Der QR-Code im Restaurant ist nicht immer das, was Sie denken.

Die Aufkleber-Methode

Die Methode ist entwaffnend einfach. Ein Krimineller betritt ein Restaurant, erspäht die QR-Code-Aufsteller auf den Tischen oder am Eingang und klebt einen frisch gedruckten Aufkleber darüber: mit seinem eigenen QR-Code. Der ganze Vorgang dauert weniger als dreißig Sekunden pro Tisch.

Die gefälschte Seite, die sich öffnet, ist eine nahezu perfekte Nachbildung einer Bestell- oder Bezahlseite: die richtigen Logos, die richtigen Markenfarben, manchmal sogar der Name des Restaurants. Der Gast, überzeugt davon, die Tageskarte zu betrachten, gibt seine Bankkartendaten auf einer betrügerischen Website ein.

Die Methode beschränkt sich nicht auf Restaurants: Cybermalveillance.gouv.fr, die staatliche französische Hilfeplattform bei Cyberkriminalität, warnt auch vor gefälschten QR-Codes auf Parkscheinautomaten und Ladesäulen für Elektroautos.

Restaurants, die ohne physischen Schutz (gravierte QR-Codes, verschließbare Halterungen) auf digitale Speisekarten umsteigen, sind bevorzugte Ziele. Kleine Betriebe, die ihre Aufsteller selbst auf gewöhnlichem Papier drucken, sind am anfälligsten.

So erkennen Sie es

Bevor Sie scannen, prüfen Sie den QR-Code physisch. Gefälschte Aufkleber sind oft leicht verschoben, mit überstehenden Rändern oder einer Druckqualität, die sich vom Rest der Materialien des Restaurants unterscheidet.

Verwenden Sie einen QR-Leser, der die vollständige URL anzeigt, bevor der Link geöffnet wird. Die native iOS-Kamera-App und die integrierten Android-Leser zeigen in der Regel die URL an, nehmen Sie sich einen Moment Zeit, sie zu lesen. Angreifer nutzen Typosquatting: 'carte-restaurant-lyon.com' statt der offiziellen Website des Lokals.

Seien Sie besonders vorsichtig, wenn die Seite, die sich öffnet, Bankkartendaten verlangt, nur um eine Speisekarte anzuzeigen. Kein seriöses Restaurant knüpft den Zugriff auf die Karte an eine Zahlung.

Fragen Sie im Zweifelsfall direkt einen Mitarbeiter, ob er Ihnen die Speisekarte oder den in der Verwaltungsoberfläche angezeigten QR-Code zeigt: nicht den auf dem Tischaufsteller.

Was Trasimène tut

Trasimène enthält einen QR-Code-Scanner. Jeder Link, den dieser Scanner liest, wird von unseren Servern geprüft, bevor er sich öffnet: anhand der von Trasimène gepflegten Listen von Phishing- und Schadsoftware-Seiten, anhand von Google Safe Browsing und anhand des endgültigen Ziels etwaiger Weiterleitungen.

Wird der Link als gefährlich erkannt, öffnet er sich nicht: Eine Warnung erscheint, und Sie entscheiden selbst, ob Sie ihn trotzdem öffnen. Das Registrierungsdatum der Domain wird, sofern bekannt, als Entscheidungshilfe angezeigt, fließt aber nicht in das Urteil ein.

Diese Prüfung läuft über den Scanner der App: Öffnen Sie ihn, bevor Sie den QR-Code anvisieren. Ein mit der Kamera-App des Telefons gelesener QR-Code wird nicht geprüft. Ist das im Abonnement enthaltene VPN von Trasimène eingeschaltet, erkennt es im Nachhinein den Besuch einer Website, die bereits in unseren Listen steht, und meldet ihn Ihnen in der App. Die Seite blockiert es nicht selbst: Nur Quad9, der Schweizer Dienst, dem es die Namensauflösung überlässt, sortiert seinerseits die ihm bekannten bösartigen Domains aus.

Bitten Sie im Zweifelsfall das Restaurant, Ihnen den QR-Code in ihrer Verwaltungsoberfläche oder auf einem offiziellen Dokument zu zeigen: nicht auf dem Tischaufsteller.

Wachsamkeit bleibt die erste Verteidigungslinie. Ein kurzer Blick vor dem Scannen, ein Lesen der URL vor dem Tippen, eine Frage im Zweifelsfall: diese einfachen Gewohnheiten genügen, um die überwiegende Mehrheit der QR-Code-Angriffe abzuwehren. Und mit der richtigen Sicherheits-App gibt es keinen Grund, sie nicht zu automatisieren.

Quellen

Trasimène: Mobile Sicherheit

Schützen Sie sich vor QR-Phishing

Trasimène herunterladen →