Wenn jemand deinen QR-Code scannt, ist die darin kodierte URL selten das endgültige Ziel. Eine Weiterleitungskette — eine oder mehrere Zwischen-URLs, die den Nutzer weitergeben, bevor er ankommt — ist bei QR-Kampagnen üblich, besonders bei dynamischen Codes und URL-Verkürzern von Dritten. Meistens ist das harmlos. Aber eine kompromittierte oder schlecht konfigurierte Weiterleitungskette ist einer der elegantesten Wege für Angreifer, deinen QR-Code-Traffic zu kapern, ohne je deine gedruckten Materialien zu berühren.
Dieser Artikel erklärt, wie Weiterleitungsketten entstehen, was sie gefährlich macht, wie du deine auditierst und welche Schutzmaßnahmen wirklich funktionieren.
Wie eine QR-Code-Weiterleitungskette entsteht
Eine typische Kette sieht so aus:
QR-Code → URL-Verkürzer (z.B. bit.ly/xxx) → deine Kampagnen-Tracking-URL → finale Zielseite
Jeder Hop ist eine HTTP-Weiterleitung, normalerweise ein 301 (permanent) oder 302 (temporär). Ketten wachsen, wenn du:
- Eine dynamische QR-Plattform nutzt, die deine URL in ihren eigenen Shortlink einbindet
- UTM-Parameter über eine separate Umleitungsschicht hinzufügst
- deine Website von HTTP zu HTTPS migrierst, ohne alte Umleitungen zu bereinigen
- Affiliate- oder Partner-Links nutzt, die durch ihre eigene Tracking-Domain laufen
Drei bis vier Hops sind nicht ungewöhnlich. Ab fünf oder mehr beginnen Browser, den Sicherheitskontext zu verringern, und das Risikobild ändert sich erheblich.
Warum Weiterleitungsketten ein Sicherheitsrisiko darstellen
Open Redirectors sind das Kernproblem
Ein Open Redirector ist eine URL, die Besucher zu jeder beliebigen Destination weiterbefördert, nicht nur zu vertrauenswürdigen. Sie sehen so aus:
https://trusted-site.com/go?url=https://attacker.com/fake-login
Wenn einer der Hops in deiner Weiterleitungskette durch einen Open Redirector führt — selbst wenn er in einem Tracking-Skript eines Dritten versteckt ist — kann ein Angreifer eine Version deines QR-Codes erstellen, der auf eine bösartige Seite umleitet, während er von deiner Domain zu stammen scheint. Nutzer, die die kodierte URL vor dem Scannen überprüfen, sehen deinen Markennamen und senken die Vorsicht.
DNS-Hijacking mitten in der Kette
Wenn deine Weiterleitungskette durch eine Domain führt, die du nicht mehr kontrollierst — eine abgelaufene Subdomain, einen alten SaaS, den du nicht mehr zahlst, einen Partner, dessen Vertrag endete — kann diese Domain von jedem neu registriert werden. Der neue Inhaber kann sie auf alles ausrichten. Das heißt „baumelnde Weiterleitung" und kommt häufiger vor, als die meisten Vermarkter denken.
HTTPS-Downgrade-Risiken
Eine Kette, die mit HTTPS beginnt, aber einen HTTP-Hop in der Mitte enthält, unterbricht die TLS-Verbindung. Session-Cookies, Referrer-Daten und alle Tokens, die in der URL weitergegeben werden, werden für diesen Segment im Klartext übertragen. In großen Einzel- oder Healthcare-QR-Kampagnen ist das ein erhebliches Datenbelastungsrisiko.
Gemischte Vertrauenssignale in Browsern
Moderne iOS- und Android-QR-Scanner zeigen die erste URL, zu der der Code führt, nicht das endgültige Ziel. Wenn deine Kette durch eine Domain führt, die ein Sicherheitsanbieter markiert hat — selbst wenn nur kurz, selbst wenn fälschlicherweise — kann der Scanner eine Warnung anzeigen. Diese Warnung tötet Konversionen und schadet deinem Markenbild, selbst wenn du das Opfer, nicht der Angreifer, bist.
Wie du deine Weiterleitungsketten auditierst
Du brauchst keine spezielle Software, um anzufangen. Diese Schritte decken die meisten Fälle ab:
1. Den rohen QR-Inhalt dekodieren Nutze einen QR-Scanner, der die rohe URL anzeigt, statt sie automatisch zu öffnen. Viele Smartphone-Kamera-Apps verstecken diesen Schritt — nutze eine dedizierte Scanner-App, die den vollständigen kodierten String anzeigt.
2. Jeden Hop manuell verfolgen Füge die URL in einen Weiterleitungs-Checker ein (kostenlose Tools wie redirect-checker.org und httpstatus.io). Dokumentiere jede Domain, die erscheint.
3. Überprüfe, dass du jede Domain in der Kette besitzt oder vertraust Markiere jede Domain, die du nicht erkennst oder nicht kürzlich überprüft hast. Prüfe WHOIS-Registrierungsdaten für alle Shortener-Subdomains oder alte Kampagnen-Domains.
4. Zähle deine Hops Wenn du mehr als drei Hops hast, untersuche, ob jeder notwendig ist. Eine Kette von fünf auf zwei Hops zu verkürzen ist einfach, wenn du deine dynamische QR-Plattform kontrollierst.
5. Bestätige, dass jeder Hop HTTPS nutzt Jede HTTP-Weiterleitung in der Kette sollte korrigiert werden, bevor der Code in den Druck geht. Wenn du auf einen Hop eines Dritten angewiesen bist, den du nicht upgraden kannst, leite darum herum.
6. Teste nach jedem Kampagnen-Update Wenn du die Ziel-URL in deiner dynamischen QR-Plattform aktualisierst — was genau der Sinn dynamischer Codes ist — führe das Audit neu aus. Eine Zieländerung kann stillschweigend eine neue Umleitungsschicht einführen.
Der Unterschied zwischen statischen und dynamischen QR-Codes ist hier wichtig: Statische Codes haben keine serverseitige Umleitung, also startet die Kette mit der URL, die du kodiert hast. Dynamische Codes führen mindestens einen von der Plattform kontrollierten Hop ein, was bedeutet, dass die Sicherheitshaltung der Plattform Teil deiner Angriffsfläche wird.
Schutzmaßnahmen, die das Risiko wirklich reduzieren
| Schutzmaßnahme | Was sie adressiert |
|---|---|
| Nutze eine QR-Plattform mit Weiterleitungs-URL-Whitelist | Blockiert Open Redirectors auf Plattformebene |
| Überwache Domain-Ablauf für jeden Hop in der Kette | Verhindert baumelnde Weiterleitungen |
| Erzwinge HTTPS-Only auf jedem Schritt | Eliminiert Downgrade-Attacken |
Setze einen Referrer-Policy: no-referrer Header auf Zwischenseiten |
Reduziert Token-Lecks über Hops |
| Abonniere Safe-Browsing-Alerts für deine Domains | Frühwarnung, wenn eine Domain markiert wird |
Wenn du eine gründliche Überprüfung vor dem Start möchtest, wo deine Codes hinzeigen, deckt die QR-Code-Zielseiten-Sicherheitscheckliste die Zielseiten-Seite der Gleichung im Detail ab.
Die nachhaltigste Lösung ist, die Kettenlänge zu reduzieren. Arbeite mit dem Verwalter deiner QR-Code-Generator-Kampagnen zusammen, um direkte Ziel-URLs zu konfigurieren, wo möglich, und reserviere Umleitungsschichten nur für Tracking, das du nicht anders erhältst. Plattformen, die eingebaute Scan-Analysen anbieten — ausführlich in dieser Übersicht von QR-Code-Analytics-Kennzahlen behandelt — können manche der Umleitungs-basierten Tracking-Schichten komplett ersetzen.
Wichtige Erkenntnisse
- Eine Weiterleitungskette mit auch nur einem kompromittierten oder Open-Redirector-Hop kann deine Kunden auf bösartige Seiten schicken, während sie legitim wirken.
- Baumelnde Weiterleitungen auf abgelaufenen oder inaktiven Domains sind ein echtes und unterschätztes Risiko in QR-Kampagnen.
- Überprüfe jeden Hop manuell: Dekodiere die rohe URL, verfolge alle Umleitungen, überprüfe Domain-Besitz und bestätige End-zu-End-HTTPS.
- Halte Ketten kurz. Wenn deine QR-Plattform eingebaute Analytics bietet, brauchst du möglicherweise gar kein externes Umleitungs-basiertes Tracking.
- Überprüfe neu, wann immer du die Ziel-URL eines dynamischen Codes aktualisierst — das Update kann stillschweigend neue Umleitungsschichten einführen.