Prüfen Sie, welche Handlung Sie autorisieren – nicht nur, wie der Code aussieht.
Eine Nachricht behauptet, Sie müssten einen QR-Code scannen, um einer privaten Gruppe beizutreten oder Ihr Konto aktiv zu halten. Auf dem nächsten Bildschirm sollen Sie ein Gerät verknüpfen. Das sind unterschiedliche Handlungen. Halten Sie vor der Bestätigung inne: Auch ein echter Mechanismus zur Kontoverknüpfung kann für einen betrügerischen Zweck eingesetzt werden.
Ende-zu-Ende-Verschlüsselung schützt Nachrichten zwischen den beteiligten Endgeräten. Sie kann nicht entscheiden, ob Sie das Gerät, das diese Nachrichten nun empfängt, wirklich hinzufügen wollten. Dieser Leitfaden erklärt den Unterschied zwischen einem Weblink, einer Anfrage zur Geräteverknüpfung und einem Code zur Kontaktverifizierung – und was Sie prüfen sollten, wenn Sie bereits gehandelt haben.
Zwei unterschiedliche QR-Code-Fallen
Eine gefälschte Website: Ein Code öffnet eine Seite, die einen vertrauten Dienst nachahmt und nach Ihrem Passwort oder anderen sensiblen Angaben fragt. Die US-Verbraucherschutzbehörde FTC warnt vor QR-Codes in unerwarteten Nachrichten. Sie empfiehlt, das Ziel zu prüfen und den vermeintlichen Absender über einen bekannten Kanal zu kontaktieren, statt der Nachricht zu folgen. Ein vertrautes Logo beweist nicht, wer die Seite betreibt. Hinweise der FTC zu QR-Code-Betrug.
Ein unerwünschtes verknüpftes Gerät: Angreifer überreden Sie, ihren Computer oder ein anderes Gerät mit Ihrem Messaging-Konto zu verbinden. Dabei kann eine legitime Funktion missbraucht werden, ohne die Verschlüsselung zu brechen. Google Threat Intelligence hat Angriffe auf die Geräteverknüpfung von Signal dokumentiert, die als Gruppeneinladungen und Sicherheitshinweise getarnt waren. Bei den beobachteten Angriffen führte eine erfolgreiche Verknüpfung dazu, dass künftige Nachrichten auf einem von den Angreifern kontrollierten Gerät ankamen. Googles Untersuchung zu Phishing bei der Geräteverknüpfung.
Diese Unterscheidung ist wichtig. Eine Passwortänderung ersetzt nicht die Prüfung verknüpfter Geräte. Umgekehrt beweist das bloße Ausrichten einer Kamera auf einen Code nicht, dass ein Konto übernommen wurde. Stellen Sie fest, welche Seite geöffnet wurde, welche Informationen Sie angegeben und welche Handlung Sie bestätigt haben.
Drei ähnlich aussehende Codes, drei verschiedene Zwecke
| Code oder Bildschirm | Beabsichtigter Zweck | Frage vor dem Fortfahren |
|---|---|---|
| Website-QR-Code | Eine Adresse öffnen | Ist dies das Ziel, das ich unabhängig davon erwartet habe? |
| QR-Code zur Geräteverknüpfung | Ein weiteres Gerät autorisieren | Ist das mein Gerät, und habe ich die Verknüpfung selbst begonnen? |
| QR-Code zur Kontaktverifizierung | Kryptografische Identitätsinformationen vergleichen | Bin ich im Bildschirm zur Kontaktverifizierung und vergleiche ich mit der richtigen Person? |
Signal beschreibt beispielsweise einen eigenen Verknüpfungsablauf über die Einstellungen für gekoppelte Geräte und die Kamera innerhalb der App. Die aktuellen Anweisungen enthalten auch eine Auswahl zur Übertragung des Nachrichtenverlaufs. Das ist nicht dieselbe Aufgabe wie die Prüfung der Sicherheitsnummer eines Kontakts. Signals Anleitung zu gekoppelten Geräten.
Signals Dokumentation zu Sicherheitsnummern beschreibt den Vergleich der Nummern oder das Scannen des Verifizierungs-QR-Codes des Kontakts, idealerweise persönlich. Dieser Vergleich hilft, die kryptografische Identität der Unterhaltung zu verifizieren. Er beweist für sich allein nicht die tatsächliche Identität einer Person. Er ist keine Aufforderung, einem neuen Computer Zugriff auf Ihr Konto zu gewähren. Richten Sie sich nach dem tatsächlichen Zweck des angezeigten Bildschirms, nicht nach der Beschreibung des Absenders. Signals Erklärung der Sicherheitsnummer.
Ein praktisches Beispiel: Wenn eine Einladung ihre Bedeutung ändert
Stellen Sie sich folgende fiktive Situation vor. Mina erhält eine Nachricht, die scheinbar von einem Kollegen stammt: „Die Projektgruppe ist umgezogen. Scanne das hier, um wieder beizutreten.“ Die Seite wirkt professionell. Sie fordert Mina auf, den Scanner zur Geräteverknüpfung ihres Messengers zu öffnen.
Mina bemerkt den Widerspruch: Sie wollte einer Unterhaltung beitreten, nicht einen weiteren Computer verbinden. Sie bricht ab, öffnet unabhängig davon ihren gewohnten Kontakteintrag und fragt den Kollegen über einen anderen vertrauenswürdigen Kanal. Die Telefonnummer auf der verdächtigen Seite nutzt sie nicht.
Das Beispiel zeigt eine nützliche Entscheidungsregel: Wenn die von der App angeforderte Berechtigung weiter reicht als Ihre beabsichtigte Aufgabe oder etwas anderes betrifft, stoppen Sie. Ein vertrautes Absenderkonto reicht nicht aus, denn Konten können nachgeahmt oder kompromittiert werden. Auch eine vertrauenerweckende Webadresse allein erklärt nicht, warum ein unerwartetes Gerät Zugriff benötigt.
Eine kurze Prüfliste vor der Freigabe
- Benennen Sie Ihre Aufgabe. Wollen Sie eine Seite öffnen, einer Gruppe beitreten, einen Kontakt verifizieren oder Ihren eigenen Computer verknüpfen?
- Beginnen Sie unabhängig. Öffnen Sie zur Kontoverwaltung die installierte App oder eine bereits bekannte Adresse, statt Anweisungen aus einer unaufgeforderten Nachricht zu übernehmen.
- Lesen Sie die Aufforderung der App. Behandeln Sie Geräteverknüpfung, Kontowiederherstellung und Eingabe von Zugangsdaten als getrennte Entscheidungen. Brechen Sie eine Anfrage ab, die nicht zu Ihrer Aufgabe passt.
- Identifizieren Sie das andere Gerät. Verknüpfen Sie nur Geräte, die Sie bewusst nutzen wollen und kontrollieren. Ein freundlich klingender Gerätename ist kein Eigentumsnachweis.
- Halten Sie Geheimnisse aus Chats heraus. Senden Sie keine Passwörter, Registrierungscodes oder Wiederherstellungsschlüssel an Personen, die angeblich helfen wollen.
- Nutzen Sie aktuelle Software. Updates und integrierte Warnungen sind wichtig. Sie machen eine unerwartete Freigabeanfrage aber nicht vertrauenswürdig.
Signals eigene Hinweise gegen Phishing empfehlen eine unabhängige Überprüfung, die Geheimhaltung von Codes und einen vorsichtigen Umgang mit unerwarteten Anfragen. Sie unterscheiden außerdem zwischen den offiziellen, nur lesbaren Ankündigungen und einem interaktiven Konto, das sich als Support ausgibt. Das sind Signal-spezifische Angaben, keine Aussagen über die Supportsysteme aller Messenger. Signals Hinweise zu Phishing und Identitätstäuschung.
Wenn Sie bereits gescannt oder zugestimmt haben
Orientieren Sie sich daran, was tatsächlich geschehen ist:
- Nur eine Seite geöffnet: Schließen Sie sie und interagieren Sie nicht weiter. Prüfen Sie, ob Sie Informationen eingegeben, etwas heruntergeladen oder eine Handlung in einer App bestätigt haben. Leiten Sie allein aus dem Scan weder eine Kompromittierung noch Sicherheit ab.
- Zugangsdaten eingegeben oder einen Code weitergegeben: Nutzen Sie auf einem vertrauenswürdigen Gerät die offiziellen Wiederherstellungsanweisungen des Dienstes. Ändern Sie offengelegte Passwörter und prüfen Sie den Kontozugriff. Kümmern Sie sich gesondert um andernorts wiederverwendete Passwörter.
- Ein unbekanntes Gerät verknüpft: Öffnen Sie die tatsächliche Geräte- oder Sitzungsliste der App und entfernen Sie die unerwünschte Verbindung. Gehen Sie nicht davon aus, dass das Löschen der Betrugsnachricht den Zugriff widerruft.
- Software installiert oder ungewöhnliche Berechtigungen erteilt: Untersuchen Sie dies gesondert. Der Widerruf einer Kontositzung entfernt für sich genommen keine Schadsoftware von einem Telefon.
Speziell für Signal empfehlen die Schutzhinweise, gekoppelte Geräte zu kontrollieren, unbekannte Einträge zu entfernen und bei Unsicherheit alle aufgeführten Geräte zu entfernen. Die Anleitung zum Entkoppeln erklärt den Widerruf über das primäre Telefon. Andere Dienste können andere Bedienelemente verwenden. Signals Hinweise zum Kontoschutz, Signals Anleitung zum Entkoppeln von Geräten.
Ein Widerruf kann bereits andernorts kopierte Informationen nicht zurückholen. Der Umfang einer Offenlegung hängt vom Dienst, den erteilten Berechtigungen, einer möglichen Auswahl zur Verlaufsübertragung und der Dauer des Zugriffs ab – nicht von einer universellen Regel, nach der „alle Chats“ betroffen wären. Falls sensible Unterhaltungen offengelegt worden sein könnten, informieren Sie die betroffenen Personen über einen vertrauenswürdigen Weg und folgen Sie gegebenenfalls dem einschlägigen Verfahren zur Vorfallsmeldung.
Was Sie bei Livara oder einem anderen Messenger prüfen sollten
Fragen Sie, wie neue Geräte autorisiert werden, wo aktive Sitzungen angezeigt werden, wie Zugriff widerrufen wird und ob der Verlauf separat übertragen wird. Prüfen Sie die aktuelle Produktdokumentation, statt anzunehmen, dass ein Verschlüsselungshinweis diese Fragen beantwortet. Dieser Artikel belegt nicht, dass Livara eine QR-basierte Anmeldung oder einen bestimmten Ablauf zur Geräteverknüpfung verwendet.
Die praktische Schlussfolgerung ist einfach: Prüfen Sie die Handlung, die Sie autorisieren, nicht nur das Aussehen des Codes.
