Hotel verlangt CVV per E-Mail: Ist das normal?

Hotel verlangt CVV per E-Mail: Die Buchung, die Sie ablehnen sollten

Ein Hotel außerhalb Spaniens antwortet einem Kunden per E-Mail mit einem scheinbar harmlosen Vorschlag: Da die gewünschten Termine auf Booking noch nicht verfügbar sind, bietet die Rezeption an, die Reservierung direkt zu bearbeiten. Der Kunde soll lediglich Kartennummer, Ablaufdatum und den CVV-Code per E-Mail senden. Der Kunde akzeptiert die ersten beiden Daten, doch der dritte löst Alarm aus. Die Frage – Ist es normal, dass eine Unterkunft den CVV per E-Mail anfordert? – zieht sich durch eine Diskussion, in der die überwiegende Antwort ein klares Nein ist, mit Nuancen, die man trennen sollte.

Was ist der CVV und warum gehört er nicht in eine E-Mail

Der CVV wurde genau für den gegenteiligen Zweck entwickelt: Damit jemand, der nur die Kartennummer hat, ohne den physischen Plastikkarte keine Transaktionen durchführen kann. Er ist weder auf dem Magnetstreifen gespeichert noch erscheint er auf Kartenterminals; er wird nur auf der Rückseite gedruckt. Seine Funktion ist die Verifizierung, dass der Inhaber die Karte zum Zeitpunkt des Kaufs besitzt. Daher ist sein natürlicher Ort ein sicheres Zahlungs-Gateway, nicht das Postfach.

E-Mails bieten keine garantierte Ende-zu-Ende-Verschlüsselung. Die Nachricht bleibt im Postfach des Hotels und des Kunden gespeichert und kann von jedem gelesen werden, der Zugang zu diesen Konten hat: vom IT-Personal des Hotels bis hin zu Mitarbeitern mit geteilten Passwörtern. Die Kartenrichtlinien – der PCI-DSS-Standard sowie die Regeln von Visa und Mastercard – verbieten ausdrücklich die Speicherung des CVV nach der Transaktion. Ein Hotel, das ihn per E-Mail anfordert, um ihn monatelang als Garantie aufzubewahren, bewegt sich mindestens außerhalb dieses Rahmens.

Zahlungsgarantie: Das Argument der Unterkunft

Die Verteidigung der Branche ist logisch: Der Buchende möchte beim Ankommen ein Zimmer garantiert haben, und das Hotel möchte die Zahlung sicherstellen. Ein Gast, der nicht erscheint oder kurzfristig storniert, hinterlässt ein leeres, nicht mehr verkäufliches Zimmer. Deshalb verlangen viele Unterkünfte eine Karte als Garantie und belasten diese teilweise oder vollständig bei Nichterscheinen.

Das Problem liegt nicht im Prinzip, sondern in der Methode. Ein Hotel kann Kartendaten über ein sicheres Gateway anfordern oder eine Banküberweisung für Vorabbuchungen verlangen. Was es nicht tun sollte, ist Kartennummern und CVVs in einem E-Mail-Konto zu häufen. Befürworter dieser Praxis behaupten, sie sei in Europa üblich und habe nie Probleme bereitet; das Argument stützt sich auf persönliche Erfahrung, nicht auf Normen.

Virtuelle und Prepaid-Karten: Der praktische Schutz

Die Lösung mit dem größten Konsens besteht nicht darin, die Buchung zu verweigern, sondern die Hauptkarte nicht preiszugeben. Einmalige virtuelle Karten, die zum Zeitpunkt des Kaufs generiert und aufgeladen werden, ermöglichen die Angabe einer Nummer, die nach Abschluss ungültig wird. Prepaid-Karten mit minimalem Guthaben erfüllen eine ähnliche Funktion: Wenn später eine Belastung versucht wird, sind keine Mittel vorhanden.

Manche treiben diese Trennung auf die Spitze: Eine Karte für Hotels, eine für Online-Einkäufe, eine für Abos und eine letzte mit einem Euro Guthaben für Seiten, die nur die Karte zur Verifizierung sehen wollen. Die Verwaltung ist lästig, geben sie zu, aber wenn eine Unterkunft versucht, zu viel abzubuchen, ist der Schaden begrenzt. Eine Anekdote aus der Diskussion – ein Hotel, das 100 Euro für einen Wein-Fleck auf Bettwäsche abbuchen wollte – zeigt, warum Kontrolle über die Nummer wichtig ist.

Das verwirrende Detail: Eine deaktivierte Karte, die trotzdem abbucht

Die Diskussion nimmt eine Wendung, als der Zweifelnde feststellt, dass seine Karte seit Monaten deaktiviert war und Booking dennoch eine aktuelle Reservierung problemlos abgebucht hatte. Die Schlussfolgerung ist unbequem: Der Deaktivierungs-Button im Online-Banking blockiert möglicherweise keine E-Commerce-Lastschriften, oder zumindest nicht alle. Diese Erkenntnis unterstreicht die These, dass Sicherheit nicht von einem Schalter abhängt, sondern davon, niemals die Daten herauszugeben, die Transaktionen ermöglichen.

Was tun, wenn ein Hotel den CVV per E-Mail verlangt

Die wiederholte Empfehlung ist einfach: Senden Sie den CVV nicht per E-Mail, auch nicht die vollständige Kartennummer, wenn vermeidbar. Bietet die Unterkunft kein Zahlungs-Gateway oder keine Überweisung an, ist die Alternative, auf die Verfügbarkeit der Termine auf der Plattform zu warten, auch wenn es teurer ist. Der Preisunterschied ist eine günstige Versicherung im Vergleich zum Risiko, dass Daten in falsche Hände geraten.

Wenn Sie sich dennoch entscheiden, eine Karte als Garantie anzugeben, ist die am häufigsten genannte Option eine Prepaid-Karte mit minimalem Guthaben oder eine einmalige virtuelle Karte. Bei unberechtigten Abbuchungen ist der Weg die Reklamation und gegebenenfalls Anzeige. Die Diskussion endet hier nicht: Der Kunde hat noch keine Antwort des Hotels erhalten, ob ein alternativer Weg akzeptiert wird.