Die Wahrheit über QR-Code-Betrug: Wie „kostenlose" Generatoren Nutzer abzocken

Irgendwann zwischen 2015 und heute sind QR-Codes von einer japanischen Kuriosität zur globalen Infrastruktur geworden. Sie sind auf Restauranttischen, Museumswänden, Produktverpackungen und Steuerformularen gedruckt. So ziemlich jedes Handy auf der Welt kann sie lesen.

Und darum herum hat sich eine stille Branche gebildet, die auf einer einzigen unehrlichen Prämisse aufbaut: dass ein QR-Code einen Mittelsmann braucht.

Dieser Artikel erklärt den Mechanismus der QR-Code-Abzocke: warum sie funktioniert, wer daran verdient und wie Sie nicht zu einem von Millionen Opfern werden.

Das Muster

Sie tippen „free QR code generator" in Google. Das oberste Ergebnis hat eine freundliche Oberfläche. Sie fügen eine URL ein, passen Farben an, sehen einen schönen QR-Code erscheinen. Sie klicken auf „Herunterladen".

Jetzt passiert eines von drei Dingen:

1. Sie werden gebeten, ein Konto zu erstellen — „nur um herunterzuladen"
2. Man sagt Ihnen, die kostenlose Version produziere eine niedrig aufgelöste oder mit Wasserzeichen versehene Datei, und der „Premium"-Download sei kostenpflichtig
3. Sie bekommen einen sauberen Download — und nichts warnt Sie davor, dass der gerade gespeicherte QR-Code über die Server des Generators läuft

Fall 3 ist der heimtückischste. Der Nutzer verlässt die Seite im Glauben, einen funktionierenden QR-Code zu haben. Druckt ihn auf Visitenkarten, Restaurantmenüs, Veranstaltungsbeschilderung, Produktetiketten. Tausende Kopien gehen in Umlauf. Und wochen-, monate-, manchmal jahrelang funktionieren die Codes einwandfrei.

Dann — eines Tages, still — hören sie auf. Weil die Firma entschieden hat, dass es Zeit zur Monetarisierung ist.

Was tatsächlich in einem QR-Code steckt

Ein QR-Code ist ein Muster aus schwarzen und weißen Quadraten, das Binärdaten kodiert. Scanner dekodieren das Muster und geben das Ergebnis an das Betriebssystem weiter, das es als URL, Text, WLAN-Zugangsdaten oder anderes interpretiert.

Der entscheidende Punkt: der QR-Code ist die Daten. Es gibt keinen Server. Keine Anfrage. Sobald ein QR-Code gedruckt ist, kann niemand mehr ändern, was darin steht.

Ein statischer URL QR-Code für https://example.com/menu enthält buchstäblich die ASCII-Bytes dieser URL. Wenn irgendjemand ihn scannt, irgendwo auf der Welt, für immer, wird er genau zu dieser URL geleitet. Niemand kann sie abschalten. Niemand kann sie ändern. Niemand kann verfolgen, wer scannt.

So wurden QR-Codes entworfen, und deshalb sind sie zur universellen Infrastruktur geworden.

Der Umweg

Dynamische QR-Codes brechen dieses Design. Statt der echten URL kodieren sie eine kurze Weiterleitungs-URL auf dem Server des QR-Anbieters — etwa https://short.qr-co/abc123.

Beim Scannen ruft der Scanner short.qr-co/abc123 auf. Der Server des Anbieters schlägt abc123 in einer Datenbank nach, findet das echte Ziel und sendet eine HTTP-Weiterleitung. Der Scanner folgt der Weiterleitung und erreicht die richtige Seite.

Aus Nutzersicht — identisch. Aus Sicht des QR-Anbieters — eine Goldgrube:

• Jeder Scan erzeugt einen Servereintrag: Zeitstempel, IP, User-Agent, manchmal Standort
• Die Ziel-URL kann jederzeit geändert werden, ohne neu zu drucken
• Der Code kann deaktiviert, gelöscht oder vom Anbieter als Geisel gehalten werden
• Scan-Daten lassen sich weiterverkaufen
• Am wichtigsten: der Anbieter kann Miete kassieren

Die Mechanik zeigen wir ausführlicher in QR-Code-Redirect-Hijacking.

Wie sie Geld machen

Das Modell der dynamischen QR-Codes ermöglicht vier verschiedene Abzockstrategien:

Abonnement

Der QR-Code funktioniert, solange Sie monatlich zahlen. Zahlen Sie nicht mehr, deaktiviert der Anbieter die Weiterleitung — jede gedruckte Kopie wird zu totem Ballast. Das wird ausdrücklich als Feature vermarktet („Scans verfolgen! QR-Code jederzeit bearbeiten!"), aber das Geschäft ist der Lock-in-Effekt. Ausführliche Analyse in Die Abo-Falle bei QR-Codes.

Testphase als Falle

Kostenlose Nutzer bekommen einen „Test"-QR-Code. Er funktioniert 14 Tage, 30 Tage, manchmal länger. Bis er abläuft, ist er schon im Umlauf. Um ihn am Leben zu halten, muss der Nutzer jetzt zahlen. Aus einem kostenlosen Tool wird still eine laufende Ausgabe.

Paywall beim Download

Code kostenlos generieren. Für hochauflösenden Download zahlen. Für das Entfernen von Wasserzeichen mehr zahlen. Für SVG mehr. Für „Premium"-Muster mehr. Nichts davon spiegelt echte Kosten wider — ein QR-Code ist eine 100-Byte-Berechnung — aber jeder Reibungspunkt wandelt einen Teil der Nutzer in zahlende Kunden um.

Erzwungene Registrierung

Der QR ist kostenlos und statisch, aber zum Download müssen Sie sich registrieren. Jetzt haben sie Ihre E-Mail, und das Produkt verschiebt sich auf Upsell-Mails, Lead-Nurturing und angrenzende Dienste.

Alle vier Strategien beruhen auf demselben Trick: Der Nutzer weiß nicht, dass QR-Codes fast nichts in der Herstellung kosten. Die meisten nehmen an, es müsse einen Grund für die Gebühr geben. Gibt es nicht.

Der reale Schaden

Das ist nicht hypothetisch. Das Muster hat sichtbare Folgen:

• Restaurants, deren gedruckte Menü-QRs nach einer Richtlinienänderung des Anbieters plötzlich nicht mehr funktionieren
• Veranstalter, die mit Stapeln von Werbematerial zurückbleiben, das auf eine tote Weiterleitung zeigt
• Kleinbetriebe, deren Visitenkarten mitten in einer Kampagne ungültig werden
• Gemeinnützige Organisationen mit Spenden-QRs, die bei Aboverlust ausfallen
• Kirchen, Museen, Schulen — alle ohne eigene IT-Abteilung — die nutzlose Druckerzeugnisse in den Händen halten

In den meisten Fällen versteht das Opfer nie, was passiert ist. Man nimmt an, QR-Codes seien schon immer zerbrechlich gewesen, oder man selbst habe etwas falsch gemacht. Das Geschäftsmodell des Anbieters lebt von dieser Verwirrung. Wenn Ihr Code nicht mehr funktioniert, lesen Sie Warum Ihr QR-Code nicht mehr funktioniert.

Warum das weiterhin klappt

Mehrere Faktoren machen die QR-Code-Abzocke ungewöhnlich wirksam:

Das Wort „QR" ist für die meisten eine Blackbox. Für den durchschnittlichen Nutzer ist ein QR-Code eine schwarz-weiße Kiste, die Links magisch öffnet. Sie wissen nicht, dass es einen Unterschied zwischen statisch und dynamisch gibt — die Oberfläche des Generators sagt es ihnen nie. Wir haben einen vollständigen Vergleich geschrieben, um das zu ändern.

Der Schaden ist zeitverzögert. Wenn ein dynamischer QR-Code kaputtgeht, hat das Opfer meist längst vergessen, welcher Dienst ihn erstellt hat. Erneut herunterladen, nachdrucken oder wiederherstellen — alles schwierig.

Der Schaden ist still. Ein kaputter QR-Code stürzt nicht ab. Er funktioniert einfach nicht — sieht aus wie ein gewöhnliches Scan-Problem. Die meisten Nutzer geben ihrem Telefon die Schuld.

Die Suchergebnisse bevorzugen die Räuber. Unternehmen mit Umsatz geben ihn für SEO, Anzeigen und Content-Farmen aus. Ehrliche Static-QR-Werkzeuge ranken selten darüber. Ergebnis: Suchen nach „free QR code generator" führen überwiegend zu Produkten, die standardmäßig dynamisch sind.

Wie man einen räuberischen QR-Dienst erkennt

Bevor Sie irgendeinen QR-Generator nutzen, prüfen Sie diese Signale:

1. Verlangt er ein Konto? Ein statischer QR-Generator braucht keines — eine URL in ein Muster zu kodieren ist reine clientseitige Mathematik. Jede Registrierungspflicht ist ein Abzockschema.
2. Bietet er „Tracking" oder „Analytics"? Funktionen, die Scans zählen, beweisen, dass der Code dynamisch ist. Ein statischer QR-Code kann nichts verfolgen.
3. Gibt es einen „Tarif" oder ein „Abo"? QR-Kodierung kostet praktisch nichts. Ein Abo-Preis ergibt nur Sinn, wenn der Dienst Ihren Code als Geisel hält.
4. Nennt die Preisseite „Ablaufdatum", „Scan-Limit" oder „bearbeitbare QR-Codes"? All das impliziert dynamische Codes auf den Servern des Anbieters.
5. Sieht die Vorschau-URL aus wie `qrco.de/xyz`? Das ist eine Weiterleitungs-URL — Sie erstellen einen dynamischen Code.
6. Hat die Seite viel Werbung oder Tracking-Skripte? Kostenlose Dienste mit Überwachung extrahieren Wert auf anderem Weg.

Die vollständige Liste steht in 5 rote Flaggen, dass Ihr QR-Generator eine Falle ist.

Wie ehrliche statische QR-Codes aussehen

Ein statischer QR-Generator nimmt Ihren Inhalt, kodiert ihn direkt in das QR-Muster und händigt Ihnen eine Datei aus. Das ist alles. Keine Weiterleitung, kein Tracking, kein Konto, kein Abo, kein Ablauf.

Diese Seite ist so eine. Alles passiert in Ihrem Browser — unser Server sieht nie, was Sie kodieren. Sie können das im Netzwerk-Tab Ihres Browsers prüfen: Beim Erstellen eines QR-Codes hier verlassen keine Daten Ihr Gerät.

Sie können auch prüfen, was im QR-Code steckt. Scannen Sie einen hier erzeugten QR mit unserem Scanner und bestätigen Sie, dass der dekodierte Inhalt genau Ihrer Eingabe entspricht — keine Wrapper-URL, keine Kurz-Link, keine Weiterleitung.

Warum wir das gebaut haben

Wir wurden müde zuzusehen, wie wohlmeinende Leute — Kleinunternehmer, Ehrenamtliche, Künstler, Lehrer — in QR-Fallen tappen. Die Werkzeuge, die zu helfen behaupteten, ernteten im Hintergrund ihre Daten, ihr Druckbudget und ihre künftigen Abo-Zahlungen.

Also haben wir das Gegenteil davon gebaut.

Dieser Generator ist kostenlos, weil QR-Code-Erstellung kostenlos ist. Wir verlangen nichts, weil es nichts zu verlangen gibt. Wir sammeln keine Daten, weil es nichts zu sammeln gibt — Ihr QR-Inhalt verlässt nie den Browser. Wir bieten kein Tracking, weil Tracking bedeuten würde, Ihren QR-Code in Eigentum eines anderen zu verwandeln.

Unsere QR-Codes sind statisch. Sie gehören Ihnen. Sie laufen nie ab. Sie können nicht deaktiviert werden. Geht unsere Seite morgen vom Netz, funktioniert jeder hier je erstellte QR-Code weiter.

Was Sie tun können

1. Nutzen Sie für gedruckte Materialien nie dynamische QR-Codes. Wenn Nachdrucken teuer ist, ist statisch die einzige sichere Wahl.
2. Wenn Sie bereits dynamische Codes gedruckt haben, behandeln Sie sie als kurzfristig. Rechnen Sie damit, dass sie kaputtgehen. Halten Sie die Original-Ziel-URL bereit, um später statisch neu zu erzeugen.
3. Erzählen Sie es weiter. Die meisten nicht-technischen Nutzer ahnen nicht, dass es diese Masche gibt. Eine kurze Erklärung zu statisch vs. dynamisch spart ihnen jahrelange Abo-Gebühren.
4. Erzeugen Sie den nächsten QR-Code statisch. Beginnen Sie mit unseren Generatoren: URL, WLAN, vCard, E-Mail, Telefon oder Text.

QR-Codes sind grundlegende Infrastruktur. Sie sollten sich auch wie grundlegende Infrastruktur verhalten — vorhersehbar, dauerhaft und im Besitz dessen, der sie erstellt.

Wir haben diese Seite gebaut, damit sie zumindest an einem Ort im Internet noch so funktionieren.