QR-Codes: praktisch, aber leicht zu manipulieren

Ein Link, den man nicht direkt lesen kann

QR-Codes sind bequem, aber ihr Ziel ist für Menschen nicht auf den ersten Blick erkennbar. Das macht sie für Phishing interessant. Betrug mit manipulierten QR-Codes wird häufig als Quishing bezeichnet.

Der Vertrauensanker ist der Ort

Beim Messenger vertraut man häufig einer bekannten Person. Beim QR-Code vertraut man dagegen dem Gegenstand oder Ort: der Speisekarte, dem Parkautomaten, der Ladesäule, dem Aushang oder dem Veranstaltungsplakat. Ein sauber aussehender Aufkleber kann dieses Vertrauen übernehmen.

Überkleben genügt

Ein vorhandener QR-Code lässt sich physisch überkleben oder ein falscher Code kann auf einem täuschend echten Aushang platziert werden. Die Verbraucherzentrale dokumentiert solche Fälle unter anderem an Ladesäulen, Parkautomaten, in Briefen sowie im öffentlichen Raum.

Was kann hinter dem Code liegen?

Das Ziel kann eine nachgebaute Login-Seite, eine falsche Zahlungsseite, ein Formular zum Abgreifen persönlicher Daten oder eine Aufforderung zur Installation einer App sein. Auch Geräteverknüpfungen können über QR-Codes ausgelöst werden, wenn der Nutzer die nachfolgende Aktion bestätigt.

Vor dem Öffnen kurz hinsehen

Wenn das Smartphone die Zieladresse vor dem Öffnen anzeigt, lohnt sich ein Blick auf Domain und Schreibweise. Passt die Adresse nicht zum erwarteten Anbieter, wird über einen Kurzlink verschleiert oder verlangt eine banale Speisekarte plötzlich Login-, Bank- oder Kontodaten, ist Abbruch die bessere Wahl.

Auch der Aufkleber selbst kann Hinweise geben

Bei fest montierten Codes kann man prüfen, ob ein zweiter Aufkleber darüber sitzt, ob Kanten sichtbar sind oder ob der Code offensichtlich nachträglich angebracht wurde. Das ist kein sicherer Test – ein professionell gemachter falscher Code kann völlig unauffällig aussehen.

Wenn bereits Daten eingegeben wurden

Dann richtet sich die Nachsorge danach, welche Daten betroffen sind: Zugangsdaten ändern, Konten absichern, fremde Sitzungen oder Geräte prüfen und bei Zahlungsdaten gegebenenfalls den Zahlungsdienst beziehungsweise die Bank kontaktieren.