Sind QR Codes wirklich böse

Immer wieder höre und lese Ich von "QR Zwang", QRs sind böse und speichern Daten und gewähren Zugang zum Gerät sobald man diese fotografieren. Mit diesem Beitrag möchte ich mit diesem Vorurteilen etwas aufräumen.

QR-Codes sind technisch gesehen nur eine Weiterentwicklung des klassischen Barcodes und keine inhärente Bedrohung. Der QR-Code (englisch Quick Response – „schnelle Antwort“) ist ein zweidimensionaler Code aus schwarzen und weißen Quadraten, der Daten speichert (iqual.chkrone.at). Im Prinzip funktioniert er wie der Strichcode auf Produktverpackungen im Supermarkt – nur dass ein QR-Code viel mehr Informationen fasst und speziell fürs Auslesen mit Kameras (z. B. im Smartphone) entwickelt wurde. Man kann also sagen: Ein QR-Code ist das Äquivalent des Barcodes für Smartphones.

Wie QR-Codes funktionieren

Ein QR-Code besteht aus einem Muster kleiner Quadrate, das von Scannern oder Smartphone-Kameras gelesen werden kann. Während herkömmliche Barcodes nur in einer Richtung Information durch unterschiedlich breite Striche codieren, nutzen QR-Codes eine zweidimensionale Matrix aus Pixeln. Dieses Design erlaubt es, deutlich mehr Daten auf kleinem Raum zu speichern – zum Beispiel Text, Webseiten-Adressen (URLs), Kontaktdaten (vCards), WLAN-Zugangsdaten oder andere kurze Informationen. Beim Scannen entschlüsselt die QR-Code-Software das Muster mithilfe eines Algorithmus und wandelt es zurück in lesbaren Text bzw. einen Link.

Besondere Muster im Code sorgen für schnelle Erkennbarkeit und Fehlertoleranz: Die drei markanten Quadrate in den Ecken eines QR-Codes dienen z. B. als Positionsmuster zur Orientierung für den Scanner. Zusätzlich enthält der Code Bereiche für Synchronisation und Fehlerkorrektur. Dank dieser Fehlerkorrektur können QR-Codes sogar dann noch gelesen werden, wenn Teile beschädigt oder verdeckt sind – ein Vorteil gegenüber einfachen Strichcodes. Das erklärt, warum man QR-Codes in der Praxis oft trotz Kratzern oder ungünstigen Winkeln noch scannen kann.

Zum Auslesen genügt heute meist ein Smartphone. Moderne Smartphones erkennen QR-Codes direkt über die eingebaute Kamera-App – man richtet die Kamera einfach auf den Code und erhält eine Meldung mit dem entschlüsselten Inhalt (z. B. eine URL zum Antippen). Alternativ gibt es spezialisierte QR-Scanner-Apps und sogar Online-Tools oder Browser-Erweiterungen, mit denen man einen QR-Code aus einem Bild heraus auslesen kann. In jedem Fall sollte die Scanner-App den gefundenen Text oder Link anzeigen, bevor man ihn öffnet. Gute Scanner bieten genau diese Vorschau an, sodass die Ziel-Internetadresse zunächst sichtbar ist und man den Vorgang abbrechen kann, falls einem die Adresse verdächtig vorkommt.

Nützliche Anwendungen im Alltag

QR-Codes sind heute äußerst praktisch und effizient, was ihren Siegeszug im Alltag erklärt (ncsc.admin.ch). Man begegnet ihnen in den unterschiedlichsten Bereichen: auf Plakaten, Flyern oder Produktverpackungen, wo sie als Brücke vom echten in das virtuelle Leben dienen. Statt eine lange Webadresse abzutippen, scannt man einfach den Code und gelangt in Sekundenschnelle zur gewünschten Webseite. Unternehmen nutzen das z. B. in der Werbung – ein Scan liefert mehr Infos zum Produkt oder führt direkt zur Bestellseite.

Tickets und Zugangskarten funktionieren inzwischen oft per QR-Code. Ob Bordkarte am Flughafen, Bahn- und Konzertticket oder der Impf- bzw. Testnachweis – all diese enthalten einen QR-Code, der beim Einlass oder Check-In einfach gescannt wird. Für Nutzer ist das bequem, und den Veranstaltern ermöglicht es eine schnelle, automatisierte Prüfung. Reisende können so ihre Tickets digital vorzeigen und verifizierentest.de, ohne Papier zu benötigen.

Bezahlen und Bankgeschäfte sind ein weiteres Feld: In der Schweiz findet man z. B. auf Rechnungen einen QR-Code (die QR-Rechnung), den man mit der Banking-App scannt, um alle Überweisungsdaten automatisch einzulesen – kein mühsames Eintippen von IBAN mehr. Ähnlich wird in anderen Ländern per QR-Code bezahlt, etwa mit Bezahldiensten oder Wallet-Apps im Laden. An Parkscheinautomaten kann man per QR-Code zu einer Bezahlseite gelangen (ncsc.admin.ch), und Restaurants bieten seit der Pandemie oft digitale Speisekarten via QR-Code an Tischaufstellern an. Selbst für den schnellen Austausch von Kontaktinfos oder WLAN-Zugang gibt es QR-Codes: So kann ein Visitenkartencode das lästige Abtippen ersparen, und ein WLAN-QR-Code loggt Gäste mit einem Scan ins Netzwerk ein. Kurzum – QR-Codes sind vielseitige Helfer, die Prozesse beschleunigen und Fehler vermeiden helfen.

Beispiel: Zwei Besucher scannen im J.N. “Ding” Darling National Wildlife Refuge (Florida) einen QR-Code mit dem Smartphone, um vor Ort mehr über die Natur zu erfahren (commons.wikimedia.org). QR-Codes auf Informationstafeln verbinden Ausflügler schnell mit weiterführenden Inhalten, ohne lange Links abtippen zu müssen.

Gefahren, Missbrauch und Verschwörungsmythen

Auch wenn QR-Codes uns den Alltag erleichtern, empfinden manche Menschen sie als unheimlich. Das liegt vor allem daran, dass wir mit bloßem Auge nicht erkennen können, was in einem QR-Code steckt. Wo ein normaler Text oder Link für uns lesbar wäre, sehen wir bei QR-Codes nur ein wirres Muster. Dieses Unwissen schafft Unsicherheit – und bietet Raum für wilde Spekulationen. So ranken sich tatsächlich einige Verschwörungstheorien um Strich- und QR-Codes . Manche selbsternannten „Aufklärer“ behaupten zum Beispiel, QR-Codes seien Werkzeuge einer totalen Überwachung oder ein Bestandteil finsterer Kontrollagenden. Besonders im Zusammenhang mit COVID-Impfzertifikaten und Einlass-Systemen wurde von solcher Seite suggeriert, hinter den Codes stecke ein Plan zur globalen Kontrolle.. Fakt ist jedoch: Ein QR-Code enthält meist nur einen Verweis – etwa auf eine Website oder auf einen verschlüsselten Datensatz – nicht die eigentliche persönliche Information selbst. Die Daten liegen auf dem Server, der durch den Code aufgerufen wird, und Zugriffe lassen sich dort normalerweise nachvollziehen. Mit anderen Worten: Ein QR-Code ist letztlich nur ein Träger von Informationen, kein geheimnisvolles Senderchen.

Andere krude Mythen behaupten gar, QR-Codes seien gesundheitsschädlich oder „strahlten etwas aus“. In esoterischen Kreisen gibt es z. B. Leute, die glauben, das Scannen von Strichcodes oder QR-Codes setze negative Energien oder gefährliche Strahlung frei – und sie versuchen dann, durch Durchstreichen oder Symbole die angebliche Strahlung zu „entstören“ (channelpartner.de). Dafür gibt es keinerlei wissenschaftlichen Beleg. Scanner lesen lediglich Hell-Dunkel-Kontraste – keine Frequenzen, keine Strahlen. Ebenso unbegründet sind Behauptungen, QR-Codes hätten irgendeinen satanischen Hintergrund oder gar außerirdischen Ursprung – all das entbehrt jeder Grundlage und entspringt einer übersteigerten Fantasie.

Ein besonders absurdes Beispiel kursierte während der Pandemie: Da wurde ernsthaft behauptet, geimpfte Menschen hätten unsichtbare QR-Codes unter der Haut und man könne diese per Smartphone auslesen (channelpartner.de). Ein im Netz verbreitetes „Beweisvideo“ dafür war natürlich eine plumpe Fälschung. QR-Codes bestehen aus gedruckten Kontrasten auf Oberflächen, nicht aus irgendwelchen versteckten Implantaten – man kann keinen QR-Code aus einem Arm herausleuchten, das ist technisch unmöglich (channelpartner.de). Solche Geschichten mögen spektakulär klingen, sind aber blanker Unsinn.

Missbrauch ist möglich – der Code an sich bleibt trotzdem neutral

Abgesehen von verrückten Mythen gibt es reale Gefahren im Umgang mit QR-Codes, über die man sachlich Bescheid wissen sollte. Wichtig ist dabei zu verstehen: Nicht der QR-Code selbst ist die Bedrohung, sondern was er beinhalten kann. Ein QR-Code kann zum Beispiel eine Webadresse enthalten – und wie jeder Link im Internet kann diese Adresse auf etwas Schädliches zeigen. Der Code an sich kann Eurem Smartphone keinen Schaden zufügen (test.de). Aber hinter einem QR-Code können sich eben auch Links zu betrügerischen Webseiten verstecken (test.de). Öffnet man eine solche Seite arglos, könnte sie versuchen, Schadsoftware (etwa einen Trojaner) aufs Gerät zu schleusen oder persönliche Daten abzugreifen (test.de). Kurz gesagt: QR-Codes haben keine inhärenten gefährlichen Eigenschaften – wohl aber können sie von Betrügern missbraucht werden, um Sie auf gefährliche Inhalte zu lotsen, genau wie ein manipulativer E-Mail-Link das könnte. Genauso wie ihr also auf gefälschte Email Links hereinfallen können, kann man also auch auf bösartiges Inhalte in QR Codes reinfallen.

Und tatsächlich nutzen Kriminelle diese Methode immer häufiger aus. Das Phänomen wird auch “Quishing” genannt – eine Wortmischung aus QR und Phishing. Betrüger erzeugen eigene QR-Codes, die auf ihre Fallen-Seiten führen, und platzieren sie dort, wo ahnungslose Nutzer sie scannen. Da immer mehr Menschen gegenüber dubiosen E-Mails misstrauisch geworden sind, weichen Betrüger auf QR-Codes aus, die z. B. im öffentlichen Raum aufgehängt oder aufgeklebt werden – das wirkt auf den ersten Blick vertrauenswürdiger (ncsc.admin.ch). Ein typisches Beispiel sind gefälschte QR-Codes an Parkautomaten: Hier kleben Täter einfach einen Aufkleber mit ihrem QR-Code über den echten Code der Parkuhr. Scannt ein Autofahrer diesen, landet er auf einer Phishing-Webseite, die täuschend echt vorgibt, eine Online-Bezahlseite für das Parkticket zu sein. Gibt man dort seine Kreditkartendaten ein, wird sofort ein hoher Betrag abgebucht – und da die echte Parkgebühr nie bezahlt wurde, bekommt man obendrein noch eine Strafgebühr wegen Falschparkens (ncsc.admin.ch). Solche Betrugsmaschen sind perfide, aber mit etwas Wachsamkeit durchschaubar und vermeidbar. In der Schweiz zum Beispiel würde Parkingpay niemals Kreditkartendaten abfragen! Im nächsten Abschnitt daher einige Tipps, wie man QR-Codes sicher nutzt.

Tipps für den sicheren Umgang mit QR-Codes

Wie gezeigt, liegt die potenzielle Gefahr bei QR-Codes in böswilligen Inhalten. Mit den folgenden einfachen Vorsichtsmaßnahmen Könnt Ihr diese Risiken minimieren, ohne auf die nützlichen Vorteile verzichten zu müssen:

• Unbekannte QR-Codes mit Vorsicht behandeln: Scannt nicht wahllos irgendwelche QR-Codes, deren Herkunft unklar ist – zum Beispiel wild im Stadtbild herumklebende Codes. Achtet darauf, ob ein Code vielleicht nur ein Sticker ist, der über einen offiziellen Code geklebt wurde (ncsc.admin.ch)(test.de). Im Zweifel lieber nicht scannen.
• Vorsicht bei QR-Codes auf unverlangt verteilten Flyern oder E-Mails: Wenn Euch auf der Straße Gratis-Gutscheine mit QR-Code in die Hand gedrückt werden oder Ihr per Mail/Chat einen QR-Code erhalten, den Ihr nicht erwartet habt, seid skeptisch. Solche Codes könnten auf Phishing-Seiten führen.
• Nutzt sichere Scanner mit Vorschau: Verwendet eine QR-Code-Scanner-App (oder die Smartphone-Kamera), die zuerst die entschlüsselte Webadresse anzeigt, bevor sie öffnet. So könnt Ihr das Ziel überprüfen. Erscheint eine kryptische Kurz-URL oder eine unbekannte Website, brecht einfach ab. Viele Smartphone-Kameras und gute Scanner-Apps machen dies ohnehin standardmäßig.
• Keine vertraulichen Daten preisgeben: Gebt niemals persönliche Daten, Passwörter oder Zahlungsinformationen auf einer Website ein, die Ihr über einen QR-Code erreicht habt, wenn Ihr der Seite nicht absolut vertraut (ncsc.admin.ch). Seriöse Anwendungen wie Banking nutzen QR-Codes nur zum Datentransport, nicht zum Abfragen sensibler Daten. Fordert eine Seite nach dem Scan z. B. Eure Login-Daten – Alarmzeichen!
• Apps nur aus vertrauenswürdigen Quellen installieren: Manche QR-Codes können auf App-Download-Seiten verweisen. Installiert Apps möglichst nur über offizielle App-Stores und nicht direkt von einer unbekannten QR-Code-Webseite. Andernfalls könntet Ihr Euch Schadsoftware einfangen. Im Zweifel sucht die App selbst im App Store, statt einem unbekannten QR-Link zu folgen.

Fazit

Befolgt man diese Tipps, ist das Risiko durch QR-Codes verschwindend gering. Millionenfach am Tag werden QR-Codes völlig problemlos genutzt – beim Bezahlen, beim Einchecken, beim Abrufen von Infos. Lasst Euch also nicht von unbegründeter Panikmache verunsichern: Ein QR-Code ist erstmal nichts weiter als ein moderner, Barcode. Er kann Euch das Leben vereinfachen, wenn Ihr ihn mit gesundem Menschenverstand einsetzt. Scannt bewusst und achtsam, wie Ihr auch auf einen Link im Internet nur mit Bedacht klicken würdet. Dann sind QR-Codes keine Bedrohung, sondern ein praktischer Helfer in unserer digital vernetzten Welt – schnell, effizient und an sich völlig harmlos.