QR-Codes können bösartig sein — so prüfst du sie vorher sicher

QR-Codes haben sich von einem Marketing-Gimmick zu etwas entwickelt, das wirklich überall auftaucht — Speisekarten, Parkgebühren, Event-Check-ins, Paketverfolgung. Genau diese Allgegenwart macht sie zu einem praktischen Phishing-Werkzeug: Ein bösartiger QR-Aufkleber über einem echten Code sieht bis zu dem Moment, in dem ihn dein Handy öffnet, identisch aus wie das Original.

So sieht 'QR-Phishing' (Quishing) aus

• Ein Aufkleber über einem echten QR-Code auf einer Parkuhr, der zu einer gefälschten Zahlungsseite führt.
• Ein QR-Code in einer E-Mail, der über einen verkürzten Link zu einer Seite zum Abgreifen von Zugangsdaten führt.
• Ein Code auf einem Flyer oder Plakat, der angeblich einen Rabatt freischaltet, in Wirklichkeit aber etwas Unerwünschtes installiert.

Erst prüfen, dann öffnen

Der QR-Scanner von Filenary liest den Code aus einem hochgeladenen Foto aus und zeigt dir den reinen Inhalt — meist eine URL — an, ohne ihn automatisch in deinem Browser zu öffnen. Genau in dieser Lücke zwischen Scannen und Klicken kannst du dir die Domain ansehen und entscheiden, ob es wirklich die erwartete ist.

Ein Hinweis zur Browser-Unterstützung

Dieses Tool nutzt die native BarcodeDetector API, die in Chromium-basierten Browsern (Chrome, Edge) eingebaut ist. Firefox und Safari haben diese API bislang nicht implementiert, weshalb das Scannen derzeit nur in Chromium-Browsern funktioniert — das Tool weist dich klar darauf hin, wenn dein Browser nicht unterstützt wird, statt einfach stillschweigend zu scheitern.

Worauf du wirklich achten solltest

Sobald du die entschlüsselte URL siehst, betrachte die Domain genauso kritisch wie bei einer verdächtigen E-Mail: Passt sie zu dem Unternehmen, das du erwartest, oder handelt es sich um eine Fake-Domain, eine rohe IP-Adresse oder einen fachfremden Kürzungsdienst?