FBI warnt vor gefährlichen QR-Codes

An Orten einchecken, Testergebnisse abrufen, Zertifikate einlesen: Spätestens mit der Corona-Pandemie haben sich die Menschen weltweit an QR-Codes gewöhnt. Das machen sich auch Kriminelle zunutze. Nun warnt das FBI.

Egal, ob digital oder auf Papier: Beim Scannen und Nutzen von QR-Codes darf das Vertrauen nicht grenzenlos sein. Denn die quadratischen Pixelcodes können grundsätzlich auch manipuliert werden oder bereits mit betrügerischen Absichten erstellt worden sein, warnt die US-Strafverfolgungsbehörde FBI.

Cyberkriminelle versuchten etwa, ihre Opfer mithilfe von QR-Codes auf gefälschte Websites zu lotsen. Dort werden dann etwa Anmeldedaten für Dienste und Konten sowie sensible Finanzinformationen gestohlen oder Zahlungen, etwa Kryptogeld-Transaktionen, umgeleitet.

Ebenso kann es sein, dass QR-Codes den Download und die Installation von Schadsoftware anstoßen, über die die Täter Zugang zum Gerät und den Daten der Nutzerin oder des Nutzers erhalten.

Damit man nicht in eine QR-Code-Falle tappt, gibt das FBI folgende Tipps:

• Beim Scannen eines Codes prüfen, dass sich tatsächlich die erwartete Website öffnet und diese auch authentisch ist: Die Adresse muss richtig sein und darf nicht etwa Tippfehler oder falsche Buchstaben enthalten.
• Geht es auf einer Website um die Eingabe von Log-in-Daten, persönlichen Informationen oder Daten, die Geld- und Finanzgeschäfte betreffen, sollte man besonders kritisch sein, wenn die Seite über einen QR-Code aufgerufen wurde.
• Möglichst keine Zahlungen auf Websites vornehmen, auf die man über einen QR-Code gelangt ist. Stattdessen besser die jeweilige (bekannte und vertraute) Internetadresse von Hand eingeben, wenn dort etwas bezahlt werden soll.
• Bei physischen, also gedruckten QR-Codes sollte man sich stets vergewissern, dass nicht etwa ein ursprünglicher Code mit einem anderen Code überklebt worden ist.
• Möglichst keine App-Downloads und -Installationen über QR-Codes starten, sondern Anwendungen aus den offiziellen Stores herunterladen.
• Keine Extra-Scanner-App installieren: In den allermeisten Fällen fungiert die Smartphone-Kamera als Scanner oder im Browser ist ein Scanner integriert.
• Eine Bekannte oder ein Bekannter hat offenbar einen QR-Code geschickt? Oder ein Unternehmen, bei dem man kürzlich etwas gekauft hat, meldet sich per E-Mail wegen einer angeblich fehlgeschlagenen Zahlung und verlangt nun eine erneute Zahlung via QR-Code? In beiden Fällen besser zum Hörer greifen und direkt nachfragen, ob die jeweilige Nachricht echt ist. Achtung: Die Telefonnummer eines Unternehmens nicht aus der E-Mail übernehmen, weil diese ja gefälscht sein könnte. Besser über eine Suchmaschine auf die Seite des Unternehmens gehen und eine Kontaktnummer suchen.

Allerdings sollte man sich deshalb nicht den Spaß an den praktischen Codes verderben lassen. So können sie etwa ein einfaches Mittel sein, um Gästen innerhalb von wenigen Sekunden selbst ellenlange WLAN-Passwörter aufs Handy zu übertragen. Wie Sie einen QR-Code für Ihr eigenes WLAN erstellen, den Sie zum Einwählen nur scannen müssen, erfahren Sie hier.

Um einen QR-Code zu scannen, müssen iPhone-Nutzer ihre Kamera öffnen. Wird ein QR-Code erkannt, wird ein Linkfeld im Sucher eingeblendet. Sie müssen dann darauf klicken.

Unter Android hängt das von Hersteller und Handymodell ab. Meist ist der QR-Code-Scanner aber auch hier in die Kamera intetriert. Teilweile müssen Sie "Google Lens" in der Kamera-App aktivieren.