Wie prüfe ich, ob eine QR-Code-Ziel-URL sicher ist, bevor ich scanne?

Nutze die native Kamera-App deines Telefons, die typischerweise eine URL-Vorschau zeigt, bevor sie geöffnet wird. Lies die Domain sorgfältig auf Lookalike-Zeichen, dann füge die URL in Google's Safe Browsing Checker auf transparencyreport.google.com ein. Wenn die URL gekürzt ist, entschlüssele sie zuerst mit einem kostenlosen Service wie urlex.org, damit du das tatsächliche Ziel siehst, bevor du tippst.

Kann eine QR-Code-Ziel-URL geändert werden, nachdem der Code gedruckt wurde?

Ja — aber nur, wenn der Code eine dynamische Umleitungs-Architektur nutzt. Bei dynamischen QR-Codes codiert die gedruckte Struktur eine Kurzform-URL, die auf einen Umleitungsserver zeigt, und das endgültige Ziel kann jederzeit über das Platform-Dashboard aktualisiert werden. Statische QR-Codes codieren die Ziel-URL direkt, deshalb können sie nach dem Druck nicht geändert werden, ohne einen völlig neuen Code zu erstellen.

Was ist der sicherste Weg, einen QR-Code mit einer Third-Party-Landing-Page zu verbinden?

Insistiere darauf, dass die Third-Party-Seite über HTTPS auf einer Domain bereitgestellt wird, die du als legitim verifizieren kannst und idealerweise älter ist. Fordere Zugang zur Umleitungskonfiguration an, damit du jeden Hop in der Kette überprüfst. Führe einen WHOIS-Check auf der Domain durch und verifiziere sie in Google Safe Browsing. Wo möglich, lass die Seite auf einer Subdomain hosten, die du kontrollierst, statt auf der Agentur-eigenen Domain.

Wie oft sollten Unternehmen die Ziele von Live-QR-Codes neu überprüfen?

Für Codes auf langlebigen gedruckten Materialien — Menüs, Verpackungen, Beschriftungen — ist eine monatliche Neu-Überprüfung ein angemessenes Minimum. Hochrisiko-Codes, wie Zahlungsseiten oder Kunden-Login-Portale, verdienen eine wöchentliche Prüfung. Mindestens überprüfe neu, wenn ein Third-Party Zugang zu den Umleitungseinstellungen hat oder wenn du einen unerwarteten Spike oder eine geografische Anomalie in deinen Scan-Analysen siehst.

Welche Berechtigungen sollte eine QR-Code-Zielseite auf einem mobilen Gerät niemals anfordern?

Eine legitime QR-Code-Landing-Page sollte dich niemals um Zugriff auf deine Kontakte, Mikrofon oder Dateispeicher bitten. Kamera-Zugriff ist gelegentlich berechtigt — z. B. für AR-Erlebnisse — sollte aber mit einer klaren Erklärung vor dem Dialog erscheinen. Standortberechtigung kann für Store-Finder-Seiten sinnvoll sein, sollte aber niemals ohne einen sichtbaren, verständlichen Grund angefordert werden. Jede Seite, die mehrere sensible Berechtigungen sofort beim Laden anfordert, ist ein Warnsignal, das es wert ist, gemeldet zu werden.

QR-Code-Ziel-Sicherheit: 7 Prüfungen vor dem Veröffentlichen

Einen QR-Code zu drucken, ohne seine Ziel-URL zu überprüfen, ist wie Visitenkarten mit der falschen Telefonnummer zu verteilen — nur dass dieser Fehler deine Kunden auch auf Phishing-Seiten führen kann. Die meisten Unternehmen verzichten ganz auf die Überprüfung der Ziel-URL und bemerken Probleme erst, wenn die erste Beschwerde nach einem Scan ankommt. Diese Checkliste schließt diese Lücke, bevor dein Code in den Druck geht.

Warum die Ziel-URL deine größte Sicherheitsoberfläche ist

Das visuelle Design eines QR-Codes sagt einem Scanner nichts über das Ziel. Ein makelloses, markengerechtes Code-Design kann genauso leicht zu einer Seite für Credential Harvesting führen wie zu einer legitimen. Angreifer wissen das, deshalb ist Quishing — Phishing über QR-Codes — zur bevorzugten Technik für das Umgehen von E-Mail-Filtern geworden.

Der Code selbst ist nicht das einzige Risiko. Wenn du eine Umleitungsebene nutzt (wie bei jedem dynamischen QR-Code), kann das Ziel nach dem Druck heimlich geändert werden. Eine Ziel-Überprüfung muss in zwei Momenten stattfinden: wenn du den Code zum ersten Mal erstellst, und regelmäßig, während er im Einsatz ist.

Die 7-Punkte-Ziel-Überprüfung

Gehe durch alle Punkte unten, bevor du einen Code zum Drucken oder Veröffentlichen freigibst.

1. Bestätige, dass das Protokoll HTTPS ist

Öffne die Ziel-URL im Browser. Prüfe, dass die Adressleiste ein Schloss und https:// anzeigt. Eine HTTP-Seite überträgt Daten unverschlüsselt — wenn dein QR-Code zu einer Anmeldung oder einem Formular führt, ist das ein ernstes Problem. Die meisten Hosting-Plattformen haben HTTPS seit 2023 standardmäßig aktiviert, aber ältere Microsites und interne Tools nutzen manchmal immer noch reines HTTP.

2. Untersuche die vollständige URL auf Lookalike-Tricks

Kopiere die Ziel-URL in einen Text-Editor und lese jedes Zeichen. Häufige Austauschungen:

rn statt m (z. B. cornpany.com statt company.com)
Unicode-Homoglyphen (аpple.com mit kyrillischem „а")
Extra Bindestriche oder Subdomänen (brand.login.attacker.com)
TLD-Wechsel (yoursite.co statt yoursite.com)

Wenn du einen URL-Shortener oder eine Umleitung nutzt, entschlüssele diese zuerst mit einem Tool wie urlex.org, bevor du diese Prüfung durchführst.

3. Teste die URL in Google Safe Browsing

Füge die vollständige Ziel-URL in Google's Transparency Report Checker (transparencyreport.google.com/safe-browsing/search) ein. Diese Datenbank kennzeichnet Seiten, die für Malware, Phishing und betrügerische Inhalte bekannt sind. Es dauert zehn Sekunden und erfasst URLs, die legitim aussehen, aber bereits auf der Blacklist stehen.

4. Prüfe das Alter der Domain-Registrierung

Eine Domain, die in den letzten 30–60 Tagen registriert wurde, ist ein Warnsignal, besonders wenn dein Ziel eine Landing Page eines Third-Party-Anbieters ist, die von einer Agentur oder Partner erstellt wurde. Nutze einen WHOIS-Lookup, um das Erstellungsdatum zu sehen. Angreifer registrieren häufig neue Domains für Kampagnen, weil ältere, vertrauenswürdige Domains teuer sind. Wenn ein Partner deine Seite auf einer brandneuen Domain erstellt, frage, warum.

5. Überprüfe den Besitz jeder Umleitung in der Kette

Dynamische QR-Codes leiten oft durch weiter: Shortlink deiner QR-Plattform → deine Umleitung → die endgültige Seite. Jeder Hop ist ein möglicher Handover-Punkt. Melde dich im Dashboard deiner QR-Plattform an, verfolge jede Umleitungsebene und bestätige, dass du jede Domain in der Kette kontrollierst oder bewusst vertraust. Ein Code, der über einen Zwischenhändler routet, den du nicht erkennst, ist ein Code, den du nicht drucken solltest.

Die Unterscheidung zwischen statischen und dynamischen Codes ist hier wichtig: Bei statischen QR-Codes ist die endgültige URL eingeprägt und kann nicht geändert werden, was Umleitungsrisiken entfernt, aber eigene Einschränkungen mit sich bringt. Der Vergleich statischer vs. dynamischer QR-Codes lohnt sich zu lesen, wenn du unsicher bist, welche Architektur zu deiner Risikotoleranz passt.

6. Teste das Ziel auf einem mobilen Gerät

Desktop-Browser verstecken viel Umleitungs-Verhalten. Öffne die URL auf einem Android-Gerät und separat auf einem iPhone. Bestätige:

Die Seite lädt tatsächlich (kein Serverfehler)
Die angezeigte Seite entspricht deinen Erwartungen
Keine unerwarteten Berechtigungsanforderungen (Kamera, Standort, Kontakte)
Die endgültige URL im mobilen Browser entspricht dem erwarteten Ziel

Dieser Schritt erfasst auch gerätespezifische Umleitungen, die nur auf Mobilgeräten aktiv werden — eine Technik, die Phishing-Seiten manchmal nutzen, um Desktop-Sicherheitsprüfungen zu umgehen.

7. Mache einen Screenshot des Ziels vor der Veröffentlichung

Erstelle einen datierten Screenshot der Live-Zielseite und speichere ihn neben deinen Kampagnen-Dateien. Dies gibt dir einen Ausgangspunkt für Vergleiche bei zukünftigen Neu-Überprüfungen. Wenn ein Partner oder die Plattform die Seite später ändert, hast du einen Beleg dafür, wie sie aussehen sollte. Für Kampagnen mit hohem Volumen reicht eine einfache Tabelle aus, die jede Code-ID, Kurzform-URL, Ziel-URL und das Audit-Datum auflistet.

Laufende Überwachung nach der Live-Schaltung

Eine einmalige Überprüfung beim Start reicht nicht für Codes auf gedruckten Materialien, die Monate in Gebrauch bleiben. Stelle einen Kalendertermin ein, um Prüfungen 2 und 3 auf deine am häufigsten gescannten Codes alle 30 Tage zu wiederholen. Falls deine QR-Plattform Scan-Analysen enthält, achte auf plötzliche geografische Anomalien oder ungewöhnliche Spitzenmuster — diese können signalisieren, dass eine Ziel-URL irgendwohin umgeleitet wurde, das nicht beabsichtigt war.

Für physische Codes auf permanenten Beschriftungen überprüfe auch die Richtlinien zum Erkennen und Verhindern von Manipulation, da Ziel-Audits allein einen Sticker nicht erfassen, der über deinen Originalcode geklebt wurde.

Du kannst all das in einen wiederholbaren Vor-Start-Prozess integrieren — erstelle den Code, dokumentiere das Ziel, führe die sieben Prüfungen durch, dann gib frei zum Druck.

Wichtigste Erkenntnisse

Verifiziere immer https:// und inspiziere die Ziel-URL Zeichen für Zeichen, bevor du einen QR-Code veröffentlichst.
Entschlüssele gekürzte URLs und verfolge jeden Umleitungs-Hop, um zu bestätigen, dass du jede Domain kontrollierst oder bewusst vertraust.
Nutze Google Safe Browsing, um nach gelisteten Zielen zu prüfen — es ist kostenlos und dauert Sekunden.
Neue Domains (unter 60 Tage) auf Landing Pages, die von Partnern erstellt werden, verdienen zusätzliche Aufmerksamkeit.
Teste auf iOS und Android, nicht nur auf Desktop.
Dokumentiere das Ziel mit einem datierten Screenshot, um zukünftige Vergleich-Audits zu ermöglichen.
Überprüfe Live-Codes alle 30 Tage neu, nicht nur beim Start.