Die kurze Antwort
Scannen ist sicher. Ein QR-Code ist ein kurzes Stück Text, als Quadrate gezeichnet, und eine Kamera darauf zu richten tut genau eines: Es liest diesen Text zurück. Das Lesen kann nichts installieren, nichts besuchen und nichts auf Ihrem Telefon anfassen — aus demselben Grund, aus dem der Blick auf eine geschriebene Adresse Sie nicht dorthin bringt.
Die Gefahr beginnt einen Schritt später, wenn etwas das Gelesene öffnet — und der ganze Trick jedes QR-Betrugs besteht darin, diesen Schritt geschehen zu lassen, bevor Sie gesehen haben, wohin es geht. Der Text im Code ist eine Adresse, die niemand mit bloßem Auge lesen kann, und die meisten Telefone beantworten sie mit einem einzigen eifrigen Fingertipp. Halten Sie das Lesen und das Öffnen auseinander, und dem Betrug bleibt nichts mehr, womit er arbeiten könnte.
Was ein QR-Code wirklich ist
Unter den Quadraten steckt nichts als eine Zeichenkette — höchstens ein paar tausend Zeichen, meist deutlich weniger. Eine Webadresse, ein WLAN-Name samt Passwort, eine Visitenkarte, eine Zeile Text. Das Format wurde 1994 entworfen, um Autoteile durch eine Toyota-Fabrik zu verfolgen, und es enthält keinerlei Anweisungen. Ein QR-Code kann sowenig „einen Virus enthalten“ wie ein Wegweiser.
Was er enthalten kann, ist ein Stück Text, das Ihr Telefon um etwas bittet: diese Adresse öffnen, diesem Netz beitreten, diesen Kontakt speichern. Jedes davon ist eine Bitte, kein Befehl. Der Code schlägt vor; was ihn gescannt hat, entscheidet. Ein Scanner, der Ihnen den Text zeigt und wartet, ist völlig harmlos. Ein Scanner, der von sich aus auf den Text reagiert, hat die Entscheidung demjenigen überlassen, der den Code gedruckt hat — und genau das ist der ganze Unterschied zwischen einem sicheren und einem gefährlichen Scan.
Eine Fußnote der Ehrlichkeit halber: Das Programm, das den Code entschlüsselt, kann Fehler haben wie jedes Programm, das Eingaben auswertet, und solche Fehler hat es in Scannern über die Jahre gegeben. Aber dieses Risiko gehört zum Scanner, nicht zum Code, und es ist nicht das, worauf die Betrügereien bauen. Die bauen auf den Fingertipp.
Der Aufkleber-Trick
Der Betrug, der häufig genug geworden ist, um einen Namen zu verdienen — Quishing —, ist fast beschämend simpel: einen eigenen Code drucken, über einen echten kleben, warten. Am Parkautomaten, wo die Fälschung zu einer Bezahlseite führt, die aussieht wie die der Stadt. Auf dem Restauranttisch, über der Speisekarte. Auf der Paketkarte im Briefkasten, neben den Worten „wir haben Sie leider nicht angetroffen“.
Beachten Sie, was den Trick trägt. Es ist keine technische Raffinesse — es gibt keine. Es ist der Umstand, dass ein QR-Code die eine Sorte Adresse ist, die ein Mensch nicht lesen kann, bevor er ihr folgt. Eine krumme Webadresse in Buchstaben verrät sich jedem, der hinsieht; dieselbe Adresse als Quadrate gezeichnet sieht exakt aus wie eine ehrliche. Wenn Sie sehen können, wohin der Code führte, sind Sie schon dort — auf einer Seite, die gebaut wurde, um wie die erwartete auszusehen, und die nach Ihrer Kartennummer fragt.
Die Verteidigung ist nicht, mit dem Scannen aufzuhören. Sie ist, sich die Adresse zwischen Scan und Besuch anzusehen. Das kostet etwa zwei Sekunden und macht den Trick vollständig zunichte.
Drei Arten, auf die eine Adresse lügt
Zwei Sekunden Hinsehen genügen — aber nur, wenn Sie wissen, worauf. Es gibt drei ehrlich aussehende Gestalten, die eine krumme Adresse annimmt, und alle drei lohnt es sich, vom Sehen zu kennen.
1. Der Name vor dem @
Eine Webadresse darf einen Benutzernamen tragen, geschrieben vor einem @-Zeichen: Alles bis zum @ ist Dekoration, das wirkliche Ziel beginnt danach. [email protected] führt nicht zu Ihrer Bank. Es führt zu evil.example und trägt „ihrebank.de“ als bedeutungslosen Anmeldenamen mit sich. Das Auge liest den Anfang einer Adresse; der Browser liest das Ende.
2. Buchstaben, die nicht die Buchstaben sind, nach denen sie aussehen
Alphabete überschneiden sich. Ein kyrillisches а wird exakt gezeichnet wie ein lateinisches a, und eine damit geschriebene Adresse ist eine andere Adresse, die auf dem Bildschirm identisch aussieht. Der Trick hat einen Namen — Homographen-Angriff —, und er ist der Grund, warum ein Ziel buchstabengetreu dem gleichen kann, dem Sie vertrauen, und trotzdem woanders liegt.
3. Die ehrliche erste Station
Die Adresse im Code kann tatsächlich seriös sein — ein Link-Verkürzer, eine Marketing-Weiterleitung, das Klick-Tracking einer Suchmaschine — und Sie lediglich irgendwohin weiterreichen, das es nicht ist. Die erste Adresse hält der Prüfung stand; das Ziel bestimmt ein Server, nachdem Sie schon losgegangen sind. Eine verkürzte Adresse in einem gedruckten Code beweist nichts Böses, aber sie bedeutet: Die Adresse, die Sie prüfen können, ist nicht die, an der Sie ankommen.
Wie man einen sicher scannt
Die Regel ist ein Satz: Erst lesen, dann öffnen, und niemals beides mit einer Geste. In der Praxis:
- Nehmen Sie einen Scanner, der Ihnen den entschlüsselten Text zeigt und dann stehen bleibt. Die meisten Telefonkameras zeigen das Ziel vor dem Öffnen in einem kleinen Banner — lesen Sie das Banner, statt es aus Reflex anzutippen, und lesen Sie das Ende der Adresse, nicht den Anfang.
- Seien Sie dort am misstrauischsten, wo der Einsatz am höchsten und die Fläche öffentlich ist: bei allem, was in einer Zahlung endet, und bei allem, was draußen hängt. Der Code am Parkautomaten verdient mehr Nachdenken als der am Museumsschild.
- Ein Code, der geradewegs auf eine Anmelde- oder Kartendaten-Seite führt, ist der Moment innezuhalten und stattdessen die Adresse einzutippen, die Sie ohnehin kennen. Die echte Fassung dieser Seite ist nie mehr als ein paar Tastenanschläge entfernt.
- WLAN- und Visitenkarten-Codes verdienen dieselbe Pause: Der eine bittet Ihr Telefon, sich ein Netz zu merken, der andere, eine Person zu speichern. Beides ist in Ordnung, wenn es wissentlich geschieht, und keines von beiden sollte stillschweigend passieren.
Wie sich der Leser hier verhält
Diese Seite hat einen QR- und Barcode-Leser, und er ist auf der Regel gebaut, für die diese Seite geworben hat: Er öffnet niemals etwas. Der entschlüsselte Text wird vollständig ausgedruckt, der Host, den die Adresse wirklich erreichen würde, wird auf eine eigene Zeile herausgezogen, und die drei Verkleidungen von oben werden geprüft und beim Namen genannt, wenn sie auftauchen. Das Öffnen des Links ist ein eigener Knopf, gedrückt nach dem Lesen — oder nie.
Das Lesen selbst geschieht auf Ihrer eigenen Maschine. Das Bild, das Sie scannen, wird in Ihrem Browser entschlüsselt und nirgendwohin geschickt. Einen Code, dem Sie misstrauen, können Sie also untersuchen, ohne dass irgendjemand — diese Seite eingeschlossen — erfährt, was er sagte; die Seite arbeitet mit abgeschaltetem WLAN weiter, was der einfachste Weg ist, diese Behauptung zu prüfen. Und eine Nutzlast, die offen feindselig ist, etwa eine javascript:-Adresse, die im Öffnenden Code ausführen würde, bekommt gar keinen Link, sondern wird als das benannt, was sie ist.
Die andere Hälfte gibt es auch: einen QR-Code-Generator, der Codes auf Ihrer eigenen Maschine zeichnet, und einen begleitenden Ratgeber über das Erstellen eines Codes samt Beweis, dass er sich scannen lässt, bevor er in den Druck geht. Und falls hinter Ihrer Frage die größere steckte — was es eigentlich bedeutet, einer Website irgendetwas auszuhändigen —, hat die eine eigene Seite.