Warum QR-Codes erst prüfen und dann öffnen?
Ein QR-Code ist für Menschen nicht lesbar — man sieht ein Muster, nicht das Ziel. Genau das machen sich Angreifer zunutze: Beim sogenannten Quishing (Phishing per QR-Code) werden manipulierte Aufkleber über echte Codes geklebt, etwa an Parkscheinautomaten, auf Restauranttischen oder Paketaufklebern. Der Scan führt dann auf eine täuschend echt nachgebaute Seite, die Zugangs- oder Zahlungsdaten abgreift.
Weil die Kamera-App vieler Smartphones das Ziel nur kurz und verkürzt einblendet, passiert der entscheidende Fingertipp oft, bevor jemand die Domain wirklich gelesen hat. Ein Leser, der den Inhalt zuerst als Text zeigt, unterbricht diesen Automatismus — du entscheidest bewusst, ob du das Ziel öffnest.
Worauf du beim geprüften Link achten solltest
Sieh dir die Domain unmittelbar vor dem ersten Schrägstrich genau an — Angreifer arbeiten mit Vertippern und angehängten Zusätzen, die im schnellen Lesen kaum auffallen. Skeptisch machen sollten außerdem Weiterleitungen über Kurz-URL-Dienste, bei denen das eigentliche Ziel verborgen bleibt, sowie Codes, die unaufgefordert per Post oder E-Mail kommen und zu einer sofortigen Zahlung auffordern.
Umgekehrt gilt: Wer selbst QR-Codes einsetzt, sollte immer auf die eigene Domain verlinken statt auf einen fremden Kurzlink-Dienst — das schafft Vertrauen und macht Manipulationen leichter erkennbar. Deine eigenen Codes kannst du direkt mit unserem QR-Code-Generator erzeugen.