Selbst harmlose QR-Codes in Restaurants oder auf Parkuhren können gefährlich sein, denn Gauner nutzen diese für sogennantes „Quishing“ aus.
Im Alltag sind QR-Codes mittlerweile nicht mehr wegzudenken. Ob im Restaurant, an der Parkuhr, dem Zug- oder Konzertticket – die Quadrate mit den schwarz-weißen Mustern haben sich zwischen der physischen und der digitalen Welt etabliert. Genau diese Selbstverständlichkeit nutzen Kriminelle aus. Dies heißt „Quishing“, eine neu zusammengesetztes Wort aus QR und Phishing – und es funktioniert erstaunlich gut. Denn anders als bei einem verdächtigen Link in einer E‑Mail kann man einem QR-Code nur schwer ansehen, wohin er führt. Dabei sind QR-Codes genau das: Links.
Das Prinzip eines QR-Codes ist einfach und gerade deshalb so gefährlich. Betrüger erstellen einen eigenen QR-Code, der auf eine gefälschte Website führt. Diesen Code kleben sie über einen legitimen QR-Code – etwa auf einem Plakat oder einer Parkuhr. Scannt man den manipulierten Code, landet man auf einer täuschend echt aussehenden Webseite, die zum Beispiel zur Eingabe von Kreditkartendaten, Log-in-Informationen oder anderen sensiblen Daten auffordert.
Der gesamte Vorgang sieht vollkommen normal aus. Man scannt den QR-Code an einem Parkautomaten und gibt dann seine Zahlungsdaten ein. Genauso, wie man es schon viele Male zuvor auch getan hat. Nur dass die Daten dieses Mal nicht beim Parkplatzbetreiber landen, sondern bei Cyberkriminellen. Besonders wenn man unter Zeitdruck steht oder das Bezahlen per QR-Code erwartet, ist das Risiko höher als normal.
Eine andere Variante kommt per E-Mail oder vielleicht sogar per Post. Dabei erhalten Opfer ein Schreiben, das etwa von einer Bank oder einem Paketdienst zu stammen scheint, inklusive QR-Code. Viele Spamfilter können QR-Codes in Bildern nicht auswerten und lassen die Nachricht daher ungehindert durch. Und ein Brief den man in der Hand hält wirkt auf viele Menschen grundsätzlich vertrauenswürdiger als eine E-Mail, obwohl auch Briefe problemlos gefälscht werden können.
Quishing nutzt gleich mehrere Schwachstellen aus. Während man bei einem Link in einer E-Mail relativ einfach die URL sehen und beurteilen kann, ist das bei einem QR-Code mit bloßem Auge schwieriger. Die meisten QR-Scanner zeigen nicht die ganze URL des Links an, bevor man darauf tippt, einige gar keine. QR-Codes sind neuer als Links in E-Mails. Dass man nicht auf einen fragwürdigen Link in einer E‑Mail klickt, ist den meisten mittlerweile bekannt. Bei QR-Codes scannen viele Leute, ohne groß nachzudenken. Die Erstellung eines gefälschten QR-Codes ist sehr einfach und ein Aufkleber über dem Original reicht aus, um den Angriff zu starten.
Doch wie kann ich mich schützen?
Prüfen Sie zunächst den physischen QR-Code. Ist ein Aufkleber über einem bestehenden Code angebracht? Lässt sich der Sticker ablösen? Gerade an Parkuhren und öffentlichen Aushängen lohnt sich ein kurzer Blick. Wenn etwas überklebt wirkt, scannen Sie den Code besser nicht.
Kontrollieren Sie nach dem Scannen immer die URL, bevor Sie Daten eingeben. Viele Smartphone-Kameras zeigen die Zieladresse als Vorschau an. Achten Sie auf verdächtige Abweichungen: Tippfehler, ungewöhnliche Domains oder überflüssige Zeichenketten sind Warnsignale. Wenn Ihnen etwas komisch vorkommt, brechen Sie ab.
Geben Sie niemals sensible Daten wie Passwörter oder Kreditkartennummern auf einer Seite ein, die Sie über einen QR-Code erreicht haben, ohne die URL vorher genau geprüft zu haben. Im Zweifelsfall navigieren Sie lieber manuell zur offiziellen Website des Anbieters.
Für einige Anwendungszwecke lohnt es sich auch, auf den QR-Code zu verzichten, weil er nicht notwendig ist. Zum Beispiel können Sie beim Parken auch mit der Parking-App direkt bezahlen, ohne einen QR-Code scannen zu müssen. Das Menü gibt es auch direkt auf der Restaurant-Website oder gedruckt vor Ort im Restaurant.. Da der QR-Code nur ein Link ist, findet man meistens auch einen anderen Weg ans Ziel. Aber eben nicht so bequem.
Quishing ist keine besonders ausgefinkelte Attacke. Sie setzt auf Routine, Vertrauen und Bequemlichkeit. Ein paar ausgedruckte Aufkleber kosten praktisch nichts und können an stark frequentierten Orten enormen Schaden anrichten. Wer sich angewöhnt, QR-Codes mit der gleichen Vorsicht zu behandeln wie Links in E-Mails, ist bereits gut geschützt. Ein kurzer Blick auf die URL und ein gesundes Misstrauen reichen in den meisten Fällen aus, um nicht in die Falle zu tappen.