Ein QR-Code kann einen gefährlichen Link, eine Zahlungsinformation oder andere Daten enthalten. Der Scan selbst ist meist nicht das Hauptproblem – kritisch wird, was du danach öffnest, eingibst, bestätigst oder installierst.
So funktioniert QR-Phishing
Beim sogenannten Quishing führt ein Code zu einer Phishing-Seite. Sie imitiert beispielsweise Microsoft 365, eine Bank, einen Paketdienst oder eine Parkzahlung. Auf dem Smartphone ist die Adresszeile kleiner, was gefälschte Domains leichter überschaubar macht.
Ein QR-Code kann auch eine Zahlung vorbereiten, eine Telefonnummer wählen oder ein WLAN konfigurieren. Das bedeutet nicht automatisch Gefahr, verlangt aber eine bewusste Bestätigung.
Überklebte und ausgetauschte Codes
Bei Parkuhren, Menükarten, Ladesäulen oder Plakaten kann ein fremder Aufkleber über dem Original liegen. Prüfe Kanten, unterschiedliche Druckqualität und ob der Code zum Kontext passt. Im Zweifel tippe die offizielle Adresse selbst ein oder nutze die offizielle App.
Auch ein sauber gedruckter Code kann manipuliert sein. Die physische Kontrolle ergänzt daher immer die Prüfung der Zieladresse.
Die Zieladresse richtig lesen
Nutze die Vorschau der Kamera-App und öffne nicht blind. Entscheidend ist der registrierte Domainname unmittelbar vor der Endung: «bank.example.ch» gehört example.ch, «example.ch.login-betrug.test» dagegen test.
HTTPS ist wichtig, beweist aber nur eine verschlüsselte Verbindung zur angezeigten Domain. Auch Betrüger können Zertifikate für ihre eigenen Domains erhalten.
Belege: MDN: TLS und HTTPS
Statische QR-Codes sicher erstellen
Ein statischer QR-Code enthält das Ziel direkt. Er benötigt keinen Umleitungsdienst und läuft technisch nicht ab. Prüfe den Inhalt vor dem Download und teste den fertigen Code mit einem zweiten Gerät.
Verwende bei sensiblen Zielen eine kurze, offizielle HTTPS-Adresse. Dynamische Anbieter sind nur sinnvoll, wenn du deren Weiterleitung, Datenschutz und langfristige Verfügbarkeit bewusst akzeptierst.
- Zieladresse in der Vorschau vollständig prüfen
- Keine Zugangsdaten nach unerwartetem QR-Scan eingeben
- Zahlungsempfänger und Betrag vor Freigabe vergleichen
- Keine unbekannte App oder Konfigurationsdatei installieren
- Bei einem überklebten Code die Betreiberin oder den Betreiber informieren
Typische Irrtümer
Das Hauptrisiko entsteht normalerweise beim Öffnen und weiteren Handeln.
HTTPS bestätigt die Verbindung zur angezeigten Domain, nicht deren Absicht.
Er kann auch Zahlungen, Kontakte, WLAN-Daten oder Text enthalten.
Praktische Checkliste
- Auf Überkleber und Manipulation achten
- Vorschau statt automatisches Öffnen nutzen
- Domain Zeichen für Zeichen prüfen
- Keine überraschenden Logins oder Zahlungen bestätigen
- Offizielle Website bei Unsicherheit manuell öffnen
Fazit
QR-Codes sind nicht grundsätzlich gefährlich. Behandle sie wie unbekannte Links: Herkunft prüfen, Zieladresse lesen und sensible Handlungen nur auf eindeutig echten Seiten ausführen.
Quellen und weiterführende Informationen
Alle Anleitungen und Quellen wurden zuletzt am 23. Juli 2026 geprüft. Produktmenüs können sich je nach Version, Region und Hersteller unterscheiden.
