Die meisten Menschen behandeln einen QR-Code als harmlose Abkürzung zu einer Website. Oft ist er das. Aber ein QR ist nur ein Behälter für Text, und dieser Text kann weit sensibler sein als ein Link. Bevor Sie ein Code-Bild in den erstbesten „Online-QR-Leser" ziehen, den Sie finden, lohnt es sich zu wissen, was Sie möglicherweise weitergeben – und an wen.
Was ein QR-Code tatsächlich enthalten kann
Das Schwarzweißmuster kodiert reinen Text, und per Konvention kann dieser Text vieles sein:
- Eine URL – der häufige Fall, aber manchmal ein privater oder einmaliger Link (ein Passwort-Reset, eine Einladung, ein Dokument, das „ungelistet" statt wirklich öffentlich ist).
- Ein Wi-Fi-Netzwerk und Passwort – die „Scannen zum Verbinden"-Codes an Routern und in Hotels kodieren wortwörtlich den Netzwerknamen und das Passwort im Klartext.
- Eine Kontaktkarte (vCard) – ein Name, eine Telefonnummer, eine E-Mail und eine Privat- oder Büroadresse.
- Ein Login- oder Zahlungstoken – manche Apps zeigen einen QR, um eine Sitzung oder eine Überweisung zu autorisieren; die Zeichenkette darin ist faktisch ein Schlüssel.
- Reiner Text oder eine Nachricht – alles, was jemand zu kodieren wählte.
Nichts davon ist gefährlich für Sie, wenn Sie es auf Ihrem eigenen Gerät dekodieren. Es wird zum Problem, wenn das Dekodieren erfordert, das Bild irgendwohin zu senden.
Der versteckte Schritt: „Online-Leser" laden Ihr Bild hoch
Hier ist der Teil, der leicht zu übersehen ist. Ein typischer Online-QR-Leser funktioniert, indem er Ihre Bilddatei auf seinen Server hochlädt, sie dort dekodiert und das Ergebnis zurücksendet. Das bedeutet, das Bild – und was auch immer der Code kodiert – verlässt Ihr Gerät und landet auf Hardware, die Sie nicht kontrollieren. Bei einem Link zu einem öffentlichen Artikel: in Ordnung. Bei einem Wi-Fi-Passwort, einem Login-Token oder einer Kontaktkarte mit Privatadresse haben Sie gerade ein Geheimnis an den Server eines Fremden übertragen, wo es protokolliert oder zwischengespeichert werden kann, nur um Text zu lesen, der schon auf Ihrem Bildschirm war.
Sie können prüfen, ob ein Tool hochlädt: Achten Sie auf einen Fortschrittsbalken, der mit der Dateigröße skaliert, oder öffnen Sie den Netzwerk-Tab Ihres Browsers und sehen Sie, ob eine große Anfrage Ihr Bild trägt. Wirklich lokale Tools tun keines von beidem.
Dekodieren Sie es stattdessen lokal
Der datenschutzachtende Ansatz ist, den Code in Ihrem eigenen Browser zu dekodieren, sodass das Bild nie reist.
Der QR-Code-Leser von IMG.DIY tut genau das. Sie geben ihm ein Bild – ziehen, einfügen oder eine Datei wählen – und er zeichnet das Bild auf ein Canvas und dekodiert den QR mit der jsQR-Bibliothek direkt in Ihrem Browser. Nichts wird hochgeladen. Es gibt kein Konto und keinen Server, der die Arbeit macht, und sobald die Seite geladen ist, funktioniert sie mit ausgeschaltetem Netz weiter. Sie können es sich selbst beweisen: Laden Sie das Tool, schalten Sie den Flugmodus ein und dekodieren Sie einen Code – er funktioniert weiter, weil nie ein Server in der Schleife war.
Wenn der Code eine URL ist, gibt Ihnen das Tool einen anklickbaren Link (markiert mit rel=nofollow), sodass Sie das Ziel sehen können, bevor Sie sich darauf einlassen. Ist es eine Wi-Fi-Zeichenkette oder Kontaktkarte, erhalten Sie den Rohtext und eine Kopieren-Schaltfläche – lesen Sie ihn, nutzen Sie ihn, und er bleibt auf Ihrem Rechner.
Eine sinnvolle Gewohnheit für sensible Codes
Zwei kleine Regeln halten Sie sicher:
- Sehen Sie den Text, bevor Sie handeln. Einen Code zu dekodieren zeigt Ihnen das Ziel oder den Inhalt, bevor Ihr Gerät sich mit irgendetwas verbindet. Das allein entschärft viele QR-basierte Betrügereien, bei denen der gedruckte Code gegen einen ausgetauscht wird, der irgendwohin Feindliches zeigt.
- Passen Sie das Tool an das Geheimnis an. Bei einem öffentlichen Link ist es kaum wichtig, wo Sie dekodieren. Bei einem Passwort, einem Token oder jemandes persönlichen Daten dekodieren Sie lokal, damit das Geheimnis Ihr Gerät gar nicht erst verlässt.
Die ehrlichen Grenzen sind erwähnenswert: Dies liest einen Code aus einem Bild, das Sie bereitstellen, eines nach dem anderen, nicht von einer Live-Webcam – eine bewusste Wahl, die alles lokal hält. Für alles, was ein QR-Code verbergen könnte, ist ihn auf Ihrem eigenen Gerät zu lesen schlicht die richtige Standardwahl.