Quishing: wie man einen QR-Code prüft, bevor man tippt

Jemand geht mit einem Bogen vorgedruckter Aufkleber an einer Reihe Parkscheinautomaten entlang und klebt auf jedem den Bezahl-QR-Code zu. Vier Sekunden pro Automat, ein Cent Materialkosten — und wer scannt, gibt seine Kartendaten auf einer Seite ein, die genauso aussieht wie die der Stadt.

Drei Wege, auf denen der Angriff ankommt

Der überklebte Code. Ein Aufkleber über dem echten Code am Parkscheinautomaten, an der Ladesäule, auf dem Restauranttisch, an der Paketstation, am Leihrad, auf dem Plakat im Bahnhof. Die Überzeugungsarbeit leistet die Situation: Sie wollten ohnehin gerade parken, also ist eine Bezahlseite nicht verdächtig.

E-Mails und Dokumente. Ein QR-Code in einer Phishing-Mail, in einer Rechnungs-PDF oder in einer angeblichen Aufforderung, die Zwei-Faktor-Anmeldung neu einzurichten. Diese Variante existiert genau deshalb, weil ein QR-Code ein Bild ist und Linkprüfer im Mailgateway keiner Adresse folgen, die sie nicht als Text lesen können. Nebenbei wechselt das Opfer vom verwalteten Firmenrechner auf das private Telefon — also aus jeder Filterung heraus, die das Unternehmen betreibt.

WLAN und andere Nutzlasten. Ein QR-Code kann Zugangsdaten für ein Netz in einer WIFI:-Zeichenkette transportieren, und das Telefon bietet an, sich zu verbinden. Wer sich mit dem Zugangspunkt eines Angreifers verbindet, hat ihn ab sofort zwischen sich und allem, was danach kommt, meist hinter einer Anmeldeseite, die nach einem echten Konto fragt. Dasselbe gilt für tel:- und SMSTO:-Inhalte mit teuren Sondernummern und für vCard-Codes, die einen plausibel aussehenden Kontakt für später im Adressbuch hinterlassen.

Schadsoftware steckt nicht im Muster

Das sei deutlich gesagt, weil die Sorge meist an der falschen Stelle sitzt. Der größtmögliche QR-Code fasst 2.953 Byte, und Lesegeräte behandeln den Inhalt als Text. Es gibt keinen Ausführungsschritt, keinen Anhang, keinen Drive-by-Download. Ein Scan für sich zeigt eine Zeichenkette an, mehr nicht.

Alles Schädliche passiert danach und braucht Sie: den Tipp auf den Link, ein eingegebenes Passwort, eine Kartennummer, eine bestätigte Zahlung, eine installierte App oder ein Konfigurationsprofil. Das ist die gute Nachricht, denn damit besteht die gesamte Verteidigung aus ein paar Sekunden Lesen.

Die Adresse lesen, bevor Sie tippen

Jedes aktuelle Telefon zeigt die dekodierte Adresse an, bevor es sie öffnet — iOS als Banner, Android in der Kamera- oder Lens-Einblendung. Diese Vorschau ist die eigentliche Sicherheitsfunktion, und die meisten wischen sie ungelesen weg.

Worauf zu achten ist, in dieser Reihenfolge:

Suchen Sie die registrierte Domain. Das ist der Teil, den jemand tatsächlich kaufen musste: die Endung — .de, .com, .ru, .co.uk — plus das eine Wort davor. In https://sichere-zahlung.parken.example.ru/stadt/bezahlen ist das example.ru, in https://bezahlen.ihre-stadt.de/parken ist es ihre-stadt.de. Alles links davon sind Subdomains, die der Angreifer frei wählen durfte, und alles nach dem ersten einzelnen Schrägstrich ist ein Pfad, den er ebenfalls gewählt hat. Die linke Seite mit beruhigenden Wörtern aufzufüllen ist der älteste Trick in diesem Feld und funktioniert weiterhin.

Misstrauen Sie Kurzlinks. bit.ly, t.co, tinyurl.com und die Kurz-URLs von QR-Anbietern verbergen das Ziel vollständig, und was man nicht sieht, kann man nicht beurteilen. Ein seriöses Unternehmen hat für einen öffentlich ausgehängten Code keinen guten Grund dafür — ein Teil der Abwägung in statische gegen dynamische QR-Codes.

Achten Sie auf Zwillingsdomains. paypa1.com, rnicrosoft.com, example-support.com, example.com.co. Lesen Sie Zeichen für Zeichen, statt die Wortform wiederzuerkennen.

xn-- ist ein Stoppschild. Eine Domain, die mit xn-- beginnt, ist Punycode: ein Unicode-Name, für das DNS umgeschrieben. Das hat legitime Anwendungen, ist aber auch der Weg, auf dem Homoglyphen-Angriffe funktionieren. Eine bekannte Demonstration von 2017 registrierte einen vollständig in kyrillischen Buchstaben geschriebenen Namen, der in der Adresszeile als apple.com erschien, während die tatsächlich registrierte Domain xn--80ak6aa92e.com lautete. Zeigt die Vorschau einen vertrauten Markennamen und enthält die Adresse xn--, ist es nicht diese Marke.

Weitere Warnzeichen. Ein @ irgendwo vor dem ersten Schrägstrich — alles davor ignoriert der Browser. Ein schlichtes http:// bei allem, was Geld will. Ein sofort startender Download. Die Aufforderung, eine App oder ein Konfigurationsprofil zu installieren. Eine Anmeldemaske, obwohl Sie nur die Speisekarte sehen wollten.

Woran man einen manipulierten Aufdruck erkennt

• Aufkleber auf Aufkleber: erhabene Kante, gelöste Ecke, leicht abweichende Farbe oder ein Quadrat, das sichtbar über der Laminierung sitzt.
• Eine Druckqualität, die nicht zum Schild passt: ein gestochen scharfer Tintenstrahlcode auf einer verwitterten, siebbedruckten Tafel.
• Ein Code ganz ohne Beschriftung ringsum — oder mit einer Beschriftung, die nicht zum Ort passt.
• Ein Code, der aufgeklebt oder getackert ist, während alles andere direkt aufgedruckt wurde.

Lösen Sie einen verdächtigen Aufkleber ruhig ab. Kommt darunter ein zweiter Code zum Vorschein, ist die Frage beantwortet — und der Betrieb sollte es erfahren.

Wenn Sie schon getippt haben

Arbeiten Sie die Liste ab und hören Sie auf, sobald ein Punkt nicht mehr zutrifft.

1. Nur die Seite geöffnet, nichts eingegeben. Dann ist nichts passiert. Schließen Sie sie.
2. Passwort eingegeben. Von einem anderen Gerät aus ändern, auf einer Adresse, die Sie selbst getippt haben. Zwei-Faktor-Anmeldung einschalten. Danach das Konto auf Weiterleitungsregeln, verbundene Apps, hinterlegte Wiederherstellungsadressen und fremde Sitzungen prüfen — wer Zugriff hat, richtet sich zuerst dauerhaft ein und wird erst danach sichtbar.
3. Kartendaten eingegeben. Bank anrufen, Karte sperren lassen und auf eine kleine Testabbuchung achten statt auf den einen großen Betrag.
4. App oder Konfigurationsprofil installiert. Entfernen, und unter iOS in den Einstellungen nach VPN- und Geräteverwaltungsprofilen sehen, die Sie nicht selbst eingerichtet haben.
5. Mit einem WLAN aus einem Code verbunden. Das Netz im Telefon „ignorieren“, und jedes Passwort ändern, das Sie in dieser Verbindung eingegeben haben.
6. Es war ein dienstliches Konto. Melden. Dieselbe Kampagne liegt mit hoher Wahrscheinlichkeit in weiteren Postfächern.

Was Betreiber tun können

Kundinnen und Kunden können das nicht allein lösen; die Platzierung muss mithelfen.

• Machen Sie das Überkleben schwer. Code unter Laminat, hinter Glas, in die Blende graviert oder direkt auf die Oberfläche gedruckt statt als Etikett aufgebracht. Alles, worauf sich ein Aufkleber glatt andrücken lässt, ist eine Einladung.
• Drucken Sie die Domain in lesbarer Schrift daneben. Eine Zeile bezahlen.ihre-stadt.de gibt den Leuten etwas, womit sie die Vorschau vergleichen können — die billigste Maßnahme, die es gibt.
• Nutzen Sie eine eigene, kurze Zieladresse. Ein Code, der auf Ihren eigenen Namen auflöst, ist überprüfbar. Ein Code, der auf einen Kurzlinkdienst auflöst, gewöhnt Ihre Kundschaft an genau das, was der Angreifer schickt.
• Fordern Sie keine Zahlungen per Code an, wo auch ein Mensch stehen könnte. QR-Codes auf Rechnungen sind ein eingeführter Betrugsweg; geänderte Bankdaten eines Lieferanten gehören telefonisch geprüft, unter einer Nummer, die Sie schon vorher hatten.
• Kontrollieren Sie ausgehängte Codes regelmäßig. Ein Aufkleber kann Wochen an einer Ladesäule sitzen, ohne dass es jemandem auffällt.
• Sorgen Sie dafür, dass der eigene Code funktioniert. Ein Code, der nicht liest und die Leute nach einer Alternative suchen lässt, erzieht sie dazu, das Nächstbeste zu scannen — ein weiterer Grund, vorher die Ursachen für nicht lesbare Codes durchzugehen.

Zu dieser Website

Codes aus dem Generator entstehen in Ihrem Browser und enthalten Ihre Adresse wörtlich, ohne Kurzlink und ohne Weiterleitung — zwischen Scanner und Ziel steht also niemand. Die Bild-API unter /qr/ rendert bei jeder Anfrage neu und schreibt die Adresse nirgends hin; sie und die Teilen-Seiten senden X-Robots-Tag: noindex, nofollow, sodass nichts, was Sie erzeugen, in einem Suchergebnis auftaucht. Was dabei verarbeitet wird, steht in der Datenschutzerklärung.