QR-Blick
Eine Handykamera öffnet einen QR-Code fast in dem Moment, in dem sie ihn sieht. Dieser Scanner hält einen Schritt vorher an. Er entschlüsselt den Code, zeigt, was darin steht und was ein Handy damit tun würde, und überlässt Ihnen die Entscheidung.
Smartphones starten die Rückkamera, wenn Sie „Mit der Kamera scannen“ wählen. Am Computer funktioniert ein Screenshot oder ein Foto des Codes: Legen Sie die Datei ab oder fügen Sie sie mit Strg+V ein (⌘+V auf dem Mac).
🔒 Decoding takes place on your device. Camera frames and pictures stay in your browser, and what the code says is not passed to anyone.
Ein QR-Code ist ein kurzes Stück Text
Diese schwarzen und weißen Quadrate buchstabieren Zeichen, höchstens ein paar Tausend, mit Fehlerkorrektur, damit der Code auch dann lesbar bleibt, wenn ein Teil verschmutzt oder von einem Logo verdeckt ist. Mehr steckt nicht darin. Kein Programm, kein verstecktes Ziel. Der Ärger kommt von dem, was das scannende Gerät danach tut. Beginnt der Text mit https://, bietet das Handy an, ihn zu öffnen. Andere Präfixe lösen andere Aktionen aus, und niemand kann an den Quadraten erkennen, welche.
Deshalb ist Betrug zu QR-Codes abgewandert. Ein Link in einer E-Mail läuft durch Spamfilter, und Sie können mit der Maus darüberfahren, um ihn zu prüfen. Drucken Sie denselben Link als Code auf eine Parkuhr, einen Restauranttisch oder eine gefälschte Paketbenachrichtigung, umgeht er die Filter und wird auf einem Handy geöffnet, wo die Adressleiste sehr wenig zeigt.
Welche Inhalte der Scanner erkennt
| Beginnt mit | Was ein Handy tun würde | Was zu prüfen ist |
|---|---|---|
http://, https://, www. | Eine Webseite öffnen | Die fett gedruckte Domain |
WIFI: | Einem WLAN beitreten | Wer das Netz betreibt; offene Netze und WEP werden markiert |
BEGIN:VCARD, MECARD: | Einen Kontakt hinzufügen | Die Felder für E-Mail und Website |
mailto:, SMSTO:, sms:, tel: | Eine Nachricht oder einen Anruf vorbereiten | Den Empfänger; Kurzwahlnummern und Premium-Nummern werden markiert |
otpauth:// | Ein Konto zu einer Authenticator-App hinzufügen | Dass Sie es selbst einrichten |
bitcoin:, ethereum: und ähnliche | Eine Kryptowährungs-Überweisung vorbereiten | Alles, denn sie lässt sich nicht rückgängig machen |
000201…, BCD, upi:// | Eine Karten-, Bank- (SEPA) oder UPI-Zahlung vorbereiten | Name des Empfängers und Betrag |
geo:, BEGIN:VEVENT | Eine Karte öffnen, einen Kalendertermin hinzufügen | Nichts Besonderes |
Alles andere wird als einfacher Text angezeigt. Steckt in diesem Text eine Webadresse, wird sie genauso untersucht wie ein Link. Ein Code mit einer javascript:-, data:- oder file:-Adresse wird rot markiert.
Wie ein Link untersucht wird
Die meisten Codes enthalten eine Webadresse, und der Scanner zerlegt sie, ohne sie aufzurufen.
- Domain. Die registrierbare Domain wird fett angezeigt und auf gemischte Schriftsysteme, unsichtbare Zeichen und Ähnlichkeit mit bekannten Marken geprüft, mit derselben Engine wie der Detektor für verwechselbare Zeichen. Alles vor einem
@wird hervorgehoben, dennhttps://city-parking.example@payments.example.net/führt Sie zu payments.example.net. - Verschlüsselung. Eine einfache
http://-Adresse ist gelb. - Kurzlinks. Etwa fünfzig Dienste wie bit.ly, tinyurl.com und qrco.de werden erkannt. Das echte Ziel ist auf dem Server des Kurzlink-Dienstes gespeichert und lässt sich nicht aus dem Code lesen. Bei bit.ly zeigt ein
+am Ende der Adresse eine Vorschauseite. TinyURL hatpreview.tinyurl.com. - Tracking-Parameter.
utm_source,fbclid,gclidund ihre Verwandten werden aufgelistet, und Sie bekommen eine zweite Kopie der Adresse ohne sie. - Zahlungswörter. Erwähnt die Adresse Bezahlen, Parken, ein Bußgeld, eine Maut oder eine Rechnung, erinnert ein Hinweis Sie daran, nach einem Aufkleber über dem ursprünglichen Code zu suchen.
Der entschlüsselte Text wird nie in einen anklickbaren Link verwandelt, mit einer Ausnahme. Gewöhnliche Webadressen bekommen unten einen Link „Trotzdem öffnen“, der einen neuen Tab öffnet, ohne einen Referrer zu senden.
Was das Lesen des Codes nicht verraten kann
Der Scanner sieht die Adresse, nicht die Seite. Eine Domain ohne jeden Fehler in der Schreibweise kann trotzdem die Kopie eines Bank-Logins beherbergen. Um das Ziel selbst zu testen, fügen Sie die Adresse in die Abfrage unsicherer Websites ein oder verfolgen Sie sie Station für Station mit der Weiterleitungsverfolgung. Beide laufen auf unserem Server, nicht auf Ihrem Handy.
Die physische Welt sieht er ebenfalls nicht. Fahren Sie mit dem Finger über einen Code an einem öffentlichen Automaten, denn ein Aufkleber hat eine Kante. Für jede Zahlung ist der sicherste Weg die App des Betreibers oder eine Webadresse, die Sie selbst eintippen.
Seien Sie bei otpauth://-Codes besonders vorsichtig. Sie enthalten das Geheimnis, aus dem Ihre Login-Codes erzeugt werden. Scannen Sie so einen Code nur auf der Sicherheitsseite eines Dienstes, bei dem Sie selbst die Zwei-Faktor-Authentifizierung einschalten. Niemand Seriöses schickt Ihnen einen, um „Ihr Konto zu bestätigen“.
Zum Entschlüsseln wird der in Ihren Browser eingebaute Barcode-Detektor verwendet, wenn es einen gibt. Andernfalls wird ein kleiner Open-Source-Decoder von dieser Website geladen. So oder so bleibt das Bild auf Ihrem Gerät, und die Kamera, die Ihre Erlaubnis braucht, wird ausgeschaltet, sobald ein Code gelesen ist.
Häufige Fragen
Kann das Scannen eines QR-Codes mein Handy hacken?
Einen Code zu lesen ist harmlos, denn er liefert nur Text. Das Risiko beginnt mit dem, was danach passiert, etwa dem Öffnen einer Phishing-Seite, dem Beitritt zu einem unbekannten WLAN oder der Freigabe einer Zahlung. Wenn Sie sich den Inhalt zuerst ansehen, wie auf dieser Seite, passiert nichts, was Sie nicht gewählt haben.
Wie scanne ich einen QR-Code auf meinem eigenen Bildschirm?
Machen Sie einen Screenshot und ziehen Sie das Bild dann auf diese Seite, wählen Sie es über die Dateischaltfläche aus oder fügen Sie es mit Strg+V (⌘V auf dem Mac) ein. Das Bild wird lokal entschlüsselt.
Was ist Quishing?
Phishing über einen QR-Code. Eine typische Form ist ein Aufkleber auf einer Parkuhr oder Ladesäule, der zu einer gefälschten Zahlungsseite führt. Eine andere ist eine E-Mail, die Sie bittet, einen Code zu scannen, um „Ihr Konto aktiv zu halten“. Damit wechseln Sie von einem geschützten Arbeitscomputer auf ein privates Handy.
Warum meldet der Scanner, dass kein QR-Code gefunden wurde?
Der Code ist im Bild wahrscheinlich zu klein, unscharf oder abgeschnitten. Schneiden Sie das Bild um den Code herum zu, lassen Sie auf allen vier Seiten einen weißen Rand und versuchen Sie es erneut. Andere Codes als QR, etwa gewöhnliche Produkt-Barcodes oder Data Matrix, werden nicht gelesen.
Ist ein QR-Code mit Kurzlink gefährlich?
Nicht unbedingt. Viele QR-Generatoren leiten jeden Code über ihre eigene Kurz-Domain, damit sich das Ziel später ändern lässt. Es bedeutet aber, dass der Code Ihnen nichts darüber sagt, wo Sie landen, und das Ziel kann sich ändern, nachdem der Code gedruckt wurde. Nutzen Sie die Vorschaufunktion des Kurzlink-Dienstes oder die Weiterleitungsverfolgung.
Verlässt das Kamerabild mein Gerät?
Nein. Die Bilder werden im Browser analysiert und verworfen. Auch der entschlüsselte Inhalt wird nicht übertragen.