Ein QR-Code wirkt auf vielen Smartphones wie ein Sicherheitssiegel: Man scannt, und das Gerät fragt nach, ob der Link geöffnet werden soll. Genau dieser Zwischenschritt verleitet zu der Annahme, der Code sei vertrauenswürdiger als ein getippter Link. Das ist falsch. Ein QR-Code ist nichts weiter als eine URL in Schwarz-Weiß, oft mit ein paar Tracking-Parametern dahinter. Wer die SpinGreen App per QR-Code herunterladen will, sollte deshalb dieselbe Prüfung durchführen wie bei jedem Link: die Domain in der Scan-Vorschau lesen, bevor er tippt.
Warum ein QR-Code keine eigene Sicherheitsstufe ist
Die Technik hinter dem Quadrat ist unspektakulär. Ein QR-Code speichert Text, und im Fall eines Download-Links ist dieser Text eine Zeichenkette, die mit https:// beginnt. Die Kamera-App oder ein Scanner übersetzt das Muster zurück in eine Adresse und zeigt sie in einer Vorschau an. Mehr passiert nicht. Es gibt keine Signatur, kein Zertifikat, keine Prüfung durch die App, ob der Inhalt tatsächlich zu SpinGreen führt. Die Sicherheit, die viele Nutzer dem Code zuschreiben, stammt allein aus der Gewohnheit, dass QR-Codes selten manipuliert werden. Selten ist aber nicht nie.
Ein Aufkleber über einem Original-Code ist in Sekunden angebracht. Genau das ist der klassische Angriff: Ein gefälschter QR-Code führt auf eine nachgebaute Seite, die das SpinGreen-Design kopiert und zur Eingabe von Zugangsdaten auffordert. Der Nutzer glaubt, er sei über den offiziellen Kanal unterwegs, weil er den Code von einer vertrauenswürdig erscheinenden Quelle gescannt hat. Der eigentliche Betreiber der SpinGreen App ist WoT N.V., und nur eine Domain, die eindeutig zu diesem Betreiber gehört, ist ein belastbarer Anker. Die Domain ist der einzige Teil der Kette, den ein Angreifer nicht fälschen kann, ohne dass es in der Vorschau sichtbar wird.
Deshalb gilt: Die Scan-Vorschau ist kein Formalismus, sondern der entscheidende Moment. Wer sie wegtippt, ohne die Adresse zu lesen, hat den QR-Code faktisch blind geöffnet. Die Prüfung dauert zwei Sekunden und ist die einzige Kontrolle, die zwischen dem gescannten Muster und dem tatsächlichen Ziel liegt.
Was in der Vorschau tatsächlich zu lesen ist
Die Vorschau zeigt die vollständige URL, oft allerdings gekürzt. Entscheidend ist der Teil direkt vor dem ersten Schrägstrich nach dem Protokoll, also die Domain. Steht dort eine Adresse, die nicht zu WoT N.V. gehört, ist der Code nicht für den Download der SpinGreen App gedacht, egal wie offiziell das Design ringsum wirkt. Subdomains wie login oder app vor der eigentlichen Domain ändern nichts an der Zugehörigkeit, sie sind Teil derselben Domain. Wirklich kritisch wird es bei Schreibweisen, die dem Original ähneln: ein zusätzlicher Bindestrich, ein ausgetauschtes Zeichen, eine andere Top-Level-Domain. Diese Varianten sind der Standard bei Phishing und in der Vorschau erkennbar, wenn man hinsieht.
Ein zweiter Punkt betrifft die Erwartung an den Inhalt. Ein Link, der zur Installation der SpinGreen App führen soll, zeigt entweder auf eine Seite mit Installationshinweisen oder direkt auf eine Datei. Wer nach dem Öffnen auf einer Seite landet, die sofort nach Passwort, Kartennummer oder einer Bestätigung per SMS fragt, ist nicht im Installationsprozess, sondern in einem Abgreifversuch. Die offizielle App verlangt beim ersten Öffnen keine Zahlungsdaten. Wer diesen Unterschied kennt, erkennt die Fälschung oft schon vor dem Lesen der Domain.
So prüfen Sie den Link und installieren die App kontrolliert
Der saubere Ablauf beginnt vor dem Scan. Wer die SpinGreen App auf einem Android-Gerät ab Version 8.0.0 oder auf einem iPhone beziehungsweise iPad ab iOS 12.0+ nutzen will, sollte die Quelle des QR-Codes bewusst wählen: eine Seite, die den Code selbst erklärt, statt ihn nur als Grafik abzubilden. Ein unabhängiges Informationsportal wie spingreen-online.de kann den Code einordnen und nennt den Betreiber WoT N.V. als Bezugspunkt. Ein Code auf einem Flyer ohne Kontext oder in einer fremden Nachricht ist dagegen ein Blindkauf.
Nach dem Scan nicht sofort öffnen. Die Adresse in der Vorschau mit der erwarteten Domain abgleichen, erst dann tippen. Danach entscheidet das Betriebssystem, wie es weitergeht. Auf iOS führt der Link in den App Store, wo Apple die App prüft und die Installation abwickelt. Auf Android landet man je nach Gerät und Einstellung bei Google Play oder bei einer APK-Datei. Die Installation aus unbekannten Quellen ist auf Android möglich, aber sie ist der Punkt, an dem die größte Verwechslungsgefahr besteht: Eine manipulierte APK kann dieselbe Oberfläche zeigen wie das Original und im Hintergrund Zugangsdaten mitschneiden. Wer die APK installiert, sollte die Dateiquelle prüfen und die Installation aus unbekannten Quellen nach dem Vorgang wieder deaktivieren.
Wer den Umweg über den Store oder die APK vermeiden will, kann die mobile Version im Browser öffnen und eine Verknüpfung auf dem Startbildschirm anlegen. Chrome, Safari und Firefox bieten diese Funktion; die Verknüpfung verhält sich dann ähnlich wie eine App, ohne dass eine Datei installiert wird. Der Vorteil: Die Domain bleibt in der Adressleiste sichtbar, und ein Klick auf das Schloss-Symbol zeigt das Zertifikat. Für Nutzer, die ohnehin lieber im Browser bleiben, ist das die risikoärmste Variante. Die Desktop-Version bietet denselben Funktionsumfang, eignet sich aber nicht für unterwegs.
Die App selbst bringt ein Willkommenspaket, Freispiele und einen Promo Code mit; der Code lautet WELCOME2026. Dazu kommen Turniere wie Drops & Wins und Big Adventures, Wochen-Freispiele und Cashback-Aktionen. Das ist der Grund, warum viele Nutzer überhaupt zur App greifen. Umso wichtiger ist, dass das Konto abgesichert ist: ein eigenes Passwort, das nirgends sonst verwendet wird, und die Zwei-Faktor-Authentifizierung, falls angeboten. Der Betreiber veröffentlicht keine vollständigen Umsatzbedingungen, was bedeutet, dass die Bedingungen zu Bonus und Freispielen vor der Teilnahme genau gelesen werden sollten. Wer mobil spielt, bewegt sich in einem rechtlichen Rahmen, der je nach Bundesland unterschiedlich streng ist; die Regeln zu Online-Glücksspiel sind in Deutschland nicht einheitlich gelockert, und die Verantwortung für die Einhaltung liegt beim Nutzer.
Für die Praxis bleibt eine einfache Regel: Jeder QR-Code ist ein Link, und jeder Link wird vor dem Öffnen anhand seiner Domain geprüft. Wer das verinnerlicht, kann den Komfort des Scannens nutzen, ohne die Kontrolle abzugeben. Bei Problemen mit dem Spielverhalten helfen GamCare, Gamblers Anonymous und BeGambleAware; diese Anlaufstellen gehören genauso zur mobilen Nutzung wie die technische Prüfung des Links.