QR-Codes auf Tickets

Was tatsächlich codiert wird

Keine URL. Ein Ticketcode trägt eine Kennung, die eine Scan-App gegen die Ticketliste prüft.

• Eindeutig pro Ticket, nie pro Veranstaltung, sonst lässt der erste Screenshot alle herein
• Undurchsichtig, damit sich die Kennung nicht durch Hochzählen erraten lässt
• Signiert, wo es darauf ankommt, damit ein Scanner die Echtheit auch ohne aktive Verbindung prüfen kann
• Kurz, denn ein kleiner gedruckter Code druckt und scannt an einem vollen Eingang schneller

Wie die Prüfung im Detail abläuft, samt Durchsetzung der Einmalnutzung und dem, was ein Scanner mit einem Duplikat macht, erklärt die Einführung zur Ticket-Validierung.

Die Offline-Frage, die alles entscheidet

Am Eingang ist das Netz der Location das unzuverlässigste Ding im Gebäude. Ein Scan-Aufbau, der pro Ticket einen aktiven API-Aufruf braucht, fällt genau dann aus, wenn am meisten los ist.

• Scanner sollten eine lokale Kopie der Ticketliste vorhalten und im Nachgang abgleichen
• Signierte Codes erlauben es einem Scanner, ein Ticket ganz ohne Verbindung zu akzeptieren
• Planen Sie den Duplikatfall ausdrücklich ein: zwei Personen, ein Code, ein Platz, und eine Regel, die das Einlasspersonal bereits kennt

Druck und Bildschirm, beides

Die meisten Tickets werden heute auf einem Handy-Display gezeigt, und die beiden Medien scheitern unterschiedlich.

• Auf dem Bildschirm: Helligkeit zählt mehr als Größe. Bitten Sie die Gäste, die Helligkeit hochzudrehen und das automatische Abdunkeln abzuschalten. Displayschutzfolien, Risse und Reflexionen sind die echten Ursachen einer stockenden Schlange.
• Auf Papier: 25 bis 30 mm, schwarz auf weiß, matt. Heimdrucker sind unberechenbar, halten Sie den Code deshalb auf niedriger QR-Version und setzen Sie ihn nie in die Nähe eines Falzes oder einer Perforation.
• Auf Armbändern: Hier gilt die Krümmungsregel, halten Sie den Code auf dem flachsten Abschnitt und machen Sie ihn größer als nötig.

Betrug, ehrlich betrachtet

Ein gedruckter QR-Code lässt sich abfotografieren. Daran führt kein Weg vorbei, die Verteidigung liegt also im Validierungsmodell und nicht im Druck:

• Einmalnutzung. Der zweite Scan wird abgewiesen, und damit sind Screenshots wertlos.
• Wechselnde Codes in einer Mobile Wallet, alle paar Sekunden erneuert, hebeln den Screenshot vollständig aus. Deshalb drängen hochpreisige Veranstaltungen die Gäste in eine App oder einen Wallet-Pass.
• Namensabgleich in den Premium-Kategorien.
• Codieren Sie nie eine fortlaufende ID, denn das macht Fälschung zur Rechenaufgabe.

Nach dem Scan arbeitet der Code weiter

Das Ticket in der Tasche ist ein Kanal, den die meisten Veranstaltungen verschenken. Einmal validiert, kann derselbe Code den Ablaufplan, den Sitzplan, das bargeldlose Aufladen, den Merch-Shop oder die Höhepunkte nach der Veranstaltung öffnen. Das ist ein weiteres Argument für ein dynamisches Ziel hinter der validierten Kennung: Das Ticket wird zur Veranstaltungs-App, ohne dass jemand eine herunterlädt.