Sicherheits-Tipps
Die QR-Code-Falle
Bild 1: QR-Codes sind allgegenwärtig, aber auch anfällig für Betrügereien
PCtippQR-Codes sind aus dem Alltag nicht mehr wegzudenken. Ob im Restaurant, an der Parkuhr oder auf dem Konzertticket – die kleinen Quadrate mit den schwarz-weissen Mustern haben sich als praktische Brücke zwischen der physischen und der digitalen Welt etabliert. Genau diese Selbstverständlichkeit machen sich Kriminelle zunutze. Die Masche heisst «Quishing», eine Kunstwort aus QR und Phishing – und sie funktioniert erstaunlich gut. Denn: Anders als bei einem verdächtigen Link in einer E‑Mail kann man einem QR-Code nur schwer ansehen, wohin er führt. Dabei sind QR-Codes genau das: Links. Und so sollte man sie auch behandeln, Bild 1.
Wie geht Quishing?
Das Prinzip ist simpel und gerade deshalb so gefährlich. Betrüger erstellen einen eigenen QR-Code, der auf eine gefälschte Website führt. Diesen Code kleben sie über einen legitimen QR-Code – etwa auf einer Parkuhr oder einem Plakat. Scannt ein argloses Opfer den manipulierten Code, landet es auf einer täuschend echt aussehenden Webseite, die zum Beispiel zur Eingabe von Kreditkartendaten, Log-in-Informationen oder anderen sensiblen Daten auffordert.
Bild 2: Das Bezahlen per QR-Code ist durch Quishing besonders gefährdet
PCtippDas Tückische daran: Der gesamte Vorgang fühlt sich vollkommen normal an. Man steht vor einem Parkautomaten, scannt den QR-Code und gibt seine Zahlungsdaten ein. Genau so, wie man es schon dutzende Male getan hat. Nur dass die Daten dieses Mal nicht beim Parkplatzbetreiber landen, sondern bei Cyberkriminellen. Besonders in Situationen, in denen man unter Zeitdruck steht oder das Bezahlen per QR-Code erwartet, ist das Risiko erhöht, Bild 2.
Eine weitere Variante kommt per E-Mail oder sogar per Briefpost. Dabei erhalten Opfer ein Schreiben, das etwa von einer Bank oder einem Paketdienst zu stammen scheint, inklusive QR-Code. Der Vorteil für die Betrüger: Viele Spamfilter können QR-Codes in Bildern nicht auswerten und lassen die Nachricht daher durch. Und ein physischer Brief wirkt auf viele Menschen grundsätzlich vertrauenswürdiger als eine E-Mail – obwohl auch Briefe problemlos gefälscht werden können.
Wieso ist es so effektiv?
Quishing nutzt gleich mehrere Schwachstellen aus. Erstens sind QR-Codes von Natur aus undurchsichtig. Während man bei einem Link in einer E-Mail relativ einfach die URL sehen und beurteilen kann, ist das bei einem QR-Code mit blossem Auge schwieriger. Die meisten QR-Scanner zeigen nicht die ganze URL des Links an, bevor man darauf tippt, einige gar keine. Zweitens sind QR-Codes noch neuer als Links in E-Mails. In den vergangenen Jahren sind die kleinen Codes vertraut geworden, es fehlt allerdings noch an Sensibilisierung. Dass man nicht auf einen merkwürdigen Link in einer E‑Mail klickt, ist hinlänglich bekannt. Bei QR-Codes scannen viele Leute, ohne gross nachzudenken. Drittens ist die Erstellung eines gefälschten QR-Codes kinderleicht. Ein Aufkleber über dem Original reicht aus, um den Angriff zu starten.
Dazu kommt, dass Smartphone-Browser die URLs nach dem Scannen oft nur gekürzt oder unvollständig anzeigen. Eine Adresse wie secure-parking-pay.com wirkt auf dem kleinen Handy-Bildschirm plausibel genug, um den meisten Nutzern nicht aufzufallen.
Bild 3: Dieser Code funktioniert nur in Twint und ist somit sicherer als ein Weblink
PCtippSo schützen Sie sich
Die gute Nachricht: Man muss nicht komplett auf QR-Codes verzichten. Mit ein paar einfachen Gewohnheiten lässt sich das Risiko deutlich senken, Bild 3.
Prüfen Sie zunächst den physischen QR-Code. Ist ein Aufkleber über einem bestehenden Code angebracht? Lässt sich der Sticker ablösen? Gerade an Parkuhren und öffentlichen Aushängen lohnt sich ein kurzer Blick. Wenn etwas überklebt wirkt, scannen Sie den Code besser nicht.
Kontrollieren Sie nach dem Scannen immer die URL, bevor Sie Daten eingeben. Die meisten Smartphone-Kameras zeigen die Zieladresse als Vorschau an. Achten Sie auf verdächtige Abweichungen: Tippfehler, ungewöhnliche Domains oder überflüssige Zeichenketten sind Warnsignale. Wenn Ihnen etwas komisch vorkommt, verzichten Sie.
Geben Sie niemals sensible Daten wie Passwörter oder Kreditkartennummern auf einer Seite ein, die Sie über einen QR-Code erreicht haben, ohne die URL vorher genau geprüft zu haben. Im Zweifelsfall navigieren Sie lieber manuell zur offiziellen Website des Anbieters.
Für einige Anwendungszwecke lohnt es sich auch, auf den QR-Code zu verzichten, weil er schlicht nicht nötig ist. Beispielsweise können Sie beim Parkieren auch mit der App des Parkieranbieters direkt bezahlen, ohne einen QR-Code scannen zu müssen. Das Menü gibt es auch direkt auf der Restaurant-Website. Da der QR-Code einfach ein Link ist, findet man meistens auch anderweitig einen Weg ans Ziel. Wenn halt auch weniger bequem.
Was tun im Ernstfall?
Falls Sie den Verdacht haben, auf eine Quishing-Attacke hereingefallen zu sein, handeln Sie schnell, aber nicht überhastet. Ändern Sie die Passwörter der betroffenen Konten, idealerweise über ein anderes Gerät oder über die offizielle App des Dienstes.
Kontaktieren Sie Ihre Bank, falls Sie Zahlungsdaten eingegeben haben, und lassen Sie eine gegebenenfalls betroffene Karte sperren. Falls Sie ein eingegebenes Passwort anderswo weiterverwenden, sollten Sie diese Zugangsdaten ebenfalls ändern.
QR-Codes schützen
Falls Sie selbst QR-Codes für Ihr Geschäft oder Ihren Verein verwenden, können Sie Ihre Kundschaft schützen, indem Sie die Codes nicht als lose Aufkleber, sondern fest integriert in Ihre Materialien drucken. Überprüfen Sie zudem regelmässig, ob Ihre QR-Codes noch auf die richtige Seite führen und ob jemand einen Aufkleber darüber angebracht hat. Besonders bei öffentlich zugänglichen Codes, etwa auf Plakaten oder Tischaufstellern, lohnt sich die regelmässige Kontrolle.
Fazit: genau hinschauen
Quishing ist keine besonders raffinierte Attacke, und genau das macht sie so gefährlich. Sie setzt auf Routine, Vertrauen und Bequemlichkeit. Die Methode ist zudem preiswert für die Angreifer: Ein paar gedruckte Aufkleber kosten praktisch nichts und können an stark frequentierten Orten enormen Schaden anrichten. Wer sich angewöhnt, QR-Codes mit der gleichen Vorsicht zu behandeln wie Links in E-Mails, ist bereits gut geschützt. Ein kurzer Blick auf die URL und ein gesundes Misstrauen reichen in den meisten Fällen aus, um nicht in die Falle zu tappen.
Kommentare