Böswillige QR-Codes: Der Scan, der den Geldbeutel öffnet

Die moderne Welt erscheint manchmal wie ein Puzzle aus kleinen schwarzen und weißen Quadraten. Sie sind überall: auf Speisekarten in Restaurants, an Straßenlaternen, auf Paketen in der Post und sogar auf Grabsteinen auf Friedhöfen. Der QR-Code (Quick Response Code), der ursprünglich für die japanische Automobilindustrie erfunden wurde, erlebte während der Corona-Pandemie eine meteorhafte Wiedergeburt. Er wurde zur zentralen Brücke zwischen der physischen Welt und dem digitalen Raum. Doch inmitten dieser Bequemlichkeit, inmitten des schnellen 'Klicks' und des instinktiven Scannens verbirgt sich eine der raffiniertesten und sich am schnellsten entwickelnden Bedrohungen in der Welt des digitalen Betrugs: 'Quishing' (QR-Phishing).

In den vorherigen Kapiteln haben wir uns mit Textnachrichten und gefälschten E-Mails befasst. Dort ist die Falle normalerweise für denjenigen sichtbar, der zu suchen weiß – eine seltsame Absenderadresse oder eine fehlerhafte Sprache. Beim QR-Code besteht das Problem darin, dass das menschliche Auge nicht in der Lage ist, den Code zu lesen. Für uns ist es nur ein zufälliges grafisches Muster. Wir vertrauen unserem Telefon voll und ganz, dass es das Ziel für uns entschlüsselt, und oft kann dieses Ziel der Auftakt zu einem finanziellen Verlust sein.

Der folgende Szenario ist ein lehrreiches Beispiel, das auf gängigen Betrugsmustern basiert. Die Charaktere und Ereignisse dienen nur der Veranschaulichung.

Ronen, ein Softwareingenieur, gilt in den Augen seiner Familie als technologieversiert. Er ist derjenige, der die Router konfiguriert, das Antivirenprogramm für seine Eltern installiert und alle davor warnt, auf verdächtige Links in SMS zu klicken. Doch eines Tages, am späten Nachmittag, wurden auch Ronens Schutzmauern auf die Probe gestellt.

Er war auf dem Weg zu einem wichtigen Treffen in einer belebten Gegend. Nach einer erschöpfenden Suche fand er endlich einen freien Parkplatz. Auf dem Parkscheinautomaten war ein großer Aufkleber mit dem Symbol einer Kommunalverwaltung und einem Branding angebracht, das offiziell aussah. 'Geparkt? Scannen und per Klick bezahlen – ohne App', stand darauf neben einem markanten QR-Code.

'Großartig', dachte Ronen, 'das spart mir Zeit.' Er nahm das Telefon heraus, scannte den Code, und innerhalb von Sekunden öffnete sich im Browser eine Seite, die wie ein offizielles Zahlungsportal aussah. Die Farben stimmten und das Logo war an seinem Platz. Er wurde aufgefordert, die Fahrzeugnummer und die gewünschte Parkdauer einzugeben. Er gab die Kreditkartendaten ein, klickte auf 'Zahlung bestätigen' und erhielt eine Meldung auf dem Bildschirm: 'Zahlung erfolgreich durchgeführt. Angenehmes Parken'.

Ronen ging mit ruhigem Gewissen zu seinem Treffen. Er wusste nicht, dass in diesem Szenario seine Kreditkartendaten an einen externen Server übertragen wurden. Er wusste auch nicht, dass der Aufkleber, den er scannte, von einem böswilligen Akteur auf den Automaten geklebt wurde, der den ursprünglichen Code abdeckte.

Das Erwachen kam am Abend. Ronen bemerkte Benachrichtigungen seines Kreditkartenherausgebers über Transaktionen in erheblicher Höhe, die auf ausländischen Websites getätigt wurden, von denen er noch nie gehört hatte. Er loggte sich in seine Banking-App ein und sah eine Liste anstehender Belastungen. Er erinnerte sich an den Parkautomaten und diesen Scan, der so harmlos und bequem aussah.

Als er sich an den Kundendienst seines Kreditkartenherausgebers wandte, fragte die Mitarbeiterin ihn: 'Haben Sie in letzter Zeit auf einer Website Ihre Kartendaten eingegeben?'. 'Nur beim Parken', antwortete Ronen. 'Wir kennen in letzter Zeit viele solcher Fälle', antwortete die Mitarbeiterin. 'Es ist möglich, dass Sie einen gefälschten Code gescannt haben'.

Die Anatomie des QR-Betrugs: Warum funktioniert das?

Um zu verstehen, warum der QR-Code zu einem effektiven Werkzeug in den Händen von Betrügern geworden ist, müssen wir die Psychologie hinter dem Scannen verstehen. Im Gegensatz zu einem textbasierten Link (URL), bei dem wir die Buchstaben prüfen können, ist ein QR-Code eine 'Black Box'. Der durchschnittliche Benutzer weiß nicht, wohin er geführt wird, bis die Aktion bereits ausgeführt wurde.

Diese Betrügereien nutzen meist mehrere Schlüsselfaktoren aus:

1. Vertrauen in den physischen Ort

Es besteht eine Tendenz, physischen Objekten zu vertrauen. Wenn eine Person einen QR-Code auf einem Schild in einer bekannten Einrichtung, auf einem Tisch in einem Restaurant oder an einem offiziellen Zahlungsautomaten sieht, geht sie davon aus, dass der Code dem Eigentümer des Ortes gehört. Der Gedanke ist: 'Wenn der Aufkleber hier ist, ist er sicher'. Böswillige Akteure können an öffentliche Orte gehen und einen böswilligen Code über den legitimen Code kleben.

2. Umgehung digitaler Schutzmechanismen

Sicherheitssysteme von E-Mail-Postfächern können Links scannen und bekannte Phishing-Seiten identifizieren. Ein QR-Code ist jedoch ein Bild. Bestimmte Sicherheitssoftware könnte Schwierigkeiten haben, das Bild zu 'lesen' und den darin verborgenen Link mit der gleichen Effizienz zu analysieren wie Text, was es der Nachricht ermöglicht, Sicherheitsfilter zu durchdringen.

3. Gefühl von Dringlichkeit und Bequemlichkeit

QR-Codes werden meist an Orten platziert, an denen Menschen es eilig haben: Parkgebühren, Scannen einer Speisekarte oder eine schnelle Registrierung. In einem Zustand der Eile sinkt die kritische Wachsamkeit, und der Benutzer scannt möglicherweise, ohne die Zielseite, die sich öffnet, im Detail zu prüfen.

Arten häufiger QR-Betrügereien: Der Leitfaden zur Erkennung von Minen

QR-Betrügereien beschränken sich nicht nur auf Aufkleber auf der Straße. Im Laufe der Jahre wurden bei der professionellen Arbeit verschiedene Methoden beobachtet:

Der 'Wartendes Paket'-Betrug als QR-Version

In diesem Szenario erhält eine Person einen physischen Brief im Postkasten, der aussieht, als wäre er von einem bekannten Lieferdienst verschickt worden. Im Brief steht, dass versucht wurde, ein Paket zuzustellen, und dass zum Zweck der Terminvereinbarung oder zur Zahlung einer symbolischen Bearbeitungsgebühr der Code gescannt werden muss. Der physische Brief vermittelt ein Gefühl von Glaubwürdigkeit, und das Scannen kann zu einer gefälschten Zahlungsseite führen.

Betrug an Ladestationen für Elektrofahrzeuge

Viele Ladestationen werden durch das Scannen eines QR-Codes aktiviert. Böswillige Akteure können gefälschte Codes auf die Stationen kleben, die zu einer Website führen, auf der der Fahrer aufgefordert wird, Kreditkartendaten einzugeben. In einem solchen Fall könnte der Fahrer seine Kreditkartendaten verlieren, ohne dass die Station tatsächlich aktiviert wird.

'Besonderer Rabatt' in Restaurants und Cafés

Auf Tischen in Restaurants kann ein Code erscheinen, der einen erheblichen Rabatt im Austausch für eine Anmeldung im Kundenclub verspricht. Das Scannen kann zu einer Seite führen, die persönliche Daten abfragt oder den Download einer App verlangt, die böswillige Komponenten enthalten könnte, die Informationen vom Mobilgerät absaugen.

Rechtliche Aspekte: Prüfung der Haftung im Betrugsfall

Wenn eine Person feststellt, dass ihr Konto nach dem Scannen eines böswilligen QR-Codes belastet wurde, stellt sich die rechtliche Frage bezüglich der Möglichkeiten der Rückerstattung der Gelder. In Israel ist das Thema durch das Gesetz über Zahlungsdienste von 2019 geregelt.

Das Gesetz gewährt dem Verbraucher Schutz im Falle einer 'missbräuchlichen Verwendung' eines Zahlungsmittels. In der Regel ist bei Transaktionen ohne Genehmigung die Haftung des Kunden auf die gesetzlich festgelegten Beträge begrenzt, und man kann prüfen, ob die verbleibende Schadensersatzforderung gegenüber dem Zahlungsdienstleister geltend gemacht werden kann. Die rechtliche Debatte konzentriert sich oft auf die Frage, ob der Kunde mit Betrugsabsicht oder grober Fahrlässigkeit gehandelt hat.

Die Frage der 'groben Fahrlässigkeit' beim QR-Scannen

Es könnte argumentiert werden, dass das Scannen eines auf der Straße angebrachten Codes und die Eingabe von Daten grobe Fahrlässigkeit darstellen. Bei einer juristischen Analyse dieser Fälle kann jedoch argumentiert werden, dass, wenn die Täuschung raffiniert ist und der Code an einem öffentlichen Ort platziert ist, der ihm eine Vermutung der Korrektheit verleiht, dies nicht als grobe Fahrlässigkeit angesehen werden kann, die den gesetzlichen Schutz aufhebt.

In vielen Fällen tendiert der rechtliche Ansatz dazu, den Verbraucher zu schützen, da 'grobe Fahrlässigkeit' eine hohe Schwelle ist, die der Zahlungsdienstleister beweisen muss. Unter Umständen, in denen eine Person Opfer einer raffinierten Betrugshandlung wurde, kann die Aussicht auf Rückerstattung der Gelder je nach Umständen des Einzelfalls geprüft werden.

Haftung des Grundstückseigentümers oder der Kommunalverwaltung

Eine weitere rechtliche Frage ist die Haftung des Gremiums, auf dessen Fläche oder Anlagen der Code angebracht wurde. Es kann geprüft werden, ob eine Stelle, die Anlagen im öffentlichen Raum betreibt und nicht daran arbeitet, böswillige Aufkleber über längere Zeit zu entfernen, ihre Sorgfaltspflicht verletzt hat. Es handelt sich um Rechtsfragen, die gemäß dem allgemeinen Schadensersatzrecht analysiert werden können.

Schutzstrategien: Scan-Hygiene

Man kann weiterhin QR-Codes unter Einhaltung von Vorsichtsmaßnahmen verwenden:

1. Physische Prüfung

Vor dem Scannen eines Codes an einem öffentlichen Ort wird empfohlen sicherzustellen, dass es sich nicht um einen Aufkleber handelt, der über einen anderen Code geklebt wurde. Wenn es so aussieht, als sei der Code kein integraler Bestandteil des Schildes oder des Geräts, sollte man das Scannen vermeiden.

2. Prüfung der Webadresse (URL)

Die meisten Geräte zeigen eine Vorschau der Webadresse an, bevor sie geöffnet wird. Man sollte die Adresse prüfen und sicherstellen, dass sie mit der erwarteten offiziellen Stelle übereinstimmt und es sich nicht um eine verkürzte oder verdächtige Adresse handelt.

3. Herunterladen von Apps nur aus offiziellen Quellen

Es wird empfohlen, keine Apps direkt über einen QR-Code herunterzuladen. Es ist besser, die App manuell in den offiziellen Stores zu suchen, die Sicherheitsüberprüfungen für die hochgeladenen Inhalte durchführen.

4. Verwendung einer Zwei-Faktor-Authentifizierung (2FA)

Die Aktivierung einer Zwei-Faktor-Authentifizierung bildet eine zusätzliche Schutzschicht. Der an das Handy gesendete Authentifizierungscode ist das letzte Hindernis und sollte nicht auf einer Seite eingegeben werden, die über einen QR-Code geöffnet wurde, es sei denn, der Benutzer hat die Aktion auf einer bekannten und sicheren Website initiiert.

Rechtlicher Aspekt: Zusammenfassung des Umgangs mit Zahlungsdienstleistern

Im Laufe der Jahre der beruflichen Arbeit treten viele Fälle von Opfern auf, die ein Unbehagen empfinden. Es ist wichtig zu verstehen, dass es sich um Aktivitäten raffinierter krimineller Akteure handelt.

Aus rechtlicher Sicht sind folgende Punkte zu beachten:

• Meldepflicht: Nach Entdeckung des Betrugs muss die Kreditkartengesellschaft oder Bank unverzüglich benachrichtigt werden. Eine frühzeitige Meldung kann die Haftung des Kunden verringern.
• Prüfung des Anspruchs auf Rückerstattung: Gemäß Gesetz besteht bei Fällen missbräuchlicher Verwendung ein Rahmen, der es ermöglicht, die Rückerstattung der Transaktionsbeträge zu fordern, vorbehaltlich der Prüfung der Umstände des Vorfalls durch den Zahlungsdienstleister.
• Beweislast: Die Last zum Beweis 'grober Fahrlässigkeit' liegt meist beim Zahlungsdienstleister. Die bloße Durchführung des Scans reicht nicht aus, um diesen Vorwurf zu begründen.

Warnsignale (Red Flags)

• Der Code sieht aus wie ein Aufkleber, der über ein bestehendes Schild, einen Parkautomaten oder eine Speisekarte geklebt wurde.
• Das Scannen führt zu einer Seite, die dringend zur Eingabe von Kreditkartendaten oder sensiblen persönlichen Informationen auffordert.
• Die Webadresse entspricht nicht der offiziellen Website der entsprechenden Stelle.
• Der Code kam im Rahmen einer unerwarteten physischen Ansprache in den Briefkasten.
• Das Scannen führt dazu, dass das Gerät ungewöhnliche Zugriffsberechtigungen auf Kontakte oder Nachrichten anfordert.

Was sofort zu tun ist (Notfallmaßnahmen)

1. Sperrung von Zahlungsmitteln: Sofortige Kontaktaufnahme mit der Kreditkartengesellschaft oder Bank zur Stornierung oder Sperrung der Karte, deren Details kompromittiert wurden.
2. Dokumentation: Fotografieren des physischen Codes und seines Standorts sowie ein Screenshot der Webadresse, die sich geöffnet hat.
3. Änderung von Passwörtern: Wenn Anmeldedaten eingegeben wurden, müssen die Passwörter in den relevanten Konten sofort geändert werden.
4. Meldung an die Behörden: Einreichung einer Beschwerde bei der israelischen Polizei. Diese Handlung ist entscheidend, um Rechte gegenüber Zahlungsdienstleistern geltend zu machen.
5. Sicherheitsprüfung des Geräts: Wenn eine Datei heruntergeladen wurde, wird empfohlen, eine professionelle Schadsoftware-Prüfung für das Mobilgerät durchzuführen.

Rechtlicher Aspekt – Zusammenfassung

Das Gesetz über Zahlungsdienste von 2019 bildet die Grundlage für den Verbraucherschutz in diesen Fällen. In Situationen von QR-Betrug kann die Begrenzung der Haftung des Kunden geprüft werden. Da Zahlungsdienstleister die Haftung manchmal eng auslegen können, empfiehlt es sich, bei erheblichem Schaden die rechtlichen Möglichkeiten zu prüfen, die dem Verbraucher zur Verfügung stehen. Die Technologie mag sich ändern, aber die Grundsätze des Verbraucherschutzes sollen Antworten in Situationen bieten, in denen eine Person durch raffinierte Betrugshandlungen geschädigt wird.