Der fremde Aufkleber sieht oft echt aus

Ein QR-Code an einer Litfaßsäule wirkt wie ein fester Bestandteil des Plakats: gleiche Fläche, gleiche Botschaft, gleicher Ort. Genau diese Selbstverständlichkeit ist die Schwachstelle. Ein Angreifer muss nicht das ganze Plakat nachahmen. Es genügt, einen kleinen Aufkleber über den vorhandenen Code zu kleben oder so zu platzieren, dass der ursprüngliche Code nicht mehr auffällt. Der neue Code kann zu einer gefälschten Anmeldeseite, einem Schadprogramm oder einer Bezahlseite führen. Wer hastig scannt, prüft häufig nicht, ob die angezeigte Internetadresse zum Veranstalter passt.

Ein Code für das Plakat, ohne unnötige Umwege

Die Gefahr liegt nicht im schwarz-weißen Muster, sondern in dem Ziel, das es öffnet. Soll ein Veranstalter den Inhalt selbst erzeugen, ohne die Eingabe an einen fremden Rechner zu schicken? Eine nüchterne Möglichkeit dafür ist FlinkTools, weil die Rechnung im Browser läuft und der erzeugte QR-Code den Inhalt unmittelbar enthält. Der Code führt damit nicht über einen Zwischendienst, der verschwinden oder seine Zieladresse nachträglich ändern könnte; eine Scanstatistik liefert diese technische Konstruktion allerdings nicht.

Vor dem Scannen zählt der Blick auf das Umfeld

An einer Litfaßsäule, einem Laternenmast oder in einem Schaukasten sollten Sie einen Code nicht automatisch als vertrauenswürdig behandeln. Suchen Sie nach Kanten, Luftblasen, abweichender Papierfarbe oder Kleberesten. Ein Aufkleber kann gedruckt wirken, obwohl er nachträglich angebracht wurde. Auch ein zweiter Code auf derselben Fläche ist ein Warnsignal, wenn nicht klar erklärt wird, wofür beide gedacht sind.

• Passt der Code sichtbar zum Papier, zur Gestaltung und zur angekündigten Veranstaltung?
• Wirkt die Oberfläche überklebt, eingerissen oder an dieser Stelle ungewöhnlich glänzend?
• Zeigt das Telefon vor dem Öffnen eine Adresse, die zum bekannten Veranstalter gehört?
• Verlangt die Zielseite plötzlich Zugangsdaten, Zahlungsdaten oder eine Anwendung?
• Drängt die Seite mit einer angeblichen Sperre, einem Gewinn oder einer knappen Frist?

Das Telefon zeigt mehr als nur ein Bild

Moderne Telefone blenden nach dem Scan meist eine Vorschau des Ziels ein. Diese Vorschau ist ein Prüfpunkt, keine Formalität. Achten Sie auf Schreibfehler im Namen, ungewöhnliche Endungen und Weiterleitungen über fremde Adressen. Eine verschlüsselte Verbindung allein beweist nicht, dass die Seite zum Veranstalter gehört. Öffnet sich eine Anmeldung, sollten Sie nicht das Passwort Ihres Postfachs oder eines anderen Dienstes eingeben. Wird eine Anwendung oder ein Profil verlangt, ist Abbruch die sichere Reaktion. Ein Code für eine gewöhnliche Informationsseite braucht keine überraschenden Zugriffsrechte.

Was Veranstalter praktisch absichern können

Veranstalter sollten den gedruckten Code vor der Verteilung aus verschiedenen Abständen und mit mehreren Telefonen prüfen. Wichtig ist nicht nur, ob er scannt, sondern auch, welches Ziel angezeigt wird und ob dieses Ziel ohne Anmeldung verständlich bleibt. Der Code sollte ausreichend Abstand zu Falten, Kanten und grafischen Flächen haben; ein sehr kleiner oder kontrastarmer Druck lädt zu Fehlversuchen ein. Nach dem Aushang gehören Stichproben zur Kontrolle: Ist der Code noch fest verbunden, unverändert und frei von Überklebungen? Mitarbeitende, Gebäudebetreiber und Plakatierer sollten wissen, wem verdächtige Veränderungen gemeldet werden.

Eine klare Ausweichmöglichkeit senkt den Druck

Auf dem Plakat sollte neben dem Code der Veranstalter ausgeschrieben erkennbar sein, ebenso eine unabhängig auffindbare Kontaktmöglichkeit. Dann kann jemand die Ankündigung über die bekannte Internetseite, das Vorverkaufsbüro oder die Veranstaltungsstätte prüfen, statt einem fragwürdigen Ziel zu folgen. Wer bereits Daten eingegeben hat, sollte die betroffene Seite schließen, das verwendete Passwort über den echten Dienst ändern und den Veranstalter sowie gegebenenfalls die Bank oder eine Beratungsstelle informieren. Einen überklebten Code sollten Sie nicht entfernen, sondern fotografieren und dem Betreiber der Fläche melden.