Wie gefährlich sind manipulierte QR-Codes?

Wie der Angriff funktioniert

Ein Aufkleber über dem echten Code – am Parkautomaten, am Ladesäulen-Terminal, auf einem Aushang. Der gefälschte Code führt auf eine nachgebaute Zahlungsseite.

Bei einer E-Mail sieht man die verdächtige Adresse; bei einem QR-Code nicht. Das macht ihn für Angreifer attraktiv.

Woran man Manipulation erkennen kann

• Ein Aufkleber, der über etwas anderem klebt
• Ein Code, der nicht zum Erscheinungsbild der Umgebung passt
• Eine Adresse nach dem Scan, die nicht zum Anbieter passt

Der letzte Punkt ist der einzig verlässliche.

Was Sie Ihren Mitarbeitenden sagen sollten

1. Vor dem Öffnen die Adresse ansehen. Alle Handys zeigen sie an.
2. Bei Zahlungsaufforderungen misstrauisch sein. Nie über einen gescannten Code Zugangsdaten oder Zahlungsdaten eingeben.
3. Codes auf Rechnungen prüfen – gefälschte Zahlungscodes auf echten Rechnungen sind ein bekanntes Vorgehen.
4. Im Zweifel die Adresse tippen statt zu scannen.

Was Sie als Herausgeber tun können

• Eigene Domain für die Weiterleitung. Dann ist eine fremde Adresse sofort erkennbar.
• Kurze, sprechende Adresse daneben, damit die Alternative besteht.
• Fest angebrachte Codes statt Aufkleber, wo möglich – Gravur oder Druck direkt auf das Objekt.
• Regelmässige Sichtkontrolle bei Codes im öffentlichen Raum.

Der letzte Punkt wird fast nie gemacht und ist bei Automaten der wirksamste.