Welcher QR-Code-Anbieter ist sicher?

Unsere Antwort: Sicher ist ein QR-Code-Anbieter, wenn er dein Konto schützt, deine gedruckten Adressen niemandem sonst überlässt und Scanner vor betrügerischen Zielen bewahrt. Same-QR deckt alle drei Ebenen ab, mit einer Lücke, die wir unten offen nennen. Prüfe bei jedem Anbieter alle drei, nicht nur das Passwort.

Ebene 1: dein Konto

Wer dein Konto übernimmt, kann jeden gedruckten Code umleiten, etwa auf eine gefälschte Bezahlseite. Achte auf ein starkes Passwort, eine Anmeldung mit zweitem Faktor, wenn der Anbieter sie bietet, und eigene Schlüssel für Programme statt geteilter Passwörter. Programme sollten nur mit Schlüsseln arbeiten, die ablaufen.

Ebene 2: deine Adressen

Die Adresse im Code steckt im Druck. Wird sie nach dem Löschen neu vergeben, führen deine alten Aufkleber auf den Inhalt eines Fremden. Frag, ob gelöschte Adressen gesperrt bleiben. Hilfreich ist auch ein Verlauf jeder Zieländerung, damit du siehst, wer wann umgestellt hat.

Ebene 3: die Menschen, die scannen

Betrügerische QR-Codes werden häufiger, oft als Aufkleber über einem echten Code. Ein Anbieter kann nicht verhindern, dass jemand etwas überklebt. Er kann aber verhindern, dass sein Dienst für Betrug genutzt wird: verdächtige Ziele ablehnen, eine Möglichkeit zum Melden anbieten und gemeldete Codes sperren.

Was du selbst tun kannst

• Prüfe öffentlich angebrachte Codes regelmäßig auf überklebte Aufkleber.
• Schreib die Kurzadresse klein unter den Code, damit Scanner sie vergleichen können.
• Gib Mitarbeitern und Programmen eigene Zugänge statt deines Passworts.
• Kontrolliere nach jeder Änderung mit dem Handy, wohin der Code führt.
• Verlange auf der Zielseite nie Bankdaten, ohne dass klar ist, wer du bist.

Woran Scanner einen echten Code erkennen

Die Adresse, die das Handy vor dem Öffnen anzeigt, sollte zum Betrieb passen. Ein Code, der zu einer fremden Bezahlseite führt, ist verdächtig. Erkläre deinen Kunden, wo dein Code hängt und wie er aussieht.

So macht es Same-QR

• Passwörter nur als starker Hash, Anmeldung auch mit Google und dessen zweitem Faktor
• Schlüssel für Programme mit 30 bis 365 Tagen Laufzeit
• Kurzadressen gelöschter Codes nie neu vergeben, Zielverlauf je Code
• nackte IP-Adressen als Ziel abgelehnt, Melden bei Codes und Seiten, gesperrte Codes zeigen einen Warnhinweis
• Lücke: keine eigene Zwei-Faktor-Anmeldung, wer sie will, meldet sich mit Google an

Fazit

Sicherheit bei QR-Codes heißt: Konto schützen, Adressen nie neu vergeben, Betrug melden und stoppen. Prüfe alle drei Ebenen und sorg selbst für die Kontrolle vor Ort.

Häufig gestellte Fragen