Können QR-Codes verfolgt werden
Scan-Analysen zeigen Zeitstempel, Gerätetyp, Standort und wiederholte Besuche, ohne jemals einen Namen oder eine Telefonnummer zu erfassen – Marketer bekommen echte Zahlen, während die meisten Fragen zur persönlichen Identität unberührt bleiben.
Key Takeaways
- Statische QR-Codes können überhaupt nicht verfolgt werden – es ist kein Server im Spiel, Scan-Daten existieren für sie schlicht nicht.
- Dynamische QR-Codes laufen über einen Redirect-Link, wodurch der Code-Ersteller Scan-Zahlen, Zeitstempel, groben Standort und Gerätetyp einsehen kann – nicht aber deine Identität.
- Tracking-Daten werden erst dann persönlich, wenn eine Landingpage separat nach Login, E-Mail-Adresse oder Standortfreigabe fragt – der Code selbst ist nicht die Quelle dieser Daten.
71 % der Verbraucher können einem QR-Code nicht rein optisch ansehen, ob er seriös oder bösartig ist, so eine Ivanti-Umfrage. Genau diese Lücke bei der visuellen Erkennung macht die Frage „Können QR-Codes verfolgt werden?“ gerade jetzt so wichtig – die meisten Menschen gehen entweder davon aus, dass jeder Code völlig anonym ist, oder dass er sie komplett ausspioniert. Beide Annahmen stimmen so nicht.
Die tatsächliche Antwort liegt irgendwo dazwischen. Ein statischer QR-Code, also die Art, die eine feste URL oder ein Textdokument direkt in seinem Muster verschlüsselt, kann überhaupt nicht verfolgt werden, sobald er gedruckt ist – es gibt keinen Server, der eine Anfrage empfängt, also weiß niemand, dass er gescannt wurde. Ein dynamischer QR-Code funktioniert anders: Er verweist auf einen kurzen Redirect-Link, der von einer QR-Plattform verwaltet wird, und genau in diesem Zwischenschritt werden Scan-Zahlen, Zeitstempel, Gerätetypen und ein grober Standort protokolliert. Keiner der beiden Typen erfasst allein durch das Scannen deinen Namen, deine Kontakte oder Fotos.
Diesen Unterschied zu verstehen ist wichtig – egal, ob du Codes für eine Kampagne erstellst oder gerade dein Handy zückst, um ein Plakat zu scannen. Unser Vergleich statische vs. dynamische QR-Codes zeigt genau, welcher Typ zu welchem Einsatzzweck passt – lesenswert, bevor du davon ausgehst, dass jeder Code, den du siehst, heimlich ein Profil über dich anlegt.
Wie QR-Code-Tracking wirklich funktioniert
Jeder Scan eines dynamischen QR-Codes sendet eine Anfrage an die Plattform, die den Redirect hostet, bevor du zum eigentlichen Ziel weitergeleitet wirst. Diese eine Anfrage ist der gesamte Tracking-Mechanismus – keine App-Installationen, keine versteckten Berechtigungen, kein Hintergrundzugriff auf dein Gerät. Die FTC warnt in ihrem Verbraucherhinweis ausdrücklich davor, dass Betrüger schädliche Links in QR-Codes verstecken, um Opfer auf gefälschte Seiten umzuleiten – ein Risiko, das du in unserem Leitfaden dazu, ob QR-Codes sicher sind, genauer nachlesen kannst. Das ist ein ganz anderes Problem als gewöhnliche Kampagnen-Analysen, wird damit aber häufig verwechselt.
Wie legitime Scan-Daten aussehen
Ein typisches Dashboard für dynamische QR-Codes zeigt die Gesamtzahl der Scans, einen Zeitstempel für jeden einzelnen, das verwendete Betriebssystem und den Browser sowie einen Standort auf Stadt- oder Länderebene, der aus der IP-Adresse ermittelt wird – keine GPS-Koordinaten. Das ist dieselbe Art von Daten, die die meisten Websites ohnehin über Standard-Analysetools sammeln, nur ausgelöst durch einen Scan statt durch einen Klick.
Was der Code selbst nicht sehen kann
Ein QR-Code kann nicht auf deine Kontakte, deine Kamerarolle, Nachrichten oder gespeicherten Passwörter zugreifen, nur weil du die Kamera darauf gerichtet hast. Er kann dich auch nicht namentlich identifizieren, es sei denn, die Landingpage, die er öffnet, fordert dich auf, diese Angaben selbst einzugeben – in diesem Fall stammt das Tracking von der Webseite, nicht vom Code.
Wo das Phishing-Risiko ins Spiel kommt
Der Anstieg blockierter QR-Phishing-Versuche um 587 % zwischen Q1 und Q4 2023, berichtet von QR-Verse, zeigt ein ganz anderes Tracking-Problem: bösartige Codes, die auf gefälschte Login-Seiten umleiten, um Zugangsdaten abzugreifen. Das ist ein Spoofing-Problem und keine Eigenschaft des normalen QR-Trackings. Unser Leitfaden zu Quishing-Angriffen erklärt, wie du den Unterschied erkennst.
Warum Unternehmen diese Daten überhaupt wollen
Restaurants, die Menü-Scans auswerten, Eventveranstalter, die Check-in-Raten prüfen, und Print-Werbetreibende, die die Performance von Flyern vergleichen, setzen alle aus demselben Grund auf dynamische Codes: Es ist die einzige Möglichkeit zu erfahren, ob ein gedrucktes Werbemittel tatsächlich funktioniert. Aggregierte Scan-Zahlen zeigen ihnen, welcher Flyer-Standort oder welcher Menütisch mehr Aufmerksamkeit bekommen hat, ohne wissen zu müssen, wer genau gescannt hat.
Tipps, um die Kontrolle über das Tracking zu behalten
Egal, ob du Codes für eine Kampagne erstellst oder einfach nur sicher scannen möchtest – mit diesen Gewohnheiten bleibt die Tracking-Frage ein Detail und wird nicht zum Sicherheitsproblem.
Prüfe die Ziel-URL, bevor du persönliche Informationen eingibst, denn Tracking wird erst dann zum Datenschutzproblem, wenn eine Landingpage direkt Daten sammelt.
Nutze einen Generator für dynamische QR-Codes mit einem transparenten Analyse-Dashboard, damit du genau weißt, welche Felder erfasst werden, statt zu raten, was eine Drittanbieter-Plattform aufzeichnet.
Scanne keine Codes, die über vorhandenen Aufklebern platziert oder auf öffentliche Flächen geklebt wurden – ein gängiger Trick, um einen legitimen Redirect gegen einen bösartigen auszutauschen, der mehr erfasst, als er sollte.
Wenn Datenschutz für dein Publikum wichtig ist, erkläre in klarer Sprache, welche Scan-Daten du sammelst – unser Leitfaden zur DSGVO-Konformität von QR-Codes zeigt, was diese Offenlegung tatsächlich enthalten muss.
Häufig gestellte Fragen
Kann ein QR-Code meinen Standort verfolgen?
Nur auf einer allgemeinen Ebene. Dynamische QR-Codes können anhand der IP-Adresse die Stadt oder Region protokollieren, aus der ein Scan stammt, aber sie können deinen genauen GPS-Standort nicht bestimmen – es sei denn, die Zielwebseite fordert separat eine Standortfreigabe an und du gewährst sie.
Gibt das Scannen eines QR-Codes meine Identität preis?
Nein. Der Scan selbst erzeugt nur anonyme Metadaten wie Gerätetyp und Zeitstempel. Deine Identität wird diesen Daten nur zugeordnet, wenn du sie freiwillig auf der Seite angibst, die der Code öffnet, etwa durch das Ausfüllen eines Formulars oder das Einloggen in ein Konto.
Sind statische QR-Codes sicherer vor Tracking als dynamische?
Statische Codes können überhaupt nicht verfolgt werden, da kein Redirect-Server im Spiel ist – das bedeutet allerdings auch, dass sie nach dem Druck weder bearbeitet noch aktualisiert werden können. Dynamische Codes nehmen dafür ein geringes Maß an Scan-Tracking in Kauf, gewinnen dadurch aber die Flexibilität, das Ziel jederzeit zu ändern, wie in unserem Vergleich zwischen statisch und dynamisch erklärt.
Woran erkenne ich, ob ein QR-Code sicher zu scannen ist?
Achte darauf, wo der Code angebracht ist, prüfe auf Anzeichen von Manipulation wie einen Aufkleber über einem anderen, und lass dir die URL vor dem Weiterklicken anzeigen, falls deine Scanner-App das unterstützt. Unser Leitfaden zur QR-Code-Sicherheit deckt die vollständige Checkliste ab.
Bereit, Ihren QR-Code zu erstellen?
Erstellen Sie in Sekunden individuelle QR-Codes – kostenlos und einfach.
Kostenlosen QR-Code erstellen →