Ein QR-Code kann eine DMARC-Überprüfung nicht bestehen, und genau das lieben Betrüger daran

Die E-Mail-Verteidigung ist keine einzige Maschine. Es sind mindestens zwei, und sie beantworten unterschiedliche Fragen. Die erste fragt, wer berechtigt ist, E-Mails unter diesem Domainnamen zu versenden. Die zweite fragt, ob das, was die Nachricht enthält, gefährlich ist. Ein QR-Code umgeht die erste absichtlich, und ob er die zweite passiert, hängt davon ab, welches Produkt Ihre E-Mails liest.

Fangen Sie mit der ersten Maschine an, denn die wird von Leuten häufig falsch benannt. SPF überprüft, ob der Versandserver berechtigt ist, für eine Domain zu versenden. DKIM überprüft eine kryptografische Signatur über die Nachricht. DMARC verlangt, dass einer dieser authentifizierten Identifier mit der Domain im sichtbaren From:-Header übereinstimmt, und ermöglicht es dem Domain-Inhaber, eine Vorgabe dafür zu veröffentlichen, was geschehen soll, wenn diese Ausrichtung fehlschlägt. Die aktuelle Spezifikation RFC 9989 ist explizit klar, dass es sich um eine Vorgabe und nicht um einen Befehl handelt: „The final handling of any message is always a matter of local policy and is left to the discretion of the Mail Receiver."

Jetzt der Teil, der für QR-Codes relevant ist. Dieselbe Spezifikation listet auf, was absichtlich außerhalb ihres Geltungsbereichs liegt, und auf dieser Liste stehen in genau diesen zwei Worten: „content analysis." DMARC wurde nie dafür gebaut, Links zu lesen, und es wurde durch Bilder nicht beeinträchtigt. Es hat überhaupt keine Meinung über den Inhalt einer Nachricht. Es sagt auch deutlich klar, was ein bestandener Check wert ist: „a DMARC pass by itself does not guarantee that delivery to the recipient's inbox would be safe or desirable." Also kann ein Krimineller, der eine Wegwerf-Domain registriert, SPF und DKIM darauf ordnungsgemäß konfiguriert und einen DMARC-Record veröffentlicht, Ihnen eine Nachricht schicken, die alle Authentifizierungsprüfungen sauber besteht. Nichts wurde umgangen. Die Nachricht war wirklich von der Partei signiert, die sie signiert hat. Die Frage, ob das angehängte Quadrat Sie irgendwohin führt, wo Ihr Passwort gestohlen wird, stand nie auf dem Formular der Authentifizierungsebene.

Diese Frage gehört zur zweiten Maschine, und hier zerfallen absolute Aussagen. Ein Textlink in einem Nachrichtentext ist etwas, das ein Content-Filter extrahieren, expandieren und gegen Reputation-Daten abgleichen kann. Eine URL in einem QR-Bild muss erst aus Pixeln zurückgewonnen werden, und diese Fähigkeit ist nicht universal verbreitet. Das UK's National Cyber Security Centre (Nationales Zentrum für Cybersicherheit des Vereinigten Königreichs) fasst die Grenze in einem Beitrag von Dave Chismon vom Februar 2024 genau zusammen: „Not all security tools designed to detect phishing emails will scan images." Microsoft dokumentierte im November 2024 die andere Seite – Defender for Office 365 „has improved its capabilities to extract URLs from QR codes," zieht sie mit Bildverarbeitung früh im Mail-Flow heraus und extrahiert jetzt auch QR-Metadaten und bewertet die umgebende Struktur. Microsoft veröffentlichte auch, was sich in der eigenen Telemetrie geändert hat: auf dem Höhepunkt war es „blocking 3 million attempts daily," und nachdem die Erkennungsarbeit ausgerollt wurde, „we have seen this number shrink to 200,000 QR code phishing attempts every day." Ein Anbieter, ein Produkt, selbst berichtet – aber überprüfbar, was mehr ist, als für die branchenweiten Prozentsätze gelten kann, die zu diesem Thema im Umlauf sind. Eine frühere Version dieses Artikels enthielt einen dieser Prozentsätze; er wurde entfernt, weil seine Herkunft nicht festgestellt werden konnte.

Die Verbrauchermitteilung der FTC vom 6. Dezember 2023, von Verbraucherschutzexperte Alvaro Puig, ist da, wo die alltägliche Version des Problems dargelegt wird: Betrüger, die einen echten Parkuhr-Code mit ihrem eigenen Aufkleber überkleben, eine Nachricht, die behauptet, ein Paket hätte nicht zugestellt werden können, ein Konto, das angeblich reaktiviert werden muss. Ihr Rat ist ein einziger Satz lang und erfordert nicht, dass Sie einen bestimmten Code bewerten: „Don't scan a QR code in an email or text message you weren't expecting." Die Ankündigung des FBI's IC3 vom Januar 2022 ergänzt die physische Spur – überprüfen Sie, ob ein „sticker placed on top of the original code" vorhanden ist – und die verfahrensmäßige: für eine Nachricht, die eine Zahlung verlangt, „call the company to verify," mit einer Nummer, die Sie „through a trusted site rather than a number provided in the email" finden, und „avoid making payments through a site navigated to from a QR code. Instead, manually enter a known and trusted URL."

Und dann gibt es noch das Gerät, das ist der wirkliche Grund, warum das immer noch funktioniert. Ein QR-Code wird nicht auf dem Laptop gescannt, auf dem der verwaltete Browser, der Firmen-Filter und der Passwort-Manager, der sich weigert, auf der falschen Domain automatisch auszufüllen, alle vorhanden sind. Er wird auf einem Telefon gescannt, das das NCSC als einen der Gründe aufzählt, warum Kriminelle die Methode bevorzugen: „Personal devices may not have the same security protections as a computer that's provided by your employer." Auf einem Telefon wird die Adressleiste abgekürzt, die vollständige URL ist schwer zu inspizieren, und die Person, die scannt, steht normalerweise irgendwo und ist leicht genervt, liest nicht sorgfältig.

Also ist die ehrliche Zusammenfassung enger als „die Filter sind blind." Domain-Authentifizierung funktioniert und beantwortet ihre eigene Frage korrekt. Content-Analyse von QR-Bildern existiert, wird in einigen Produkten eingesetzt und nicht in anderen, und hat sich in mindestens einem 2024 messbarer verbessert. Der Angriff überlebt, weil er den entscheidenden Moment auf ein Gerät verlagert, das außerhalb des meisten dieser Schutzsystems liegt, und vor eine Person, die jahrelang trainiert wurde, ein kleines Quadrat als praktisch zu betrachten. Das Quadrat belügt den Filter nicht. Es verlagert die Unterhaltung auf Sie.

Korrektur, 20. Oktober 2026. Eine frühere Version dieses Artikels besagte, dass jeder Spam-Filter und jede Header-Überprüfung dafür gebaut wurden, Text zu lesen und dass ein QR-Code für alle unsichtbar ist. Domain-Authentifizierung untersucht Inhalte absichtlich nicht – die DMARC-Spezifikation listet „content analysis" als außer Geltung – aber Content-Filterung ist eine separate Ebene, und Microsoft dokumentierte QR-URL-Extraktion in Defender for Office 365 im November 2024, während die Formulierung des NCSC ist, dass nicht alle Tools Bilder scannen. Eine Statistik, die 22% des Online-Phishing von Ende 2023 QR-Codes zuschrieb, wurde entfernt, weil keine primäre Quelle dafür identifiziert werden konnte; sie wurde nicht durch einen ungefähren Wert ersetzt. Eine Zitation auf einer NCSC-Seite, die QR-Codes nicht wirklich diskutiert, wurde durch den NCSC-Blogbeitrag ersetzt, der das tut, die FTC-Mitteilung ist jetzt präzise datiert, und eine Demonstrations-Phishing-Domain wurde durch ein nicht anklickbares Beispiel im reservierten .example-Namensraum ersetzt.

@@END@@