← Nützliche Materialien

Sicherheit & QR

WLAN per QR im öffentlichen Raum: was du in zehn Sekunden prüfst

Ein QR an der Café-Wand ist praktisch — genau so lange, bis jemand seinen eigenen darüberklebt. Die schlechte Nachricht: Eine Fälschung kann aussehen wie das Original. Die gute: Die Prüfung dauert Sekunden, und sie lohnt sich an jedem neuen Ort.

Ein Plakat mit QR-Code, ein Handy scannt ihn, und zwei Wege: einer zum Router, einer zu einem fremden Auge — Ein Aufkleber an der Wand, ein Scan – und der Code führt entweder zum Router des Cafés oder zu einem fremden Auge. Sichtbar wird das nur an der Adresse.

Hinter demselben Quadrat stecken zwei verschiedene Codes

Diesen Teil lassen die meisten Anleitungen aus, und genau er entscheidet, wo das Risiko wirklich sitzt. Manche WLAN-Codes tragen die Netzwerkeinstellungen selbst: Name, Verschlüsselungsart, Passwort. Das Handy liest das Quadrat und tritt dem Netz bei, ohne dich zu fragen. Andere tragen nichts als eine Webadresse, und beim Scannen öffnet sich eine Seite, auf der du noch einen Knopf drücken, Bedingungen akzeptieren oder etwas eingeben musst.

Die meisten Lokale nutzen die zweite Variante, weil eine Anmeldeseite ihnen erlaubt, dir die Karte zu zeigen, eine E-Mail zu sammeln oder die Sitzung zeitlich zu begrenzen. Diese eine Tatsache verändert den ganzen Ratschlag: Bei einem Einstellungs-Code liegt die Gefahr im Netzwerk. Bei einem Link-Code liegt sie auf der Seite — und die Seite ist das, was du dir ansehen solltest.

Zwei gleiche Plakate: bei einem klebt ein Aufkleber über dem Code, beim anderen wurde der Code still neu gedruckt — Links siehst du den Aufkleber sofort. Rechts wurde der Code still neu gedruckt – und genau den schaut niemand an.

Was ein WLAN-Code kann und was nicht

Ein WLAN-Code kann nichts auf deinem Handy installieren, deine Nachrichten nicht lesen und die Kamera nicht öffnen. Er ist keine App und führt keinen Programmcode aus. Selbst im schlimmsten Fall macht er eines von zwei Dingen: Er verbindet dich mit einem Netzwerk, das du nicht wolltest, oder er öffnet eine Seite, die du nicht wolltest.

Das beruhigt wirklich — und genau dort hört das Beruhigende auf. Beide Ausgänge geben jemandem eine Position, die er vorher nicht hatte. In einem fremden Netz zu sein ist eine echte Angriffsfläche, und eine überzeugende gefälschte Seite ist der älteste Angriff im Netz. Der Code ist nicht der Angriff. Der Code ist die Tür.

Linke Spalte: was ein Code tragen kann – eine Seite, den WLAN-Zugang, eine Karte. Rechte: was nicht — Ein Code trägt eine Adresse und sonst nichts. Alles danach entscheidet die Seite hinter dem Link.

Die Prüfung in zehn Sekunden

Vier Dinge, in dieser Reihenfolge, und keines davon braucht technisches Wissen.

Schau auf den Aufkleber, nicht auf den CodeKlebt er auf einem anderen? Eine zweite Lage, eine dickere Kante, eine Ecke, die sich löst, ein sauberes Rechteck auf einer schmutzigen Wand. Echte Schilder werden gedruckt, laminiert oder angeschraubt.

Vergleiche den Netzwerknamen Buchstabe für BuchstabeTritt über die WLAN-Liste deines Handys bei und vergleiche den Namen mit dem, was auf der Karte steht. „Cafe Free“ und „Cafe_Free“ sind zwei verschiedene Netze.

Frag, was die Seite willEin Gastnetz darf nach einer E-Mail oder Zimmernummer fragen. Es braucht nie das Passwort, das du anderswo nutzt, keine Kartennummer und keinen SMS-Code zum Anmelden.

Frag, wer dahinterstehtNennt die Seite den Ort, an dem du sitzt? Ein Anmeldebildschirm ohne Namen, ohne Logo und ohne Adresse könnte jedem gehören.

Wenn eines der vier komisch wirkt, nimm deine mobilen Daten. Das ist das ganze Urteil. Noch niemand hat es bereut, einem Café-WLAN nicht beigetreten zu sein.

Ein Handy mit Lupe und eine Uhr: zehn Sekunden für die Adresse, bevor du tippst — Zehn Sekunden: lies die Adresse im Scanner. Wenn sie nicht passt, tippe nicht.

Das Netzwerk selbst ist das größere Risiko

Hier die ehrliche Version, ohne Agentenfilm. In einem offenen Netz kann der Betreiber sehen, welche Seiten du aufrufst, auch wenn die Seiten selbst verschlüsselt sind. Er kann auch eigene Seiten dort einschieben, wo deine erscheinen sollten. Den Inhalt einer HTTPS-Seite kann er nicht lesen, aber er sieht, wohin du gegangen bist, und er kann dir etwas vorsetzen.

Praktisch ist das enger, als die Panikartikel behaupten. Nachrichten im Café-Netz lesen ist in Ordnung. Online-Banking, mit gespeicherter Karte zahlen oder das Arbeitspostfach öffnen ist es nicht — genau das sind die Momente, in denen Beobachtetwerden zählt und eine gefälschte Seite sich lohnt.

Ein Handy schickt Daten an den Router, ein Teil der Pakete biegt zu einem fremden Auge ab — Schwach ist selten der Code, sondern das Netz. In einem offenen Netz geht ein Teil deiner Daten woanders hin.

Die drei Fälschungen, die du erkennen solltest

Fast jeder echte Vorfall passt in eine dieser drei Formen. Sie sehen unterschiedlich aus, und die Antwort auf jede ist eine andere.

Aufkleber über Aufkleber

Der ursprüngliche Code bleibt unberührt an der Wand, oben drauf kommt ein neuer. Der billigste und einfachste Angriff überhaupt. Achte auf die Kanten — das ist die eine physische Prüfung, die die meisten Fälle fängt.

Ein Netz mit einem Zeichen Unterschied

Zwei Netze mit fast gleichem Namen, eines vom Lokal, eines von jemandem in der Nähe. Der Code verbindet dich mit dem zweiten. Tritt über die Liste deines Handys bei statt über den Code, und vergleiche die Schreibweise mit der gedruckten Karte.

Eine Anmeldeseite, die zu viel verlangt

Eine überzeugende Kopie der Lokal-Seite, die eine Karte „zur Bestätigung“, ein E-Mail-Passwort oder einen SMS-Code will. Nichts, was ein Gastnetz braucht, sieht so aus. Schließen und die Adresse selbst eintippen.

Drei Felder: ein getauschter Aufkleber, eine Adresse mit einem anderen Buchstaben, eine Adresse mit zwei Zielen — Drei Tricks: der Aufkleber oben drauf, ein geänderter Buchstabe in der Adresse, ein Code mit zwei verschiedenen Zielen.

Die fünf Minuten nach dem Verbinden

Der meiste Schaden entsteht nach dem Scan, nicht dabei, und die Gewohnheiten sind klein. Öffne kein Banking und zahle nicht mit Karte in einem Netz, das du nicht kontrollierst. Wenn eine Seite, auf der du schon angemeldet warst, plötzlich „erneut anmelden“ will, schließe den Tab und tippe die Adresse selbst ein, statt dem Link zu folgen.

Zwei weitere, die nichts kosten. Schalte die Automatik für offene Netze ab, damit dein Handy nicht in jeder Stadt wieder „Free_WiFi“ beitritt. Und behandle das Schloss in der Adresszeile als Untergrenze, nicht als Garantie: Es bedeutet, dass die Verbindung verschlüsselt ist, nicht dass die Seite ehrlich ist — Zertifikate sind kostenlos und für jeden erhältlich.

Eine Liste mit fünf Punkten neben einer Uhr: was in den ersten Minuten nach dem Verbinden zu tun ist — Die ersten fünf Minuten: Dateifreigabe aus, Banking später, die Adresse der Login-Seite prüfen.

VPN, Hotspot und ehrliche Grenzen

Ein VPN versteckt deinen Verkehr vor dem Netzbetreiber, also genau vor dem, worum es oben ging. Es rettet dich nicht vor einer gefälschten Anmeldeseite, denn du hast dich dort eingetragen, bevor irgendein Tunnel existierte. Und es macht ein unseriöses Lokal nicht seriös: Es bedeutet nur, dass der Betreiber weniger sieht.

Für die meisten ist die einfachere Antwort der Hotspot des eigenen Handys: kein Abo, keine App, das Netz gehört dir. Ein VPN hat seinen Platz, wenn du regelmäßig aus Cafés arbeitest. Aber keines von beiden ersetzt die Prüfung in zehn Sekunden, denn beide beginnen erst, nachdem du schon beigetreten bist.

Eine blaue geschützte Linie im Tunnel und ein roter Zweig, der daneben hinausläuft — Ein VPN packt den Verkehr in einen Tunnel, macht dich aber nicht unsichtbar. Ein Teil geht trotzdem hinaus.

Wenn du das Lokal betreibst

Fast das ganze Risiko oben erzeugt das Lokal, nicht der Gast, und fast alles lässt sich hinter der Theke abstellen. Bring den Code dort an, wo das Personal ihn sieht — ein Tisch in der Ecke oder eine Wand um die nächste Biegung ist der Ort, an dem eine Fälschung monatelang überlebt. Drucke Netzwerknamen und Passwort im Klartext neben den Code, damit niemand scannen muss, um den Namen zu erfahren, und eine Abweichung sofort auffällt.

Prüfe den Aufkleber regelmäßig, und nach jedem Umbau, jeder Grundreinigung und jedem Führungswechsel. Fotografiere jede Anbringung, damit die nächste Person weiß, wie es aussehen soll. Und lass den Code eine Bequemlichkeit bleiben, nicht den einzigen Weg hinein: Ein gedrucktes Passwort ist das kleinere Risiko gegenüber einem Gast, der aufgibt und einen Fremden nach einem Hotspot fragt.

Zwei Aufkleber: einer über dem anderen mit rotem Kreuz, einer mit heilem Siegel — Wenn dir der Laden gehört: ein zweiter Aufkleber über deinem ist schon ein Signal. Siegel und ein Blick pro Woche reichen.

Wie ein guter WLAN-Code im Lokal aussieht

Ein Code, auf Augenhöhe, hinter oder auf der Theke, wo eine Angestellte ihn im Vorbeigehen sieht. Gedruckt oder laminiert statt als nackter Aufkleber, auf mattem Material, damit die Deckenlampen nicht die Hälfte des Quadrats auswaschen. Der Netzwerkname in lesbarer Schrift darüber, das Passwort darunter und eine kurze Zeile dazu, was nach dem Scan passiert.

Diese letzte Zeile wiegt mehr, als sie klingt. „Zum Beitreten scannen — öffnet eine Seite, kein Passwort nötig“ nimmt die Unsicherheit weg, wegen der Leute irgendetwas scannen, auch einen Aufkleber, den jemand anders angebracht hat. Ein Gast, der weiß, was kommt, ist ein Gast, der merkt, wenn etwas nicht stimmt.

Links ein Code auf einem Aufsteller auf Augenhöhe, rechts ein winziger Code in der Ecke — Ein guter Code ist einen Schritt weit sichtbar und muss nicht gesucht werden. Ein schlechter ist klein, in der Ecke, hinter Glas.

Typische Fehler

Einem Netz beitreten, weil ein Code es sagte, statt den Namen mit der gedruckten Karte zu vergleichen.
Scannen, ohne den Aufkleber selbst anzusehen — die Lage, die Kanten, die Klebestelle.
Eine Kartennummer oder ein E-Mail-Passwort in eine Gast-Anmeldeseite tippen.
Einem „erneut anmelden“-Link von einer Seite folgen, die du nicht selbst geöffnet hast.
Die Automatik für offene Netze eingeschaltet lassen und sich dann wundern, warum das Handy von selbst verbindet.
Im Lokal einen Code betreiben, der der einzige Weg zum Passwort ist.

Sechs Karten: oben die üblichen Fehler mit Kreuz, unten die korrigierte Version mit Haken — Sechs übliche Fehler und was stattdessen hilft. Nichts Kompliziertes – es ist eine Gewohnheit, kein Projekt.

So baust du es in der Praxis

Wenn das Netz deines ist, ist ein dynamischer QR-Code aus zwei Gründen die bessere Wahl, die nichts mit Design zu tun haben: Das Ziel lässt sich ändern, ohne die Tischkarten neu zu drucken, wenn die Anmeldeseite umzieht, und du bekommst eine Scan-Zahl, die zeigt, ob der Code überhaupt genutzt wird. Ein Code, den niemand scannt, ist ein Code, um den sich niemand kümmert.

Im QR-Studio baust du nicht das Quadrat, sondern die ganze Tischkarte: Netzwerkname im Klartext, Code in lesbarer Größe, Ruhezone intakt, matter Hintergrund. Schlechte Codes in Lokalen sind selten schlecht gestaltet — sie werden nebenbei gestaltet und in eine Ecke gequetscht, in der der weiße Rand verschwindet.

Dann prüfe den fertigen Druck mit dem QR-Scanner — im Raum, unter dem echten Licht, mit dem ältesten Handy, das du findest. Ein Code, der am Monitor perfekt liest und auf laminierter Karte unter einem Strahler versagt, bedeutet Nachdruck, und wegen solcher Nachdrucke hören Lokale irgendwann auf, sich darum zu kümmern.

Vier Schritte: Code erstellen, drucken, anbringen, mit dem Handy testen — So geht es: Code im Generator erstellen, groß drucken, auf Augenhöhe anbringen und mit dem eigenen Handy scannen.

Nächste Schritte, direkt nutzbar

Einen WLAN-Code bauenNetzeinstellungen, Verschlüsselung und die Beitrittsseite. Wie QR-Phishing funktioniertWarum ein Code ein Link mit versteckter Adresse ist. QR-Codes und SicherheitNichts ist verschlüsselt — und was das für dich heißt. Aufkleber über AufklebernDie physische Seite des Problems und wie du ein Lokal prüfst. Design, das noch scanntKontrast, Ruhezone und wo ein Logo sitzen darf. Einen Code richtig druckenGröße, Material und die Auflösungsfalle.