20. Oktober 2025, 17:27 Uhr | Lesezeit: 2 Minuten
Kriminelle nutzen zunehmend manipulierte QR-Codes, um Nutzer auf betrügerische oder infizierte Webseiten zu leiten. Da QR-Codes auf den ersten Blick keine Hinweise auf ihr Ziel zeigen, eignen sie sich ideal, um Schadsoftware zu verbreiten oder persönliche Daten zu stehlen. Die Täter kombinieren dabei oft mehrere Tricks, um Schutzsysteme zu umgehen und möglichst viele Opfer zu erreichen.
Laut „Barracuda“ sind solche Angriffe besonders gefährlich, da sie kaum zu erkennen sind. Die QR-Codes wirken meist völlig normal und können in E-Mails, auf Plakaten oder Webseiten auftauchen. Nutzer sollten daher aufmerksam bleiben und QR-Codes nur scannen, wenn der Ursprung eindeutig vertrauenswürdig ist.
Auch interessant: QR-Code vom eigenen Bildschirm ohne zweites Gerät scannen
So manipulieren Betrüger QR-Codes
Eine häufige Methode besteht darin, einen QR-Code in zwei separate Teile zu zerschneiden und die Hälften anschließend nebeneinander zu platzieren – etwa in einer E-Mail oder auf einer gefälschten Website. Für sich genommen sehen beide Bilder harmlos aus, doch zusammengesetzt führen sie beim Scannen auf eine schädliche Seite. Sicherheitsprogramme erkennen die einzelnen Teile meist nicht als Bedrohung, da sie isoliert nicht funktionsfähig sind.
Ebenfalls verbreitet sind verschachtelte QR-Codes, bei denen mehrere Codes übereinandergelegt werden. Je nach Abstand beim Scannen wird ein anderer Code ausgelesen – aus der Ferne möglicherweise ein unbedenklicher, aus der Nähe hingegen ein gefährlicher, der zu Malware oder Phishing-Seiten führt.
Tipps für den sicheren Umgang mit QR-Codes
Die Polizeiberatung warnt vor diesem sogenannten „Quishing“, was so viel wie QR-Code-Phishing bedeutet. Wer sich schützen will, sollte QR-Codes nur in nachvollziehbaren Situationen nutzen. In E-Mails oder Nachrichten sind sie grundsätzlich verdächtig, da ein normaler Link oft sicherer und transparenter ist. Auch an öffentlichen Orten sollten QR-Codes mit Vorsicht behandelt werden, da sie leicht überklebt oder ausgetauscht werden können.
Zusätzlich empfiehlt sich eine Sicherheits-App auf dem Smartphone, die verdächtige Webseiten automatisch blockiert. Nutzer sollten außerdem immer prüfen, ob die angezeigte URL plausibel ist, bevor sie persönliche Daten eingeben oder etwas herunterladen. Ein gesunder Zweifel kann dabei vor großem Schaden bewahren.