Veröffentlicht am 3. Mai 2024

QR-Codes sicher nutzen

_{Wahrscheindlich sind Sie auf dieser Seite gelandet, weil Sie unseren QR-Code gescannt haben.}

QR-Codes können missbraucht werden, weil sie für uns Benutzer und Benutzerinnen auf den ersten Blick sehr intransparent sind. Machen Sie darum den Inhalt des QR-Codes immer sichtbar und beurteilen Sie, was Sie sehen.

Auf dieser Seite finden Sie Beispiele von QR-Code-Anwendungen und den möglichen Risiken dahinter.

QR-Code-Anwendungen und Risiken

• Gefahr Drive-By-Infections

  Öffnen von bösartigen Webseiten

  

  Beim Öffnen von bösartigen Webseiten kann die Gefahr von Drive-By-Infections bestehen. Hierbei werden Software-Schwachstellen ausgenutzt, um Malware ohne weiteres Zutun des Benutzers/der Benutzerin zu installieren.
  
  Bei mehreren der folgenden Beispiele könnte diese Technik ausgenutzt werden, nämlich dann, wenn der für unser Auge intransparente QR-Code Links zu bösartigen Webseiten enthält.

• Achtung automatische Weiterleitung (Kurz-URL-Dienste)

  Das Problem mit den Kurz-URL-Diensten

  Kurz-URL-Dienste wie kaywa.me, der bei uns Verwendung findet, erlauben es, dynamische QR-Codes zu generieren. Das ist für das Erstellen von Drucksachen äusserst praktisch. Der Kurz-URL-Dienst leitet automatisch an eine Zieladresse weiter, die beim Scannen des Codes nicht ersichtlich ist.

  Diese intransparente Weiterleitung ist problematisch, da die uns vertrauten kaywa.me-Adressen leicht nachgeahmt werden, uns dadurch täuschen und auf eine potenziell schädliche Webseite führen können, ohne dass beim Scannen des Codes ein Verdacht aufkommt (Beispiel in den folgenden zwei QR-Codes).

  ---

  

  «Bösartiger» Link

  

  Interner Link

  Vorheriges Bild

  Nächstes Bild

  ---

• SMS generieren

  Vorgefertigte SMS generieren

  QR-Codes können dazu missbraucht werden, eine fertige SMS an eine Mehrwertnummer (090x) zu generieren. Sehen Sie sich das folgende, fingierte Beispiel an.

  

  QR-Code mit SMS-Text und Zielnummer

  

  Was Sie mit der iPhone Kamera-App sehen

  

  Details anzeigen lassen

  

  Erstellte SMS - Bereit zum Versand

  Vorheriges Bild

  Nächstes Bild

• E-Mail generieren

  Vorgefertigte E-Mail generieren

  QR-Codes können dazu missbraucht werden, eine fertige, betrügerische E-Mail zu generieren. Sehen Sie sich das folgende, fingierte Beispiel an.

  

  QR-Code mit E-Mail-Adresse und Text

  

  Was Sie mit der iPhone Kamera-App sehen

  

  Details anzeigen lassen

  

  Erstellte SMS - Bereit zum Versand

  Vorheriges Bild

  Nächstes Bild

• WLAN-Hotspot-Login

  WLAN-Hotspot-Login

  QR-Codes können dazu missbraucht werden, den/die Benutzer/-in in ein nachgeahmtes, bösartiges WLAN einloggen zu lassen. Der Code enthält dabei den Netznamen (SSID), die Verschlüsselungsart und das WLAN-Passwort.

  Bösartige WLAN können in der Lage sein, den Datenverkehr zu überwachen und zu manipulieren.

  Sehen Sie sich das folgende, fingierte Beispiel an.

  

  QR-Code mit WLAN-Login-Daten

  

  Was Sie mit der iPhone Kamera-App sehen

  

  Verbindungsaufforderung

  Vorheriges Bild

  Nächstes Bild

• Kontakdaten/vCard generieren

  Kontaktdaten via vCard importieren

  Mit QR-Codes können ganze Adressbucheinträge generiert und importiert werden.

  Eine mögliche Gefahr dahinter ist nicht offensichtlich. Im Beispiel wurde ein Link zu einer potenziell bösartigen Webseite eingefügt. Die Person, deren Kontaktdaten Sie ja nun im Adressbuch haben und somit eine gewisse Legitimität ausstrahlen kann, könnte Sie zu einem späteren Zeitpunkt auffordern den Link zu besuchen.

  Sehen Sie sich das folgende, fingierte Beispiel an.

  

  OR-Code mit Kontaktdaten

  

  Was Sie mit der iPhone Kamera sehen

  

  Details anzeigen lassen

  

  Kontakt bereit zum Importieren

  Vorheriges Bild

  Nächstes Bild

• Kalendereintrag generieren

  Kalendereintrag importieren

  Mit QR-Codes können ganze Termine generiert und importiert werden.

  Eine mögliche Gefahr dahinter ist nicht offensichtlich. Im Beispiel wurde ein Link zu einer potenziell bösartigen Webseite eingefügt. Der Termin, der weit in der Zukunft liegen kann, kann dazu verleiten den Link später zu besuchen, um weitere Informationen zum Termin zu finden.

  Sehen Sie sich das folgende, fingierte Beispiel an.

  

  QR-Code mit Kalendereintrag/Termin

  

  Was Sie mit der iPhone Kamera sehen

  

  Details anzeigen lassen

  

  Termin bereit zum Importieren

  Vorheriges Bild

  Nächstes Bild

• Skype-Call

  Besprechung via Skype

  Mit QR-Codes können Links zu Skype-Besprechungen übermittelt werden. Auch hier kann die Intransparenz von QR-Codes missbraucht werden. Mit einer nachgeahmten Domain (z.B. Buchstaben verdrehen in der URL) kann ein legitimer Gesprächspartner vorgetäuscht werden.

  Sehen Sie sich das folgende, fingierte Beispiel an.

  

  OQ-Code mit Link zu Skype-Besprechung

  

  Was Sie mit der iPhone Kamera-App sehen

  

  Details anzeigen lassen

  

  Verbindungsaufbau

  Vorheriges Bild

  Nächstes Bild

• App-Installation (Android)

  Link zum Installieren einer (Android-)App

  QR-Codes können dazu missbraucht werden einen Link zu einem nicht autorisierten App-Store zu generieren. Hierbei sind Android-Geräte anfälliger als iPhones. Normalerweise - bei nicht extrem ausgefeilten Angriffen - muss der/die Benutzer/-in noch weitere Aktionen ausführen, damit die App installiert wird.

  Sehen Sie sich das folgende, fingierte Beispiel an. Der Link zum App-Store wird bereits abgelaufen sein.

  

  QR-Code mit Link zu App-Installation (Android)

  

  Was Sie mit der iPhone Kamera-App sehen

  

  Details anzeigen lassen

  

  Installation der App wird vorbereitet

  Vorheriges Bild

  Nächstes Bild

• Viele weitere Anwendungen sind möglich

  

  Angebote von Websiten für den Einsatz von QR-Codes

Wenn Sie von einem realen Phishing-QR-Code getäuscht wurden und Sie irrtümlich auf einer Phishing-Landingpage Links oder Buttons anklicken oder Ihre Zugangsdaten eingeben ist schnelles Reagieren wichtig!

• Deaktivieren Sie unverzüglich die Netzwerkverbindung Ihres Gerätes inklusive WLAN (Flugmodus)!
• Lassen Sie das Gerät laufen.
• Melden Sie sich beim Service-Desk
  BIT Defence Platform: [phone]
  BIT: [phone]

KONTAKT

Badge Kommando Cyber — © VBS/DDPS

Kommando Cyber
CESA, Cyber Protection
Ausbildung und Awareness
Stauffacherstrasse 65
CH-3003 Bern
E-Mail