QR-Code gescannt? Prüfen Sie zuerst die Webadresse

Der Vorteil eines QR-Codes ist, dass Sie nichts eintippen müssen. Genau das ist auch seine Schwäche: Wohin er führt, sehen Sie erst, wenn Ihr Handy ihn gelesen hat, und dann genügt ein Tippen, um die Seite zu öffnen. Dieser kurze Beitrag zeigt, worauf Sie in diesen wenigen Sekunden achten sollten.

Ein QR-Code verbirgt sein Ziel

Für Sie ist ein QR-Code ein Muster aus schwarzen und weißen Quadraten. Für Ihr Handy ist er Text, meist eine Webadresse. Jeder mit einem Drucker kann einen Code erstellen, der irgendwohin führt, und dem Muster sehen Sie nicht an, ob ihn wirklich das Unternehmen angebracht hat, dessen Logo daneben steht. Phishing mit QR-Codes hat sogar einen eigenen Namen bekommen: Quishing.

Es geht nicht nur um Aufkleber auf der Straße. Microsoft zählte im Januar 2026 7,6 Millionen Phishing-Angriffe mit QR-Codes per E-Mail und im März 18,7 Millionen, meist versteckt in PDF-Anhängen (70 % im März) oder Word-Anhängen (DOC/DOCX, 24 %) (Microsoft, 30. April 2026). Im folgenden Quartal sank das monatliche Volumen wieder, auf 8,3 Millionen im Juni (Microsoft, 23. Juli 2026). Die Zahlen schwanken; der Trick bleibt derselbe.

Die Adresse prüfen, bevor Sie sie öffnen

Viele Kamera-Apps und QR-Scanner zeigen die Webadresse an, bevor sie sie öffnen. Halten Sie dort inne und lesen Sie sie. Hat Ihre Scanner-App eine Einstellung, die Links nach dem Scannen automatisch öffnet, schalten Sie sie aus. Das empfiehlt auch INCIBE, das nationale Cybersicherheitsinstitut Spaniens (INCIBE, 4. August 2026). Eine Seite, die sofort aufgeht, lässt Ihnen keinen Moment zum Prüfen.

Stellen Sie sich dann eine Frage: Ist das die Adresse, die ich erwartet habe? INCIBE rät, zu prüfen, ob die angezeigte Webadresse mit der offiziellen Domain des Betriebs oder des erwarteten Dienstes übereinstimmt. Eine Parkgebühr gehört auf die Website der Stadt oder des Parkraumbetreibers, eine Speisekarte auf die eigene Website des Restaurants oder zu einem Dienst, den es erkennbar nutzt.

Die entschlüsselte Adresse ist die erste Station, nicht unbedingt die letzte: Eine normal aussehende Adresse kann Sie woandershin weiterleiten, und an der Adresse sehen Sie nicht, wo diese Kette endet oder was die Seite enthält. Bei allem, was heikel ist, öffnen Sie lieber die offizielle App oder ein Lesezeichen, dem Sie vertrauen, und öffnen Sie einen verdächtigen Link nicht, nur um herauszufinden, was dahintersteckt.

Die Domain lesen, nicht nur den Anfang

Phishing-Adressen sind darauf ausgelegt, einen flüchtigen Blick zu überstehen. Oft beginnen sie mit dem Namen, den Sie erwarten, und das eigentliche Ziel steht weiter hinten. Einige typische Muster, mit erfundenen Adressen für eine Stadt namens Hafendorf (.example ist für Beispiele reserviert):

• Der richtige Name an der falschen Stelle: In hafendorf.example.zahl-portal.example/parken lautet die Domain zahl-portal.example. Der vertraute Name am Anfang ist nur Dekoration.
• Zusätzliche Wörter: hafendorf-parken-bezahlen.example klingt offiziell, ist aber eine andere Domain als hafendorf.example, registriert von wem auch immer.
• Ähnlich aussehende Zeichen: hafend0rf.example mit einer Null statt eines o, oder rn anstelle von m.
• Gekürzte Links: Eine kurze Domain mit einem zufälligen Code dahinter verrät nichts über das Ziel. Wohin er führt, sehen Sie erst nach dem Öffnen.

So finden Sie die Domain: Überspringen Sie https:// und lesen Sie bis zum ersten /, ? oder #, oder bis zum Ende der Adresse, wenn keines davon folgt. Dieser Teil enthält den Host; eine Portnummer am Ende, etwa :8443, und alles vor einem @ gehören nicht dazu. Lesen Sie den Host von rechts nach links. In parken.hafendorf.example/bezahlen ist die maßgebliche Domain hafendorf.example, und das parken. davor hat der Inhaber dieser Domain gewählt. Alles nach dem Host kann beliebig sein, auch ein vertrauter Name: In https://zahl-portal.example?next=hafendorf.example/bezahlen ist der Host zahl-portal.example, weil das ? zuerst kommt. Enthält dieser Teil ein @ oder können Sie nicht sicher erkennen, welcher Teil die Domain ist, behandeln Sie den Code als verdächtig und rufen Sie die offizielle Website oder App selbst auf.

Mehr zum Lesen eines Hostnamens, auch mit Buchstaben aus anderen Alphabeten, finden Sie in Andere Domain hinter dem Link: Warnsignal oder harmlos?

Aufkleber, Strafzettel und Zahlungsaufforderungen

Der direkteste Trick braucht keine E-Mail: ein Aufkleber mit einem falschen Code über dem echten. Im März 2025 warnte die Stadtverwaltung von Alicante, dass an den ORA-Parkautomaten Aufkleber mit falschen QR-Codes gefunden worden waren, die auf betrügerische Seiten zum Abgreifen von Bankdaten führten. Ihr Rat: Prüfen Sie, ob der Code nicht ein Aufkleber über dem Original ist (El Español, 10. März 2025).

In New York gaben der Bezirksstaatsanwalt von Manhattan und die städtische Untersuchungsbehörde (DOI) am 30. September 2026 bekannt, dass 64 falsche QR-Codes von Parkautomaten in Manhattan entfernt worden waren. Laut der Pressemitteilung stand auf dem Code, den ein Opfer scannte, „Web Pay. Scan to Pay“; er klebte über dem offiziellen PARKNYC-Aufkleber und führte zu einer Website mit dem offiziellen PARKNYC-Logo, die nach Kartendaten fragte. Gegen einen Mann wurde Anklage erhoben; die Anklagepunkte sind Vorwürfe, keine bewiesenen Tatsachen. Der Staatsanwalt erinnerte die New Yorker daran, dass „the city does not ask you to scan a QR code when parking“: Die Stadt verlangt beim Parken nicht, einen QR-Code zu scannen (Manhattan DA und NYC DOI, 30. September 2026). Das gilt für New York; anderswo kann das Bezahlen per QR-Code echt sein. Prüfen Sie deshalb auf der offiziellen Website oder in der App Ihrer eigenen Stadt oder Ihres Parkraumbetreibers, wie Sie dort bezahlen, und seien Sie vorsichtig bei einem QR-Code, den Sie nicht überprüfen können, besonders bei einem Aufkleber über einem anderen Code.

Auch Strafzettel dienen als Köder. Wie Aragón Digital am 14. Januar 2026 berichtete, veröffentlichte die Policía Local von Zaragoza eine vorbeugende Warnung vor gefälschten Parkknöllchen mit QR-Code hinter dem Scheibenwischer: Bußgelder werden nie per QR-Code oder per Zettel an der Windschutzscheibe zugestellt. In Zaragoza waren zu diesem Zeitpunkt noch keine Fälle bekannt (Aragón Digital, 14. Januar 2026).

Selbst eine Speisekarte kann die Falle sein. INCIBE beschreibt einen echten Fall, in dem der QR-Code eines Restaurants die einzige Möglichkeit war, die Karte zu sehen. Nach der Schilderung des Gastes wurde direkt nach dem Bestätigen eines scheinbaren Cookie-Hinweises ein Premium-Abo aktiviert, das nie bestellt worden war, und andere Gäste waren auf die gleiche Weise betroffen. INCIBE erklärt nicht, wie das Abo zustande kam. Wenn eine Speisekarte unerwartete Berechtigungen, ein Konto oder Zahlungsdaten verlangt, brechen Sie ab und fragen Sie im Restaurant nach.

Schauen Sie sich also zuerst den Code selbst an, bevor Sie im öffentlichen Raum scannen, etwa an einem Parkautomaten, einer Ladesäule, auf einer Speisekarte oder einem Plakat. Ist es ein Aufkleber auf etwas anderem? Wirkt er fehl am Platz? Misstrauen Sie jedem Strafzettel und jeder Zahlungsaufforderung, die als QR-Code kommt, und prüfen Sie sie über den offiziellen Weg.

Nicht über einen QR-Code anmelden oder bezahlen, den Sie nicht überprüfen können

Meine Regel ist einfach: Melden Sie sich nicht über einen QR-Link an, den Sie nicht überprüfen können, und bezahlen Sie nicht darüber. Sie sind über eine Adresse dorthin gekommen, die Sie vorher nicht lesen konnten. Verlangt ein Code, dass Sie sich anmelden oder bezahlen, schließen Sie die Seite und gehen Sie selbst zur offiziellen Website oder App: die Park-App, die Sie bereits nutzen, die App Ihrer Bank, die Adresse, die Sie kennen. Im Zweifel tippen Sie die offizielle Adresse selbst ein, statt dem Code zu vertrauen.

Eine App, die zeigt, was in einem QR-Code steckt

Zur Offenlegung: Diese App habe ich selbst entwickelt. QR Quishing Detector von Magentron scannt QR-Codes und ähnliche Codes und zeigt, was darin steht, wobei versteckte oder tarnende Zeichen sichtbar gemacht werden, bevor irgendetwas geöffnet wird. Für Webadressen vergibt die App eine Risikobewertung LOW, MEDIUM oder HIGH und erklärt jeden Punkt. Die Risikoprüfungen laufen offline auf Ihrem Handy, und die App ruft die gescannte Adresse nie auf. Ich sammle nichts: kein Konto, keine Analyse, kein Tracking. Eine optionale Abfrage des Domainalters, standardmäßig ausgeschaltet, sendet nur die Domain, nicht die vollständige Adresse, an die Registry dieser Domain; deren Betreiber sieht Ihre IP-Adresse und den Zeitpunkt der Anfrage, wie die Datenschutzerklärung erklärt. Das gemeldete Alter ändert die Risikobewertung nicht.

Eine Bewertung ist ein Grund, genauer hinzusehen, kein Urteil: Eine niedrige Bewertung heißt nicht, dass ein Link sicher ist, und eine hohe ist kein Beweis für Phishing. Ein Teil der heuristischen Logik, der Prüfungen und Gewichtungen beruht auf der Arbeit von Nieves Casquero (qr_forense.py, MIT-Lizenz).

Ein QR-Code mit einer Webadresse ist ein Link ohne Linktext, also gilt dieselbe Gewohnheit wie bei E-Mails: Sehen Sie nach, wohin ein Link führt, bevor Sie ihn öffnen. Für Links in E-Mails und im Web lesen Sie Reveal URLs: Phishing-Links erkennen, bevor Sie klicken, und warum Mail-Apps die Adresse standardmäßig zeigen sollten, erklärt E-Mail-Link-Phishing: Warum Ihre Mail-App immer die URL anzeigen sollte.