Eine Nachricht der IT-Abteilung: Die Zwei-Faktor-Anmeldung müsse bis Freitag neu eingerichtet werden, der Code zum Einscannen liege bei. Kein Link im Text, keine Anlage, nur ein quadratisches Muster. Genau das ist der Punkt — und es ist kein Zufall, sondern der Grund für die ganze Konstruktion.
Warum ein Bild an Filtern vorbeikommt
Ein Filter, der eingehende Post bewertet, prüft Links. Er liest die Adressen aus dem Text, gleicht sie mit Verzeichnissen bekannter Betrugsseiten ab, sieht sich das Alter der Domain an und folgt gegebenenfalls der Weiterleitung, um nachzusehen, wo sie endet.
All das setzt voraus, dass eine Adresse als Text vorliegt. In einem QR-Code liegt sie als Muster aus schwarzen und weißen Feldern vor. Für den Filter ist das ein Bild — genauso wie ein Logo oder ein Foto.
Der zweite Teil ist der wichtigere
Dass der Filter nichts findet, ist nur die halbe Wirkung. Die andere Hälfte ist der Gerätewechsel.
Ein QR-Code wird mit dem Telefon gescannt. Damit verlässt der Vorgang genau die Umgebung, in der Schutzmaßnahmen greifen:
- Kein Firmennetz. Der Aufruf läuft über die Mobilverbindung. Ein Netzfilter, der bekannte Betrugsseiten sperrt, sieht ihn nicht.
- Keine verwaltete Software. Auf dem privaten Telefon läuft kein Schutzprogramm des Arbeitgebers.
- Eine winzige Adresszeile. Was auf einem Telefonbildschirm von einer langen Adresse zu sehen ist, sind die ersten paar Zeichen. Eine Adresse, die mit dem Firmennamen beginnt und irgendwo hinten die eigentliche Domain trägt, sieht dort völlig unauffällig aus.
- Keine Spuren für die IT. Wenn hinterher jemand nachsehen will, was passiert ist, gibt es auf der Unternehmensseite nichts zu finden.
Ein Angriff, der einen Menschen dazu bringt, das geschützte Gerät zu verlassen, hat die Hälfte der Arbeit hinter sich.
Die Vorwände, die auftauchen
Ein QR-Code muss begründet werden, sonst wirkt er seltsam. Die üblichen Begründungen wiederholen sich:
- Zwei-Faktor neu einrichten. Der stärkste Vorwand, weil er das Scannen technisch plausibel macht — echte Einrichtungen laufen tatsächlich über einen Code. Wer scannt, landet auf einer nachgebauten Anmeldeseite.
- Ein Dokument aus der Personalabteilung, „aus Sicherheitsgründen nur über den Code erreichbar". Der Widerspruch fällt im Alltag kaum auf.
- Eine Paketbenachrichtigung mit angeblich zu zahlender Gebühr.
- Eine Rechnung mit Zahlungscode. In Ländern mit verbreiteten Sofortzahlungen ist das der direkteste Weg zum Geld.
Alle vier folgen demselben Muster wie andere Betrugsnachrichten auch: Anlass, Frist, ein einziger Weg zur Erledigung. Die Merkmale sind dieselben — nur der Klick ist durch einen Scan ersetzt.
Und dieselbe Masche auf Papier
Die physische Variante ist ohne jeden technischen Aufwand zu haben: ein Aufkleber über dem echten QR-Code. An Parkscheinautomaten, auf Aushängen zu Ladesäulen, auf Tischaufstellern in Restaurants. Der Code darunter bleibt unversehrt, gelesen wird der obere.
Das Gegenmittel ist unspektakulär und wirksam: Bevor Sie an einem Automaten scannen, mit dem Finger über den Code fahren. Ein Aufkleber ist zu ertasten.
Was tatsächlich hilft
Vor dem Öffnen die Adresse ansehen. Die Kamera-Anwendungen von iOS und Android zeigen die Zieladresse an, bevor sie sie öffnen. Diese Vorschau ist der eine Moment, in dem sich etwas entscheiden lässt — und sie wird meistens weggetippt, weil sie im Weg steht.
Auf das Ende der Domain achten, nicht auf den Anfang. Bei firma.de.anmeldung-sicher.example ist die Domain anmeldung-sicher.example. Der Teil davor ist frei wählbar und dient genau dazu, gelesen zu werden.
Bei Anmeldungen niemals dem Code folgen. Die Regel, die alles abdeckt: Eine Anmeldeseite ruft man selbst auf — über ein Lesezeichen oder die eingetippte Adresse. Kein Vorgang, der eine Anmeldung verlangt, wird dadurch schlechter, dass man den Weg dorthin selbst wählt.
Im Unternehmen: die Regel aussprechen und einhalten. „Wir verschicken keine QR-Codes für Anmeldungen" ist eine Ansage, die jeder versteht und an der sich jede Nachricht prüfen lässt. Sie wirkt allerdings nur, solange sich die eigene IT-Abteilung daran hält.
Für die Filterseite gilt: Manche Systeme entziffern Codes in Bildern inzwischen selbst und bewerten die enthaltene Adresse ganz normal. Das ist die richtige Antwort auf der technischen Ebene — nur ist sie nicht überall vorhanden, und der Gerätewechsel bleibt auch dann bestehen.