QR-Code-Manipulation: So schützen Geschäfte ihre QR-Codes

Bei der Manipulation von QR-Codes klebt jemand einen gefälschten QR-Code über den echten Code eines Unternehmens, sodass Kunden beim Scannen auf einer Betrugsseite landen oder an das falsche Konto zahlen. Geschäfte schützen sich, indem sie Codes regelmäßig kontrollieren, manipulationssichere Materialien verwenden, Codes in Sichtweite des Personals platzieren und dynamische Links nutzen, die sie überwachen und ändern können.

Jeder gedruckte QR-Code an einem öffentlichen Ort kann zum Ziel werden: Bezahl-Codes an der Kasse, Speisekarten-Codes auf Tischen, Codes auf Plakaten, Parkschildern oder Lieferfahrzeugen. Die gute Nachricht: Ein paar einfache Gewohnheiten machen Manipulationen viel leichter erkennbar und deutlich weniger wirksam.

So funktioniert die Manipulation von QR-Codes

Die häufigste Methode ist technisch simpel. Ein Krimineller druckt einen gefälschten QR-Code auf einen Aufkleber in passender Größe und klebt ihn über den echten. Für einen eiligen Kunden sieht alles normal aus.

Der gefälschte Code kann:

• eine nachgemachte Website öffnen, die nach Kartendaten, Zugangsdaten oder persönlichen Angaben fragt.
• einen Bezahl-QR-Code für ein anderes Konto zeigen, sodass das Geld beim Betrüger statt beim Geschäft landet.
• auf eine Seite führen, die den Besucher zum Download einer App oder Datei drängt.

Verbraucherschützer, Polizei und Banken in mehreren Ländern haben vor gefälschten QR-Aufklebern an Parkautomaten, Bezahlstellen und öffentlichen Schildern gewarnt. Für ein Unternehmen ist der Schaden doppelt: Kunden verlieren Geld und geben oft dem Geschäft die Schuld, in dem sie gescannt haben.

Anzeichen für einen manipulierten Code

Schulen Sie Ihr Personal, auf diese Warnzeichen zu achten:

• Ein Aufkleber mit erhabenen Rändern, Blasen oder leicht abweichender Größe gegenüber dem Original.
• Ein Code, der neuer, glänzender oder anders gefärbt wirkt als der Rest des Schildes.
• Ein zweiter Code neben dem Original mit einer verlockenden Botschaft wie „Hier scannen für Rabatt".
• Beschädigungen, Kratzer oder Kleberreste rund um den Code.
• Kunden, die von einer seltsamen Seite, einer Anmeldeaufforderung oder einem unbekannten Empfängernamen beim Bezahlen berichten.

Scannen ist der beste Test. Scannen Sie Ihren eigenen Code, sollte das Ziel genau Ihr erwarteter Link sein, bei einem Bezahl-Code Ihr korrekter Empfängername.

Eine tägliche Kontrollroutine für QR-Codes

Ist die Kontrolle erst Routine, dauert sie pro Code weniger als eine Minute. Eine einfache Checkliste:

1. Führen Sie eine Liste aller ausgehängten QR-Codes mit Standort und erwartetem Ziel.
2. Sehen und fühlen Sie jeden Code bei Ladenöffnung. Fahren Sie mit dem Finger darüber, um eine zusätzliche Aufkleberschicht zu spüren.
3. Scannen Sie stichprobenartig mit einem Diensthandy, am besten jeden Tag mit einem anderen, und bestätigen Sie das Ziel.
4. Prüfen Sie Bezahl-Codes, indem Sie kontrollieren, ob der in der Banking-App angezeigte Empfängername zu Ihrem Geschäft passt.
5. Entfernen Sie alles Unerwartete sofort und bewahren Sie es als Beweis auf, wenn möglich vorher vor Ort fotografiert.
6. Dokumentieren Sie die Kontrolle in einem einfachen Protokoll mit Datum und Kürzel, damit Lücken auffallen.

Ein Online-Tool wie unser QR-Code-Scanner zeigt das Ziel vor dem Öffnen an. So bestätigen Sie einen Link, ohne eine Seite aufzurufen, der Sie nicht trauen.

Codes schwerer manipulierbar machen

Mit der richtigen Gestaltung wird ein Überkleben auffälliger oder schwieriger.

• Drucken Sie den Code direkt in das Design Ihres Schildes oder Ihrer Speisekarte, statt einen separaten Aufkleber zu verwenden. Ein zusätzlicher Aufkleber fällt dann auf.
• Verwenden Sie manipulationssichere Siegel- oder Zerstöretiketten für Codes, die Aufkleber sein müssen. Diese reißen oder zeigen ein Muster, wenn jemand sie ablöst oder überklebt.
• Bringen Sie Codes hinter klarem Acryl oder in einem Rahmen an, sodass nichts direkt darauf geklebt werden kann.
• Ergänzen Sie Ihren Firmennamen und eine kurze Zeile in der Nähe des Codes, etwa „Zahlung nur an: Name Ihres Geschäfts". So wissen Kunden, was sie erwarten dürfen.
• Halten Sie Codes in Sichtweite des Personals. Codes an der Kasse sind viel schwerer zu manipulieren als solche auf einem unbeaufsichtigten Außenschild.
• Vermeiden Sie doppelte Codes. Je mehr Codes Sie aushängen, desto mehr müssen Sie kontrollieren.

Dynamische Links nutzen, die Sie überwachen können

Ein dynamischer QR-Code verweist auf einen Kurzlink, der auf Ihre Seite weiterleitet. Das gibt Ihnen nützliche Kontrolle:

• Sie können das Ziel jederzeit ändern, ohne neu zu drucken. Das hilft, wenn Ihre Website umzieht oder eine Seite kompromittiert wird.
• Scan-Statistiken zeigen normale Muster. Ein plötzlicher Rückgang an einem Standort kann bedeuten, dass der Code dort von einer Fälschung verdeckt wird.
• Erkennbare Kurzlinks. Kunden können prüfen, ob der Link zu dem passt, was sie erwarten.

Bei QR-TH nutzen dynamische Codes einen qr-th.com/r/-Kurzlink, und jeder Link wird mit Google Safe Browsing abgeglichen und jede Nacht erneut geprüft. Besucher können außerdem eine Ladeseite sehen, die das Ziel eines Links anzeigt, bevor er sich öffnet. Diese Funktionen können niemanden daran hindern, einen gefälschten Aufkleber auf Ihr Schild zu kleben, helfen Ihnen aber, Probleme zu bemerken und Ihre eigenen Links sauber zu halten.

Bezahl-QR-Codes brauchen besondere Sorgfalt

Bezahl-Codes sind das attraktivste Ziel, denn ein erfolgreicher Austausch schickt das Geld direkt an den Kriminellen.

• Bitten Sie Kunden, vor der Bestätigung den Empfängernamen in ihrer Banking-App zu prüfen, und schreiben Sie das auch aufs Schild.
• Zeigen Sie nach Möglichkeit einen dynamischen Bezahl-QR-Code auf einem Bildschirm oder Terminal statt eines fest gedruckten Aufklebers.
• Nutzen Sie einen gedruckten PromptPay-QR-Code oder einen anderen festen Bezahl-Code, kontrollieren Sie ihn täglich und platzieren Sie ihn nahe der Kasse.
• Meldet ein Kunde, dass ein anderer Name angezeigt wurde, verwenden Sie diesen Code sofort nicht mehr und kontaktieren Sie Ihre Bank.

Unser Ratgeber zum sicheren Bezahlen per QR-Code erklärt, was Kunden vor dem Bezahlen prüfen sollten.

Was tun, wenn Sie einen gefälschten Code finden?

1. Entfernen Sie den gefälschten Aufkleber und bewahren Sie ihn auf. Machen Sie Fotos vorher und nachher.
2. Prüfen Sie sofort alle anderen Codes, denn es könnten mehrere ausgetauscht worden sein.
3. Hängen Sie einen kurzen Hinweis für Kunden aus, falls sie ihn gescannt haben könnten, und erklären Sie, worauf sie achten sollten.
4. Erstatten Sie Anzeige bei der Polizei und informieren Sie bei Bezahl-Codes Ihre Bank.
5. Ersetzen Sie den Code durch einen frischen Druck und überdenken Sie seinen Standort.

FAQ

Wie erkenne ich, ob ein QR-Code-Aufkleber gefälscht ist?

Achten Sie auf erhabene Ränder, abweichende Größe oder Oberfläche und alles, was über das Original geklebt wurde. Scannen Sie ihn dann und prüfen Sie, ob Ziel oder Empfängername zu Ihrem Geschäft passen.

Verhindert ein dynamischer QR-Code Manipulation?

Nein. Über jeden gedruckten Code kann ein Aufkleber geklebt werden. Ein dynamischer Code hilft Ihnen, Scans zu überwachen und Ziele schnell zu ändern, wodurch sich Probleme leichter erkennen und beheben lassen.

Wie oft sollte ich meine QR-Codes kontrollieren?

Codes in öffentlichen oder stark frequentierten Bereichen prüfen Sie am besten täglich, idealerweise bei Ladenöffnung. Codes in Personal- oder beaufsichtigten Bereichen können seltener geprüft werden.

Was sollten Kunden vor dem Bezahlen per QR-Code prüfen?

Sie sollten bestätigen, dass Empfängername und Betrag in ihrer Banking-App zum Geschäft passen, bevor sie die Zahlung freigeben.

Gedruckte QR-Codes zu schützen ist vor allem Routine: Wissen Sie, wo Ihre Codes hängen, prüfen Sie sie oft und machen Sie Fälschungen leicht erkennbar. Erstellen Sie messbare dynamische Codes mit dem kostenlosen QR-Code-Generator von QR-TH und behalten Sie jeden Standort über die Scan-Statistik im Blick.