Warum ist meine QR-Code-Scan-Zahl so hoch? Bots vs. echte Scans erklärt

Sie drucken 500 Flyer, geben einem Kunden einen QR-Code, und am Ende der ersten Woche zeigt das Dashboard 1.200 Scans. Niemand hat zusätzliche Flyer gedruckt. Niemand hat doppelt gezählt. Der Kunde ist begeistert, misstrauisch, oder beides, und in jedem Fall brauchen Sie eine Erklärung, die stichhält.

Ein Teil dieser Treffer sind echte Menschen. Ein Teil davon ist nie so passiert, wie es das Dashboard suggeriert. Sobald das Ziel eines QR-Codes eine einfache URL wird, ist diese URL Freiwild für alles im Internet, das Links automatisch abruft. E-Mail-Sicherheitssoftware und Messaging-Apps rufen Links auf, ohne dass je ein Mensch auf einen Bildschirm schaut, und ein simpler Scan-Zähler kann nicht unterscheiden, ob das einer dieser automatisierten Abrufe war oder eine Person, die vor Ihrem Plakat steht.

Das ist kein Grund, QR-Analytics pauschal zu misstrauen. Es ist ein Grund, zu wissen, welche Mechanismen eine Zahl aufblähen, welche nicht, und wie Sie eine Zahl melden, die sich verteidigen lässt, denn eine Scan-Zahl, die niemand erklären kann, ist eine Scan-Zahl, aus der niemand den ROI berechnen sollte.

Die kurze Antwort

Ein relevanter Anteil der „Scans" bei einem dynamischen QR-Code sind automatisierte Abrufe der Ziel-URL, keine Handykamera in der Hand eines Menschen. Die beiden größten Verursacher sind unternehmenseigene E-Mail-Sicherheitssoftware, die Links öffnet, bevor der Empfänger es tut, und Linkvorschau-Crawler in Messaging-Apps, die eine URL abrufen, sobald sie als Text geteilt wird. Allgemeine Bot- und Invalid-Traffic-Raten im offenen Web liegen je nach Kanal und Messmethode grob zwischen einem Fünftel und über der Hälfte des gesamten Traffics, das ist der ehrliche Hintergrund, vor dem Sie jede Verzerrung in Ihren eigenen Zahlen lesen sollten. Keine QR-Plattform veröffentlicht eine QR-spezifische Bot-Quote, weil die Mischung vollständig davon abhängt, wie ein Code verteilt wurde. Was Sie tun können: die Mechanismen erkennen, filtern, was sich filtern lässt, und Gesamt-Scans und eindeutige Scans getrennt ausweisen.

E-Mail-Sicherheitsscanner klicken Ihren Link, bevor Sie es tun

Das ist die größte, am besten dokumentierte Quelle aufgeblähter Scan-Zahlen, und sie tritt auf, egal ob im Postfach des Empfängers je jemand die E-Mail öffnet.

Safe Links von Microsoft Defender for Office 365 scannt URLs in eingehender Post zweimal: einmal, bevor die Nachricht zugestellt wird, und erneut „zum Zeitpunkt des Klicks", jedes Mal, wenn jemand den Link anklickt, wobei er ihn erneut gegen aktuelle Threat-Intelligence-Daten prüft, statt einem zwischengespeicherten Ergebnis zu vertrauen. Microsoft hat das 2024 um eine QR-Code-Erkennung erweitert: Defender nutzt Bildverarbeitung während des Mailflows, um die in einem QR-Bild codierte URL zu extrahieren und in dieselbe Scan-Pipeline einzuspeisen, die auch für getippte Links verwendet wird. Ein QR-Code, der als Anhang oder eingebettetes Bild versendet wird, kann so einen Abruf seines Ziels auslösen, bevor auch nur ein einziger Empfänger die Nachricht öffnet, und ein weiteres Mal, wenn er später darauf klickt.

Link Protection von Barracuda und URL Protection von Mimecast funktionieren empfängerseitig nach demselben Prinzip: Jeder umgeschriebene Link wird im Moment des Klicks erneut gegen das aktuelle Ziel geprüft, ohne Ablaufdatum und ohne zwischen Klicks gespeichertes „sicher"-Urteil. Nichts davon ist böswillig oder ungewöhnlich, es ist genau das, wofür diese Produkte gedacht sind: einen Link in einer Sandbox zu öffnen, bevor ein Mensch das tut. Der Nebeneffekt für alle, die QR-Scans messen: Ein Code, der innerhalb einer E-Mail an eine sicherheitsbewusste Organisation geteilt wird, kann mehrere automatisierte Treffer für eine einzige E-Mail erzeugen, sogar für eine, die niemand überhaupt öffnet.

Messaging-Apps und das Linkvorschau-Problem

Die verbreitete Version dieser Sorge liegt meist im Detail falsch. Keine große Messaging-Plattform ist dafür bekannt, einen fotografierten QR-Code serverseitig zu dekodieren, um eine Vorschau zu erzeugen. Die Angriffsfläche entsteht einen Schritt später, nachdem der Code bereits einmal von einem echten Menschen dekodiert wurde.

Erscheint eine URL als reiner Text in einer WhatsApp-Nachricht, ruft WhatsApp sie serverseitig ab, um die Vorschaukarte zu erzeugen, ein echter serverseitiger Treffer auf Ihrem Redirect-Endpunkt. Die Angriffsfläche ist also nicht „jemand hat meinen QR-Code in WhatsApp gescannt", sondern „jemand hat ihn gescannt und den aufgelösten Link anschließend als Text weitergeleitet", was bei Codes zu Speisekarten, Veranstaltungsseiten und Angeboten, die Menschen gerne teilen, ständig passiert. Slack verhält sich ähnlich (üblicherweise wird nur der erste Ausschnitt der Seite angefragt), und für Telegram wird dasselbe Verhalten vielfach beobachtet, auch wenn kein einzelnes offizielles Dokument den genauen Mechanismus bestätigt.

Nicht jede App funktioniert so, was wichtig ist, wenn Sie einer Kundin oder einem Kunden eine Abweichung erklären. iMessage baut seine Vorschau auf dem Gerät des Absenders auf und verschickt das Ergebnis als Anhang, es findet also überhaupt kein Serverabruf statt. Signal leitet Vorschau-Abrufe bewusst über einen Proxy, gerade damit die eigene Infrastruktur die Ziel-URL niemals zu sehen bekommt, eine Designentscheidung, die das Unternehmen ausdrücklich als Datenschutzfunktion dokumentiert hat. Fragt ein Kunde, ob das Versenden Ihres QR-Links per SMS an eine Freundin oder einen Freund als Scan zählt, lautet die ehrliche Antwort: Es hängt vollständig von der App ab, und bei den meisten der populären ist die Antwort ja, einmal.

Die Kamera Ihres Smartphones ist daran nicht beteiligt

Der Dekodierschritt, der Moment, in dem eine Kamera ein QR-Muster erkennt und ein Vorschau-Banner zeigt, bevor Sie antippen, ist kein Netzwerkereignis. Googles ML-Kit-Dokumentation stellt klar fest, dass das Scannen von Barcodes und QR-Codes auf dem Gerät stattfindet und keine Netzwerkverbindung braucht, es handelt sich um Mustererkennung anhand von Pixeln, die das Smartphone bereits hat. Was nach dem Antippen passiert, die Prüfung der Reputation einer URL, bevor tatsächlich dorthin navigiert wird, ist real und sowohl für iOS als auch für Android dokumentiert, hängt aber am Öffnen der Seite im Browser, nicht am Anzeigen des Vorschau-Banners durch die Kamera. Die Verzerrung in Ihren Zahlen kommt nicht aus diesem Schritt. Sie entsteht früher, unterwegs, bevor überhaupt eine Handykamera im Spiel ist.

Der Bot-Traffic als Hintergrundrauschen

Keiner der oben genannten Mechanismen existiert isoliert, sie alle setzen auf einem Internet auf, das nach den meisten breiten Messungen inzwischen mehr automatisierten als menschlichen Traffic hat. Impervas Bad Bot Report 2026, gestützt auf ein volles Jahr Netzwerk-Traffic, beziffert automatisierten Traffic auf knapp über die Hälfte des gesamten Web-Traffics, ein weiterer Anstieg gegenüber dem Vorjahr, wobei ein erheblicher Anteil davon als bösartig eingestuft wird. Getrennt davon fanden die Invalid-Traffic-Benchmarks von Pixalate für Q4 2025, basierend auf zig Milliarden programmatischen Ad-Impressions, Raten von rund 23 % im Web, 36 % bei Mobile Apps und 21 % bei Connected TV, eine andere Messung, fokussiert auf Ad-Fraud statt auf allgemeinen Traffic, die aber in dieselbe Richtung weist.

Keine der beiden Zahlen ist eine QR-Statistik. Betrachten Sie sie als Kontext für einen Kunden, der von jeglichem automatisierten Traffic alarmiert ist: Eine gewisse Grundrate an nicht-menschlicher Interaktion mit jedem Link im Netz ist inzwischen normal, und ein QR-Code ist einfach eine physische Auffahrt zu einer URL wie jede andere.

Einen Bot-Treffer von einem echten Scan unterscheiden

Automatisierte Treffer lassen sich nicht vollständig ausschließen, aber die meisten lassen sich markieren, mit denselben Signalen, auf die sich Ad-Tech- und Analytics-Plattformen seit Jahren verlassen.

• User-Agent-Abgleich. Bekannte Bots und Sicherheitsscanner geben sich im User-Agent-String der Anfrage zu erkennen. Open-Source-Listen wie die Bibliothek isbot existieren, um solche Signaturen abzugleichen, und die meisten dynamischen QR-Plattformen führen eine Version dieser Prüfung bei jedem Treffer durch.
• Hosting-/Rechenzentrums-IP-Bereiche. Ein Smartphone in einem Mobilfunknetz sieht auf Netzwerkebene ganz anders aus als eine Anfrage, die aus AWS, Azure oder Google Cloud stammt. Dienste wie MaxMind kennzeichnen IP-Bereiche explizit als Hosting-Infrastruktur statt als Endkundenanschluss, ein starkes, wenn auch unvollkommenes Signal.
• Unmögliche Geschwindigkeit. Ein Code, der in Rotterdam gescannt und neunzig Sekunden später von einer IP aus „gescannt" wird, die auf Singapur geolokalisiert, sind keine zwei Personen. Zeit und Ort zusammen erfassen, was kein einzelnes Signal allein erfasst.
• Kein wiederkehrendes Verhalten. Eine echte Kampagne erzeugt Folgebesuche und Session-Aktivität. Ein einzelner Abruf, der in keinerlei weiterer Aktivität auf der Zielseite mündet, passt zu einer automatisierten Prüfung, nicht zu einem Besuch.
• Fehlende JavaScript-Ausführung. Scanner rufen üblicherweise die rohe Serverantwort einer Seite ab, ohne je deren JavaScript auszuführen, dasselbe Prinzip hinter dem Bot-Management-Scoring von Cloudflare und dem standardmäßigen Bot-Ausschluss von Matomo.

Kein einzelnes Signal ist für sich allein schlüssig, weshalb Plattformen mehrere kombinieren, bevor sie entscheiden, dass ein Treffer nicht als echter Besuch zählt.

Was das für die Zahl bedeutet, die Sie melden

Die Lösung ist keine bessere Einzelkennzahl, sondern das Melden zweier Zahlen statt einer. Gesamt-Scans (jeder geloggte Treffer) und eindeutige Scans (unterschiedliche Besucher, dedupliziert nach Gerät oder Session) erzählen unterschiedliche Geschichten, und genau in der Lücke zwischen beiden versteckt sich der Bot-Traffic. Ein Code mit 1.200 Gesamt-Scans und 640 eindeutigen verdient einen Satz im Bericht, keine Fußnote, und genau deshalb ist welche Scan-Kennzahlen zählen eine andere Frage als welche Kennzahlen es überhaupt gibt: Gesamt-Scans ist die Vanity-Zahl, eindeutige Scans und nachgelagerte Conversions sind die, die einer Prüfung standhalten.

Dieselbe Logik sollte auch Ihre ROI-Berechnungen und jeden Benchmark, an dem Sie eine Scan-Rate messen, erreichen: Ein Benchmark auf Basis ungefilterter Gesamtzahlen wirkt immer beeindruckender, und weniger vertrauenswürdig, als einer, der auf einer verteidigbaren Zahl beruht. Speisen Sie Daten in Google Analytics 4 ein, taucht derselbe Traffic von E-Mail-Scannern und Linkvorschauen auch dort auf, Ihre Bot-Ausschluss-Einstellungen müssen also echte Arbeit leisten, statt auf den Standardwerten zu verharren. Es spielt auch beim A/B-Testing einer Kampagne eine Rolle: Wird eine Variante häufiger per E-Mail herumgeschickt als die andere, sammelt ihre Scan-Zahl mehr automatisiertes Rauschen an, aus Gründen, die nichts damit zu tun haben, welches Design tatsächlich besser abgeschnitten hat.

Dieses Problem betrifft ausschließlich dynamische QR-Codes, das sei klar gesagt: Ein statischer Code mit einer fest in die Pixel eingebrannten URL erzeugt überhaupt kein Server-Log, lässt sich also weder filtern noch nachverfolgen noch im Nachhinein erklären. Der Analytics-Ärger hier ist der Preis des Trackings, das eine Kampagne überhaupt erst messbar macht; die Alternative sind keine saubereren Daten, sondern gar keine Daten. Es ist außerdem eine andere Sorge als die böswilligen Codes, die in QR-Code-Sicherheit für Agenturen behandelt werden: Hier sind Code und Ziel beide legitim, und das „Problem" besteht ausschließlich darin, wie viel des Traffics auf einem echten Link automatisiert statt menschlich ist. Eine saubere UTM-Struktur behebt die Bot-Verzerrung ebenfalls nicht, ein Scanner trägt dieselben Parameter mit sich wie ein echter Besucher, aber sie sorgt dafür, dass alles, was nach dem Herausfiltern der Bots übrig bleibt, korrekt zugeordnet ist.

• 1. E-Mail-Sicherheitsscanner, der den Link automatisch öffnet, bevor oder unabhängig davon, ob eine Person ihn anklickt.
• 2. Linkvorschau einer Messaging-App, die den Link abruft, sobald er als Text geteilt wird.
• 3. Eine echte Person, die den Code mit der Kamera scannt.

Wie Plattformen das herausfiltern

Eine dynamische QR-Plattform ist bestens positioniert, die meisten dieser Fälle abzufangen, weil jeder Scan denselben Redirect-Endpunkt durchläuft und geprüft werden kann, bevor er als Besuch geloggt wird. Die Basis ist eine gepflegte Liste von Bot-Signaturen, abgeglichen mit dem User-Agent, kombiniert mit einer Sperrliste für Hosting-Provider-IPs, sodass Anfragen aus Cloud-Infrastruktur markiert statt unbesehen mitgezählt werden. Fortgeschrittenere Setups ergänzen Rate-Limiting und eine Prüfung des Redirect-Verhaltens, da die meisten automatisierten Scanner eine URL einmal abrufen und nie einer clientseitigen Weiterleitung folgen, wie es ein echter Browser tut. Perfekt wird die Zahl dadurch nicht, aber „1.200 Scans" rückt näher an „1.200 Treffer, von denen rund 640 wie echte Besuche aussehen", eine Aufteilung, die sich tatsächlich verteidigen lässt.

Häufig gestellte Fragen

Warum zeigt mein QR-Code mehr Scans als gedruckte Flyer oder Plakate?

Weil „Scans", wie sie die meisten Plattformen loggen, jeden automatisierten Treffer auf die Ziel-URL zählen, nicht nur Kamera-und-Antipp-Interaktionen. E-Mail-Sicherheitssoftware, die den Link vor der Zustellung und erneut beim Klick öffnet, sowie Messaging-Apps, die eine Vorschau erzeugen, sobald der aufgelöste Link als Text geteilt wird, registrieren sich alle als Treffer auf demselben Endpunkt, den auch ein menschlicher Scan träfe. Die Auflagenhöhe hat keinerlei Bezug dazu, wie viele automatisierte Systeme einen Link berühren, sobald er existiert.

Was ist der Unterschied zwischen einem „Scan" und einem „Klick" bei einem dynamischen QR-Code?

In der Terminologie der meisten Plattformen beschreiben beide dasselbe Ereignis, einen Treffer auf den Redirect-Endpunkt, egal ob durch eine Kamera-Dekodierung oder einen anderen Client, der die URL abruft. Die nützlichere Unterscheidung ist Gesamt-Scans (jeder Treffer) gegenüber eindeutigen Scans (dedupliziert nach Gerät oder Session), denn genau dort zeigt sich die Lücke zwischen Mensch und Automatisierung.

Öffnet Microsoft Defender Safe Links meinen Link wirklich, bevor ich ihn anklicke?

Ja. Microsofts Dokumentation beschreibt sowohl das Scannen zum Zustellzeitpunkt als auch die Verifizierung zum Zeitpunkt des Klicks für jeden Link, den Safe Links schützt, seit einem Update 2024 eingeschlossen auch URLs, die aus QR-Code-Bildern in E-Mails extrahiert werden. Barracuda und Mimecast führen bei ihren eigenen Produkten eine vergleichbare Re-Verifizierung zum Klickzeitpunkt durch.

Zählt WhatsApp oder iMessage einen Scan, wenn jemand meinen QR-Link teilt?

Das hängt von der App und der Art des Teilens ab. Die Server von WhatsApp rufen eine URL ab, um eine Linkvorschau zu erzeugen, sobald sie als reiner Text erscheint, ein echter Treffer auf Ihrem Redirect. iMessage baut seine Vorschau auf dem Gerät des Absenders auf, sodass kein Serverabruf stattfindet. Keine der beiden Apps ist dafür bekannt, einen fotografierten QR-Code automatisch zu dekodieren; die Angriffsfläche entsteht erst, nachdem jemand ihn bereits gescannt und den resultierenden Link als Text geteilt hat.

Wie hoch ist der Bot-Anteil am Internet-Traffic?

Impervas Bad Bot Report 2026 beziffert automatisierten Traffic auf knapp über die Hälfte des gesamten Web-Traffics über alle überwachten Websites hinweg, ein weiterer Anstieg gegenüber dem Vorjahr, wobei ein erheblicher Teil als bösartig eingestuft wird. Das ist eine allgemeine Web-Traffic-Zahl, keine QR-spezifische, keine QR-Plattform veröffentlicht eine vergleichbare Zahl für Scan-Daten.

Wie erkenne ich im Dashboard einen Bot-Scan gegenüber einem echten Scan?

Achten Sie auf eine Kombination von Signalen: einen User-Agent, der sich selbst als bekannter Scanner zu erkennen gibt, eine IP-Adresse in einem bekannten Cloud-Hosting-Bereich statt in einem Endkundennetz, physikalisch unmögliches Timing zwischen zwei Scans desselben Codes, und einen einzelnen Abruf, der in keinerlei weiterer Aktivität auf der Zielseite mündet.

Sollte ich Kunden Gesamt-Scans oder eindeutige Scans melden?

Melden Sie beide, und lassen Sie die Lücke für sich sprechen. Gesamt-Scans ist die rohe Trefferzahl und schließt automatisierten Traffic ein; eindeutige Scans dedupliziert nach Gerät oder Session und kommt der Zahl tatsächlicher Menschen, die sich engagiert haben, näher. Eine große Lücke zwischen beiden ist einen Satz im Bericht wert, kein Detail zum Glätten.

Kann Antiviren- oder Endpoint-Software einen Scan auslösen, bevor jemand den Link öffnet?

Ja: Unternehmenseigene E-Mail-Sicherheitsprodukte rufen routinemäßig das Ziel eines Links ab, bevor und unabhängig davon, ob ein menschlicher Empfänger ihn anklickt. Endpoint- und Netzwerksicherheitstools prüfen URLs allgemein ebenfalls gegen Threat-Intelligence-Daten, allerdings geschieht das meiste davon erst im Moment des tatsächlichen Klicks, nicht vorab für Links, die noch ungeöffnet daliegen.

Sendet die Handykamera schon beim Anzeigen der QR-Code-Vorschau eine Netzwerkanfrage, bevor ich antippe?

Der Dekodiervorgang selbst nicht, Googles Dokumentation zum geräteinternen Barcode-Scanning stellt klar fest, dass er ohne Netzwerkverbindung funktioniert. Was im Moment unmittelbar vor dem Antippen passiert, ist weder von Apple noch von Google vollständig dokumentiert, betrachten Sie „das Vorschau-Banner sendet nichts über das Netzwerk" also eher als plausible Annahme denn als garantierte Tatsache. So oder so, daher stammen die aufgeblähten Zahlen in Ihrem Dashboard nicht, das passiert früher, unterwegs.

Warum sehe ich Scans aus Städten oder Ländern, in denen der QR-Code nie verteilt wurde?

Meist ein unternehmenseigener E-Mail-Scanner oder eine Sicherheits-Appliance, die aus einem Rechenzentrum an anderer Stelle läuft, oder ein Linkvorschau-Crawler, der auf der Infrastruktur der jeweiligen Messaging-Plattform läuft, keiner davon physisch dort, wo der Empfänger sich befindet. Geografische Anomalien sind zudem eines der zuverlässigeren Signale, um automatisierten Traffic zu markieren, denn eine reale Person kann keinen Code innerhalb derselben Minute in zwei weit entfernten Städten scannen.

Verfälscht Bot- und Prefetch-Traffic die ROI-Berechnung einer QR-Kampagne?

Das kann er, wenn rohe Gesamt-Scans in die Berechnung einfließen. Eine ROI-Rechnung auf Basis eines aufgeblähten Zählers überzeichnet Verbesserungen bei den Kosten pro Interaktion und kann eine tatsächlich schwache Kampagne solide aussehen lassen. Eindeutige, gefilterte Scans als Basis zu verwenden, schützt die Berechnung vor genau dieser Verzerrung.

Wie filtern dynamische QR-Plattformen Bot-Traffic aus den Analytics heraus?

Typischerweise durch den Abgleich bekannter Bot-/Crawler-Signaturen mit dem User-Agent, das Sperren von Hosting-Provider-IP-Bereichen, Rate-Limiting wiederholter Treffer aus derselben Quelle und die Prüfung, ob sich eine Anfrage wie ein echter Browser verhält statt wie ein einmaliger automatisierter Abruf.

Kurz zusammengefasst

QR-Scan-Zahlen enthalten echte Menschen, aber auch E-Mail-Sicherheitssoftware, die Ihren Link öffnet, bevor überhaupt jemand die Nachricht liest, Messaging-Apps, die einen aufgelösten Link abrufen, sobald er als Text geteilt wird, und eine allgemeine Grundrate automatisierten Web-Traffics, die inzwischen einen relevanten Anteil jedes Links im Netz betrifft. Nichts davon ist ein Makel speziell von QR-Codes, es passiert jeder nachverfolgbaren URL, sobald sie existiert. Melden Sie Gesamt-Scans und eindeutige Scans als getrennte Zahlen, wenden Sie grundlegende Bot-Filterung an (User-Agent-, Hosting-IP- und Geschwindigkeitsprüfungen), bevor eine der beiden Zahlen bei einem Kunden ankommt, und verwenden Sie überall dort, wo die Daten in eine Entscheidung einfließen, die gefilterte Zahl, nicht die rohe: bei ROI, Benchmarking oder einem Test zwischen zwei Kampagnenvarianten.