Der QR-Code kann nicht von sich aus schädlich sein – es kommt immer darauf an, welche Software auf welchem Gerät ihn ausliest, und was die Software dann tut. Ein QR-Code kann ein bestimmtes Gerät oder eine bestimmte Software dazu veranlassen, eine böswillige Webseite aufzurufen oder Schadcode auszuführen, während andere Geräte oder andere Programme nicht betroffen wären.
Genau so ist es! Von daher lautet die Antwort auf die ursprüngliche Frage wohl: "Jein". Eigentlich "nein". Aber garantieren kann es niemand und wenn es jemand schafft, dann eben doch "ja." Ganz grundsätzlich ist im QR-Code nur eine Info enthalten, die man auch in Textform darstellen kann (oder umgekehrt: Ein Text wurde hier in Form eines QR-Codes dargestellt). Die Frage ist also: Kann man eine Fork-Bomb in Textform darstellen? Ja, kann man. Hier z.B. eine Forkbomb in Bash: "
){ :|:& };:" oder hier eine als Windows-Batch: "%0|%0". Aber wird die Forkbomb deswegen auch ausgeführt? Nein. Obwohl ich hier also zwei Forkbombs gepostet habe, wird jetzt kein einziger Rechner abstürzen. Und genau so sieht es auch mit dem QR-Code für's Smartphone aus. So lange man es nicht auch noch schafft, den QR-Code-Reader zum Ausführen des Codes zu bekommen, ist eine Forkbomb in QR-Code-Form völlig harmlos. Und den QR-Code-Reader zum Ausführen zu bekommen, dürfte sehr sehr schwer sein. Aber je nach Lücken in dessen Code nicht unmöglich.
Die Parkautomaten sind ein interessanter Fall. Hier ist der Code als solcher korrekt, und auch die Lese-Software macht alles richtig – aber der Nutzer wird in die Irre geführt, was die Legitimität der Ziel-URL angeht.
QR-Codes sind eben nur eine Info, die in keiner Form Merkmale der Authentifizierung oder Autorisierung aufweist. Man könnte auf den Parkautomaten auch ein Schild kleben, auf dem steht: Bitte das Geld per PayPal an abc@xyz schicken. Oder auf folgendes Bankkonto überweisen: Jerome-Jörg Müller, IBAN DE12... Oder halt auch "gehen Sie auf die Website meinparkautomat.hack.com zum Bezahlen" Wer das macht, hat verloren. Egal ob QR-Code oder Text. Es gibt halt nur wenig Möglichkeiten, auf Nummer sicher zu gehen, dass man da nicht reinfällt. Direkt am Parkautomaten bezahlen z.B. - aber nicht per Karte, die wird ggf. kopiert durch manipulierte Automaten. Oder eine vorher runtergeladene Handyapp nutzen - aber auch da muss man natürlich sicher gehen, dass man die richtige/"originale" erwischt hat. Oder sehr genau prüfen, auf welcher Website bzw. an welche Adresse man da gerade Geld schickt.
//EDIT: Richtig ist aber, dass man derzeit schreiben könnte "Bitte das Geld an 'Stadt Musterhausen' mit der IBAN DE12 3456 ..." überweisen und es würde ankommen, auch wenn das Konto eigentlich "Horst-Kevin Hacker" gehört. Das ist in Zukunft dann nicht mehr so, weil "Stadt Musterhausen" nicht zum tatsächlichen Inhaber des Kontos "Horst-Kevin Hacker" passt.
