Um die Sicherheit eines QR-Codes zu prüfen, sollten Sie vor dem Öffnen die URL-Vorschau Ihrer Kamera-App analysieren. Achten Sie auf die korrekte Schreibweise der Domain und meiden Sie verdächtige Link-Verkürzer. Prüfen Sie zudem den physischen Kontext des Codes: Ein überklebter QR-Code an einer öffentlichen Stelle ist ein deutliches Warnsignal.
Was macht QR-Codes potenziell gefährlich?
Ein QR-Code an sich ist nicht gefährlich. Er ist lediglich ein zweidimensionaler Barcode, der Daten speichert – meistens eine Webadresse (URL). Die eigentliche Gefahr liegt nicht im Code selbst, sondern in dem Ziel, zu dem er Sie führt. Kriminelle nutzen die einfache und schnelle Anwendbarkeit von QR-Codes, um Nutzer auf schädliche Webseiten zu locken.
Die Hauptrisiken lassen sich in drei Kategorien einteilen:
- Phishing (Qishing): Der Begriff „Qishing“ setzt sich aus „QR-Code“ und „Phishing“ zusammen. Dabei werden Sie auf eine gefälschte Webseite geleitet, die einer bekannten Seite (z. B. Ihrer Bank oder einem Online-Shop) täuschend echt nachempfunden ist. Dort werden Sie aufgefordert, vertrauliche Daten wie Passwörter oder Kreditkarteninformationen einzugeben.
- Malware-Verbreitung: Der QR-Code kann zu einer Webseite führen, die unbemerkt Schadsoftware (Malware, Viren, Trojaner) auf Ihrem Smartphone oder Tablet installiert. Diese Software kann Daten ausspähen, Ihr Gerät sperren oder es für kriminelle Aktivitäten missbrauchen.
- Unerwünschte Aktionen: QR-Codes können auch so konfiguriert sein, dass sie direkt Aktionen auf Ihrem Gerät auslösen, ohne eine Webseite zu öffnen. Dazu gehören das Hinzufügen eines Kontakts, das Einwählen in ein unsicheres WLAN-Netzwerk oder das Versenden einer E-Mail oder SMS.
Checkliste: Einen QR-Code auf Sicherheit prüfen
Mit einer systematischen Prüfung können Sie das Risiko, Opfer eines Betrugs zu werden, erheblich minimieren. Gehen Sie die folgenden Schritte durch, bevor Sie einen Link aus einem QR-Code öffnen.
- Physischen Kontext bewerten: Wo befindet sich der QR-Code? Auf einem offiziellen Produkt, einem versiegelten Brief eines bekannten Unternehmens oder in einem seriösen Geschäft ist das Risiko gering. Seien Sie jedoch extrem vorsichtig bei QR-Codes auf Aufklebern, die an öffentlichen Orten wie Geldautomaten, Bushaltestellen oder über bestehende Plakate geklebt wurden. Kriminelle manipulieren oft legitime Aushänge durch solche „Sticker-Attacken“. Prüfen Sie, ob der Aufkleber frisch aussieht oder sich leicht ablösen lässt.
- URL-Vorschau nutzen: Dies ist der wichtigste Schritt. Nahezu alle modernen Smartphone-Kameras zeigen eine Vorschau der Ziel-URL an, wenn sie einen QR-Code erfassen. Nehmen Sie sich einen Moment Zeit, diese Vorschau zu lesen, bevor Sie darauf tippen und den Link öffnen.
- Ziel-URL genau analysieren: Die Vorschau allein reicht nicht aus. Sie müssen den angezeigten Link kritisch prüfen.
Domain-Namen prüfen
Achten Sie auf die exakte Schreibweise der Domain. Betrüger verwenden oft Techniken wie Typosquatting, bei denen sie kaum wahrnehmbare Tippfehler einbauen (z. B. „qrova.oi“ statt „qrova.io“). Prüfen Sie auch, ob der erwartete Markenname wirklich die Hauptdomain ist und nicht nur eine Subdomain (z. B. „ihrebank.sicherheits-check.com“ ist verdächtig, „sicherheits-check.ihrebank.com“ könnte legitim sein). Im Zweifel ist es sicherer, die Adresse manuell in den Browser einzutippen.
Vorsicht bei Link-Verkürzern
Dienste wie bit.ly oder t.ly verkürzen lange URLs. Sie sind nicht per se unsicher, aber sie verschleiern das tatsächliche Ziel. Wenn ein QR-Code zu einem solchen verkürzten Link führt, ist besondere Vorsicht geboten, da Sie nicht sofort sehen können, wohin die Reise geht. Wenn möglich, vermeiden Sie das Öffnen solcher Links aus unbekannten Quellen.
Auf HTTPS achten
Eine seriöse Webseite, die Daten abfragt, sollte immer über eine verschlüsselte Verbindung (HTTPS) laufen. Achten Sie auf das „https://“ am Anfang der URL. Moderne Browser zeigen dies auch durch ein Schlosssymbol an. Das Fehlen von HTTPS ist ein starkes Warnsignal, insbesondere wenn es um Logins oder Zahlungen geht.
- Unerwartete Aktionen hinterfragen: Wenn das Scannen eines QR-Codes sofort einen Download startet, Sie zur Installation einer App auffordert (insbesondere außerhalb der offiziellen App-Stores) oder Sie direkt zur Eingabe eines Passworts auffordert, brechen Sie den Vorgang sofort ab.
- Spezielle Scanner-Apps verwenden (optional): Es gibt QR-Code-Scanner-Apps, die über integrierte Sicherheitsfunktionen verfügen. Sie prüfen die Ziel-URL gegen bekannte Datenbanken mit bösartigen Webseiten und warnen Sie, bevor der Link geöffnet wird. Dies kann eine zusätzliche Sicherheitsebene darstellen.
Rechnungen und Belege ohne Tabellenchaos
QROVA erstellt Rechnungen nach § 14 UStG, erfasst Belege und führt die EÜR – speziell für Kleinunternehmer nach § 19 UStG.
Typische Betrugsmaschen mit QR-Codes im Detail
Um die Gefahr besser einschätzen zu können, helfen konkrete Beispiele aus der Praxis:
| Betrugsmasche | Beschreibung |
|---|---|
| Gefälschte Parktickets | Ein QR-Code auf einem gefälschten Strafzettel am Auto führt zu einer Phishing-Seite, auf der das angebliche Bußgeld direkt bezahlt werden soll. Die Betrüger fangen so Kreditkartendaten ab. |
| Manipulierte E-Scooter | Kriminelle überkleben den originalen QR-Code zum Freischalten eines E-Scooters mit einem eigenen. Der Nutzer wird auf eine gefälschte Bezahlseite geleitet, während der Scooter gesperrt bleibt. |
| Falsche Spendenaufrufe | Bei öffentlichen Veranstaltungen oder auf gefälschten Flyern werden QR-Codes für angebliche wohltätige Zwecke platziert, die direkt zu den Konten von Betrügern führen. |
| Öffentliches WLAN-Phishing | Ein QR-Code in einem Café oder am Flughafen verspricht kostenlosen WLAN-Zugang. Stattdessen wird eine Verbindung zu einem unsicheren Netzwerk hergestellt oder eine Phishing-Seite geöffnet, die Zugangsdaten abgreift. |
Was tun, wenn ein gefährlicher Code gescannt wurde?
Sollten Sie den Verdacht haben, einen schädlichen Link geöffnet zu haben, handeln Sie schnell:
- Verbindung trennen: Aktivieren Sie sofort den Flugmodus Ihres Geräts, um jegliche Kommunikation zu unterbinden.
- Browser-Daten löschen: Löschen Sie den Cache, die Cookies und den Verlauf Ihres Webbrowsers, um Spuren der schädlichen Seite zu entfernen.
- Keine Daten eingeben: Falls noch nicht geschehen, geben Sie unter keinen Umständen persönliche Informationen oder Passwörter ein. Schließen Sie die Seite sofort.
- Gerät überprüfen: Führen Sie einen Scan mit einer vertrauenswürdigen Antiviren-App durch, um mögliche Malware zu finden und zu entfernen.
- Passwörter ändern: Wenn Sie auf der verdächtigen Seite ein Passwort eingegeben haben, ändern Sie dieses umgehend bei dem betreffenden Dienst und bei allen anderen Diensten, bei denen Sie dasselbe Passwort verwenden.
Sichere QR-Codes für Ihr Unternehmen mit qrova.io erstellen
Als Unternehmerin oder Unternehmer tragen Sie die Verantwortung dafür, dass die von Ihnen verwendeten QR-Codes sicher sind. Vertrauen ist ein hohes Gut. Ein unsicherer Code kann nicht nur Ihre Kunden gefährden, sondern auch Ihrem Ruf schaden.
Die Verwendung eines professionellen Tools wie qrova.io bietet hier entscheidende Vorteile. Mit qrova.io erstellen Sie dynamische QR-Codes. Das bedeutet, Sie können die Ziel-URL des QR-Codes jederzeit nachträglich ändern, ohne den Code selbst neu drucken zu müssen. Sollte eine verlinkte Seite kompromittiert werden oder sich eine URL ändern, können Sie sofort reagieren und den Code auf ein sicheres Ziel umleiten. Zudem bietet qrova.io als deutsches Unternehmen mit Serverstandort in Deutschland DSGVO-konforme Lösungen an, was für das Vertrauen Ihrer Kunden unerlässlich ist.
Dieser Beitrag ersetzt keine steuerliche oder rechtliche Beratung. Er gibt den Stand August 2026 wieder. Für verbindliche Auskünfte wenden Sie sich bitte an eine Steuerberaterin oder einen Steuerberater.
Passend dazu
- DSGVO-konformes Tracking Ihrer QR-Codes
- Vorteile dynamischer QR-Codes
- sicheres QR-Code-Marketing für Ihr Unternehmen
Häufige Fragen
Sind QR-Codes grundsätzlich unsicher?
Nein, der QR-Code selbst ist nur ein Datenträger, ähnlich einem Barcode. Die potenzielle Gefahr geht vom Ziel aus, auf das der Code verweist, zum Beispiel eine bösartige Webseite. Das Scannen an sich ist unbedenklich; erst das Öffnen des Links kann ein Risiko darstellen. Eine kritische Prüfung des Links vor dem Öffnen ist daher entscheidend.
Was genau ist Qishing?
Qishing ist eine Form des Phishings, bei der QR-Codes als Medium genutzt werden. Angreifer leiten Nutzer durch das Scannen eines Codes auf gefälschte Webseiten, um dort sensible Daten wie Anmeldeinformationen oder Finanzdaten zu stehlen. Der Name setzt sich aus den Wörtern ‚QR-Code‘ und ‚Phishing‘ zusammen.
Kann mein Handy allein durch das Scannen eines QR-Codes infiziert werden?
Das reine Scannen eines QR-Codes mit der Kamera-App infiziert Ihr Gerät in der Regel nicht. Die Gefahr entsteht erst durch Ihre nachfolgende Aktion: das aktive Tippen auf den angezeigten Link und das Besuchen der Ziel-Webseite. Dort könnten Sie zur Installation von Malware verleitet werden oder auf einer Phishing-Seite landen.
Woran erkenne ich einen manipulierten QR-Code-Sticker?
Achten Sie auf physische Anzeichen. Ein manipulierter Code ist oft ein Aufkleber, der über einen originalen Code geklebt wurde. Prüfen Sie die Ränder des Codes auf Unebenheiten oder Anzeichen eines Stickers. Auch eine schlechtere Druckqualität, eine andere Papierart oder eine unlogische Platzierung können Hinweise auf eine Fälschung sein.
Dynamischer QR-Code mit Tracking
Ziel jederzeit ändern, Scans auswerten, DSGVO-konform aus Deutschland.
