QR-Codes sind 2026 aus dem Alltag nicht mehr wegzudenken — auf Speisekarten, Parkautomaten, Rechnungen, Postern und Paketscheinen. Genau deshalb ist QR-Code-Datenschutz keine Nebensache mehr, sondern ein zentraler Baustein Ihrer digitalen Sicherheit: Jeder Scan kann Daten erzeugen, Links öffnen und Berechtigungen berühren, ohne dass Sie davon etwas mitbekommen. Dieser Leitfaden erklärt, welche Daten beim Scannen tatsächlich entstehen, wo die echten Risiken liegen und mit welchen Gewohnheiten Sie beides im Griff behalten.
Kurz gesagt: Der QR-Code selbst ist nur ein Datenpaket — das Risiko entsteht durch das, was danach passiert. Wer die decodierte URL vor dem Öffnen liest, seiner Scanner-App nur die nötigsten Berechtigungen gibt und den Scan-Verlauf lokal auf dem Gerät hält, schließt die drei größten Datenschutzlücken beim Scannen.
Welche Daten entstehen eigentlich bei einem QR-Code-Scan?
Ein QR-Code ist zunächst nichts weiter als codierter Text — meist eine Webadresse, manchmal WLAN-Zugangsdaten, eine Visitenkarte oder eine Zahlungsinformation. Das Decodieren selbst führt kein Programm auf Ihrem Gerät aus und funkt bei einem statischen Code auch nichts nach Hause. Datenschutzrelevant wird es an drei Stellen danach:
- Der geöffnete Link. Sobald Sie die enthaltene Adresse aufrufen, entsteht ein ganz normaler Webseitenaufruf. Bei dynamischen Codes läuft dieser Aufruf über den Server des Code-Erstellers — der kann also mitzählen, wann und wie oft sein Code gescannt wurde.
- Der Scan-Verlauf. Die eingebaute Kamera-App protokolliert Scans gar nicht; dedizierte Scanner-Apps führen dagegen einen echten Verlauf. Entscheidend ist, ob dieser Verlauf lokal auf dem Gerät bleibt oder ungefragt in einer Cloud landet.
- Die Nebenspuren. Ein geöffneter Link landet im Browserverlauf, ein gescanntes WLAN in den Geräteeinstellungen. Diese Spuren existieren unabhängig von der Scanner-App und müssen separat bereinigt werden.
Der Unterschied zwischen lokal und Cloud ist dabei der Kern der Sache: Ein lokaler Verlauf ist ein Werkzeug für Sie — ein Cloud-Verlauf ist ein Datensatz über Sie.
Warum ist Quishing die größte Bedrohung für Ihre Daten?
Quishing — kurz für „QR-Phishing" — ist ein Phishing-Angriff, der statt eines klickbaren Links einen QR-Code verwendet. Die Masche funktioniert, weil ein QR-Code sein Ziel versteckt: Eine verdächtige URL in einer Nachricht können Sie lesen, ein Quadrat aus Pixeln nicht. Angreifer drucken einen Code, der zu einer gefälschten Login-Seite, einem betrügerischen Zahlungsformular oder einem schädlichen Download führt, und platzieren ihn dort, wo man einen echten Code erwarten würde.
Aus Datenschutzsicht ist Quishing deshalb so gefährlich, weil das Ziel fast immer Ihre persönlichen Daten sind: Zugangsdaten, Kartennummern, Kontoinformationen. Typische Muster sind Aufkleber über den echten Codes an Parkautomaten, manipulierte Codes auf Speisekarten, gefälschte Zahlungscodes auf Rechnungen sowie QR-Codes in Phishing-Mails — dort gerade deshalb, weil ein als Bild eingebetteter Code an Link-Filtern vorbeirutscht, die einen Text-Link erkannt hätten.
Die Verteidigung ist unspektakulär, aber wirksam: Lesen Sie die decodierte Adresse, bevor Sie sie öffnen. Eine Parkraumverwaltung, die auf einen generischen Kurzlink zeigt, eine Bank mit vertauschten Buchstaben in der Domain, ein Menü, das plötzlich ein Login verlangt — all das erkennen Sie nur, wenn zwischen Scannen und Antippen eine kurze Prüfpause liegt.
Welche Berechtigungen braucht eine Scanner-App wirklich?
Die ehrliche Antwort: sehr wenige. Kamera ja — ohne sie geht nichts. Fotozugriff optional, falls Sie Codes aus gespeicherten Bildern scannen möchten. Mehr braucht ein QR-Scanner nicht. Eine Scanner-App, die Standort, Kontakte oder ein Benutzerkonto verlangt, sammelt Daten, die mit dem Scannen nichts zu tun haben — und genau solche Apps sollten Sie meiden.
Bevor Sie einer App Ihre Scans anvertrauen, lohnt ein kurzer Check:
- Lokale Speicherung? Der Verlauf sollte auf dem Gerät bleiben.
- Kein Kontozwang? Scannen braucht kein Benutzerkonto.
- URL-Vorschau vor dem Öffnen? Die App muss die decodierte Adresse anzeigen, bevor sie den Browser startet.
- Nachvollziehbare Berechtigungen? Kamera ja, Fotos optional — sonst nichts.
- Löschkonzept? Sensible Einträge müssen sich gezielt und endgültig entfernen lassen.
Ein Beispiel für diesen Ansatz ist QRBot: Die App zeigt bei jedem Scan zuerst die decodierte URL an, bevor irgendetwas geöffnet wird, speichert den durchsuchbaren Verlauf ausschließlich lokal auf dem Gerät hinter einer optionalen Face-ID- oder PIN-Sperre und protokolliert die geöffneten Adressen auf keinem Server — kostenlos für iOS und Android.
Welche Gewohnheiten schützen Ihre Privatsphäre beim Scannen?
Sicheres, datensparsames Scannen ist keine Frage technischer Kenntnisse, sondern von fünf Gewohnheiten:
- Vorschau lesen, dann entscheiden. Öffnen Sie nie einen gescannten Link, dessen Adresse Sie nicht gelesen haben. Die echte Domain steht direkt vor dem ersten einzelnen
/— sie muss zum Kontext passen. - Misstrauen bei unbeaufsichtigten Codes. Parkautomaten, Tischaufsteller, Aushänge: Überall dort können Aufkleber über dem Original kleben. Fühlen Sie im Zweifel nach Kanten und Bläschen.
- Keine Zugangsdaten oder Zahlungen auf gescannten Seiten. Wenn ein Code zu einem Login oder einer Zahlung führt, tippen Sie die offizielle Adresse selbst in den Browser, statt dem Code zu vertrauen.
- Keine Installationen aus gescannten Links. Apps und Konfigurationsprofile haben aus einem QR-Code nichts auf Ihrem Gerät verloren.
- Verlauf pflegen. Löschen Sie sensible Scans gezielt und denken Sie an die Nebenspuren im Browserverlauf und in den WLAN-Einstellungen. Gerät und Scanner-App aktuell zu halten, schließt den Rest.
Behandeln Sie jeden QR-Code wie einen Link von einem Fremden: anschauen ja, blind vertrauen nein.
Häufige Fragen
Kann der Ersteller eines QR-Codes sehen, dass ich ihn gescannt habe? Beim statischen Code nicht — der Scan selbst sendet keine Daten. Erst wenn Sie den enthaltenen Link öffnen, entsteht ein Webseitenaufruf; bei dynamischen Codes läuft dieser über den Server des Erstellers, der Aufrufe zählen kann.
Kann ein QR-Code-Scan mein Handy hacken? Das Scannen allein so gut wie nie. Ein QR-Code ist nur Daten, und das Decodieren führt nichts aus. Die eigentliche Gefahr beginnt danach: gefälschte Login-Seiten, betrügerische Zahlungsformulare oder Download-Aufforderungen. Wer die URL prüft und nichts Unerwartetes installiert, nimmt dem Code seine Wirkung.
Woran erkenne ich einen manipulierten QR-Code? Meist gar nicht am Code selbst — die Hinweise liegen im Kontext: ein Aufkleber über dem Original, ein Code an einem ungewöhnlichen Ort, Kurzlinks oder Tippfehler-Domains in der Vorschau sowie Druck und Dringlichkeit im Begleittext. Ein Warnsignal ist ein Grund zur Pause, zwei sind ein Grund zu gehen.
