Card Testing: Centbeträge vor dem Angriff auf Ihre Karte

Erst Centbeträge, dann der Schlag: So testen Betrüger Ihre Karte

Eine Abbuchung von 50 Euro bei Google für ein Spiel, das niemand gekauft hat. Vorher drei oder vier Abbuchungen von unter einem Euro, die das Konto passierten, ohne eine Spur im Saldo zu hinterlassen. Genau dieses Muster beschreibt ein Geschädigter von Kartendiebstahl mit einer Debitkarte, und laut einer künstlichen Intelligenz, die er konsultierte, entspricht es Card Testing: Jemand hat Ihre Kartennummer, prüft sie mit kleinen Testbeträgen, ob sie noch aktiv ist, und schlägt dann mit der großen Abbuchung zu. Die kleinen Beträge tun nicht weh; der letzte schon.

Der Fall, in einem Verbraucherforum ausführlich geschildert, deutet auf eine in Argentinien ansässige Zahlungsplattform und einen touristischen Aufenthalt im Land vor Jahren als möglichen Ursprung des Datenlecks hin. Es ist eine Hypothese, keine Gewissheit: Die Nummer könnte von einem manipulierten Kartenterminal, einer kompromittierten Website oder einer beliebigen abgefangenen Datenbank stammen. Entscheidend ist nicht, woher sie kam, sondern was die Methode offenbart.

Was ist Card Testing und warum funktioniert es?

Der Betrug beginnt nicht mit einer großen Abbuchung, sondern mit vielen kleinen. Bots testen Kartennummern nacheinander mit Mindestbeträgen —Centbeträgen— und beobachten die Reaktion des Systems. Wird die Transaktion autorisiert, ist die Karte aktiv und die Nummer gültig. Wird sie abgelehnt, wird sie verworfen und die nächste getestet. Es ist ein automatisierter Prozess, der in Minuten Tausende Kombinationen durchprobieren kann.

Das Detail, das in den Berichten am häufigsten auftaucht: Die kleinen Beträge werden sofort zurückgebucht, sodass sich der Endsaldo kaum verändert und der Karteninhaber nichts ahnt. Diese sofortige Rückbuchung ist kein Zeichen von gutem Willen, sondern Teil des Testmechanismus. Sobald die Nummer bestätigt ist, kommt der echte Kauf: in diesem Fall 50 Euro im Google Store.

Die Debitkarte im Nachteil gegenüber der Kreditkarte

Bei der Debitkarte geht das Geld direkt vom Konto ab. Es gibt keine Kreditlinie, die als Puffer dient, während die Bank untersucht. Bei der Kreditkarte wird die Abbuchung beanstandet und das Institut kämpft mit dem Zahlungsnetzwerk. Der Unterschied ist nicht gering, wenn der Betrag hoch ist oder wenn der Betrug sich wiederholt.

Die am häufigsten gegebene Empfehlung: Online- und Auslandszahlungen in der Banking-App standardmäßig deaktiviert halten, sie nur beim Bezahlen kurz aktivieren und danach wieder abschalten. Nicht alle Banken bieten diese Funktion an, aber die meisten digitalen Banken schon. Für Online-Zahlungen: einmalige virtuelle Karten — selbst wenn die Nummer kopiert wird, ist sie für nichts anderes zu gebrauchen.

Die Anzeige: umständlich, aber unverzichtbar

Die Bank erstattet das Geld, verlangt aber eine Anzeige. Und damit beginnt der bürokratische Kampf. Die Berichte reichen von jemandem, der sie bei der Guardia Civil (spanische Polizei) erstattete und den vollen Betrag zurückerhielt, bis zu denen, die darauf bestehen, dass sich die Reklamation an die Bank und nicht an die Polizei richten sollte: Das Institut fordert das Geld vom Zahlungsnetzwerk und seiner Versicherung zurück. Nach Aussage eines Nutzers hat die europäische Justiz diese Logik bestätigt: erstatten zuerst, diskutieren später.

Ein Datum sollte man sich merken: Auch die kleinen Abbuchungen sind unbefugte Transaktionen und müssen reklamiert werden. Wenn nur der große Betrag reklamiert wird, kann die Bank den Rest als akzeptiert betrachten.

Das Glied, das nie geschlossen wird

Niemand weiß mit Sicherheit, wo die Kartennummer abgegriffen wurde. Eine Reise ins Ausland, ein manipuliertes Kartenterminal, eine kompromittierte Website. Die Kette hat zu viele blinde Flecken. In der meantime lautet der wiederkehrende Rat: die Kontoauszüge regelmäßig prüfen, den Centbeträgen misstrauen und die Karte beim geringsten Verdacht sperren. Die Nummer, die sie bereits haben, bleibt gültig, auch wenn die Karte gesperrt ist.