Card Testing: Centbeträge auf Ihrer Karte vor dem großen Betrug

Centbeträge vor dem großen Schlag: So testen Betrüger Ihre Karte

Eine Abbuchung von 50 Euro bei Google für ein Spiel, das nie gekauft wurde. Das war der Auslöser. Bei der genauen Prüfung des Kontos zeigte sich das Muster: drei oder vier Buchungen von weniger als einem Euro in den Tagen zuvor, sofort zurückerstattet, ohne dass der Endsaldo davon betroffen war. Das ist die klassische Signatur von Card Testing, der Technik, mit der Bots gestohlene Kartennummern validieren, bevor die große Abbuchung startet. Die vermutete Quelle in diesem Fall: eine argentinische Zahlungsplattform und eine Karte, die vor Jahren physisch in Argentinien war.

Die Bank erstattet das Geld, ja. Aber sie verlangt vorher eine Anzeige. Und dort beginnt der Hindernislauf, den niemand erwähnt, wenn einem digitales Banking als reibungsloses Erlebnis verkauft wird.

Was ist Card Testing und warum beginnt es mit Centbeträgen?

Das Vorgehen ist fast industriell. Kartendaten werden erfasst – manipulierte Lesegeräte, kompromittierte Händler, abgeflossene Datenbanken – und dann blind mit lächerlichen Beträgen getestet. Geht die Abbuchung durch, ist die Nummer aktiv. Wird sie abgelehnt, wird sie verworfen und es geht mit der nächsten weiter. Die Bots machen keine Pause und brauchen nicht, dass der Karteninhaber etwas bemerkt: Weniger als ein Euro, innerhalb von 24 Stunden zurückerstattet, ist statistisches Rauschen auf jedem Kontoauszug.

Die Hypothese des Betroffenen in diesem Fall deutet auf ein Kartenterminal in einem Geschäft in Argentinien hin, ein vor einiger Zeit bereistes Land. Es ist keine Gewissheit, es ist die plausibelste Rekonstruktion. Bestätigt ist das Ergebnis: eine Abbuchung von 50 Euro über Google, die im Kontoverlauf des Tech-Riesen nicht auftaucht. Für die Bank existierte der Kauf. Für den Karteninhaber nicht.

Debit gegen Kredit: Wer für Sie kämpft, wenn das Geld schon weg ist

Hier liegt die Asymmetrie, die kaum jemand in der Filiale erklärt. Bei der Kreditkarte ist die Abbuchung eine Forderung, die die Bank eintreibt; bei der Debitkarte verlässt das Geld sofort das Konto. Der Unterschied ist nicht kosmetisch: Im ersten Fall hat der Aussteller ein Interesse, die Abbuchung anzufechten; im zweiten liegt die Last, zu beweisen, dass man nichts gekauft hat, beim Karteninhaber.

Die mit Abstand häufigste Empfehlung lautet chirurgisch: Online-Käufe und Auslandstransaktionen in der App standardmäßig deaktivieren und nur im Moment der Zahlung aktivieren. Zwei Klicks. Das Problem: Spanische Banken vergraben diese Option weiterhin in Menüs, die so wirken, als sollten Sie sie nie finden.

Virtuelle Karten und Bargeld: Der Schutz, der bereits existiert

Die technische Alternative sind Einwegkarten. Mehrere Banken und Neobanken ermöglichen es, für jeden Online-Kauf Wegwerf-Nummern zu generieren: Selbst wenn die Daten abfließen, sind sie für nichts anderes zu gebrauchen. Auf Reisen gewinnt die alte Bargeld-Regel wieder an Prestige – mit Einschränkungen, denn das Mitführen birgt sein eigenes Risiko—.

Der blinde Fleck bleibt der physische. Eine an einem Geldautomaten oder manipulierten Terminal geklonte Karte lässt sich nicht im Voraus erkennen. Sie wird erkannt, wenn die Abbuchung kommt. Und dann läuft die Uhr zugunsten des Betrügers.

Die Anzeige: Der bürokratische Schritt, von dem die Bank erst spricht, wenn es nötig ist

Die Erstattung kommt, aber unter Bedingungen. Die Bank verlangt den Nachweis einer Anzeige bei der Guardia Civil (spanische Paramilitäreinheit der Polizei) oder der zuständigen Polizeibehörde. Wer es durchgemacht hat, beschreibt den Vorgang als weniger mühsam als er klingt: hingehen, den Fall schildern und mit dem Dokument wieder gehen. Der Unterschied zwischen 105 Euro zurückbekommen oder verlieren kann ein halber Vormittag in der Schlange sein.

Ein Detail verdient Betonung: Die Anzeige dient nicht nur Ihrer Erstattung. Sie speist die Rückverfolgbarkeit des Betrugs. Ohne sie schließt die Bank den Vorgang und das Muster verschwindet von der Landkarte.

Prüfen Sie die Centbeträge, nicht die Euro

Kartenbetrug beginnt nicht mit einer Abbuchung von 50 Euro. Er beginnt mit einer von 0,80, die sich von selbst zurückerstattet. Nützliche Wachsamkeit liegt nicht im Monatssaldo, sondern im Tagesdetail. Und das Tagesdetail ist genau das, was niemand ansieht.

Dort stockt die Analyse: Die Werkzeuge zum Schutz existieren, sie sind kostenlos und zwei Klicks entfernt. Die unbequeme Frage ist, warum sie weiterhin standardmäßig deaktiviert sind.