QR-Codes entschlüsseln: Inhalt erst lesen, nicht scannen

Zwei Situationen sprechen dafür: Sie wollen einen Code scannen, dem Sie nicht vollständig vertrauen, oder Sie wollen einen Code drucken, der anderswo erstellt wurde. Dieselbe Technik hilft in beiden Fällen.

Schritt 1 – Inhalt lesen, statt ihn zu öffnen

Ein QR-Code enthält Text. Ein Scanner entschlüsselt diesen Text und führt die Aktion sofort aus – er öffnet die URL, verbindet sich mit dem WLAN oder startet den Anruf. Ein Decoder entschlüsselt denselben Text und zeigt ihn Ihnen einfach an. Dieser Unterschied ist der gesamte Sicherheitsvorteil.

Fotografieren Sie den Code oder erstellen Sie einen Screenshot und entschlüsseln Sie das Bild mit unserem QR-Leser. Er läuft vollständig in Ihrem Browser: Das Bild wird nie hochgeladen und nichts wird geöffnet. Sie erhalten den Rohinhalt als Text.

Schritt 2 – Ermitteln, um welche Art von Inhalt es sich handelt

QR-Inhalte folgen erkennbaren Formaten. Anhand des Präfixes können Sie sehen, was ein Scanner getan hätte.

Auf unseren Themenseiten wird jedes Format erklärt, wenn Sie sehen möchten, wie ein legitimer Code aufgebaut ist: WLAN, vCard, E-Mail, Telefon, reiner Text.

Schritt 3 – Die Domain beurteilen

Bei einer URL ist die Domain entscheidend – lesen Sie sie von rechts nach links bis zum ersten einzelnen Schrägstrich. In https://pay.cityparking.gov/meter/44 ist die Domain cityparking.gov. In https://cityparking.gov.pay-now.click/meter/44 lautet sie pay-now.click; der erkennbare Teil dient nur als Tarnung.

Ein Hinweis zu Kürzungsdiensten: Wenn Sie den Dienst erkennen, sagt das noch nichts über das Ziel aus. Unit 42 formuliert es direkt: „Selbst sicherheitsbewusste Menschen, die vor dem Scannen die URL-Vorschau prüfen, können bei verkürzten Links das endgültige Ziel nicht feststellen“ – und die drei von ihnen als am häufigsten missbraucht genannten Dienste sind gewöhnliche Weiterleitungsdomains von QR-Generatoren. Ein vertrauter Kürzungsdienst ist kein Sicherheitsbeweis.

Schritt 4 – Die Weiterleitungskette verfolgen

Wenn der Inhalt ein Kurzlink ist und Sie wissen müssen, wo er tatsächlich endet, lösen Sie ihn auf, ohne die Seite zu laden. Über ein Terminal:

Führen Sie curl -sIL "https://short.example/abc" | grep -i "^location:" aus – damit wird jeder Sprung im Location-Header angezeigt, ohne Seiteninhalt auszuführen. Achten Sie darauf, wie viele Sprünge erscheinen: Ein einzelner Sprung zum erwarteten Ziel ist normal, mehrere Sprünge über unabhängige Hosts bedeuten meist Analyse- oder Werbevermittler, von denen jeder die Anfrage sieht. Welche Daten ein QR-Proxy protokolliert erklärt, welche Informationen diese Sprünge erfassen.

Zwei Einschränkungen gibt es. Eine Weiterleitung kann Ihnen ein Ziel und anderen ein anderes anzeigen – abhängig von IP-Adresse, User-Agent oder Zeitpunkt. Ein sauberes Ergebnis beweist also nur, was gerade bei Ihnen passiert ist, nicht, was ein Kunde in einem anderen Land erhält. Außerdem kann das Ziel eines dynamischen Codes jederzeit danach geändert werden. Genau dafür wird diese Funktion angeboten.

Wie prüfen Sie einen Code, der per E-Mail angekommen ist?

Behandeln Sie dies als einen eigenen, gefährlicheren Fall. Das NCSC weist darauf hin, dass QR-Codes in Phishing-E-Mails gezielt eingesetzt werden, weil nicht alle Sicherheitstools Bilder scannen. So kann ein Code einen schädlichen Link an Filtern vorbeischleusen, die denselben Link als Text erkannt hätten – und das Scannen führt Sie auf ein persönliches Smartphone mit schwächerem Schutz als auf Ihrem Arbeitscomputer.

Die Prüfung ist einfach. Speichern Sie das Bild aus der E-Mail, statt es vom Bildschirm zu scannen, entschlüsseln Sie die Datei und lesen Sie die Domain. Tun Sie dies am Computer, nicht am Smartphone, damit Sie das geschützte Gerät nie verlassen. Wenn die Domain nicht exakt zu der Organisation passt, von der die E-Mail angeblich stammt, brechen Sie ab – und kontaktieren Sie die Organisation auf dem üblichen Weg, nicht über etwas aus der Nachricht.

Achten Sie auf Dringlichkeit in Verbindung mit einem Code: ein Lieferproblem, eine Steuernachricht, ein volles Postfach oder ein Konto, das noch heute bestätigt werden müsse. Seriöse Organisationen verlangen nur sehr selten, dass Sie ein gedrucktes Quadrat scannen, um ein dringendes Konto­problem zu lösen. Quishing erklärt die Angriffsmuster vollständig.

Was kann ein Decoder nicht sagen?

Wenn Sie die Grenzen kennen, bleibt die Prüfung aussagekräftig.

• Ob das Ziel sicher ist. Ein Decoder zeigt Ihnen die Adresse, nicht den Inhalt. Auch eine bekannte Domain kann eine manipulierte Seite hosten.
• Was andere erhalten. Eine Weiterleitung kann je nach IP-Adresse, User-Agent oder Tageszeit unterschiedliche Ziele liefern. Ihr sauberes Ergebnis beschreibt nur Ihre Anfrage in diesem Moment.
• Was morgen passiert. Das Ziel eines dynamischen Codes kann jederzeit nach Ihrer Prüfung geändert werden. Genau dafür wird diese Funktion angeboten. Deshalb ist „Ich habe ihn einmal geprüft“ keine dauerhafte Aussage über einen dynamischen Code.
• Ob die gedruckte Kopie mit der Datei übereinstimmt. Überklebte Aufkleber können dazu führen, dass sich das freigegebene Motiv und das Objekt an der Wand unterscheiden. Nur das Entschlüsseln einer physischen Kopie sagt etwas über diese physische Kopie aus.

Die erste und die letzte Einschränkung erklären, warum die geschäftlichen Empfehlungen in diesem Blog immer wieder auf denselben Punkt hinauslaufen: Ein statischer Code auf Ihrer eigenen Domain ist die einzige Lösung, bei der eine einmalige Prüfung dauerhaft gültig bleibt.

Schritt 5 – Eigenes Motiv vor dem Druck prüfen

Das dauert eine Minute und verhindert eine ganze Klasse teurer Probleme.

1. Exportieren Sie das endgültige Motiv genau so, wie es gedruckt werden soll.
2. Entschlüsseln Sie diese Datei – nicht die Datei aus der Vorschau des Generators.
3. Bestätigen Sie, dass der Inhalt die gewünschte URL auf einer Domain ist, die Ihnen gehört.
4. Wenn es ein Kurzlink auf der Domain eines anderen Anbieters ist, drucken Sie ihn nicht. Erstellen Sie stattdessen einen statischen Code.
5. Scannen Sie den Druckproof, sobald er eintrifft, und bestätigen Sie, dass er weiterhin am richtigen Ziel landet.

Wenn ein Code bereits gedruckt ist und diese Prüfung zu spät kommt, erklärt der Leitfaden zur Wiederherstellung nach einer Geiselnahme, welche Möglichkeiten noch bestehen. Wenn er nicht mehr funktioniert und Sie noch nicht wissen, warum, beginnen Sie mit den Gründen, warum Ihr QR-Code nicht mehr funktioniert.

Codes, die Sie hier erstellen, führen beim Entschlüsseln immer genau zu dem, was Sie eingegeben haben: URL-QR-Code. Mehr Kontext finden Sie in der Wahrheit über QR-Code-Betrug.