Kartensicherheit: 3-D Secure, CVV und PIN

Wer heute mit einer Kreditkarte online oder am Terminal zahlt, durchläuft — meist unbemerkt — mehrere Sicherheitsprüfungen. Manche sind sichtbar (PIN, Face ID), manche laufen komplett im Hintergrund. Dieser Überblick sortiert die vier wichtigsten Bausteine.

Der Rahmen: PSD2 und starke Kundenauthentifizierung

Die europäische Zahlungsdiensterichtlinie PSD2 (in Kraft seit 2018, SCA-Pflicht ab 2019/2020, in einigen EU-Ländern faktisch ab 2021) verlangt bei elektronischen Zahlungen eine starke Kundenauthentifizierung (SCA).

SCA bedeutet: Zwei von drei unabhängigen Faktoren müssen geprüft werden.

• Wissen — etwas, das nur Sie wissen (PIN, Passwort)
• Besitz — etwas, das nur Sie haben (Smartphone, Karte, Hardware-Token)
• Inhärenz — etwas, das Sie sind (Fingerabdruck, Face ID)

Diese Logik zieht sich durch alle folgenden Sicherheitsbausteine. Sie erklärt, warum Sie am Terminal eine PIN eingeben (Besitz + Wissen) und beim Online-Kauf eine App-Bestätigung mit Face ID freigeben (Besitz + Inhärenz).

Die Nachfolge-Richtlinie PSD3 ist im EU-Gesetzgebungsprozess und soll die Regeln verfeinern — an der Grundidee der SCA ändert sich nichts Wesentliches.

3-D Secure 2.x — die Online-Absicherung

3-D Secure (im deutschsprachigen Raum oft als „Mastercard Identity Check” oder „Visa Secure” bekannt) ist der Sicherheitsstandard für Online-Kreditkartenzahlungen. Die drei „D” stehen für die drei Domänen: Karteninhaber, Händler, Netzwerk.

In der aktuellen Version 3-D Secure 2.x funktioniert der Ablauf typischerweise so:

1. Sie geben Ihre Kartendaten im Online-Shop ein.
2. Der Shop leitet die Daten über das Kartennetzwerk an Ihre Bank weiter.
3. Ihre Bank prüft ein Risk-Assessment — ca. 100 technische Merkmale (Gerätetyp, IP-Adresse, bisheriges Kaufverhalten, Betragshöhe, Händlerkategorie).
4. Bei niedrigem Risiko: Zahlung wird ohne weitere Interaktion freigegeben (frictionless flow).
5. Bei erhöhtem Risiko: Sie erhalten eine Push-Nachricht in der Banking-App und bestätigen mit Face ID / Fingerabdruck / PIN.

Für den Nutzer bedeutet das: Kleine Beträge bei vertrauten Shops laufen oft still durch. Bei größeren Beträgen, neuen Empfängern oder auffälligen Geräten kommt die Zwei-Faktor-Bestätigung.

Ausnahmen von der SCA-Pflicht

PSD2 kennt einige klar definierte Ausnahmen, bei denen die starke Authentifizierung entfallen darf:

• Beträge unter 30 €, kumuliert bis 100 € oder fünf aufeinanderfolgende Zahlungen
• Whitelisted-Empfänger (Sie haben den Händler in Ihrer Banking-App als vertrauenswürdig markiert)
• Abonnements mit gleichbleibendem Betrag (nach erstmaliger SCA)
• Telefon-/Post-Bestellungen (MOTO) mit reiner Kartennummerneingabe

Der 3-D-Secure-1-Standard (mit vollständigem Passwort-Redirect zum Shop-Ende der 2010er Jahre) ist Ende 2022 auslaufend abgeschaltet worden. Wenn ein Händler noch darauf besteht, ist er technisch nicht auf aktuellem Stand.

CVV und CVC — die Prüfziffer

Auf der Rückseite Ihrer Karte, meist neben dem Unterschriftenfeld, steht eine dreistellige Zahl. Bei Visa heißt sie CVV (Card Verification Value), bei Mastercard CVC (Card Verification Code), bei Amex ist es eine vierstellige CID auf der Vorderseite. Die Bedeutung ist überall dieselbe.

Die Prüfziffer ist ein statischer Code, der eine bestimmte Rolle erfüllt: Sie darf nie in einer Datenbank gespeichert werden — auch nicht bei einem Zahlungsdienstleister, auch nicht bei Ihrer Bank in normalen Kontodaten. Sie wird nur pro Transaktion an das Kartennetzwerk übermittelt, dort geprüft und sofort verworfen.

Der Sinn: Selbst wenn ein Datenleck bei einem Händler die Kartennummer offenlegt, fehlt dem Angreifer die Prüfziffer. Ohne CVV ist bei den meisten Online-Shops keine Zahlung möglich.

Dynamische CVV (dCVV)

Einige Karten und Wallet-Anbieter setzen inzwischen auf dynamische CVV — der Prüfcode wechselt regelmäßig (z. B. alle 20 Minuten in der Banking-App). Auch wenn ein Angreifer die Ziffer einmal abfängt, ist sie kurz darauf ungültig. Das Konzept ist auf dem Vormarsch, aber noch nicht überall Standard.

Die PIN — nie im Klartext gespeichert

Die PIN (Personal Identification Number) ist Ihr Wissensfaktor am Terminal und Geldautomat. Wichtig zu verstehen:

• Die PIN wird nie auf der Karte im Klartext gespeichert.
• Sie wird nie an den Händler oder das Kartennetzwerk übermittelt.
• Am Terminal wird ein kryptographischer Hash mit der Karte selbst abgeglichen — die PIN verlässt das Terminal nicht.

Deshalb kann selbst ein manipuliertes Terminal die PIN nicht einfach „abhören”. Skimming-Angriffe der 2000er Jahre setzten zusätzlich Kameras oder Overlays ein, um die Eingabe zu filmen — nicht die elektronische Übertragung.

Empfehlung: PIN verdecken bei der Eingabe. Beim Geldautomaten die Umgebung kurz ansehen (Aufsätze am Kartenschacht, ungewöhnliche Anbauten). Die PIN nicht am Kartenband speichern, nicht als Notiz im Handy in einer normalen Notiz-App.

Tokenisierung — die neueste Schicht

Bei jeder Zahlung, die über Apple Pay, Google Pay oder eine gespeicherte Karte in einem großen Online-Shop läuft, wird heute meist ein Token anstelle der echten Kartennummer verwendet. Der Token ist:

• an ein Gerät oder eine Händler-Beziehung gebunden
• kryptographisch mit einer Einmalsignatur je Transaktion versehen
• wertlos, wenn er ohne das autorisierte Gerät verwendet wird

Für Sie heißt das: Bei einem Datenleck ist der Token in aller Regel unbrauchbar. Ihr Konto ist auch dann geschützt, wenn Millionen Datensätze eines Shops entwendet werden.

Details zur Tokenisierung im Mobile-Wallet-Kontext finden Sie im Ratgeber Kontaktlos bezahlen: NFC, Apple Pay und Google Pay technisch erklärt.

Alle Bausteine im Überblick

Baustein	Wo?	Was schützt es?	Sichtbar für Nutzer?
PIN	Terminal, Geldautomat	Unautorisierte Nutzung	Ja
CVV/CVC	Online-Zahlung	Kartennummer-Missbrauch	Nur bei Eingabe
3-D Secure 2.x	Online-Zahlung	Betrug, Identitätsdiebstahl	Bei Bestätigungs­schritt
Tokenisierung	Mobile Wallet, gespeicherte Karten	Datenlecks bei Händlern	Nein
SCA nach PSD2	Alle elektronischen Zahlungen	Rahmenpflicht: 2 Faktoren	Über die Bausteine oben

Was tun bei Verdacht auf Missbrauch

Wenn Sie eine Abbuchung nicht zuordnen können, gilt eine klare Reihenfolge:

1. Karte sofort sperren — Details in Kreditkarte verloren oder gestohlen: sperren, ersetzen, haften.
2. Bei der ausgebenden Bank Widerspruch einlegen.
3. Chargeback-Verfahren einleiten, wenn es sich um eine unerlaubte oder nicht-erhaltene Leistung handelt — ausführlich beschrieben in Chargeback: wie Sie eine Kreditkartenzahlung zurückholen.

Nach § 675v BGB haften Sie bei nicht autorisierten Zahlungen in der Regel nur mit maximal 50 € Selbstbehalt bis zur Sperrung — nach der Sperrung fällt auch dieser Betrag weg, sofern Sie nicht grob fahrlässig gehandelt haben.

FAQ

Was ist der Unterschied zwischen CVV und CVC?

Keiner in der Funktion. CVV ist der Visa-Name, CVC der Mastercard-Name, CID der Amex-Name. Alle bezeichnen die Prüfziffer auf der Kartenrückseite (bei Amex auf der Vorderseite).

Muss ich bei jeder Online-Zahlung 3-D Secure bestätigen?

Nein. Bei geringem Risiko läuft die Zahlung frictionless durch. Nur bei erhöhtem Risiko oder größeren Beträgen kommt die Bestätigungs­nachricht.

Ist meine PIN irgendwo hinterlegt, wo Angreifer sie abgreifen könnten?

Nein. Die PIN ist nur in gehashter Form im Chip Ihrer Karte gespeichert und wird bei jeder Zahlung lokal am Terminal abgeglichen.

Warum funktioniert 3-D Secure manchmal ohne App-Bestätigung?

Weil die Bank die Zahlung als niedrig-riskant einstuft (bekannter Händler, bekanntes Gerät, kleiner Betrag) und nach PSD2 eine Ausnahme greift.

Was ist der Unterschied zwischen Token und Kartennummer?

Die Kartennummer (PAN) ist Ihre echte, 16-stellige Nummer auf der Karte. Ein Token ist ein Ersatzcode, der nur für ein Gerät oder eine Händler-Beziehung gültig ist — und ohne diese Umgebung wertlos.

---

Die Mancus Mastercard® ist eine echte Kreditkarte mit Verfügungsrahmen und wird von der Multitude Bank p.l.c. ausgegeben. Mehr über die Karte erfahren.