QR-Scanprotokolle: Daten beim Anbieter, Risiko bei Ihnen

Diese Asymmetrie wurde fast niemandem erklärt, der einen QR-Code einsetzt. Genau deshalb geht es hier um Compliance und nicht um eine bloße Kuriosität. Wenn ein Anbieter „Scan-Analysen“ bewirbt, drehen Sie die Perspektive um: Analysen sind nur möglich, weil jeder Scan über seine Infrastruktur geleitet wird. Das Tracking wird nicht nachträglich an die Weiterleitung angebaut – die Weiterleitung existiert, damit Tracking möglich ist.

Was passiert, wenn jemand einen statischen Code scannt?

Für Dritte: nichts. Das ist der Ausgangspunkt und macht den Unterschied greifbar.

Ein statischer QR-Code enthält Ihr Ziel als wörtliche Bytes im Muster. Die Kamera dekodiert es lokal auf dem Smartphone und übergibt die URL an den Browser. Der Browser verbindet sich anschließend mit Ihrem Server. Es gibt keinen Zwischenstopp, keinen Dritten und keine Möglichkeit für andere außer Ihnen zu erfahren, dass der Scan stattgefunden hat.

Das ist keine Funktion, die jemand zum Schutz der Privatsphäre entworfen hat. Es ist eine Folge davon, dass das Format nur das tut, was es vorgibt zu tun – siehe statisch oder dynamisch.

Was erreicht den Proxy ohne zusätzlichen Aufwand?

Ein dynamischer Code enthält etwa https://qr-short.example/a1B2c3. Das Smartphone verbindet sich zuerst mit diesem Host; erst nachdem der Anbieter geantwortet hat, erfährt der Browser das tatsächliche Ziel. Diese Verbindung ist eine gewöhnliche Webanfrage. Daher erhält der Anbieter alles, was eine gewöhnliche Webanfrage übermittelt – bevor ein Einwilligungsbanner erscheint, bevor eine Datenschutzerklärung angezeigt wird und bevor die scannende Person weiß, wessen Server sie kontaktiert hat.

Was fügt der Weiterleitungsschritt hinzu?

Da der Anbieter die Antwort kontrolliert, ist er nicht auf passives Protokollieren beschränkt. Ein Weiterleitungsstopp ist ein Ort zum *Handeln*:

• Ein Cookie auf der eigenen Domain setzen, bevor weitergeleitet wird. Jeder Code dieses Anbieters – auf jedem Plakat und von jedem Unternehmen – kann nun demselben Gerät zugeordnet werden.
• Tracking-Parameter an die Ziel-URL anhängen, sodass die Kennungen des Anbieters in Ihre Analysen gelangen.
• Eine Zwischenseite ausliefern statt sofort weiterzuleiten. Darauf läuft JavaScript und ermöglicht Fingerprinting über Canvas und Schriftarten, die Erfassung von Bildschirmmaßen, Zeitzone und Hardwaremerkmalen.
• Über weitere Zwischenstationen weiterleiten, auch über Werbe- oder Attributionspartner, die jeweils die gesamte Erfassung wiederholen.

Der letzte Punkt ist am wenigsten sichtbar und am folgenreichsten. Wenn Sie einer Weiterleitungskette von einem QR-Kurzlink folgen, werden zwischen Scan und Ziel manchmal mehrere Hosts sichtbar – so prüfen Sie, wohin ein QR-Code wirklich führt.

Wie viele Parteien sind tatsächlich an der Kette beteiligt?

Oft mehr als eine. Der Anbieter ist die erste Station, aber die von ihm zurückgegebene Antwort kann vor Ihrer Website auf einen weiteren Host verweisen, der wiederum auf einen dritten verweisen kann.

Das ist keine hypothetische Möglichkeit. Palo Altos Unit 42 verzeichnete einen Anstieg des Datenverkehrs über QR-Kürzungsdienste um 55 % vom ersten Halbjahr 2023 bis zum ersten Halbjahr 2024 und weitere 44 % bis zum ersten Halbjahr 2025 – eine vollständige Weiterleitungsebene, die es im Web vor QR-Codes nicht gab und die nun zwischen physischen Objekten und den beworbenen Websites sitzt. Jede Station ist eine unabhängige Partei, die eine vollständige HTTP-Anfrage erhält.

Sie können Ihre eigene Gefährdung messen. Führen Sie curl -sIL "https://short.example/abc" | grep -i "^location:" für den Kurzlink in Ihrem gedruckten Code aus. Jede Location-Zeile steht für eine Organisation, die jeden Scan sieht. Ist die Anzahl höher als eins, werden Ihre Scandaten mit Parteien geteilt, mit denen Sie nie einen Vertrag geschlossen haben und die Sie nicht benennen können. So prüfen Sie, wohin ein QR-Code wirklich führt erklärt, wie Sie die Ausgabe lesen.

Wie werden einzelne Datensätze zu einem Profil?

Einzeln betrachtet ist jedes Feld unspektakulär. Werden die Daten jedoch bei einem Anbieter zusammengeführt, der Codes für Tausende Unternehmen betreibt, entsteht etwas völlig anderes.

Ein Anbieter, dessen Codes auf Restauranttischen, in Verkaufsregalen, auf Veranstaltungsausweisen und an Parkuhren erscheinen, kann bei einem wiederkehrenden Geräte-Fingerprint beobachten: wohin das Gerät geht und wie oft, da jeder Code mit einem physischen Ort verbunden ist; die Abfolge und der zeitliche Ablauf dieser Besuche, wodurch Routinen und Arbeitswege sichtbar werden; ungefähre Wohn- und Arbeitsgebiete anhand vorhersehbarer Zeiten; und mit welchen Unternehmen das Gerät interagiert – auch über Firmen hinweg, die keinerlei Beziehung zueinander haben.

Kein einzelnes Unternehmen hat ein Netzwerk zur Standortverfolgung eingerichtet. Der Anbieter hat es aus den Drucksachen aller anderen zusammengestellt – und jedes Unternehmen hat dafür bezahlt, seinen eigenen Abschnitt dieses Sensornetzes zu drucken.

Wer ist rechtlich verantwortlich – Sie oder der Anbieter?

Wer einen Speisekartencode scannt, stimmt zu, sich eine Speisekarte anzusehen. Die Person stimmt nicht wissentlich zu, ein Analyseunternehmen von außerhalb zu kontaktieren, und kann auch nicht erkennen, dass sie dies getan hat: Das gedruckte Quadrat enthält keinen Hinweis darauf, auf welchen Host es verweist.

Das ist ein Problem für das Unternehmen, das den Code eingesetzt hat, und nicht nur für die scannende Person. Der Gerichtshof der Europäischen Union entschied in *Breyer* (C-582/14), dass eine von einem Websitebetreiber protokollierte dynamische IP-Adresse personenbezogene Daten darstellen kann, weil die Identifizierung einer Person genügt – ihr Name ist nicht erforderlich. Nach der DSGVO ist im Allgemeinen die Partei, die den Code gedruckt und ihre Kunden über einen Auftragsverarbeiter geleitet hat, für eine Rechtsgrundlage, eine Information und meist auch einen Vertrag zur Auftragsverarbeitung verantwortlich.

Dies sind allgemeine Informationen und keine Rechtsberatung; die Einzelheiten hängen von der Rechtsordnung und davon ab, was der Anbieter tatsächlich tut. Aber beachten Sie die Struktur: Der Anbieter erhält die Daten, und das Unternehmen, das den Code gedruckt hat, trägt das Risiko. Diese Asymmetrie gehört zu den am wenigsten besprochenen Kosten von „kostenlos“.

Wo landen die Daten?

1. Übernahme. Scanprotokolle sind ein Vermögenswert. Wird ein Anbieter übernommen, werden die Protokolle übertragen – nach den Richtlinien, die dann für den Käufer gelten.
2. Insolvenz. Wenn ein Anbieter ausfällt, gehören seine Daten zur Insolvenzmasse – und genau dann funktionieren auch Ihre gedruckten Codes nicht mehr. Siehe warum QR-Codes nicht mehr funktionieren.
3. Datenpanne. An Geräte-Fingerprints gekoppelte Standort- und Zeitdaten sind für Angreifer attraktiv und lassen sich nach einer Offenlegung praktisch nicht mehr unschädlich machen.

Nichts davon setzt voraus, dass heute jemand böswillig handelt. Es ist schlicht das, was im Lauf der Zeit mit einem Datensatz geschieht.

Wie messen Sie eine Kampagne ohne Vermittler?

Es ist völlig vernünftig wissen zu wollen, ob eine Kampagne funktioniert hat. Dafür brauchen Sie keinen Dritten.

Drucken Sie einen statischen QR-Code, der eine URL auf Ihrer eigenen Domain mit Ihrem eigenen Kampagnenparameter enthält: https://yourcompany.com/menu?src=table-tent. Ihr Server protokolliert den Zugriff. Ihre Analyse zählt ihn. Niemand sonst befindet sich auf dem Weg, die scannende Person kontaktiert nur das Unternehmen, das sie erreichen wollte, und der Code funktioniert unabhängig vom Zahlungsstatus irgendeines Anbieters.

Verwenden Sie für jede Platzierung einen anderen Pfad oder Parameter, erhalten Sie eine Zuordnung pro Plakat – dieselbe Genauigkeit, die Ihnen das Dashboard verkauft hat, ohne Ihre Kunden einem Fremden zu überlassen. QR-Codes dauerhaft selbst besitzen erklärt die Einrichtung.

Nichts, was Sie hier erstellen, kontaktiert einen Server – Codes werden in Ihrem Browser erzeugt, und wir protokollieren keine Scans, weil wir nie auf dem Übertragungsweg liegen. Beginnen Sie mit einem URL-QR-Code, oder lesen Sie die Wahrheit über QR-Code-Betrug, um das Gesamtbild zu verstehen.