Was steckt wirklich in einem QR-Code (und was ein WLAN-Code verrät)

Ein QR-Code sieht aus wie Rauschen, ein kleines Labyrinth aus schwarzen und weißen Quadraten, das nichts bedeutet, bis ein Handy darauf zielt. Dieses Aussehen verleitet viele dazu, in ihm eine Art geheime Codierung zu vermuten. Das ist er nicht. Ein QR-Code ist reiner Text, gezeichnet als Raster, lesbar von jedem Scanner. Und zu wissen, was wirklich drinsteckt, ändert die Art, wie du über das Ausdrucken und Teilen denkst, vor allem bei der WLAN-Variante.

Kurz gesagt: Ein QR-Code ist nur Text, gespeichert als Muster aus Quadraten: ein Link, WLAN-Zugangsdaten, eine Kontaktkarte, offen und ohne Verschlüsselung. Wer ihn scannt, liest genau das, was du hineingeschrieben hast. Für einen Menü-Link ist das in Ordnung, bei einem WLAN-Code solltest du es dir gut überlegen, denn der gibt dein Netzwerkpasswort an jeden weiter, der scannt.

Ein QR-Code ist Text in einem optischen Kostüm

Unter den Quadraten enthält ein QR-Code Zeichen, dieselben Buchstaben, Ziffern und Symbole, die du tippst. Das Muster ist eine Art, diesen Text so zu zeichnen, dass eine Kamera ihn schnell und zuverlässig wieder auslesen kann, auch schräg oder leicht verschmiert. Die Quadrate in den Ecken helfen dem Scanner, den Code zu finden und auszurichten. Der Rest des Rasters ist die Nachricht plus Fehlerkorrekturdaten, die dafür sorgen, dass der Code etwas Beschädigung übersteht. Das ist der ganze Trick.

Ein QR-Code ist also keine Sprache und keine Geheimschrift. Er ist Text in einem Kostüm, das Maschinen besser lesen als Menschen. Wenn dein Handy einen scannt und einen Link anzeigt, hat es nichts entschlüsselt. Es hat den in den Quadraten codierten Text gelesen und angezeigt. Das kryptische Aussehen ist für die Kamera gedacht, nicht um dir den Inhalt vorzuenthalten, was bedeutet: Der Inhalt wird niemandem vorenthalten.

Nichts darin ist geheim

Weil ein QR-Code offener Text ist, gibt es keinen Schlüssel, kein Passwort auf dem Code selbst und keine Verschlüsselung. Was immer du codierst, ist für jeden Scanner lesbar, der es sieht. Ein Code mit einer URL enthält diese URL im Klartext. Ein Kontaktcode enthält Name, Telefon und E-Mail als einfache Felder. Ein WLAN-Code enthält den Netzwerknamen und das Passwort, ausgeschrieben.

Das ist meist kein Problem und sogar der Sinn der Sache: Ein Poster-Code, der dein Menü öffnet, soll öffentlich sein. Ärger gibt es nur, wenn Leute annehmen, die Quadrate würden etwas verbergen. Das tun sie nicht. Wenn du den Inhalt nicht in Klartext auf ein Schild schreiben würdest, dann pack ihn auch nicht in einen QR-Code und behandle die Quadrate als Tarnung. Der Code ist das Schild, die Quadrate sind nur eine Schrift, die dein Handy lesen kann.

Was ein WLAN-QR-Code tatsächlich teilt

Beim WLAN-QR-Code spielt das die größte Rolle, denn er ist so praktisch, dass man die Preisgabe leicht übersieht. Der Code enthält deinen Netzwerknamen und dein WLAN-Passwort als lesbaren Text, damit das Handy eines Gastes ihn auslesen und sich ohne Tippen verbinden kann. Praktisch, aber genau das ist der Haken: Jeder, der diesen Code scannt oder ihn zum späteren Scannen abfotografiert, hat jetzt dein WLAN-Passwort.

Für ein Café oder ein Gästenetzwerk, das geteilt werden soll, ist das genau richtig. Bei deinem Heim- oder Büronetzwerk solltest du überlegen, wo der Code hängt. Ein WLAN-Code, der am Fenster klebt, zeigt zur Straße. Einer, der in einem öffentlichen Foto auftaucht, ist für jeden lesbar, der das Bild speichert. Ein Gästenetzwerk behält die Bequemlichkeit, ohne die Schlüssel für alles andere im Hauptnetz aus der Hand zu geben. Einen WLAN-Code erstellen und auslesen, was in einem dir gereichten Code steckt, kannst du mit einem WLAN-QR-Generator auf qr.hivly.net, damit du genau weißt, was du an die Wand hängst.

Das eigentliche Risiko ist das Ziel, nicht der Code

Ein QR-Code kann keinen Virus tragen, denn er ist nur Text und kann von sich aus nichts ausführen. Das Risiko sind nicht die Quadrate, sondern wohin sie verweisen. Ein Code mit einem Link kann dich auf eine täuschend echte gefälschte Login-Seite schicken. Ein Code mit Kontakt- oder WLAN-Daten kann eine Aktion vorbefüllen, die du nicht beabsichtigt hast. Der Angriff ist Irreführung: Man bringt dich dazu, einem Ziel zu vertrauen, weil ein Code es vorschlägt, der neutral und maschinell wirkt.

Die Abwehr ist einfach und dieselbe wie bei jedem Link. Bevor du handelst, schau dir an, wohin der Code führt. Ein guter Scanner zeigt dir erst die URL oder die Details und wartet auf deine Bestätigung, statt sie automatisch zu öffnen. Scannen, lesen, was wirklich dasteht, und dann entscheiden, dieselbe Vorsicht, die du bei einem Link in einer E-Mail von einem Fremden anwenden würdest. Die Quadrate verdienen kein zusätzliches Vertrauen, nur weil sie technisch aussehen.