Ermitteln Sie das Ziel hinter „Safe Links“, „URL Defense“ und anderen Wrappern (Mimecast: Domain).
Neu
QR-Code-Decoder
Läuft lokalNeu
Das Tool selbst ist auf Englisch; auf dieser Seite wird es in Ihrer Sprache erklärt.
QR-Code-Decoder verwenden
Was es bewirkt
Laden Sie ein Bild eines QR-Codes, ziehen Sie es hierher oder fügen Sie es ein. Der Inhalt erscheint als entschärfter Text zusammen mit dem, was er bewirkt: ein Link und sein echter Host, ein WLAN-Zugang, eine Zahlungsaufforderung oder ein Zwei-Faktor-Secret.
Es läuft vollständig in Ihrem Browser: Es werden keine Ihrer Eingaben hochgeladen.
So verwenden Sie QR-Code-Decoder
- Ein Bild des Codes beschaffen. Machen Sie einen Screenshot oder ein Foto des QR-Codes. Die Seite verwendet nie Ihre Kamera.
- Laden. Ziehen Sie das Bild auf das Feld, klicken Sie auf das Feld, um eine Datei auszuwählen (PNG, JPEG, GIF, WebP, BMP oder SVG bis 20 MB), oder fügen Sie einen Screenshot mit Strg+V ein.
- Vorschau prüfen. Das Bild erscheint mit umrandetem erkanntem Code. Ein Badge nennt den Inhaltstyp und den Decoder, der ihn gelesen hat.
- Inhalt und Warnungen lesen. Der Inhalt wird entschärft angezeigt, Links sind also nicht anklickbar. Rote und gelbe Hinweise darunter erklären, was der Code bewirken würde.
- Felder ansehen. Felder zerlegen den Inhalt in Teile wie Host, Network name, Amount oder Recipient. Wallet-Adressen erhalten eine eigene Copy-Schaltfläche.
- Den nächsten Schritt gehen. Übergeben Sie einen Link mit Send to… an Link Unwrapper, Homoglyph Checker oder URL Parser, ohne ihn aufzurufen.
Beispiel
Parkzahlungslink mit verstecktem Host
https://pay-parking.example@198.51.100.24/pay?zone=401Web link read by jsQR (as is)
Payload (defanged)
hxxps://pay-parking[.]example[@]198[.]51[.]100[.]24/pay?zone=401
Copy raw
Text before "@" is not the destination: this link opens 198[.]51[.]100[.]24, not "pay-parking[.]example".
The host is a bare IP address (198[.]51[.]100[.]24), not a domain name.
HOST
198[.]51[.]100[.]24
USER INFO BEFORE @
pay-parking[.]example
SCHEME
https
PATH
/pay
QUERY
?zone=401
Next: use Send to… above. URL Parser splits the link into parts.Load example zeichnet diesen Text als QR-Code auf die Seite und dekodiert das Bild: Der echte Host ist die IP-Adresse 198.51.100.24, und pay-parking.example vor dem @ ist nur eine Benutzerangabe (User-Info); beides wird daher als Gefahrenzeichen markiert.
Was dabei geprüft wird
| Signal | Was das bedeutet |
|---|---|
| Inhaltstyp | Weblink, WLAN-Netz, Zahlungsaufforderung, Zwei-Faktor-Secret, E-Mail-, SMS- oder Telefonentwurf, Kontaktkarte, Kalendertermin, App-Link oder einfacher Text. Die Farbe des Badges richtet sich nach der schwersten Warnung. |
| Versteckter Host in einem Link | Text vor @ ist nicht das Ziel, und ein als IP-Adresse geschriebener Host ist rot. Ein Punycode-Host, der Alphabete mischt, ist ebenfalls rot. |
| URL-Kürzer oder Mail-Hülle | Links über bit.ly, qrco.de und ähnliche Dienste oder über Safe Links oder URL Defense verbergen die echte Adresse. Das Tool weist darauf hin und verweist auf Link Unwrapper. |
| Kostenloses Hosting, http, Port, tiefe Subdomains | Einfaches http erhält eine gelbe Warnung. Kostenlose Hoster wie github.io oder pages.dev, ein Nicht-Standard-Port und Hosts mit fünf oder mehr Ebenen erhalten Hinweise, weil eine solche Adresse wenig darüber aussagt, wer die Seite betreibt. |
| Zwei-Faktor-Secret (rot) | Ein otpauth-Code enthält ein Secret, das Ihre Einmalcodes erzeugt, und ein otpauth-migration-Code enthält einen ganzen Export aus einer Authenticator-App. Das Secret bleibt verborgen, bis Sie Show secret drücken. |
| Krypto-Zahlungsaufforderung | Zahlungslinks für Bitcoin, Ethereum, Solana, TRON, TON und andere zeigen Adresse und Betrag. Ein Ethereum-Code, der approve, increaseAllowance, setApprovalForAll oder permit aufruft, ist rot, ebenso eine Transaktionsanfrage von Solana Pay. |
| UPI- und EMV-Händlercodes | Das Scannen eines UPI-Codes sendet Geld von Ihrem Konto, und ein UPI-Mandat erlaubt wiederholte Abbuchungen. Ein EMV-Code, dessen CRC-Prüfsumme nicht stimmt, wurde bearbeitet oder beschädigt. |
| Gefährliche Schemata | javascript:, data:, file:, ms-msdt:, search-ms: und ähnliche Schemata sind rot. Codes, die statt einer Webseite eine App öffnen, erhalten einen gelben Hinweis. |
| WLAN-Details | Netzwerkname, Sicherheitstyp, ob ein Passwort vorhanden ist und ob das Netz versteckt ist. Offene Netze erhalten eine Warnung. |
Weitere Beispiele
QR-Code für ein offenes WLAN
WIFI:T:nopass;S:Airport Free WiFi;;Wi-Fi network. Network name (SSID): Airport Free WiFi, Security: nopass, Password: none, Hidden network: no. Gelbe Warnung: Open network: traffic is not encrypted at the Wi-Fi level. Ein Hinweis besagt, dass Angreifer offene Doppelgänger-Netze einrichten, um Datenverkehr abzufangen.
QR-Code mit einem Authenticator-Secret
otpauth://totp/Example:alice@example.com?secret=JBSWY3DPEHPK3PXP&issuer=ExampleTwo-factor (TOTP/HOTP) secret. Der Inhalt zeigt secret=••••••••, bis Sie Show secret drücken. Felder: Type TOTP, Issuer Example, Account alice[@]example[.]com, Secret present (16 characters, hidden), Algorithm SHA1 (default), Digits 6 (default), Period 30 s, dazu eine rote Warnung, dieses Bild niemals an jemanden zu senden.
Token-Freigabe, als Zahlung getarnt (EIP-55-Testadressen)
ethereum:0xfB6916095ca1df60bB79Ce92cE3Ea74c37c5d359@1/approve?address=0x5aAeb6053F3E94C9b9A09f33669435E7Ef1BeAed&uint256=115792089237316195423570985008687907853269984665640564039457584007913129639935Ethereum payment request. Felder: Network Ethereum, Contract 0xfB6916095ca1df60bB79Ce92cE3Ea74c37c5d359, Chain ID 1, Function approve, Address parameter (der Spender) und Token amount (raw units), hier das 78-stellige Maximum. Rote Warnung: This asks your wallet to call approve: it gives 0x5aAeb6053F3E94C9b9A09f33669435E7Ef1BeAed permission to move your tokens. Wallet drainers use exactly this. Es folgt ein gelber Hinweis: Vergleichen Sie die ganze Adresse.
Häufig gestellte Fragen
Was zeigt der Decoder zu einem QR-Code an?
Den dekodierten Text, entschärft, damit er nicht anklickbar ist, und seinen Typ: ein Weblink (Host, Punycode, IP-Host, User-Info vor @, URL-Kürzer und Link-Hüllen), ein WLAN-Netz, ein E-Mail-, Telefon- oder SMS-Entwurf, eine Zahlungsaufforderung für Krypto, UPI oder EMV, ein otpauth-Secret für die Zwei-Faktor-Authentifizierung, eine Kontaktkarte oder ein Kalendertermin. Jeder Typ erhält die für ihn relevanten Warnungen, zum Beispiel, dass ein otpauth-Code ein 2FA-Secret enthält.
Warum lässt sich ein Bild nicht dekodieren?
Der Code ist möglicherweise zu klein, unscharf, an den Rändern abgeschnitten oder durch Reflexionen verdeckt; in der Regel hilft es, das Bild so zuzuschneiden, dass nur der Code mit seinem weißen Rand zu sehen ist. Der Decoder nutzt zunächst den im Browser integrierten Barcode-Erkenner, sofern vorhanden, und wendet anschließend jsQR auf das Bild an (verkleinert auf 1.600 Pixel an der längsten Seite), einen Schwarz-Weiß-Schwellenwert, einen hinzugefügten weißen Rand und – bei Bildern mit einer längsten Seite von bis zu 800 Pixeln – eine 2-fache Vergrößerung.
Wird das Bild hochgeladen?
Nein. Das Bild wird in Ihrem Browser mit der mitgelieferten Bibliothek jsQR dekodiert und nie irgendwohin gesendet. Die Kamera wird nicht verwendet; machen Sie daher ein Foto oder einen Screenshot, und laden oder fügen Sie es ein.
Was, wenn das Bild mehr als einen QR-Code enthält?
Hat Ihr Browser einen eingebauten Barcode-Detektor, wird jeder gefundene Code als QR code 1 of N aufgeführt, jeweils mit eigenen Warnungen. Die Ausweichlösung jsQR liest einen Code pro Bild; schneiden Sie das Bild daher auf den Code zu, der Sie interessiert.
Warum sind das WLAN-Passwort oder das Zwei-Faktor-Secret verborgen?
Damit sie weder auf dem Bildschirm noch in einem Screenshot des Ergebnisses erscheinen. Show secret zeigt sie im Inhaltsfeld an, und Copy raw kopiert immer den vollständigen Text.
Kann ich einen Link zu einem Bild auf einer anderen Website ablegen?
Nein. Die Seite liest nur Bilddateien und eingefügte Bilder und lädt nichts herunter. Speichern Sie das Bild zuerst, oder kopieren Sie das Bild selbst und fügen Sie es ein. Auch eingefügter Text der Form data:image in Base64 funktioniert.