Code in einer E-Mail betrügerisch ist. Aber die Frage „Warum soll ich ausgerechnet diesen Code scannen?“ kann bereits helfen, gefährliche Situationen zu erkennen.
URL vor Eingabe sensibler Daten kontrollieren
Auch nach dem Scan sollte nicht sofort gehandelt werden.
Viele Smartphones zeigen die erkannte Internetadresse zunächst an, bevor sie geöffnet wird. Diese Vorschau sollte genutzt werden. Besonders wichtig ist anschließend die Kontrolle der Domain.
Wer etwa Zugangsdaten für eine Bank, einen Onlineshop oder ein soziales Netzwerk eingeben soll, sollte prüfen, ob tatsächlich die offizielle Internetadresse des jeweiligen Anbieters geöffnet wurde.
Schon kleine Abweichungen, zusätzliche Wörter oder ungewöhnliche Domain-Endungen können auf eine Fälschung hinweisen.
Vorsicht bei QR-Codes auf Aufklebern
Auch physische Manipulationen sollten berücksichtigt werden.
Wer einen QR-Code an einem Parkautomaten, auf einem Plakat oder auf einer öffentlichen Informationstafel scannt, sollte kurz prüfen, ob der Code möglicherweise überklebt wurde.
Ein zusätzlicher Sticker, ungewöhnliche Ränder oder sichtbare Klebespuren können darauf hinweisen, dass ein ursprünglich legitimer QR-Code ersetzt wurde.
Fazit: Ein QR-Code ist nichts anderes als ein versteckter Link
Die wichtigste Erkenntnis ist einfach: Ein QR-Code sollte genauso kritisch behandelt werden wie jeder andere Internetlink.
Nur weil ein schwarz-weißes Quadrat professionell aussieht oder auf einem scheinbar offiziellen Schreiben angebracht ist, bedeutet das nicht, dass sein Ziel sicher ist.
Die neuen Tricks zeigen zudem, dass sich Verbraucher nicht vollständig darauf verlassen können, dass Virenscanner oder automatische Schutzsysteme jeden gefährlichen QR-Code erkennen.
Deshalb gilt: Herkunft prüfen, Zieladresse kontrollieren und bei unerwarteten QR-Codes besonders misstrauisch sein.
Denn ein einziger Scan kann genügen, um von einer vertrauten Umgebung direkt auf die Seite eines Betrügers zu gelangen.
