QR-Codes gibt es schon seit rund 16 Jahren, und doch erfreuen sie sich bei uns erst seit wenigen Jahren steigernder Beliebtheit. Vieles spricht für QR-Codes: Vor allem sind sie nicht nur praktisch, sondern auch vielseitig einsetzbar. Desto verbreiteter sie jedoch sind, desto attraktiver sind sie jedoch auch für Cyberkriminelle. Doch wie angreifbar sind QR-Codes wirklich? Auf welche Weise sie ausgenutzt werden können und wie eine sichere Verwendung aussieht, erfahren Sie in diesem Beitrag.
Mit den sogenannten Quick Response Codes (kurz QR-Codes) können komplexe Informationen verkürzt und kompakt dargestellt werden. Die meist schwarzweisse Matrix findet sich überall: Auf Verpackungen, Postern, Plakatwänden, in Magazinen, Zeitungen und neuerdings auch auf Einzahlungsscheinen – und wirkt so ziemlich unscheinbar. Dabei ist die Ansammlung aus kleinen Punkten und Quadraten nicht weniger als ein Sprungbrett von der Offline- in die Online-Welt. Durch einfaches Scannen mit dem Smartphone, sogenannt «Mobile Tagging», befinden sich die Benutzer unvermittelt im weltweiten Web. Von dort aus können sie schnell und unkompliziert auf die Seiten und Inhalte zugreifen, die durch den QR-Code angestossen werden.
Im Prinzip ist das System vergleichbar mit den Strichcodes im Supermarkt. Der Unterschied: Durch den zweidimensionalen Aufbau des QR-Codes steht viel mehr Speicherplatz zur Verfügung. Ausserdem sind sie sehr robust; sprich, auch erkennbar, wenn der Code leicht beschädigt ist. Und zu guter Letzt kann inzwischen beinahe jedes Smartphone einen QR-Code lesen sowie mit einer Applikation auch kostenlos generiert werden. Kurzum: Einfach, vielfältig und für jeden verfügbar.
Die Vorreiter in Sachen QR-Codes waren, wie so oft, die Asiaten. Toyota hat das Pixelraster ursprünglich entworfen, um Teile und Baugruppen automatisch erkennen zu können. Besonders verbreitet ist das System heutzutage in China, wo es unter anderem als Zahlungssystem eingesetzt wird – nicht selten auch für grosse Beträge.
Bei uns ist der QR-Code zwar nicht ganz so verbreitet wie in anderen Ländern. Nichtsdestotrotz müssen wir beim Einsatz und der Verwendung genauso auf Sicherheit achten. Denn in anderen Bereichen wie beispielsweise der Industrie, im Ticketing und vor allem auch im Finanzsektor finden QR-Codes Verwendung. Kürzlich hat SIX, Betreiber der Infrastruktur für den Schweizer Finanzplatz, in einer Medienmitteilung gar kommuniziert, dass QR-Rechnungen die heutigen Einzahlungsscheine schrittweise ablösen werden. Der sogenannte «Swiss QR-Code» enthält dabei sämtliche Informationen, die bislang auf der Rechnung ersichtlich waren. (Weiterführende Informationen zur QR-Rechnung finden Sie auf der Webseite «einfach-zahlen.ch».)
Somit wird auch klar, weshalb Cyberkriminelle zunehmend Interesse zeigen. So wurde beispielsweise bereits 2011 bekannt, dass Hacker der iranischen Regierung auf diese Weise eine US-Spionagedrohne erbeuteten.
Besonders im privaten Gebrauch sollte man vor allem eines nicht vergessen: Codes werden in der Regel mit dem Smartphone gescannt. Die Benutzer sind sich im Gegensatz zu Computern oft weniger über die Cyberrisiken auf ihren Mobilgeräten bewusst – ein ideales Einfallstor für Cyberkriminelle. Zudem sind Sicherheitsmassnahmen bei Smartphones weniger verbreitet; ergo sind sie auch weniger geschützt.
Um keinen falschen Eindruck zu erwecken gleich vorweg: QR-Codes können zwar in der Theorie «gehackt» werden, in der Praxis jedoch nicht. Denn Hacken würde bedeuten, dass die dadurch ausgelöste Aktion manipulativ verändert worden wäre. Bei einem QR-Code müsste somit die Anordnung der quadratischen Module verändert werden – und zwar genau so, dass die Verlinkung zur neuen, bösartigen Quelle zeigt. Das ist wohl sogar für Cyberkriminelle zu umständlich, oder was meinen Sie?
Aber nur, weil QR-Codes nicht gehackt werden können, heisst das nicht, dass sie automatisch sicher sind. Denn je nach Einsatz und Handhabung ist es für Cyberkriminelle ein Leichtes, einen QR-Code zu ersetzen. Beispiele hierfür sind Poster mit einem Aufdruck (einfach überklebbar), Gutschein- und Wettbewerb-Codes auf Flyern, Visitenkarten, manipulierte PDFs und Einzahlungsscheine oder auch Phishing-Mails mit integrierten Codes (Gewinnspiel, Anmeldung für einen Event, elektronische Visitenkarte etc.).
Das Problem liegt an der Wurzel. Bei einem QR-Code kann nicht geprüft werden, ob der Inhalt auch effektiv dem erwarteten «Inhalt» entspricht. Sowohl der User als auch die Leseprogramme müssen also dem Code vertrauen. Selbiges gilt natürlich auch für die erwähnten QR-Rechnungen.
Ein Beispiel: Bei einem Link (z.B. in einer E-Mail) sehen Sie anhand der angezeigten URL und des effektiven Hyperlinks, wohin Sie geleitet werden. Bei einem QR-Code können Sie nicht abschätzen, ob der Link tatsächlich dorthin führt. (Anmerkung: Einige Smartphones/Apps zeigen den Link inzwischen an, viele jedoch nicht.) Denn natürlich können auch Codes erstellt werden, die auf gefährliche Inhalte weiterleiten wie Websites, die Malware herunterladen oder solche mit illegalen Inhalten. Werden zudem Tools wie «bit.ly» verwendet, die URLs kürzen, haben Sie hier keine Chance. In der Regel handelt es sich bei dieser Angriffsmethode um einen Trojaner, der bei der Ausführung von JavaScript automatisch ins System eingebettet und dort aktiv wird.
Bei einer anderen Angriffsmethode können APTs durch Cross-Site-Scripting Sicherheitslücken auf einer realen Website ausnutzen, um einen bösartigen QR-Code zu implementieren. Dadurch ist eine Verlinkung auf eine Seite möglich, die zum Beispiel Account-Daten klaut wie Kreditkartendaten, E-Mail-Adresse usw.
Vielleicht sind Sie sogar einmal auf den Begriff QRLJacking gestossen. Diese Angriffsmethode nutzt OWASP (Open Web Application Security Project) als Angriffsvektor und wird dann eingesetzt, wenn der QR-Code als einmaliges Kennwort verwendet und auf dem Bildschirm angezeigt wird.
Kein System ist heutzutage wirklich sicher. QR-Codes sind da keine Ausnahme und auch in der Security-Szene umstritten. Trotzdem gehören sie richtig eingesetzt zu den sicher(er)en Methoden. Warum sonst setzen Banken weltweit darauf, beispielsweise bei der Zwei-Faktor-Authentifizierung? Mit den folgenden Tipps können Sie mit gutem Gewissen weiterhin QR-Codes verwenden.
Dann abonnieren Sie doch unsere Blog-Updates! Damit erhalten Sie wöchentlich die neusten Blogartikel unserer Cyber Security-Experten direkt in Ihr Postfach. Hier geht’s zur Anmeldung.
Übrigens: Neben dem oben genannten Phishing-Poster finden Sie noch viele weitere, kostenlose Downloads wie Whitepapers, Poster, Checklisten usw. auf unserer Website. Hier geht’s zu allen Downloads!