Die Warnsignale
- Aufkleber über einem anderen Code: an Parkscheinautomaten, Plakaten oder Speisekarten. Lässt er sich abziehen, seien Sie misstrauisch.
- Unbekannter Kurz-URL-Dienst: er verbirgt das eigentliche Ziel. Ein seriöses Unternehmen nutzt vielleicht einen eigenen Dienst, aber keinen beliebigen.
- Domain mit Tippfehlern:
paypa1.com,banco-seguro-verificacion.com, lange Subdomains, die eine Marke nachahmen. - Druck und Drohung: „Ihr Konto wird gesperrt", „zahlen Sie innerhalb von 10 Minuten", „bestätigen Sie, um Ihr Paket nicht zu verlieren".
- Unmögliche Forderung: ein QR-Code auf der Straße, der nach dem Bankpasswort oder den Kartendaten fragt.
So prüfen Sie es in der Praxis
- Verwenden Sie einen Scanner, der die URL anzeigt und nicht automatisch öffnet.
- Lesen Sie die Domain von rechts nach links: Was vor dem ersten Schrägstrich steht, zählt.
- Vergleichen Sie mit der offiziellen Domain, die Sie kennen, nicht mit der auf dem Plakat.
- Verlangt die Zielseite eine Anmeldung, schließen Sie sie und geben Sie die Adresse von Hand ein.
- Geht es um eine Zahlung, öffnen Sie Ihre Bank-App und zahlen Sie von dort aus; scannen Sie keinen QR-Code, der Ihnen zum „Empfangen" geschickt wird.
Warum HTTPS nicht ausreicht
Ein Zertifikat belegt nur, dass die Verbindung verschlüsselt ist, nicht, wer dahintersteckt. Jeder kann eines für eine neue Domain erhalten. Die richtige Frage ist nicht „Gibt es ein Schloss?", sondern „Ist diese Domain wirklich die des Unternehmens, das sie vorgibt zu sein?".
Regel: Wenn der QR-Code Sie auffordert, eine App außerhalb der offiziellen Stores zu installieren, Zugriff auf Ihren Bildschirm zu gewähren oder über einen Ihnen unbekannten Weg zu zahlen, stoppen Sie.
Wenn Sie bereits gescannt haben
Schließen Sie die Seite, ohne etwas einzugeben. Haben Sie Zugangsdaten eingegeben, ändern Sie sie über die App oder die offizielle Website und aktivieren Sie die Zwei-Faktor-Authentifizierung. Haben Sie Kartendaten preisgegeben, rufen Sie Ihre Bank an und lassen Sie das Zahlungsmittel sperren. Haben Sie ein Profil oder eine unbekannte App installiert, deinstallieren Sie sie und prüfen Sie die Berechtigungen. Bewahren Sie einen Screenshot des Codes und des Plakats auf: Das hilft bei der Meldung.
Melden Sie den gefälschten QR-Code dem Betrieb und, falls er im öffentlichen Raum hängt, den örtlichen Behörden oder dem Rathaus. Überklebte Codes betreffen meist viele Nutzer.
Häufige Fragen
Ist HTTPS sicher?
Es verschlüsselt, beweist aber keine Identität.
Wie sehe ich das Ziel?
Mit einem Scanner, der die URL vor dem Öffnen anzeigt.
Und wenn ich schon gescannt habe?
Schließen Sie die Seite, ändern Sie Passwörter und informieren Sie Ihre Bank, wenn Sie Zahlungsdaten eingegeben haben.
QR-Codes auf der Straße?
Ja, prüfen Sie, ob kein Aufkleber darüber angebracht ist.