What is Matter and what's the QR for?

Matter is the cross-vendor smart-home standard from the Connectivity Standards Alliance (CSA, formerly Zigbee Alliance), with founding backing from Apple, Google, Amazon, Samsung, and a long list of device makers. A Matter device works with any Matter-capable hub regardless of brand: an iPhone in HomeKit, a Google Nest Hub, an Amazon Echo, a Samsung SmartThings hub. The QR on the back of the device (or in the box, or on the rating label) is the onboarding code. Your phone's smart-home app scans it and the device gets commissioned into your Matter fabric, assigned an operational credential, joined to your network, and made addressable by every other Matter controller you have.

What's encoded inside the QR?

A Matter onboarding QR uses the MT: URI scheme followed by a Base38-encoded payload. Decoded, the payload contains: version (3 bits), vendor ID (16 bits, CSA-assigned per manufacturer), product ID (16 bits, manufacturer-assigned per model), custom-flow indicator (2 bits), discovery capabilities (8 bits: BLE / IP / soft AP / Wi-Fi PAF), discriminator (12 bits, used during discovery to disambiguate multiple unpaired devices), and a 27-bit passcode (the secret used in the PASE, Password-Authenticated Session Establishment, handshake). Optional TLV fields can extend the payload with serial numbers and rendezvous information.

Is it dangerous if someone photographs my Matter QR?

It depends on whether the device is already commissioned. Before commissioning: yes, somewhat. Whoever has the QR plus physical proximity (BLE range, or on the same Wi-Fi/Thread network) can commission the device into THEIR Matter fabric, locking you out until you factory-reset it. After commissioning: no. The QR's passcode is only used during the initial PASE handshake; once the device is paired, it's burned and the device only accepts operational credentials issued by your fabric. So the safe practice is: peel off and store the QR sticker before letting strangers (movers, repair people, AirBnB guests) into the home, or commission the device IMMEDIATELY when it's unboxed so the window is short.

How is a Matter QR different from a Wi-Fi QR?

Different layer, different purpose. A Wi-Fi QR (WIFI: scheme) tells your phone to join a specific Wi-Fi network, SSID, security type, password. A Matter QR (MT: scheme) tells your smart-home app to add a specific device to your home, vendor, model, discriminator, pairing passcode. The Matter device will then independently join Wi-Fi or Thread using credentials your hub passes to it during commissioning. They serve different layers of the same setup flow.

What about Thread Border Routers and Matter-over-Thread devices?

Many Matter devices (door locks, contact sensors, motion sensors, low-power bulbs) use Thread as their network instead of Wi-Fi. Thread is a low-power mesh radio. The Matter onboarding QR is the same regardless, vendor / product / discriminator / passcode. The commissioning hub (your Apple TV, Google Hub, Echo Hub) acts as a Thread Border Router, joining the device to your Thread network and exposing it on your Matter fabric so it's addressable from any controller in the home.

Standards · Matter-Geräteinbetriebnahme

Matter-Geräteinbetriebnahme-QR-Codes

Wenn Sie den QR auf der Rückseite einer smarten Glühbirne, eines smarten Steckers, eines Kontaktsensors oder eines Türschlosses mit Matter-Logo scannen, führt Ihr Telefon einen fünfstufigen Handshake durch, der das Gerät in Ihr Heimnetzwerk aufnimmt. Der QR enthält alles, was Ihr Hub benötigt, um dieses spezifische Gerät zu finden: Hersteller, Modell, einen gerätespezifischen Diskriminator und einen Einmal-Kopplung-Passcode sowie eine Liste, wie das Gerät erreichbar ist (BLE, Wi-Fi, Thread). Hier ist, was kodiert ist, was es preisgibt und warum der QR anders zu bewerten ist als Wi-Fi-QRs.

Matter-QR prüfen → Alle Standards →

Was ist der Standard

Matter wird von der Connectivity Standards Alliance (CSA) veröffentlicht, ehemals Zigbee Alliance, mit Gründungsunterstützung von Apple, Google, Amazon, Samsung, Comcast und einer langen Liste von Geräteherstellern. Matter 1.0 erschien im Oktober 2022; Matter 1.4 ist aktuell (Stand Anfang 2026), mit Kameras, Energiemanagement, EV-Ladern und Wasserverwaltungsgeräten seit 1.0. Die Spezifikation umfasst Anwendungsschichtprotokoll, Sicherheit, Inbetriebnahme und das QR-Onboarding-Format.

Das Pairing-QR-Format ist Teil der Matter Core Specification, Abschnitt "Onboarding Payload". Es gibt drei Formen desselben Payloads:

QR-Code mit Präfix MT: gefolgt von einem Base38-kodierten Blob. Das bevorzugen die meisten Apps, weil es schneller ist.
Manueller Kopplungscode: ein 11-stelliger numerischer String für Fälle, in denen der QR beschädigt ist oder das Gerät zu klein für einen QR ist. Sie können ihn eintippen.
NFC-Tag mit demselben Base38-Payload. Bei Verbrauchergeräten weniger verbreitet, aber zunehmend bei smarten Schlössern, wo Tap-to-pair ergonomischer ist.

Alle drei kodieren dieselben Felder mit demselben Vertrauensmodell – sie sind aus Inbetriebnahmeperspektive austauschbar.

Was wirklich im QR steckt

Die Base38-Payload nach dem MT:-Präfix dekodiert sich zu einer gepackten Binärstruktur. Die Pflichtfelder:

Version (3 Bit)

Immer 0 bei aktuellen Geräten. Reserviert für zukünftige Protokollrevisionen.

Vendor-ID (16 Bit)

Von der CSA zugewiesener Identifikator für den Hersteller. Jede Mitgliedsorganisation erhält eine eindeutige Vendor-ID; 0xFFF1–0xFFF4 sind für Test / Entwicklung reserviert. Unser Scanner löst die Vendor-ID gegen das CSA-Register auf, wo bekannt.

Product-ID (16 Bit)

Vom Hersteller zugewiesener Identifikator für das spezifische Modell. Zusammen mit der Vendor-ID identifiziert er eindeutig eine SKU (z. B. "Eve Energy 2nd gen").

Custom Flow (2 Bit)

0 = Standard-Inbetriebnahme (einfach koppeln), 1 = Benutzeraktion erforderlich (z. B. zuerst eine Taste am Gerät drücken), 2 = Custom Flow (herstellerspezifische Schritte). Bestimmt, welche UI Ihre Hub-App anzeigt.

Discovery Capabilities (8 Bit)

Eine Bitmaske der Erkennungsverfahren im nicht gekoppelten Zustand: BLE (am häufigsten), Netzwerk-IP (bereits im Wi-Fi oder Ethernet, selten bei Verbrauchergeräten), Soft-AP (Gerät hostet temporäres Wi-Fi-Netzwerk), Wi-Fi PAF (Public Action Frame Discovery, neueres Verfahren).

Diskriminator (12 Bit)

Ein kurzer Identifikator, den das Gerät während der Erkennung sendet, damit Ihr Hub das richtige nicht gekoppelte Gerät auswählen kann, wenn sich mehrere in BLE-Reichweite befinden. Nicht geheim – es ist das Signal "Das ist das Gerät, das ich gerade ausgepackt habe".

Passcode (27 Bit)

Das gemeinsame Geheimnis für den PASE-Handshake. Das Telefon beweist dem Gerät, dass es diesen Passcode kennt, ohne ihn im Klartext über die Luft zu senden. Nach Abschluss der Inbetriebnahme ist der Passcode wertlos. Bereich: 1 bis 99.999.998 (einige Werte sind durch die Spezifikation verboten, um trivial erratbare Codes wie 11111111 zu vermeiden).

TLV-Erweiterung (optional, variabel)

Optionale Felder können den Payload um Seriennummer des Geräts, Rendezvous-Informationen und andere herstellerspezifische Attribute erweitern. Die meisten Verbrauchergeräte lassen dies weg.

Der Inbetriebnahme-Handshake (warum das Passcode-Design wichtig ist)

Der Matter-Inbetriebnahmeablauf ist PASE → CASE:

Erkennung. Ihr Telefon sendet BLE-Scans (oder lauscht im lokalen Wi-Fi); das nicht gekoppelte Gerät sendet seinen Diskriminator. Ihr Telefon gleicht den Diskriminator aus dem QR ab.
PASE, Password-Authenticated Session Establishment. Telefon und Gerät führen einen SPAKE2+-Handshake mit dem 27-Bit-Passcode durch. Nach Abschluss von SPAKE2+ haben beide Seiten einen gemeinsamen Sitzungsschlüssel – der Passcode selbst hat die Luft nie überquert.
Attestierung. Das Gerät präsentiert ein Device Attestation Certificate (DAC), signiert von einer CSA-anerkannten Root. Ihr Hub prüft, ob es sich um ein echtes zertifiziertes Matter-Gerät mit der angegebenen Vendor-/Product-ID handelt.
Netzwerk-Credentials. Ihr Hub übergibt dem Gerät die Betriebsnetzwerk-Credentials (Wi-Fi-Passwort ODER Thread-Netzwerk-Credentials), die für die eigentliche Kommunikation benötigt werden.
CASE, Certificate-Authenticated Session Establishment. Ihr Fabric stellt dem Gerät ein Betriebszertifikat aus. Von nun an authentifiziert sich jeder Controller im Fabric gegenüber dem Gerät über CASE – der QR-Passcode ist ungültig.

Die entscheidende Eigenschaft: Der QR-Passcode ist kurzlebige Authentifizierung, keine dauerhafte Identität. Sobald ein Gerät in Betrieb genommen ist, legen Sie den QR-Aufkleber in eine Schublade (oder entfernen und zerreißen Sie ihn). Eine erneute Inbetriebnahme erfordert entweder physischen Zugriff zum Zurücksetzen auf Werkseinstellungen ODER die Kooperation des bestehenden Fabrics, um ein aktualisiertes Inbetriebnahmefenster zu öffnen.

Bedrohungsmodell: Fotografieren des QR eines nicht gekoppelten Geräts

Einzigartig bei Matter: Der QR ist operativ bedeutsam, BEVOR die Inbetriebnahme erfolgt. Vergleich zu anderen Kategorien:

Ein Wi-Fi-QR gibt ein Passwort preis, aber das Beitreten des Netzwerks ist eine "schwache" Aktion – der Angreifer muss physisch in Reichweite sein.
Ein Bordkarten-QR gibt eine Buchungsreferenz preis, aber der Angreifer benötigt den Nachnamen des Passagiers und einen separaten Kanal.
Ein Matter-QR + physische Nähe (BLE / gleiches Wi-Fi) = vollständige Inbetriebnahme. Der Angreifer kann das Gerät in SEIN Fabric aufnehmen und Sie aussperren, bis Sie einen Werksreset durchführen. Bei einem smarten Schloss ist das ein ernsthafter Vorfall.

Reale Szenarien, in denen das relevant ist:

Umzugsunternehmen, Handwerker, AirBnB-Gäste mit Sichtlinie zu ausgepackten, aber noch nicht gekoppelten Geräten.
Rücksendungen / Wiederverkauf, bei denen ein Gerät mit intaktem QR-Aufkleber und ohne Werksreset an den Hersteller oder einen Marktplatzkäufer zurückgeschickt wird.
Fotos neuer Geräteverpackungen in sozialen Medien (der "Ich habe gerade mein Matter-Schloss!" Post mit sichtbarem QR).
Öffentliche Installationen (kommerzielle smarte Beleuchtung, Hotelzimmer), bei denen der QR an der Einrichtung befestigt und für jeden per BLE erreichbar ist.

Gegenmaßnahme: Nehmen Sie das Gerät sofort nach dem Auspacken in Betrieb (schließt das Fenster) und entfernen und zerreißen Sie dann den Aufkleber. Bei bereits in öffentlichen / gemeinsam genutzten Räumen installierten Geräten stellen Sie sicher, dass das Gerät einem Fabric zugeordnet ist – das verhindert frisches Pairing ohne Werksreset.

Was unser Scanner Ihnen zeigt

Ziehen Sie einen Matter-QR (Bild, Einfügen oder Kamera) in unseren Scanner. Das Ergebnis zeigt:

Version, derzeit immer 0.
Vendor-ID und der aufgelöste Herstellername für bekannte CSA-registrierte Hersteller.
Product-ID und der Geräteklassenhinweis, wenn auflösbar.
Custom Flow: Standard / Benutzeraktion / Custom.
Discovery Capabilities: welche Funkschnittstellen das Gerät für die Erkennung nutzt.
Diskriminator: der Erkennungsidentifikator (nicht geheim).
Passcode: standardmäßig maskiert (aufdeckbares vertrauliches Feld). Nützlich für die manuelle Eingabe des Kopplungscodes wenn Ihr QR nicht lesbar ist – gefährlich, wenn der QR nicht Ihrer ist.

Wir kommunizieren NICHT mit Ihrem Hub und versuchen keine Inbetriebnahme. Die Dekodierung ist lokal; nur die Metadaten erreichen unseren Server für die Sicherheitsklassifikation.

Vor der Inbetriebnahme eines unbekannten Matter-Geräts

Wissen Sie, wer dieses Gerät geliefert hat? Wenn Sie es gebraucht gekauft haben oder es bereits installiert war, als Sie eingezogen sind, setzen Sie es auf Werkseinstellungen zurück, bevor Sie es in Betrieb nehmen. Das vorherige Fabric des Vorbesitzers enthält möglicherweise noch Zugangsdaten.
Stimmt die Vendor-ID mit der Marke auf der Verpackung überein? Gefälschte Matter-Geräte verwenden Test-Vendor-IDs (0xFFF1–0xFFF4), weil echte CSA-Mitgliedschaft Geld kostet. Unser Scanner markiert Test-Vendor-IDs.
Ist der Custom-Flow-Flag wie erwartet? Ein Gerät, das einen Custom-Flow verlangt (Flag = 2), obwohl auf der Verpackung "zum Koppeln scannen" steht, ist anomal.
Nehmen Sie die Inbetriebnahme an einem vertrauenswürdigen Ort vor? BLE-Nachbarn in Reichweite können versuchen, ein noch nicht gekoppeltes Gerät zu beanspruchen. Nehmen Sie die Inbetriebnahme zu Hause vor, nicht in einem Café – idealerweise bei ausgeschaltetem Wi-Fi und nur aktivem BLE, damit die Erkennung eindeutig ist.
Entfernen und verwahren Sie den Aufkleber nach der Inbetriebnahme. Der Passcode ist ungültig, aber Diskriminator + Hersteller + Produktinformationen reichen einem Angreifer, um Geräte im Heimnetzwerk aufzuspüren.

Einen Matter-Onboarding-QR prüfen

Ziehen Sie den QR hinein (Bild, Einfügen oder Kamera). Das Ergebnis zeigt Hersteller, Produkt, Diskriminator, Fähigkeiten und einen maskierten Passcode. Wir kommunizieren nicht mit Ihrem Hub und versuchen keine Inbetriebnahme – die Dekodierung ist lokal, und nur die Metadaten erreichen den Sicherheitsklassifikator.

Scanner öffnen →