Sie stehen am Gate, die Mitarbeiterin fährt mit dem Scanner über Ihr Telefon, und nichts passiert. Der Bildschirm hat sich vier Sekunden zuvor selbst abgedunkelt, um Akku zu sparen. Das ist der häufigste Grund, warum eine Bordkarte nicht gelesen wird, und die Abhilfe dauert zwei Sekunden: Helligkeit auf Maximum, bevor Sie das Telefon hinhalten.
Die meisten Ratschläge zu QR-Codes sind für die Person geschrieben, die einen erstellt. Dieser ist für die Person, der einer gereicht wurde.
Klären Sie zuerst die Richtung
Entscheiden Sie vor allem anderen, ob Sie scannen oder gescannt werden. Das klingt selbstverständlich und verursacht die Hälfte der Verwirrung.
Codes, die Sie mit Ihrer Kamera scannen: Speisekarten, Plakate, WLAN-Karten, Visitenkarten, Zahlungsanfragen, Packungsbeilagen, Paketstationen.
Codes, die Sie dem Scanner einer anderen Person zeigen: Tickets, Bordkarten, Fitnessausweise, Abholscheine, Retourenetiketten. Hier hilft nichts, was Sie mit Ihrer eigenen Kamera tun, obwohl das Telefon auf den eigenen Bildschirm zu richten ein verbreiteter Reflex ist.
Wenn Sie scannen wollen und die Kamera-App nichts tut, prüfen Sie, ob die QR-Erkennung in den Kameraeinstellungen eingeschaltet ist. Sie ist auf den meisten Telefonen aktiv und wird häufiger als gedacht versehentlich abgeschaltet. Die grundlegenden Scanschritte sind in einer Minute geprüft.
Lesen Sie die Vorschau, bevor Sie tippen
Erfasst Ihre Kamera einen Code, zeigt sie das Ziel, bevor sie etwas öffnet. Dieses Banner ist die gesamte Sicherheitsschicht, und die meisten wischen daran vorbei, ohne hinzusehen.
Sehen Sie sich die Domain an, nicht den Rest der Adresse. Die echte Domain ist das, was unmittelbar vor dem ersten einzelnen Schrägstrich steht. Ein Link, der sicher-ihrebank.pruef-portal.com lautet, ist nicht Ihre Bank. Es ist pruef-portal.com im Kostüm. Aufkleber über echten Codes an Parkuhren, Ladesäulen und Paketstationen sind billig herzustellen und wirklich häufig — deshalb sind gefälschte QR-Codes zwei Minuten Ihrer Aufmerksamkeit wert.
Zwei Regeln decken fast alles ab. Tippen Sie kein Passwort und keine Kartennummer in eine Seite, die Sie nur durch Scannen erreicht haben, außer Sie sind vorher selbst dorthin navigiert. Und behandeln Sie jeden Code, der dringend Zahlung verlangt, als verdächtig, wie offiziell das umgebende Schild auch aussieht.
Tickets und Bordkarten
Der Code enthält eine Buchungsreferenz, nicht Ihre Identität. Der Scanner schlägt diese Referenz in einer Datenbank nach, das heißt, der Code ist ohne die dahinterliegende Reservierung wertlos, und im Muster steht nichts Sensibles.
Tun Sie vor der Reise drei Dinge. Fügen Sie die Karte der Wallet-App Ihres Telefons hinzu, falls es die Option gibt, denn Wallet-Karten bleiben hell und sind vom Sperrbildschirm erreichbar. Machen Sie einen Screenshot als Rückfall, damit sie ein totes Netz in einem Kellergate überlebt. Und prüfen Sie, ob der Veranstaltungsort einen Screenshot überhaupt akzeptiert, denn manche Ticketsysteme wechseln den Code alle paar Sekunden, gerade um Weiterverkauf zu verhindern, und der Screenshot eines wechselnden Codes wird abgelehnt.
Wenn es am Gate scheitert: Helligkeit hoch, Spiegelung der Schutzfolie durch leichtes Kippen entfernen, und die automatische Helligkeit ganz abschalten. Weigert sich der Scanner weiter, lässt sich die darunter gedruckte Referenznummer meist von Hand eingeben. Fragen Sie danach, statt von vorn anzufangen.
Rechnungen und Zahlungsanfragen
Einen Zahlungscode zu scannen öffnet normalerweise entweder eine Banking-App mit vorausgefülltem Empfänger und Betrag oder eine Kassenseite im Browser. Was Sie prüfen müssen, ist in beiden Fällen dasselbe: Empfängername, Betrag und Verwendungszweck. Alle drei erscheinen vor der Bestätigung, und alle drei sind von der Person änderbar, die den Code gemacht hat.
Bestätigen Sie nie eine Zahlung, bei der der Empfängername nicht zu dem Unternehmen passt, das Sie zu bezahlen glauben. Rechnungsbetrug funktioniert genau so, mit einer echten Rechnung, die mit vertauschtem Code neu ausgestellt wird.
Öffnet der Code eine Seite, die Sie zur Anmeldung bei Ihrer Bank auffordert, statt die App Ihrer Bank zu öffnen, brechen Sie ab. Echte Zahlungscodes übergeben Sie an eine App, der Sie ohnehin vertrauen, oder an einen Zahlungsdienstleister, den Sie am Namen erkennen.
Die WLAN-Karte in der Ferienwohnung
Ein WLAN-Code trägt Netzwerkname, Passwort und Sicherheitstyp als Klartext. Ihn zu scannen lässt Ihr Telefon anbieten, diesem Netz beizutreten, und Sie tippen einmal zum Annehmen. Keine App, kein Abtippen eines 24-stelligen Passworts von einer laminierten Karte.
Zwei Dinge sind zu wissen. Auf manchen Android-Versionen müssen Sie den Code aus dem WLAN-Einstellungsbildschirm heraus öffnen statt aus der Kamera-App. Und das Passwort steht im Code in lesbarer Form, wer diese Karte also fotografiert, hat Ihr Netz. Wenn Ihnen die Unterkunft gehört, gehört diese Karte an ein Gästenetz, nicht an Ihr Hauptnetz.
Verbindung scheitert? Die häufigste Ursache ist ein Code, der für den falschen Sicherheitstyp erzeugt wurde, WPA gegen offen. Den Code mit einem Scanner zu lesen, der Ihnen den Rohtext zeigt, gibt das Passwort preis, sodass Sie es von Hand eintippen können.
Zwei-Faktor-Einrichtungscodes sind der Sonderfall
Das ist der eine Fall, in dem das Scannen mit der Kamera falsch ist. Ein 2FA-Code, der bei der Kontoeinrichtung erscheint, muss aus der Authenticator-App heraus gescannt werden, nicht aus der Kamera, denn die App muss das enthaltene Geheimnis speichern statt es nur anzuzeigen.
Öffnen Sie den Authenticator, wählen Sie das Hinzufügen eines Kontos, und nutzen Sie dessen eingebauten Scanner. Richten Sie das auf demselben Gerät ein, das den Code anzeigt, lassen die meisten Authenticator-Apps Sie den Einrichtungsschlüssel einfügen, den die Seite darunter als Text zeigt. Nehmen Sie diesen Weg, statt mit zwei Geräten zu jonglieren.
Sichern Sie im selben Moment Ihre Wiederherstellungscodes. Dieses Geheimnis existiert nach der Einrichtung an genau einer Stelle, und das Telefon ohne Wiederherstellungscodes zu verlieren ist ein schmerzhafter Nachmittag.
Bankcodes, Gästekarte und der Code, den niemand erfragen darf
Im deutschen Online-Banking begegnen Ihnen zwei völlig verschiedene Codes, und sie werden ständig verwechselt. Der eine erscheint auf dem Bildschirm, wenn Sie eine Überweisung freigeben, und wird von Ihrem TAN-Generator oder der Bank-App gelesen; den dürfen Sie so oft lesen, wie Sie wollen. Der andere ist der Registrierungscode, mit dem eine Bank-App an Ihr Gerät gebunden wird, und der kommt üblicherweise per Brief. Er gilt einmal, und er gehört niemandem sonst. Ruft jemand an und bittet Sie, einen solchen Code zu scannen, vorzulesen oder weiterzuschicken, ist das der Angriff und nicht der Kundendienst. Keine Bank fragt am Telefon danach.
Die Gästekarte in der Ferienwohnung ist der harmlose Gegenpol. Sie kodiert Netzname, Sicherheitstyp und Passwort, und ein Tipp genügt. Zwei Dinge lohnen die Erwartung: Gästenetze trennen die Geräte oft voneinander, sodass Drucker, Lautsprecher und Fernseher nicht auffindbar sind, und ein Netzname mit Umlaut macht die Handeingabe zur Fehlerquelle, wenn der Code einmal nicht liest. Notieren Sie sich in dem Fall Netzname und Passwort aus der dekodierten Zeichenkette, bevor Sie weitertippen.
Bei Fahrkarten gilt eine Besonderheit, die Reisende regelmäßig überrascht: Manche Tickets erneuern ihren Code in kurzen Abständen, damit ein Bildschirmfoto nicht als Fahrkarte taugt. Ein Screenshot ist dann bei der Kontrolle wertlos, auch wenn er gestern noch funktioniert hat. Halten Sie solche Tickets in der App bereit, laden Sie sie vor der Fahrt im WLAN und rechnen Sie im Tunnel nicht mit Netz.
Speisekarten, Karten und alles andere Gedruckte
Ein Code auf der Speisekarte öffnet meist eine Webseite, manchmal ein PDF. Lässt sich das PDF auf dem Telefon kaum vergrößern, fragen Sie nach einer gedruckten Karte. Das ist ein Versäumnis des Lokals und nicht Ihres.
Ein Code auf einer Visitenkarte bietet an, einen Kontakt anzulegen. Prüfen Sie die Felder vor dem Speichern, denn vCards tragen, was die erstellende Person getippt hat, inklusive alter Jobtitel von einer vor zwei Jahren gedruckten Karte.
Gedruckte Codes scheitern aus langweiligen physischen Gründen: Blendung, ein Falz durch das Muster, dünn gewordene Farbe, ein Code, der für Ihren Abstand zu klein geschrumpft wurde. Stellen Sie sich so, dass das Licht seitlich fällt, gehen Sie zurück, bis der Code etwa ein Viertel des Bildes füllt, und halten Sie eine volle Sekunde still.
Weigert er sich nach zwei Versuchen weiter, fotografieren Sie ihn und öffnen Sie das Foto in einer Scanner-App, statt mit der Live-Kamera zu kämpfen. Ein Standbild gibt dem Decoder eine weit bessere Chance, und die Gründe, warum Codes aufhören zu funktionieren, lassen sich aus einem Foto fast immer beheben, wenn sie live nicht zu beheben sind.
