QR-Code-Phishing nimmt zu. Hier ist das vierlagige Abwehrsystem, das wir direkt in jeden Scan integriert haben.
Das Problem mit dynamischen QR-Codes
Dynamische QR-Codes sind eines der nützlichsten Werkzeuge im modernen Marketing: einmal drucken, das Ziel jederzeit aktualisieren ohne neu drucken zu müssen. Ändere die URL für eine neue Speisekarte, eine aktualisierte Aktion oder eine neue Eventseite — alles mit einem einzigen gedruckten Code.
Doch genau diese Flexibilität schafft eine Angriffsfläche. Ein Angreifer kann einen dynamischen QR-Code erstellen, der auf ein legitimes Ziel zeigt, um die anfänglichen Prüfungen zu umgehen, und ihn dann Stunden später auf eine Phishing-Seite umleiten. Das FBI hat einen anhaltenden Anstieg von "Quishing" gemeldet — QR-basiertem Phishing — bei dem Betrüger legitime QR-Codes in öffentlichen Räumen durch ihre eigenen ersetzen. Der QR-Code sieht identisch aus. Nur das Ziel ändert sich.
Schicht 1: Liste blockierter Domains
Bevor ein QR-Code erstellt wird — oder eine Ziel-URL aktualisiert wird — prüfen wir den Hostnamen gegen eine gepflegte Sperrliste bekannter Schaddomains. Wenn die Domain auf der Liste steht, kann der QR-Code weder erstellt noch aktualisiert werden. Die Prüfung erfolgt, bevor der Datensatz in die Datenbank geschrieben wird.
Schicht 2: Google Safe Browsing — Jede URL, jedes Mal
Die Sperrliste erfasst nur Domains, die wir bereits kennen. Für alles andere fragen wir die Google Safe Browsing API ab — dieselbe Datenbank, die Chromes Phishing-Warnungen antreibt — bei jeder URL-Einreichung: bei der initialen QR-Erstellung und bei jeder nachfolgenden Zielaktualisierung.
Entscheidend ist, dass diese Prüfung auch dann läuft, wenn das Ziel eines dynamischen QR-Codes geändert wird — nicht nur bei der Erstellung. Damit wird das "Köder und Wechsel"-Fenster geschlossen: Ein QR-Code, der auf eine legitime URL zeigte, kann nicht still auf eine schädliche umgeleitet werden.
Schicht 3: Permanentes Audit-Log bei jeder Zieländerung
Jedes Mal, wenn die Ziel-URL eines dynamischen QR-Codes geändert wird, schreiben wir einen permanenten Datensatz: die vorherige URL, die neue URL, den Zeitstempel und die IP-Adresse des Kontos, das die Anfrage stellt. Dieses Protokoll kann von Nutzern nicht gelöscht werden.
Schicht 4: Rate-Limiting bei Weiterleitungen
Der Weiterleitungs-Endpunkt ist jetzt auf 300 Anfragen pro Minute pro IP-Adresse begrenzt. Normale Nutzer werden das nie bemerken. Automatisierte Skripte, die Scan-Analytics sondieren oder Bot-Kampagnen durchführen, werden sofort gestoppt.
Was das in der Praxis bedeutet
Diese vier Schichten arbeiten als Defense-in-Depth-Stack zusammen. Legitime Nutzer bemerken davon nichts. Erstelle einen QR-Code, verweise auf deine Website, aktualisiere ihn bei Kampagnenänderungen, teile ihn mit Vertrauen. Die Prüfungen laufen im Hintergrund in Millisekunden.
Sicherheit in QR-Codes sollte kein Premium-Feature sein — sie sollte Infrastruktur sein. Wir haben diese Schutzmaßnahmen so entwickelt, dass sie standardmäßig für jeden Code auf jedem Konto aktiv sind.
