Um zu prüfen, ob ein QR-Code sicher ist, sehen Sie sich seinen Inhalt an, bevor Ihr Handy etwas damit macht. Laden Sie ein Foto oder einen Screenshot des Codes in unseren kostenlosen QR-Code-Leser und Sie sehen den Rohtext: den vollständigen Link oder das WLAN, die Überweisung oder den Kontakt, den der Code auslösen würde. Danach prüfen Sie drei Dinge: die echte Domain am Ende des Hostnamens, wohin ein Kurzlink tatsächlich weiterleitet und ob der Code über einen anderen geklebt wurde. Der Leser ist kostenlos, braucht kein Konto und dekodiert das Bild in Ihrem Browser, es wird also nichts geöffnet oder hochgeladen.
Die Beispiele unten stammen aus Tests mit den Live-Tools vom 1. November 2026, mit QR-Codes, die wir für diesen Artikel erstellt haben. Die gefälschten Adressen nutzen die reservierte Domain .example und führen nirgendwohin.
QR-Code vor dem Scannen prüfen: Schritt für Schritt
- Ein Bild des Codes machen. Fotografieren Sie ihn mit der Kamera-App (ein Foto öffnet nichts) oder machen Sie einen Screenshot, wenn der Code in einer E-Mail, einem PDF oder einer Nachricht steckt.
- Dekodieren, ohne zu öffnen. Laden Sie das Bild in den QR-Code-Leser. Er zeigt genau den Text, der im Code gespeichert ist, sonst nichts.
- Die Art des Codes erkennen. Ein Link beginnt mit
https://oderhttp://. Codes können auch mitWIFI:,SMSTO:,tel:,mailto:,BEGIN:VCARDoder, beim GiroCode auf Rechnungen, mitBCDbeginnen. Jeder Typ bringt das Handy dazu, etwas anderes zu tun. - Die echte Domain finden. Fügen Sie den Link in den URL-Parser ein und lesen Sie die Zeile Host von rechts nach links. Der Teil direkt vor der Endung (
.de,.com,.bund.de) verrät, mit wem Sie es wirklich zu tun haben. - Kurzlinks auflösen. Nutzt der Link einen Kurzlink-Dienst oder die Domain eines QR-Anbieters, prüfen Sie ihn mit dem Weiterleitungs-Checker, der jede Station und die Zielseite zeigt.
- Den Code selbst ansehen. Achten Sie auf einen Aufkleber über einem gedruckten Code, Kanten, die nicht passen, oder zwei Codes dicht nebeneinander.
- Entscheiden. Wenn etwas nicht stimmt, öffnen Sie ihn nicht. Für Zahlungen und Logins tippen Sie die Adresse des Unternehmens selbst ein oder nutzen die offizielle App.
Gleich ausprobieren: Machen Sie einen Screenshot von einem beliebigen QR-Code auf Ihrem Bildschirm und ziehen Sie ihn in den kostenlosen QR-Code-Leser. Sie sehen den ganzen Inhalt in einer Sekunde, ohne dass das Handy den Link öffnet.
Was unser QR-Code-Leser bei fünf Test-Codes zeigte
Beispiel 1: ein Zahlungslink, der PayPal nachahmt
Wir haben https://www.paypal.com.account-verify.example/signin?session=8841 codiert, die Art von Adresse, die eine gefälschte „Ihre Zahlung ist fehlgeschlagen“-Mail verwenden würde. Der Leser lieferte den vollständigen Link, und der URL-Parser zerlegte ihn so:
| Zeile | Wert |
|---|---|
| Schema | https |
| Host | www.paypal.com.account-verify.example |
| Pfad | /signin |
| Abfrage | session=8841 |
Der Host beginnt mit www.paypal.com, aber das ist nur ein Präfix links. Von rechts gelesen ist die echte Domain account-verify.example. Wer diese Domain besitzt, kann davor jedes beliebige Präfix setzen, auch einen Markennamen. Eine Vorschau, die nur die ersten 30 Zeichen anzeigt, würde www.paypal.com.account-verif... zeigen. Deshalb sollten Sie immer den ganzen Host sehen.
Beispiel 2: ein Kurzlink mit drei Stationen
Ein Kurzlink versteckt das Ziel. Ein QR-Code mit Kurzlink sagt Ihnen also nichts, bis Sie ihn auflösen. Wir haben den Kurzlink https://amzn.to/3QOBRdb durch den Weiterleitungs-Checker geschickt:
| # | URL | Statuscode |
|---|---|---|
| 1 | https://amzn.to/3QOBRdb | 302 |
| 2 | http://www.amazon.com | 301 |
| 3 | https://www.amazon.com/ | 200 |
Die Kette endet bei www.amazon.com mit 200, Sie wissen also vor dem Öffnen, wohin sie führt. Die Statuscodes erklärt unser Ratgeber Weiterleitungen prüfen: 301 vs. 302.
Eine Einschränkung, die Sie kennen sollten: Unser Weiterleitungs-Checker folgt derzeit nur 301- und 302-Weiterleitungen. Bei https://youtu.be/dQw4w9WgXcQ zeigte er eine einzige Zeile mit Status 303 und ohne Ziel. Ist die letzte Zeile kein 200, ist die Kette nicht zu Ende. Geben Sie denselben Link in die HTTP-Header-Abfrage ein: Sie zeigte HTTP/2 303 und eine Zeile location mit https://www.youtube.com/watch?v=dQw4w9WgXcQ&feature=youtu.be. Manche Websites leiten außerdem mit einer relativen Adresse weiter (nur ein Pfad, keine Domain). Dann meldet der Checker, dass er keine Daten abrufen konnte. Auch hier hilft die Header-Abfrage.
Beispiel 3: ein WLAN-Code
Der Leser lieferte WIFI:T:WPA;S:Cafe Guest;P:espresso2026;;. Das ist kein Link: Der Code fordert das Handy auf, sich mit dem WPA-Netz Cafe Guest und dem Passwort espresso2026 zu verbinden. Prüfen Sie, ob der Netzname zu dem passt, den das Lokal wirklich nutzt. Ein Code auf dem Tisch kann genauso gut ein Netz anbieten, das jemand anderes kontrolliert, und alles, was Sie darin tun, läuft über dessen Geräte.
Beispiel 4: ein GiroCode auf einer Rechnung
Viele Rechnungen tragen einen GiroCode, den die Banking-App einscannt, um die Überweisung auszufüllen. Unser Test-Code ergab diesen Text (Zeilen hier durch „ | “ getrennt): BCD | 002 | 1 | SCT | COBADEFFXXX | Stadtwerke Musterstadt GmbH | DE89370400440532013000 | EUR84.20 | | | Rechnung 2026-1147. Darin stehen BIC, Empfängername, IBAN, Betrag und Verwendungszweck. Wer eine Rechnung fälscht oder einen Aufkleber druckt, muss nur die IBAN tauschen und kann den Namen stehen lassen. Vergleichen Sie die IBAN deshalb mit einer, die Sie schon kennen, etwa aus Ihrem Vertrag. Seit dem 9. Oktober 2025 gleichen Banken bei Euro-Überweisungen außerdem Name und IBAN ab und warnen bei Abweichungen; laut BaFin tragen Sie das Risiko, wenn Sie trotz Warnung freigeben. Nehmen Sie diese Warnung ernst.
Beispiel 5: zwei Codes auf einem Bild
Gefälschte QR-Codes werden oft als Aufkleber auf das Original oder daneben geklebt. Wir haben zwei Codes nebeneinander in ein Bild gesetzt: einen Parkzahlungs-Link und den Fake-Link aus Beispiel 1. Der Leser meldete In diesem Bild wurde kein QR-Code gefunden. Die Meldung nennt außerdem Tipps für ein besseres Foto. Er sucht nach einem Code pro Bild und gab deshalb auf. Als wir jede Hälfte zuschnitten und einzeln hochluden, las er https://parking.example-city.gov/pay?zone=214 und den PayPal-Nachbau. Zwei Codes mit unterschiedlichen Domains auf demselben Schild sind ein deutliches Zeichen, dass einer nachträglich angebracht wurde.
Wie zuverlässig liest das Tool echte Fotos?
Wir haben auch die Grenzen getestet. Alle diese Bilder wurden korrekt gelesen:
| Testbild | Ergebnis |
|---|---|
| „Parkgebühr hier zahlen“-Plakat, 1600 × 1200, mit kleinem Code in einer Ecke | Gelesen |
| Code um 17° gedreht, unscharf, als JPG in niedriger Qualität gespeichert | Gelesen |
| Winziger Code mit 66 × 66 Pixeln | Gelesen |
| Code ohne weißen Rand | Gelesen |
| Hellblauer Code auf Weiß (Kontrast 1,81:1) | Gelesen |
| Weißer Code auf schwarzem Grund | Gelesen |
| Zwei verschiedene Codes in einem Bild | Kein QR-Code gefunden (einzeln zuschneiden) |
Wir haben die Netzwerkaktivität des Browsers beim Dekodieren beobachtet: Das Bild wurde nirgendwohin gesendet. Das zählt, wenn der Code auf einem Ticket oder einem Dokument mit persönlichen Daten steht.
Warnsignale, sobald Sie den Inhalt sehen
- Ein Markenname, der nicht die echte Domain ist.
paypal.com.account-verify.examplegehört zuaccount-verify.example. Achten Sie auch auf vertauschte Buchstaben wiepaypa1oderrnicrosoft. - Ein Kurzlink auf etwas Offiziellem. Ein Parkautomat, ein Strafzettel oder ein Brief, der die Adresse hinter einem Kurzlink versteckt, sollte vor dem Bezahlen aufgelöst werden. Die Verbraucherzentrale warnt vor falschen QR-Codes in Mails, Briefen, ÖPNV und Straßenverkehr.
- Eine Login- oder Zahlungsseite, die Sie nicht geplant hatten. Die Warnung des FBI vom Januar 2022 zu manipulierten QR-Codes rät davon ab, über eine per QR-Code erreichte Seite zu bezahlen. Tippen Sie lieber eine bekannte Adresse ein.
- Ein direkter App-Download. Dieselbe Warnung empfiehlt, Apps nur aus dem offiziellen App-Store zu installieren, nicht über einen QR-Code, und keine separate QR-Scanner-App zu laden, weil die meisten Handys Codes schon mit der Kamera lesen.
- Zeitdruck. Ein Paket, das nicht zugestellt werden konnte, ein Problem mit Ihrem Konto, verdächtige Aktivitäten, die einen Passwortwechsel verlangen: Das sind die üblichen Geschichten, damit Sie scannen, ohne nachzudenken.
Fallen, in die auch vorsichtige Menschen tappen
- Die heutige Prüfung für immer gelten lassen. Viele QR-Dienste drucken statt Ihres Ziels einen Kurzlink auf ihrer eigenen Domain, und der Besitzer kann das Ziel jederzeit ändern. Als wir
https://qrco.de/öffneten, eine Domain eines der großen QR-Code-Generatoren, landeten wir im Hilfe-Center dieses Anbieters. Ein Code, der letzte Woche harmlos war, kann heute woanders hinführen. - Annehmen, dass alle auf derselben Seite landen. Wir sind dem Microsoft-Kurzlink
https://aka.ms/terminalvon zwei Orten aus gefolgt. Aus Argentinien führte die zweite Station zu einer/es-ar/-Seite, von unserem Server zu/en-us/. Weiterleitungen können von Land, Sprache oder Gerät abhängen. Ein sauberes Ergebnis beweist also, wohin der Link den Checker geführt hat, nicht jeden Besucher. - Die Domain prüfen, aber nicht ihr Alter. Eine seriös wirkende Domain, die letzte Woche registriert wurde, ist ein Warnsignal. Prüfen Sie sie mit der Whois-Abfrage und der SSL-Prüfung. Unser Ratgeber Ist die Website seriös? zeigt die komplette Routine.
Wenn Sie schon einen bösartigen QR-Code geöffnet haben
Brechen Sie den Kontakt mit der Seite ab, ändern Sie sofort jedes eingegebene Passwort (überall, wo Sie es wiederverwendet haben) und kontrollieren Sie Ihre Karten- und Kontoauszüge. Haben Sie Zahlungsdaten eingegeben oder Geld überwiesen, melden Sie sich sofort über die offiziellen Kanäle bei Ihrer Bank und erstatten Sie Anzeige bei der Polizei. Wenn Sie das Passwort mehrfach genutzt haben, helfen unser Ratgeber ein starkes Passwort erstellen und der Passwort-Generator beim schnellen Ersetzen.
Sie drucken QR-Codes für Ihr Geschäft? Erstellen Sie sie mit dem QR-Code-Generator, lassen Sie sie direkt auf Ihre echte Domain zeigen statt auf einen fremden Kurzlink, und kontrollieren Sie Ihre Schilder regelmäßig auf Aufkleber.
Häufig gestellte Fragen
Kann man prüfen, ob ein QR-Code sicher ist, ohne ihn zu scannen?
Ja. Machen Sie ein Foto oder einen Screenshot und laden Sie es in einen QR-Code-Leser, der nur das Bild dekodiert. Sie sehen den vollständigen Link oder Befehl, ohne dass das Handy ihn öffnet, und prüfen danach Domain und Weiterleitungen.
Kann das Scannen eines QR-Codes mein Handy hacken?
Das Lesen des Codes liefert dem Handy nur Text. Das Risiko liegt im nächsten Schritt: eine gefälschte Login-Seite öffnen, Zahlungsdaten eingeben, eine Überweisung freigeben, eine App installieren, einem WLAN beitreten oder eine SMS senden. Halten Sie außerdem das Betriebssystem aktuell.
Wie sehe ich, wohin der Link eines QR-Codes führt?
Dekodieren Sie ihn mit dem QR-Code-Leser und fügen Sie den Link in den Weiterleitungs-Checker ein. Ist die letzte Zeile kein 200 (zum Beispiel ein 303), nutzen Sie die HTTP-Header-Abfrage und lesen die Zeile location.
Warum meldet der Leser, dass kein QR-Code gefunden wurde?
Vielleicht enthält das Bild zwei Codes, was der Leser in einem Bild nicht verarbeitet, oder der Code ist abgeschnitten oder sehr unscharf. Schneiden Sie einen einzelnen Code zu und versuchen Sie es erneut. In unseren Tests wurden gedrehte, unscharfe, winzige und randlose Codes gelesen. Blasse und invertierte Codes sind kein Problem mehr: Seit dem 1. November 2026 versucht es der Leser automatisch noch einmal mit kontrastverstärkten und invertierten Kopien des Bildes.
Ist ein QR-Code mit Kurzlink immer Betrug?
Nein. Viele seriöse Unternehmen nutzen Kurzlinks oder QR-Dienste, um Zugriffe zu messen. Es bedeutet nur, dass Sie das Ziel erst nach dem Auflösen beurteilen können und der Besitzer es später ändern kann.
Ist der QR-Code-Leser kostenlos?
Ja. Er ist kostenlos, braucht kein Konto und dekodiert das Bild in Ihrem Browser, ohne es hochzuladen. Besucher haben 5 Tool-Nutzungen pro Tag, ein kostenloses My-Botsy-Konto (100 % kostenlos, kein Spam) hebt diese Grenze auf.
Ein Code kommt Ihnen komisch vor? Öffnen Sie den kostenlosen QR-Code-Leser, laden Sie ein Foto oder einen Screenshot hoch und sehen Sie genau, was er tun würde, bevor Ihr Handy es tut.
