Kartendaten und Freigabeverfahren

Welche Kartendaten ein Shop wissen darf

Wenn Sie im Internet mit Karte zahlen, fragt der Shop drei Angaben ab: die lange Kartennummer auf der Vorderseite, das Ablaufdatum (Monat und Jahr) und die Prüfziffer, eine dreistellige Zahl auf der Rückseite der Karte, oft als CVV oder CVC bezeichnet. Die Prüfziffer soll zeigen, dass die Karte wirklich vor Ihnen liegt und nicht nur die Nummer abgeschrieben wurde.

Genauso wichtig ist, was nie abgefragt wird: Ihre Geheimzahl, die PIN, mit der Sie am Automaten Geld abheben. Die PIN gehört an den Geldautomaten und an die Ladenkasse, niemals in ein Internetformular, in eine E-Mail oder ans Telefon. Wer online oder am Telefon nach Ihrer PIN fragt, ist ein Betrüger, ohne Ausnahme.

Die zweite Sicherung: das Freigabeverfahren

Kartendaten allein genügen heute zum Glück meist nicht mehr. Seit einigen Jahren schreibt eine europäische Regel die sogenannte starke Kundenauthentifizierung vor, einfacher gesagt: eine doppelte Prüfung. Nach der Eingabe der Kartendaten meldet sich zusätzlich Ihre Bank und fragt: „Sind Sie das wirklich?“ Das Prinzip kennen Sie vielleicht als Zwei-Faktor-Anmeldung aus einem eigenen Kurs auf dieser Plattform.

Diese Bestätigung nennt man Freigabe. Sie läuft je nach Bank unterschiedlich:

• Freigabe-App der Bank: Auf Ihrem Handy erscheint eine Nachricht mit Betrag und Empfänger, etwa in Apps mit Namen wie pushTAN, photoTAN oder SecureGo. Sie prüfen die Angaben und tippen auf „Freigeben“, oft zusätzlich gesichert mit Fingerabdruck oder Geheimzahl der App.
• TAN-Generator: Ein kleines Gerät, in das Sie Ihre girocard stecken; es erzeugt eine TAN, also eine Transaktionsnummer: einen einmaligen Zahlencode, der nur für diesen einen Vorgang gilt.
• SMS-TAN: Der Code kommt als SMS aufs Handy. Das ist noch verbreitet, gilt aber als die schwächste Variante.

Dasselbe Verfahren nutzen Sie übrigens auch beim Onlinebanking für Überweisungen. Bei Kreditkarten läuft es unter Namen wie „Visa Secure“ oder „Mastercard Identity Check“; eingerichtet wird es einmalig über Ihre Bank.

Die Freigabe ist Ihr Kontrollblick

Der große Wert der Freigabe liegt in einem kleinen Moment: Bevor Sie bestätigen, zeigt Ihnen App oder Gerät den Betrag und den Empfänger an. Lesen Sie diese zwei Angaben wirklich, jedes Mal, wie den Kassenzettel an der Ladenkasse. Stimmt beides mit Ihrem Einkauf überein? Dann geben Sie frei.

Stimmt etwas nicht, etwa ein fremder Betrag oder ein Empfänger, den Sie nicht kennen, dann lehnen Sie ab. In diesem Fall versucht gerade jemand anderes, mit Ihren Daten zu zahlen. Das ist kein Grund zur Panik, im Gegenteil: Das System hat funktioniert, der Versuch ist gescheitert. Rufen Sie danach Ihre Bank an und schildern Sie den Vorfall; meist wird die Karte vorsorglich ausgetauscht.

Und geben Sie niemals etwas frei, nur weil ein Anrufer Sie darum bittet, angeblich von der Bank, „zur Kontrolle“ oder „zum Test“. Banken testen nichts über Ihre Freigaben. Jede Freigabe bewegt echtes Geld.

Merksatz: Die PIN gehört nie ins Internet, und vor jeder Freigabe gilt: Betrag und Empfänger lesen, erst dann bestätigen.

Das Wichtigste in Kürze

• Beim Kartenzahlen im Netz werden Kartennummer, Ablaufdatum und Prüfziffer abgefragt, nie die PIN.
• Zusätzlich verlangt die Bank eine Freigabe: per Freigabe-App, TAN-Generator oder SMS-Code.
• Eine TAN gilt nur für einen einzigen Vorgang.
• Vor jeder Freigabe Betrag und Empfänger prüfen; bei Abweichung ablehnen und die Bank anrufen.
• Keine Freigabe auf Zuruf von Anrufern, auch nicht „zum Test“.
• Die doppelte Prüfung ist Ihr Schutz, kein lästiges Hindernis.