QR-Codes und Quishing: Was Sie wissen sollten
QR-Codes begegnen Verbraucherinnen und Verbrauchern überall im Alltag, auf Plakaten, Postkarten und Anzeigen, unter Zeitschriftenartikeln, auf Verpackungen, Visitenkarten und sogar auf Textilien oder Werbemitteln. QR steht für „quick response“ was übersetzt in etwa „schnelle Auskunft“ bedeutet. Die QR-Codes können mithilfe von Smartphones oder Tablet-PCs über verschiedene Apps ausgelesen werden und bieten vielfältige Nutzungsmöglichkeiten.
QR-Codes ermöglichen eine schnelle Auskunft, weil sie per Smartphone-App – dem sogenannten QR-Code-Reader - die im QR-Code hinterlegten Informationen umgehend entschlüsseln können. Den Code einzulesen ist wesentlich komfortabler, als lange Links einzutippen oder den am Smartphone etwas mühseligen Umweg über Suchmaschinen zu nehmen. Die unbedachte Nutzung solcher Apps birgt aber auch Risiken: Beispielsweise könnte der QR-Code den Nutzer auf eine gefälschte Internetseite leiten oder eine teure Telefonverbindung aufbauen.
Häufig dienen QR-Codes dazu, die Gültigkeit von elektronischen bzw. mobilen Tickets zu überprüfen. Wird ein solches Ticket für Veranstaltungen oder Reisen online gekauft und per MMS, E-Mail oder App auf das Smartphone geschickt, kann der Kontrolleur den QR-Code direkt vom Display des Gerätes abscannen. Dadurch entfällt eine postalische Zustellung oder das Ausdrucken des Tickets.
Verbraucherinnen und Verbraucher können QR-Codes in vielen weiteren Alltagssituationen nutzen. Ein paar Anwendungsbeispiele:
- Öffnen von Links, die auf Internetseiten leiten
- Importieren von Kontakten in das Adressbuch
- Hinzufügen von Terminen in den Kalender des Smartphones
- Direktwahl von Telefonnummern
- Senden von E-Mails, SMS oder MMS
- Einlesen von Produktbeschreibungen oder Zusatzinformationen für Ausstellungsexponate
- Standort-Marker für Geländespiele wie „Geo-Caching“
- Buchungsvorgang von Tickets/Parktickets
- Ladesäulen für Elektroautos
Verbrauchertipps zum Auslesen und Erstellen von QR-Codes
Verbraucherinnen und Verbraucher sollten beim Auslesen und Erstellen von QR-Codes folgende Grundregeln beachten:
- Es sollten ausschließlich QR-Code-Reader oder QR-Code-Apps verwendet werden, die erst nach aktiver Bestätigung durch den Nutzer – und keinesfalls automatisch – eine Webseite öffnen oder eine Telefonnummer anrufen.
- Die im QR-Code-Reader angezeigte Internetseite sollte nur geöffnet werden, wenn die URL, also die angezeigte Internetadresse, vertrauenswürdig aussieht. Verkürzte, nicht identifizierbare Internetadressen sollten aus Sicherheitsgründen nicht aufgerufen werden. Verkürzte Internetadressen können daran erkannt werden, dass beispielsweise „tinyurl.com“ oder „Bit.ly“ in der URL angezeigt wird.
- Bei der Erstellung von eigenen QR-Codes mit Hilfe von sogenannten QR-Generatoren sollte darauf geachtet werden, dass das Programm nur die vom Nutzer eingegebenen Daten in den Code integriert und eine Verwertung der Daten durch Dritte ausgeschlossen ist. Europäische Anbieter unterliegen den hohen europäischen Datenschutzbestimmungen.
- Bei selbst erstellten QR-Codes, die auf eine Internetseite verweisen, sollte kontrolliert werden, ob der Code tatsächlich zum richtigen Ziel führt.
- Von QR-basierten Zahlungslösungen ist abzuraten, da Hacker persönliche Informationen und sensible Daten abschöpfen könnten.
Gefahr durch Quishing - was ist das?
Die Bezeichnung Quishing ist eine Zusammensetzung der Worte "QR-Code" und "Phishing" – also Fischen nach Passworten.
Aktuell wird vor einigen Fällen dieser neuen Masche gewarnt: Kriminelle machen sich die Technik des QR-Codes zunutze und missbrauchen diese für ihre Zwecke. Gefälschte Plakate, Parkautomaten, falsche E-Mails oder Briefe mit QR-Codes von angeblichen Banken führen auf eine Internetseite, auf der man persönliche Daten angeben soll.
Sinn und Zweck dieser Masche ist es, Name, Anschrift, E-Mail-Adresse und Telefonnummer abzufragen, damit Kriminelle diese sensiblen persönlichen Daten verkaufen oder für einen Identitätsdiebstahl missbrauchen können.
Darüber hinaus gibt es Warnungen vor falschen QR-Codes auf E-Ladesäulen. Dort sind die kleinen Quadrate oft zu finden, damit man zum Laden des Elektroautos direkt bezahlen kann. Kriminelle haben offenbar Codes überklebt, sodass Verbraucherinnen und Verbraucher nicht auf die echte Bezahlseite des Anbieters geführt wurden.
Tipps zum Schutz vor Quishing
- Ein QR-Code sollte nur dann abgescannt werden, wenn Nutzerinnen und Nutzer sicher sind, dass er seriös ist. Inzwischen erkennen viele Smartphones einen QR-Code über die Kamera-App. Diese sollten User nur nutzen, wenn die Infos des Codes (z. B. Internet-Adresse) zunächst angezeigt und nicht direkt geöffnet werden.
- Verbraucherinnen und Verbraucher sollten die Adresse genau prüfen und nur dann öffnen, wenn sie sicher sind, dass sie dem echten Anbieter gehört.
- Bei verdächtiger Post lohnt es sich beim Absender anzurufen. User sollten sich nicht auf eine im Brief angegebene Telefonnummer verlassen, sondern auf seriösen Internetseiten recherchieren, ob die Nummer auch dort in Verbindung mit dem Unternehmen zu finden ist.
- Bei einem QR-Code auf einer Ladesäule sollten Betroffene prüfen, ob dieser überklebt wurde. Falls das so ist, nicht abscannen!