Kreditkartendaten

Kreditkartendaten sind die Angaben, die auf einer Kreditkarte stehen und für eine Zahlung gebraucht werden. Dazu gehören die lange Kartennummer, der Name des Inhabers, das Ablaufdatum und die drei- oder vierstellige Prüfziffer auf der Rückseite. Im Internet reichen diese vier Angaben oft schon aus, um Geld abzubuchen. Genau das macht sie so wertvoll für Kriminelle. Anders als ein Passwort kann man eine Kartennummer auch nicht eben schnell ändern: Man braucht dafür eine neue Karte. Deshalb behandeln Banken, Händler und Technikfirmen diese Daten wie Bargeld, das man nicht offen herumliegen lässt.

Warum eine geklaute Kartennummer so viel Schaden anrichtet

Ein gestohlener Datensatz lässt sich sofort in Geld verwandeln. Wer Kartennummer und Prüfziffer hat, kann in vielen Onlineshops einkaufen, ohne die Karte je in der Hand gehabt zu haben. Fachleute nennen das « card not present »-Betrug, also Betrug ohne vorgelegte Karte. Betroffene merken es oft erst Wochen später auf der Abrechnung.

Für Unternehmen geht es dabei um sehr viel Geld. Wird eine Datenbank mit Kundendaten gestohlen, drohen Rückbuchungen, Bußgelder und ein schwerer Vertrauensverlust. Große Vorfälle betrafen in der Vergangenheit mehrere zehn Millionen Karten auf einmal. Danach müssen Banken die betroffenen Karten sperren und neu ausstellen, was allein schon Millionen kostet.

Ein häufiger Irrtum: Viele glauben, ein geklauter Datensatz werde sofort für einen großen Einkauf genutzt. Meist passiert das Gegenteil. Diebe testen zuerst mit kleinen Beträgen, ob die Karte noch aktiv ist. Erst wenn die Testbuchung durchgeht, folgt der eigentliche Schaden.

Wie Händler die Nummer loswerden, ohne sie zu verlieren

Seriöse Onlineshops speichern echte Kartennummern gar nicht selbst. Stattdessen leiten sie die Daten an einen spezialisierten Zahlungsdienstleister weiter. Der schickt eine Ersatznummer zurück, ein sogenanntes Token. Man kann sich das wie eine Garderobenmarke vorstellen: Die Marke selbst ist wertlos, nur die Garderobe weiß, welcher Mantel dazugehört.

Dazu kommt Verschlüsselung. Die Daten werden auf dem Weg durchs Netz in unlesbaren Zeichensalat verwandelt und erst beim Empfänger wieder zurückverwandelt. Zusätzlich gilt seit einigen Jahren in Europa die starke Kundenauthentifizierung: Bei vielen Zahlungen muss man den Kauf zusätzlich in der Banking-App oder per Code bestätigen. Eine gestohlene Nummer allein reicht dann nicht mehr.

Welche Regeln Firmen einhalten müssen, legt ein Standard namens PCI DSS fest, den die großen Kartenanbieter gemeinsam entwickelt haben. Er schreibt unter anderem vor, dass die Prüfziffer nach der Zahlung nie dauerhaft gespeichert werden darf. Verstöße können dazu führen, dass ein Händler keine Kartenzahlungen mehr anbieten darf.

Von der Bezahl-App bis zur Betrugserkennung durch KI

Im Alltag begegnen einem Kreditkartendaten meist unsichtbar. Wenn man mit dem Handy an der Kasse bezahlt, überträgt das Gerät nicht die echte Kartennummer, sondern eine gerätespezifische Ersatznummer. Auch das gespeicherte Zahlungsmittel in einem Onlineshop oder bei einem Streamingdienst ist in der Regel nur ein solcher Platzhalter.

In den Nachrichten tauchen Kreditkartendaten vor allem nach Datenlecks auf. Dann heißt es etwa, ein Unternehmen habe Millionen Datensätze verloren, die anschließend im Darknet zum Verkauf standen. Wichtig ist dabei immer die Frage, ob nur Namen und Adressen betroffen waren oder auch vollständige Kartendaten. Der Unterschied entscheidet über das tatsächliche Risiko.

Und es gibt die technische Gegenseite. Banken setzen seit Jahren Modelle des maschinellen Lernens ein, also Programme, die aus früheren Fällen Muster ableiten. Sie prüfen in Millisekunden, ob eine Zahlung zum bisherigen Verhalten passt. Eine Buchung um drei Uhr nachts in einem anderen Land kann so automatisch gestoppt werden. Genau deshalb ruft die Bank manchmal an, bevor man selbst etwas bemerkt hat.