QR-Speisekarten: Ändern heißt nicht den Code ändern

QR-Codes für Speisekarten wurden 2020 allgegenwärtig und sind geblieben. In den meisten Restaurants wurde der Code einmalig von der Person erstellt, die sich um die Website kümmerte, und seitdem nicht mehr überprüft – wichtig ist das, weil sich dieses Modell besonders in der Gastronomie konzentriert: viele Codes, hohe Scan-Zahlen, langlebige Drucksachen und knappe Margen.

Warum werden Restaurants pro Tisch abgerechnet?

Weil eine Abrechnung pro Code auf ein Geschäft trifft, das viele Codes benötigt. Ein Restaurant mit zwölf Tischaufstellern, einem Fensteraufkleber und einem Aufkleber auf der Tüte zum Mitnehmen hat vierzehn Codes. Bei einem dynamischen Tarif pro Code sind das vierzehn monatliche Positionen – für eine Speisekarte, die früher nur den Preis des Papiers kostete.

Das Abonnement ist hier außerdem ungewöhnlich hartnäckig. Tischaufsteller sind laminiert, Aufkleber kleben fest und Speisekarten werden bestenfalls saisonal neu gedruckt. Ein Neudruck ist ein echtes Projekt, daher bleibt die monatliche Gebühr bequem darunter – genau danach wurde der Preis gewählt. Die echten Kosten eines „kostenlosen“ QR-Codes erklärt diese Rechnung.

Was erfährt der Anbieter über Ihre Gäste?

Jeder Scan ist eine HTTP-Anfrage an den Anbieter, bevor die Speisekarte geladen wird. Ohne Cookies oder Einwilligung erhält der Anbieter die IP-Adresse des Gasts, Zeitstempel, Gerät und Betriebssystem sowie die bevorzugte Sprache – und weil jeder Tischaufsteller einen eigenen Kurzlink hat, auch die Nummer des Tisches.

Zusammengefasst ergibt das ein detailliertes Bild Ihres Betriebs: Gäste pro Stunde, Tischwechselzeiten, welche Tische besonders stark genutzt werden, Unterschiede zwischen Wochentagen und Wochenenden sowie die Sprachen Ihrer Gäste. Das sind wirklich nützliche Betriebsdaten über Ihr Restaurant – erzeugt von Ihren Möbeln und gesammelt von jemand anderem.

Über den gesamten Kundenbestand des Anbieters geht das noch weiter. Derselbe Geräte-Fingerabdruck, der in Restaurants, Geschäften und Veranstaltungsorten einer Stadt wiederkehrt, beschreibt die Bewegungen einer Person. Der Gerichtshof der Europäischen Union stellte in *Breyer* (C-582/14) fest, dass eine von einem Website-Betreiber protokollierte dynamische IP-Adresse personenbezogene Daten sein kann. Deshalb geht es hier um eine Compliance-Frage und nicht um bloße Neugier – und nach der DSGVO liegt die Verantwortung im Allgemeinen bei dem Unternehmen, das den Code eingesetzt hat. Was ein QR-Proxy protokolliert geht ins Detail.

Was geht in der Praxis schief?

Die ersten drei sind derselbe Fehler in unterschiedlicher Verpackung: Die Speisekarte hängt von einem Unternehmen ab, das nicht Ihnen gehört. Der vierte hat nichts mit der Abrechnung zu tun, wird dadurch aber verschärft, weil ein Gast, der daran gewöhnt ist, eine unbekannte Kurzdomain zu sehen, keine Möglichkeit hat, eine bösartige Domain zu erkennen.

Die Einschätzung des NCSC lautet, dass QR-Codes in Kneipen und Restaurants normalerweise sicher sind; deutlich mehr Vorsicht ist bei Codes angebracht, die per E-Mail eintreffen. Das verbleibende physische Risiko ist der darübergeklebte Aufkleber. Die Gegenmaßnahme ist banal: Kontrollieren Sie die Aufsteller.

Wie sieht die feste Variante aus?

Was ist mit Bestell- und Zahlungscodes?

Diese sollten von Speisekarten-Codes getrennt betrachtet werden, weil das Risikoprofil tatsächlich anders ist und die Empfehlungen nicht identisch sind.

Ein Bestell- und Zahlungscode führt einen Gast zu einer Seite, auf der er Kartendaten eingibt. Dadurch verschärft sich jedes Problem in diesem Artikel: Ein darübergeklebter Aufkleber auf einem Zahlungscode führt direkt zu Kartenbetrug statt nur zu einem Ärgernis. Und wer Ihre Domain in der Vorschau nicht erkennen kann, hat keine Möglichkeit, Ihre Kasse von einer überzeugenden Kopie zu unterscheiden. Die Warnung der FTC vor Aufklebern über legitimen Codes zielt in anderen Zusammenhängen genau auf dieses Muster ab; Parkscheinautomaten sind das typische Beispiel.

Daraus folgen zwei Regeln. Erstens sollte ein Zahlungscode immer Ihre eigene Domain oder die echte Domain Ihrer Bestellplattform enthalten – niemals einen allgemeinen Kurzlink, denn dadurch fällt das einzige Prüfsignal weg, das der Gast hat. Zweitens sollten Sie die Domain in lesbarer Schrift neben dem Code abdrucken und die physischen Aufsteller regelmäßig kontrollieren; beides ist günstig und beides sind die einzigen Schutzmaßnahmen, die am Tisch funktionieren.

Wenn Ihre Bestellplattform die Codes ausgibt, dekodieren Sie einen und prüfen Sie, wessen Domain in den Daten steht. Manche Plattformen hinterlegen ihre eigene Domain direkt, was in Ordnung ist. Andere leiten zusätzlich über einen Kurzlink eines Drittanbieters weiter. Dadurch steht eine weitere, nicht vertraglich eingebundene Partei zwischen Ihrem Gast und dem Kartenformular.

Wie wechseln Sie?

1. Dekodieren Sie einen aktuellen Tischaufsteller mit unserem Lesegerät und prüfen Sie, wessen Domain in den Daten steht. Wenn es nicht Ihre ist, nutzen Sie eine gemietete Weiterleitung.
2. Wählen Sie eine stabile URL – yourrestaurant.com/menu – und stellen Sie sicher, dass sie sich nicht ändern wird. Wenn Sie sie später verschieben können möchten, richten Sie den Code auf yourrestaurant.com/m und leiten Sie von dort weiter.
3. Erstellen Sie einen statischen [URL-QR-Code](Url), der diese Adresse enthält.
4. Fügen Sie bei Bedarf eine Nachverfolgung pro Platzierung hinzu: ?src=table, ?src=window, ?src=takeaway. Ihre eigene Analyse liefert Ihnen dann dieselben Zahlen pro Platzierung, die Ihnen das Dashboard verkauft hat.
5. Drucken Sie die URL in lesbarer Schrift neben dem Code ab, damit Gäste die Speisekarte auch ohne Scan erreichen und sehen können, dass der Code Ihnen gehört.
6. Drucken Sie beim nächsten regulären Turnus neu, und kündigen Sie das Abonnement, sobald die alten Aufsteller nicht mehr im Einsatz sind.

Wenn die Codes bereits tot sind und Gäste heute auf einer Upgrade-Seite landen, beschreibt der Leitfaden zur Wiederherstellung gehaltener Codes die nötigen Schritte im Notfall vor dem Neudruck.

Ersetzen Sie den Code jetzt, damit er für den nächsten Drucklauf bereit ist: URL-QR-Code. Hintergrund: die Wahrheit über QR-Code-Betrug.