Barrierefreie und sichere QR-Codes: ein Ziel veröffentlichen, das überprüfbar bleibt

Ein QR-Code übersetzt eine Adresse in ein Raster, das eine Kamera lesen kann. Das ist praktisch, ersetzt aber weder eine lesbare URL noch einen Drucktest oder eine Sicherheitsentscheidung. Ein gut veröffentlichter Code führt zum Ziel und macht dieses Ziel auch für Menschen erkennbar, die nicht scannen wollen oder können.

Das Problem

Ein Generator erzeugt das Bild in Sekunden; damit ist seine Veröffentlichung noch nicht vertrauenswürdig. Ein Quadrat verrät nicht, ob es die erwartete Website, eine undurchsichtige Weiterleitung oder einen überklebten fremden Code öffnet. Ein abgeschnittener Rand, glänzendes Papier oder eine Kamera mit schwachem Fokus können das Lesen verhindern, obwohl der Entwurf scharf wirkt.

Es gibt außerdem eine Zugangsbarriere. Wer keine Kamera, keine Datenverbindung, eingeschränktes Sehvermögen oder keinen passenden Leser hat, braucht einen gleichwertigen Weg. Auf einer Webseite sollte der normale Link die Hauptaktion sein und der QR-Code ergänzen. Auf Papier sorgen vollständige Adresse, Zweckbeschreibung und eine Kontaktalternative dafür, dass die Kamera nicht die einzige Eingangstür ist.

Sicherheit beginnt vor dem Erzeugen der Module. Der kodierte Text kann eine ähnlich aussehende Domain, einen unerwarteten Pfad, personenbezogene Parameter oder eine schwer prüfbare Weiterleitung enthalten. Für Anmeldung, Zahlung, Download oder Support sollten nur Schema, Host und Pfad zugelassen werden, die zum Anwendungsfall passen. Eine Zeichenfolge, die wie eine URL aussieht, ist nicht automatisch ein geeignetes Ziel.

Praktisches Beispiel

Angenommen, ein Museum druckt einen QR-Code für https://example.org/visit/tickets. Die öffentliche URL ist absichtlich fiktiv. Unter dem Symbol steht dieselbe vollständige Adresse und „Tickets und Öffnungszeiten“. Besuchende können sie eintippen, die Domain prüfen oder jemanden bitten, sie zu öffnen. Auf der Website ist der Text ein normaler Link; der QR-Code bleibt eine zusätzliche visuelle Hilfe.

Erzeuge das Symbol mit fast schwarzen Modulen auf einheitlich weißem Hintergrund. Lasse an allen vier Seiten vier leere Module frei. Diese Ruhezone ist kein dekorativer Rahmen, sondern freier Raum ohne Text, Icons oder Foto. Exportiere SVG oder ein großes Masterbild, setze es in der endgültigen Größe ein und miss das QR-Quadrat, nicht die ganze Karte. Teste den echten Aushang aus der vorgesehenen Entfernung mit zwei aktuellen Telefonen und einem Tablet, vor und nach einem Logo.

Notiere URL, Datum, Größe, Breite der Ruhezone, Fehlerkorrekturstufe, Druckmaterial und Geräte. Das zertifiziert nicht jede Kamera. Es macht Fehler jedoch nachvollziehbar und verhindert, dass Ziel oder Einstellungen unbemerkt ausgetauscht werden.

Vorgehensweise

Beginne beim Ziel, nicht beim Aussehen. Kopiere die endgültige HTTPS-URL aus dem kontrollierten Veröffentlichungssystem und prüfe Host, Pfad, Query und Fragment. Entferne unnötiges Tracking und persönliche Daten. Gibt es Weiterleitungen, prüfe die gesamte Kette in einer Testumgebung und entscheide, ob eine direkte Adresse möglich ist. Kodiere keine Zugangsdaten, Wiederherstellungstoken, privaten Fundorte oder Links, die nur für ungeprüfte Zielgruppen funktionieren: Das Bild kann fotografiert und weitergegeben werden.

Vermeide unnötige Daten. Mehr Zeichen bedeuten mehr Module und bei gleicher physischer Größe kleinere Zellen. Wähle die Fehlerkorrektur aus einem dokumentierten Grund. Sie kann bei einem kleinen Fleck helfen, erhöht aber die Dichte und rechtfertigt kein überdecktes Zentrum. Bewahre die QR-Ruhezone von vier Modulen und lasse keine Rahmen, Fotos, Muster oder Texte hineinragen.

Nutze starken Kontrast: dunkle Vordergrundmodule auf hellem, einfarbigem, mattem Hintergrund. WCAG-Kontrasthinweise gelten für Text und sind keine vollständige Kameraspezifikation, aber ein sinnvoller Gestaltungsboden. Vermeide Pastellfarben, Verläufe, invertierte Farben und Fotohintergründe. Beschreibe die Funktion in Text und zeige die vollständige URL im Web als auswählbaren oder im Druck als lesbaren Text.

Exportiere ohne Unschärfe und verlustbehaftete Skalierung. Bei Rastergrafiken müssen Module quadratisch und pixelgenau bleiben; Vektor lässt sich oft besser drucken. Teste die endgültige Datei, nicht die Vorschau des Generators. Prüfe Winkel, Abstand, Spiegelungen und erwartetes Licht mit mehreren Geräten. Wenn es scheitert, ändere Größe, Rand oder Kontrast, exportiere neu und teste erneut.

Technische Erklärung

Ein QR-Symbol enthält Muster, mit denen ein Leser es findet, ausrichtet und die Module abtastet. Die Ruhezone trennt diese Muster von visuellem Rauschen. Wird sie beschnitten oder mit einem Foto gefüllt, kann die Kamera die Grenze falsch deuten. Die Modulgröße ist wichtig, weil eine entfernte Kamera nur wenige Pixel pro Zelle hat. Ein dichter Code kann für das Auge perfekt wirken und dennoch zu wenig Detail zum Fokussieren liefern.

Fehlerkorrektur speichert Redundanz. Je nach Version, Schadensstelle und Leser kann sie beschädigte Teile wiederherstellen. Sie authentifiziert aber keine URL, erkennt keinen betrügerischen Aufkleber und warnt nicht, wenn sich das Ziel seit dem Druck geändert hat. Deshalb sind organisatorische Kontrollen nötig: sichtbare Domain, verantwortliche Person für Materialwechsel und Prüfung nach Kampagnen.

Barrierefreiheit hat zwei Seiten. Wenn das Bild eine Aktion vermittelt, kann sein Alternativtext etwa lauten: „QR-Code für Tickets; verwenden Sie https://example.org/visit/tickets“. Zweck und Ziel müssen jedoch außerhalb des Bildes vorhanden sein. Eine Webseite bietet einen Standardlink, ein Faltblatt URL, Erklärung und eine weitere Anweisung. Niemand sollte ein kontextloses Quadrat scannen müssen, um sein Ziel herauszufinden.

Häufige Fehler

Ein häufiger Fehler ist, die Vorschau für einen Test zu halten. Sie ist oft groß, scharf und frei von umliegenden Elementen. Das Produktionsbild kann durch eine App komprimiert, ohne Rand gedruckt oder unter die brauchbare Modulgröße verkleinert werden. Ebenso reicht es nicht, nur das Telefon der gestaltenden Person direkt am Bildschirm zu testen. Das bildet keinen Besuchenden vor einem Plakat bei Sonne, Bewegung oder älterer Kamera ab.

Die URL zu verstecken, damit das Layout sauberer wirkt, ist ein weiterer Fehler. Ein Kürzer oder Weiterleitungs-Host erschwert die Bewertung eines legitimen Ziels und das Erkennen eines manipulierten. HTTPS schützt die Verbindung zum erreichten Host, beweist aber nicht, wer den Code angebracht hat oder ob der Pfad passt. Bezeichne einen Code nicht als sicher, nur weil er lokal erzeugt wurde.

Auch eine WCAG-Kontrastzahl ist keine Scan-Garantie. Geometrie, Fokus, Glanz, Druck und Kamerasoftware spielen mit. Umgekehrt kann ein Telefon einen Code lesen, der ohne sichtbare URL oder Alternative trotzdem nicht zugänglich ist. Fehlt der kamerafreie Weg, müssen Inhalt und Layout geändert werden, nicht nur ein Logo vergrößert werden.

Wichtige Überlegungen

Wähle die Größe nach Umgebung. Ein Handzettel wird auf Armlänge getestet, ein Wandplakat aus größerer Entfernung. Es gibt keine Universalmessung statt eines echten Tests. Lasse Außenraum, vermeide Knicke und gebogene Flächen und beachte Spiegelungen von Laminierung oder Bildschirm. Liegt Gestaltungsgrafik vor, gehört sie außerhalb der Ruhezone; danach werden alle Gerätetests wiederholt.

Für wechselnde Ziele ist eine stabile, kontrollierte und verständliche URL besser. Dokumentiere, wer Weiterleitungen kontrolliert, wann sie ablaufen und wann sie überprüft werden. Ein Druckerzeugnis kann länger leben als eine Kampagne. Bei authentifiziertem Inhalt erteilt ein QR-Code keine Berechtigung: Anmeldung und Zugriffsprüfung bleiben erforderlich; sichtbarer Text darf keinen geheimen Ort verraten.

In öffentlichen Räumen ist auch physischer Austausch denkbar. Prüfe, ob die gedruckte Domain erkennbar ist, kontrolliere Träger und lege fest, wer sie ändern darf. Klare Kennzeichnung und regelmäßige Kontrolle reduzieren Risiko, verhindern aber keinen feindlichen Aufkleber. Weicht das gescannte Ergebnis vom gedruckten Ziel ab, entferne das Material und untersuche es vor weiterer Verteilung.

Grenzen

Dieser Leitfaden garantiert kein Lesen mit jeder Kamera, jedem Drucker, Licht, Browser oder Hilfsmittel. Er zertifiziert weder ISO/IEC 18004 noch WCAG, Zahlungsanforderungen oder Organisationsrichtlinien. Mehrere Geräte senken die Unsicherheit für diese Datei und diesen Kontext, beweisen aber keine universelle Kompatibilität. Eine sichtbare URL verringert Mehrdeutigkeit, macht jedoch keine kompromittierte Website sicher.

Fehlerkorrektur behebt keine fehlende Ruhezone, kein täuschendes Ziel und keine zu kleinen Module. Technische URL-Prüfung entscheidet auch nicht, ob ein Link nach Veröffentlichung passend bleibt. Wiederhole den Vorgang bei Änderung von URL, Export, Grafik, Größe oder Standort.

Checkliste

Verwende die endgültige HTTPS-URL und prüfe Host, Pfad und Weiterleitungen. Zeige Ziel und Zweck als normalen Text. Halte vier leere Module, dunkle Module auf hellem Hintergrund und vermeide Unschärfe, Muster und innere Dekoration. Wähle Fehlerkorrektur mit notiertem Grund. Exportiere in Endgröße, teste echten Druck oder Bildschirm bei geplantem Abstand, Licht und Winkel auf mehreren Geräten und biete Link oder Weg ohne Kamera. Dokumentiere Einstellungen, schütze Aushänge soweit möglich und teste nach jeder Änderung erneut.