Wie kann ich sicher eine QR-Code-URL vor dem Öffnen sehen?

Die meisten nativen Kamera-Apps auf iOS (16+) und Android (aktuelle Versionen) zeigen die Ziel-URL als Banner an, bevor du zum Öffnen tippst. Dedizierte Scanner-Apps wie Kaspersky QR Scanner oder Trend Micro QR Scanner fügen eine Bedrohungseinstufungsebene hinzu. Lies die vollständige Domain sorgfältig — konzentriere dich auf das Segment unmittelbar vor dem ersten Schrägstrich, um die echte registrierte Domain zu identifizieren, nicht eine Subdomain, die vertrauenswürdig aussehen soll.

Kann mein Telefon gehackt werden, nur weil ich einen böswilligen QR-Code scanne?

Das einfache Scannen eines Codes und das Laden einer Seite in deinem Browser ist auf einem gepatchten Gerät sehr risikoarm. Das Risiko steigt deutlich, wenn du Anmeldedaten eingibst, eine Genehmigungsaufforderung akzeptierst oder eine Datei herunterlädst, die die Seite bereitstellt. Halten deines Betriebssystems und Browsers aktuell schließt die meisten Browser-Exploits, die Angreifer gegen Besucher böswilliger Seiten versuchen.

Was sollte ich Mitarbeitern über sicheres Scannen von QR-Codes im Büro sagen?

Drei einfache Regeln decken das meiste Unternehmensrisiko ab: Scanne niemals einen QR-Code, der in einer unerwünschten E-Mail oder Nachricht ankommt, überprüfe immer die URL-Vorschau vor dem Tippen, und gib niemals Geschäftsanmeldedaten auf einer Seite ein, die du über einen QR-Code erreichst, es sei denn, die IT hat die Quelle verifiziert. Phishing-Simulationen, die QR-Codes einschließen, werden jetzt von den meisten Enterprise-Security-Awareness-Plattformen angeboten und sind es wert, jährlich durchgeführt zu werden.

Wie ersetzen Angreifer legitime QR-Codes an öffentlichen Orten?

Die häufigste Methode ist ein vorab gedruckter Aufkleber mit dem böswilligen Code, der direkt über dem legitimen gedruckten Code angebracht wird. Es dauert Sekunden und erfordert keine Werkzeuge. Einige Angreifer ersetzen ganze gedruckte Paneele in Bereichen mit weniger Verkehr. Restaurants, Parkautomaten, gemeinsam genutzte Kioske und Informationstafeln in Hotels sind die am häufigsten angezielten Oberflächen, da sie hohe Scan-Volumen und unregelmäßige Inspektionszyklen haben.

Sind QR-Codes auf Produktverpackungen sicherer als Codes in E-Mails?

Generell ja, aber nicht bedingungslos. Verpackungscodes werden an der Quelle gedruckt und sind schwerer im großen Maßstab zu manipulieren, was sie zu niedrigerem Risiko als Codes in unerwünschten Nachrichten macht. Das Risiko erhöht sich bei Verpackungen, die mehrere Hände durchlaufen — Wiederverkäufer, Marktplätze oder Rückgaben — wo ein Aufkleber-Overlay möglich ist. Vergleiche immer die URL-Vorschau mit der auf der physischen Produktverpackung selbst gezeigten Marke ab.

QR-Code-Phishing: 6 Warnzeichen, die du vor dem Scannen erkennst

QR-Codes sind auf Restauranttischen, Parkautomaten, Paketaufklebern und Eventplakaten zu finden. Diese Allgegenwärtigkeit ist genau das, was Angreifer anzieht. Quishing — Phishing über QR-Code — ist seit 2022 deutlich gestiegen, weil es die meisten E-Mail-Sicherheitssysteme umgeht und das Vertrauen ausnutzt, das Menschen um das Scannen herum aufgebaut haben. Zu wissen, wie ein böswilliger QR-Code aussieht, bevor du ihn scannst, ist die wirksamste Abwehr, die du hast.

Warum QR-Codes ein erfolgreiches Phishing-Vehikel sind

Eine URL, die in einem QR-Code eingebettet ist, bleibt unsichtbar, bis du ihn scannst. Im Gegensatz zu einem verdächtigen Link in einer E-Mail, über den du hovern kannst, um das Ziel zu sehen, gibt dir ein QR-Code nichts zu überprüfen, bevor du dich festlegst. Angreifer nutzen diese Lücke aus. Sie drucken gefälschte Codes über legitime in öffentlichen Räumen, betten sie in PDF-Rechnungen ein und kleben Sticker-Codes über Parkautomaten — alles mit der Rechnung, dass die meisten Menschen zuerst scannen und erst danach nachsehen.

Die sechs Warnzeichen unten sind erkennbar, bevor du das Ziel erreichst — oder direkt in dem Moment, in dem du darauf landest.

Warnzeichen 1: Ein physischer Aufkleber über einem gedruckten Code

Fahre mit deinem Finger über jeden QR-Code auf einer statischen Oberfläche — eine Speisekarte, ein Plakat, eine Geldautomaten-Abdeckung. Wenn es eine erhabene Kante gibt, auf der ein Aufkleber sitzt, wurde dieser Code manipuliert. Legitime Unternehmen drucken Codes direkt auf Materialien oder nutzen eingebaute Displays. Ein überlagernder Aufkleber ist der häufigste physische Angriffsvektor und erfordert vom Angreifer nur etwa zehn Sekunden.

Warnzeichen 2: Der umgebende Kontext passt nicht

Frag dich: Gehört dieser Code hierher? Ein QR-Code geklebt auf einen Parkautomaten in einer Stadt, die ein App-basiertes System nutzt, ein Code auf einer handgeschriebenen Notiz unter deinem Scheibenwischer, oder ein Code auf Papier unter deiner Hotelzimmertür — keiner dieser Kontexte entspricht normalen Geschäftsszenarien. Angreifer verlassen sich auf Umgebungen, in denen das Scannen routine ist. Wenn sich der Kontext irgendwie merkwürdig anfühlt, vertrau diesem Instinkt.

Warnzeichen 3: Die URL-Vorschau zeigt eine nicht übereinstimmende oder gekürzte Domain

Die meisten modernen Smartphone-Kamera-Apps und dedizierten Scanner-Apps zeigen vor dem Öffnen eine URL-Vorschau an. Lies diese URL sorgfältig:

Tippfehler-Domain: paypa1.com, amazon-support.net oder hsbc-secure.co sind nicht die Marken, die sie vortäuschen.
Übermäßige Subdomains: login.account.verify.yourbank.com — die tatsächlich registrierte Domain ist der Teil unmittelbar vor dem ersten /, nicht das, was zuerst kommt.
Nackte URL-Shortener ohne Vorschau: Ein Link, der sofort durch bit.ly oder einen privaten Shortener umleitet, ohne dass eine Landing-Page-Vorschau erscheint, nimmt dir deine letzte Chance zur Verifikation.

Unser Guide zu URL-Verifizierung vor dem Tippen zeigt dir, wie du Scanner-Vorschauen korrekt auf iOS und Android liest.

Warnzeichen 4: Die Landing Page verlangt sofort Anmeldedaten oder Zahlungen

Ein legitimer QR-Code von einem Unternehmen bringt dich selten direkt auf einen Login-Screen oder ein Zahlungsformular — besonders nicht für eine Aktion, die du nicht eingeleitet hast. Wenn das Scannen eines Restaurant-Codes dich auf eine Seite bringt, die nach deiner Kartennummer fragt, „um deinen Tisch zu reservieren", ist das eine Phishing-Seite. Angreifer optimieren Landing Pages so, dass sie überzeugend aussehen; die URL in deiner Browser-Leiste zu überprüfen, nachdem die Seite geladen hat, ist deine zweite Verifikationsebene. Unsere Übersicht über was eine vertrauenswürdige QR-Landingpage ausmacht listet die spezifischen Signale auf, die echte Brand-Seiten von Fälschungen trennen.

Warnzeichen 5: Der Code kommt unaufgefordert per E-Mail, SMS oder Chat

Regulierer und Sicherheitsforscher kennzeichnen QR-Codes, die über unerwünschte Nachrichten versendet werden, durchgehend als hohes Risiko. Eine Paketbenachrichtigung, die du nicht erwartet hast, eine Rechnung von einem Anbieter, den du nicht kennst, oder eine „Zustellung fehlgeschlagen"-SMS mit angehängtem QR-Code — das sind Phishing-Templates. Der QR-Code ist dort spezifisch, um deine Aufmerksamkeit von dem Kanal, auf dem Sicherheitsfilter arbeiten, auf deine Handykamera zu leiten, wo es keine gibt.

Wenn eine Nachricht Dringlichkeit suggeriert („Scannen Sie innerhalb von 24 Stunden oder Ihr Konto wird gesperrt"), ist das ein Social-Engineering-Signal, das das Risiko erhöht.

Warnzeichen 6: Kein HTTPS am Ziel oder eine Zertifikatswarnung

Sobald du auf einer Seite gelandet bist, überprüfe die Browser-Leiste. HTTP (kein Vorhängeschloss) ist ein sofortiger Grund zum Abbruch — schließe den Tab sofort. Eine HTTPS-Warnung oder „Nicht sicher"-Beschriftung in einem modernen Browser bedeutet, dass das Zertifikat abgelaufen ist oder die Domain noch nie eines hatte — beides ist bei jedem echten Webunternehmen ungewöhnlich. Keine davon ist allein ein eindeutiger Beweis für Phishing, aber kombiniert mit einem der obigen Warnzeichen ist das Risiko hoch genug, um zu gehen.

Was du tun solltest, wenn du bereits gescannt hast

Wenn du eines dieser Warnzeichen nach dem Scannen erkennst:

Gib keine Informationen auf der Seite ein.
Schließ den Browser-Tab sofort — eine Seite nur zu laden gefährdet selten ein Gerät, aber die Eingabe in ein Formular oder der Download einer Datei kann es tun.
Trenne dich kurz vom Wi-Fi, falls du ein aktives Session-Hijacking vermutest.
Führe einen Sicherheits-Scan deines Geräts durch, falls du einen installiert hast.
Melde den Code an den Ort oder die Organisation, deren Marke nachgeahmt wurde — sie müssen wissen, dass ihre Beschilderung manipuliert wurde.

Die breitere Angriffskategorie zu verstehen ist nützlicher Kontext; der detaillierte Beitrag über Quishing-Angriffe und wie du deine QR-Codes schützt deckt die Geschäftsinhaberseite desselben Problems ab.

Für Geschäftsinhaber: Was du tun kannst, um deine Kunden zu schützen

Deine Kunden scannen deine Codes in gutem Glauben. Ein paar mühelose Maßnahmen reduzieren das Risiko, dass ein Angreifer dieses Vertrauen ausnutzt:

Nutze dynamische QR-Codes — du kannst Scan-Volumen und Ziel-Umleitungen überwachen und Manipulationen durch ungewöhnlichen Traffic erkennen.
Drucke Codes wo möglich direkt auf Materialien anstatt Aufkleber zu verwenden.
Füge einen sichtbaren Domainnamen neben dem Code hinzu („Leitet zu yoursite.com"), damit Scanner die URL-Vorschau abgleichen können.
Prüfe häufig genutzte physische Positionen (Speisekarten, Beschilderung, Verpackung) regelmäßig auf Aufkleber-Overlays.

Die Super QR Code Generator-Plattform erzeugt dynamische Codes mit Scan-Analytics, sodass du ungewöhnliche Aktivitäten erkennen kannst — ein plötzlicher Anstieg der Scans aus einer unbekannten Region signalisiert oft, dass ein Code dupliziert oder manipuliert wurde.

Wichtigste Erkenntnisse

Die sechs Warnzeichen — Aufkleber-Overlays, nicht übereinstimmender Kontext, verdächtige URL-Vorschauen, sofortige Anmeldeanforderungen, unerwünschte Zustellung und fehlende HTTPS — sind alle erkennbar, bevor du Informationen einreichst.
Lies die URL-Vorschau, die deine Kamera zeigt, bevor du tippst. Sie ist die wirksamste Vorscan-Überprüfung.
Geschäftsinhaber sollten dynamische Codes mit Analytics nutzen; ungewöhnliche Scandaten sind oft das erste Zeichen einer Manipulation.
Dringlichkeitssignale in der Nachricht um einen QR-Code sind ein Social-Engineering-Signal, kein Grund, schneller zu scannen.