Einem QR nicht vertrauen, bis er freigegeben ist.

Quishing ist QR-Code-Phishing: Ein Angreifer druckt, klebt, verschickt per E-Mail oder DM einen QR-Code, der beim Scannen eine Seite zum Abgreifen von Zugangsdaten, eine Wallet-Drainer-Transaktion, eine offene WLAN-Falle oder einen Android-Intent öffnet, der Malware nachlädt. Der QR selbst ist nur ein Bild, deshalb greifen E-Mail-Linkfilter und Browser-Warnungen erst an, wenn das Telefon des Opfers das Ziel bereits geöffnet hat. Die Abwehr muss beim Scan erfolgen, bevor das Telefon dem Link folgt.

Drei Unterschiede. Der Angriffsvektor ist physisch oder visuell, ein Aufkleber über dem QR eines Parkautomaten, ein gedruckter Flyer, der eine MFA-Registrierung imitiert, ein über Nacht ausgetauschter Restaurant-Menü-QR, sodass E-Mail-Gateways ihn nicht sehen. Opfer vertrauen QR-Codes mehr als E-Mail-Links; ein QR wirkt wie ein Ziel, das der Drucker des Mediums festgelegt hat. Und dynamische QRs über einen Shortener können nach der Verteilung auf ein Phishing-Ziel umgeleitet werden, sodass ein beim Druck sicherer QR Monate später gefährlich werden kann. Statische Link-Scanner beantworten „Ist diese URL gerade bösartig?“, nicht „Wer kann das Ziel nach dem Druck ändern?“.

Öffnen Sie die native Kamera Ihres Telefons nicht darauf, sie öffnet das Ziel sofort. Öffnen Sie stattdessen check.qr.abundera.ai auf Ihrem Telefon, scannen Sie den QR über die integrierte Kamera (die Dekodierung erfolgt lokal; das Bild verlässt Ihr Gerät nie), und lesen Sie das Ergebnis. Wir verfolgen jeden Weiterleitungs-Hop, klassifizieren, ob das Ziel nach dem Druck von einem Dritten kontrollierbar ist, und prüfen die Reputation gegen Google Safe Browsing und andere Aggregatoren. Urteile mit Freigegeben sind sicher zu öffnen; Urteile mit Vorsicht und Nicht fortfahren erklären, warum.

Aufkleber an Parkautomaten und Ladestationen, die den legitimen QR mit einem überdecken, der auf eine Seite zum Abgreifen von Kreditkartendaten führt, das meistgemeldete Muster 2024–2025, beobachtet in Austin, San Antonio und im gesamten Vereinigten Königreich. Restaurant-Menü-QRs, die über Nacht von einem Angreifer ausgetauscht wurden. Unternehmensflyer zur MFA-Registrierung in Bürogebäuden, die offiziell wirken, aber das Gerät des Angreifers anmelden. Hochzeitseinladungs-QRs, die Monate vor dem Ereignis verschickt wurden, bei denen eine kompromittierte Shortener-Konto-Übernahme einem Angreifer ermöglicht, Tausende gedruckter Karten umzuleiten. Krypto-Zahlungs-QRs an Kassensystemen, die mit der Wallet-Adresse des Angreifers überklebt wurden. Der gemeinsame Nenner: Der gedruckte QR sieht identisch aus wie der echte.

Bestehende Tools klassifizieren, ob eine URL aktuell bösartig ist. Wir klassifizieren zusätzlich, ob das Ziel nach dem Druck von einem Dritten kontrollierbar ist, eine Eigenschaft, die wir Veränderbarkeit nennen. Ein sauberer dynamischer QR über einen Shortener ist für einen Parkautomaten-Aufkleber oder eine Hochzeitseinladung trotzdem hochriskant: Der Shortener-Kontoinhaber kann das Ziel jederzeit ändern. Diesen Kontrollstatus zeigen wir als eigenes Urteilsfeld neben dem Bedrohungsinhalt-Urteil.

Nein. Der dekodierte Payload wird über HTTPS an unseren Server übermittelt, damit wir die Kette verfolgen und Reputationsdatenbanken abfragen können. Das ist eine funktionale Notwendigkeit, keine Wahl, aber er wird nie gespeichert. Urteile werden per SHA-256-Hash eines payload-typspezifischen Diskriminators, konkateniert mit einem serverseitig gespeicherten geheimen Salt, gecacht. Der ursprüngliche Payload kann aus keinem Cache-Eintrag rekonstruiert werden.

qr.abundera.ai ist ein Generator mit dem Versprechen, alles clientseitig abzuwickeln: nichts verlässt Ihr Gerät. Dieser Safety-Checker übermittelt den dekodierten Payload aus funktionalen Gründen an den Server. Wir trennen die beiden Oberflächen, damit das Nur-Client-Versprechen auf der Generator-Domain sauber bleibt und die umgekehrte Datenschutzoberfläche hier klar gekennzeichnet ist.

Pro-Tarif. Übermitteln Sie einen QR zum Monitoring, und wir verfolgen die Kette periodisch neu. E-Mail-Benachrichtigung, wenn sich Weiterleitungsziele, das Endziel oder die Betreiber der Weiterleitungsdienste ändern. Das erkennt das häufigste Quishing-Muster: sauberen QR drucken, Monate später auf Phishing umleiten, Scans vom gedruckten Asset abgreifen.

Ja, im Pro-Tarif. Die API ist RESTful und gibt ein strukturiertes JSON-Urteil zurück mit Payload-Typ, Bedrohungsklasse, Veränderbarkeit, Weiterleitungskette, Kontrollzuordnung je Hop und Teilpayload-Befunden. Konzipiert für den Einsatz in Wallet-Apps, mobilen Sicherheitslösungen, Enterprise-URL-Filtern sowie Slack- und Teams-Link-Vorschau-Anreicherern.

Derzeit nicht. Der Klassifikator ist proprietär, solange die zugehörigen Patente im Prüfungsverfahren sind. Nach der Erteilung werden wir möglicherweise Referenzimplementierungen offengelegter Algorithmen veröffentlichen. Der API-Vertrag ist öffentlich und stabil.