Egal, ob digital oder auf Papier: Beim Scannen und Nutzen von QR-Codes darf das Vertrauen nicht grenzenlos sein. Denn die quadratischen Pixelcodes können grundsätzlich auch manipuliert werden oder bereits mit betrügerischen Absichten erstellt worden sein, warnt die US-Strafverfolgungsbehörde FBI.

Cyberkriminelle versuchten etwa, ihre Opfer mithilfe von QR-Codes auf gefälschte Websites zu lotsen. Dort werden dann etwa Anmeldedaten für Dienste und Konten sowie sensible Finanzinformationen gestohlen oder Zahlungen, etwa Kryptogeld-Transaktionen, umgeleitet.

Ebenso kann es sein, dass QR-Codes den Download und die Installation von Schadsoftware anstoßen, über die die Täter Zugang zum Gerät und den Daten der Nutzerin oder des Nutzers erhalten.

Damit man nicht in eine QR-Code-Falle tappt, gibt das FBI folgende Tipps:

• Beim Scannen eines Codes prüfen, dass sich tatsächlich die erwartete Website öffnet und diese auch authentisch ist: Die Adresse muss richtig sein und darf nicht etwa Tippfehler oder falsche Buchstaben enthalten.
• Geht es auf einer Website um die Eingabe von Login-Daten, persönlichen Informationen oder Daten, die Geld- und Finanzgeschäfte betreffen, sollte man besonders kritisch sein, wenn die Seite über einen QR-Code aufgerufen wurde.
• Möglichst keine Zahlungen auf Websites vornehmen, auf die man über einen QR-Code gelangt ist. Stattdessen besser die jeweilige (bekannte und vertraute) Internetadresse von Hand eingeben, wenn dort etwas bezahlt werden soll.
• Bei physischen, also gedruckten QR-Codes sollte man sich stets vergewissern, dass nicht etwa ein ursprünglicher Code mit einem anderen Code überklebt worden ist.
• Möglichst keine App-Downloads und -Installationen über QR-Codes starten, sondern Anwendungen aus den offiziellen Stores herunterladen.
• Keine Extra-Scanner-App installieren: In den allermeisten Fällen fungiert die Smartphone-Kamera als Scanner oder im Browser ist ein Scanner integriert.
• Eine Bekannte oder ein Bekannter hat offenbar einen QR-Code geschickt? Oder ein Unternehmen, bei dem man kürzlich etwas gekauft hat, meldet sich per E-Mail wegen einer angeblich fehlgeschlagenen Zahlung und verlangt nun eine erneute Zahlung via QR-Code? In beiden Fällen besser zum Hörer greifen und direkt nachfragen, ob die jeweilige Nachricht echt ist. Achtung: Die Telefonnummer eines Unternehmens nicht aus der E-Mail übernehmen, weil diese ja gefälscht sein könnte. Besser über eine Suchmaschine auf die Seite des Unternehmens gehen und eine Kontaktnummer suchen. dpa