Ein Haushalt, ein Familienabo

Spotify prüft in einigen Fällen per QR-Code, ob Mitglieder eines Familien- oder Duo-Abos tatsächlich mit dem Hauptkonto zusammenleben. Darüber berichtete heise online am 20. Oktober 2026. Der Ablauf ist auf der Support-Seite von Spotify beschrieben.

Premium Family und Duo sind nach den Bedingungen von Spotify für Personen unter derselben Adresse gedacht. Bislang bestätigten Mitglieder das, indem sie ihre vollständige Anschrift eingaben. Nach Angaben von Spotify wird die Adresse nur zur Verifizierung genutzt, der Standort werde nicht verfolgt.

So läuft die Prüfung ab

  1. Das Mitglied erhält eine Benachrichtigung, dass eine Verifizierung nötig ist.
  2. Die Person mit dem Hauptkonto öffnet in der Spotify-App über das Profilbild den Bereich „Dein Abo" und dann „Verwalten". Dort erscheint der QR-Code.
  3. Das Mitglied scannt den Code mit der Kamera des eigenen Smartphones. Beide müssen dafür am selben Ort sein.
  4. Für den Scan bleiben sieben Tage. Wer die Frist verpasst, kann laut Spotify zwölf Monate lang keinem anderen Familien- oder Duo-Abo beitreten. Ein eigenes Abo oder die kostenlose Version bleiben möglich.

Der Scan funktioniert nur in der mobilen App. Spotify empfiehlt bei Problemen, die App auf beiden Geräten zu aktualisieren und Datum und Uhrzeit zu prüfen. Laut heise ist die Prüfung noch nicht für alle Nutzer verpflichtend.

Wechselnder Code schützt vor Screenshots, nicht vor Weiterleitung

Der QR-Code ändert sich alle paar Sekunden. Ein Foto oder Screenshot, der per Messenger verschickt wird, ist deshalb schnell ungültig. Gegen eine Live-Übertragung hilft das nicht: heise verweist auf einen Reddit-Nutzer, der die Prüfung nach eigenen Angaben über die Bildschirmfreigabe in Microsoft Teams bestanden hat.

Das Muster ist aus der IT-Sicherheit bekannt. Ein kurzlebiger Code belegt nur, dass jemand ihn in diesem Moment sehen konnte, nicht, wo sich diese Person befindet. Dieselbe Schwäche nutzen Angreifer bei der Kopplung von Geräten per QR-Code, etwa bei der vom BSI beschriebenen Masche Ghost Pairing bei WhatsApp (Bericht). Bei Spotify geht es nur um das Abo-Modell, nicht um einen Angriff. Das Prinzip ist aber dasselbe.

Der echte Verifizierungscode erscheint nur in der Spotify-App auf dem Smartphone des Hauptkontos. Ein QR-Code in einer E-Mail, SMS oder einem Brief, der angeblich zur Spotify-Verifizierung führt, passt nicht zu diesem Ablauf. Öffnen Sie im Zweifel die App direkt, statt einen Code oder Link aus einer Nachricht zu nutzen.

Worauf Nutzer achten sollten

  • • Scannen Sie den Verifizierungscode nur direkt vom Smartphone der Person mit dem Hauptkonto.
  • • Geben Sie Zugangsdaten oder Zahlungsdaten nie auf einer Seite ein, die Sie über einen QR-Code aus einer Nachricht erreicht haben.
  • • Prüfen Sie Benachrichtigungen zur Verifizierung in der App selbst unter „Dein Abo".
  • • Achten Sie auf die Frist von sieben Tagen, um eine zwölfmonatige Sperre für andere Familienabos zu vermeiden.

Unbekannte QR-Codes vor dem Öffnen prüfen

QRTrust zeigt die vollständige Zieladresse eines QR-Codes an und prüft sie vor dem Öffnen gegen mehrere Phishing-Datenbanken und KI-Modelle.

QR-Code prüfen →

Quellen

Über QRTrust

QRTrust ist die erste deutsche QR-Code-Sicherheitsplattform, entwickelt in Dortmund. KI-gestützte Echtzeit-Erkennung, eine lokale Bedrohungsdatenbank und mehrstufige Sicherheitsprüfungen schützen Bürger, Behörden und Unternehmen vor Quishing-Angriffen. DSGVO-konform, gehostet in Deutschland.