Ein QR-Code ist ein Container, keine Website. Er speichert je nach Erzeuger einen Link, Zugangsdaten, eine Visitenkarte, einen Zahlungsauftrag oder eine industrielle Kennzeichnung. Wer den Inhaltstyp kennt, kann das Risiko eines Scans einschätzen, bevor er irgendetwas öffnet.
Die sechs Typen, die im Alltag auftauchen
URL-Codes sind der häufigste Fall: Der Inhalt beginnt mit https:// und führt auf eine Webseite. Textcodes enthalten beliebige Zeichenfolgen, oft Seriennummern oder Hinweise. WLAN-Codes beginnen mit WIFI: und liefern SSID, Verschlüsselung und Passwort. vCard- und MECARD-Codes enthalten Kontaktdaten. GiroCodes tragen eine SEPA-Überweisung im BCD-Format mit IBAN, BIC und Betrag. GS1-Codes schließlich strukturieren Daten mit Anwendungskennzeichen wie (01) für die GTIN.
Der Typ entscheidet, was ein sinnvolles Ergebnis ist. Bei einer URL ist die Domain die zentrale Information, bei WLAN das Passwort, bei einer vCard die Telefonnummer, bei einem GiroCode der Betrag und der Empfänger. Ein guter Scanner zeigt genau diese Felder und nicht nur die Rohzeichenkette.
Warum die Rohdaten oft unlesbar sind
GiroCodes sind ein gutes Beispiel. Der Inhalt ist eine mehrzeilige Zeichenfolge mit Dienstkennung BCD, Version, Zeichensatz, SEPA-Prüfsumme, IBAN, BIC, Betrag und Verwendungszweck. Ohne Parser sieht man eine Wand aus Buchstaben. Ähnlich verhält es sich mit GS1-DataMatrix-Codes: Führende Nullen, variable Feldlängen und FNC1-Trennzeichen machen die Rohform für Menschen unbrauchbar.
Genau hier liegt der Unterschied zwischen Kamera-App und Werkzeug. Die Kamera-App zeigt den String, der Spezialist zeigt die Felder – und prüft gleichzeitig die Prüfziffer, bei EAN wie bei GiroCode.
Risiko erkennen, bevor geöffnet wird
Ein QR-Code kann nicht verraten, wohin er führt, bevor man ihn dekodiert. Deshalb gilt: erst lesen, dann entscheiden. Prüfe die Domain, achte auf Punycode (xn--), auf reine IP-Adressen, verkürzte Links und auf Markennamen in fremden Domains. Wer einen Code im öffentlichen Raum scannt, sollte außerdem prüfen, ob der Aufkleber überklebt wurde.
Unser Sicherheitscheck markiert diese Muster, öffnet aber bewusst keinen Link automatisch. Die Entscheidung bleibt bei dir – das ist der einzige Weg, Quishing nicht zur Gewohnheit zu machen.
FAQ
Häufig gestellte Fragen
Kann ein QR-Code Viren enthalten?
Der Code selbst ist nur Text. Gefährlich wird der Link oder eine Datei, auf die er zeigt – vor allem APK-Downloads auf Android.
Woran erkenne ich einen WLAN-Code?
Der Inhalt beginnt mit WIFI: und enthält Felder wie T:, S: und P:. Der Scanner zeigt daraus SSID, Verschlüsselung und Passwort.
Sind GiroCodes sicher?
Sie sind ein standardisierter Überweisungsauftrag. Prüfe im Bankdialog immer Empfänger und Betrag – dort siehst du, was tatsächlich ausgeführt wird.