Wer online mit der Kreditkarte bezahlt, kennt das Feld: Nach Kartennummer und Ablaufdatum folgt die Abfrage eines kurzen Codes – meist mit »CVC« oder »CVV« beschriftet. Viele tippen ihn ein, ohne groß darüber nachzudenken. Dabei steckt hinter diesen drei Ziffern ein durchdachtes System, das Zahlungen im Netz deutlich sicherer macht.
Dass das nötig ist, zeigt die Statistik: Laut einer Studie der Gesellschaft für Konsumforschung (GfK) im Auftrag von Mastercard waren 27 Prozent der Deutschen bereits einmal Opfer von Kartenbetrug.
Doch wie genau schützt die Kartenprüfnummer davor? Wo findet man sie bei den verschiedenen Anbietern und warum darf sie niemals gespeichert werden? Das erfahren Sie hier.
Das Wichtigste in Kürze
- Zusatzschutz beim Online-Kauf: Die Kartenprüfnummer dient als zusätzlicher Nachweis, dass der Käufer Zugriff auf die Karte oder die Kartendaten in der App hat.
- Bezeichnung variiert: Je nach Anbieter heißt der Code CVC (Mastercard), CVV (Visa) oder CID (American Express).
- Wo Sie den Code finden: Bei Visa und Mastercard ist er dreistellig auf der Rückseite aufgedruckt; bei American Express finden Sie ihn vierstellig auf der Vorderseite.
Was ist die Kartenprüfnummer?
Die Kartenprüfnummer ist ein Sicherheitscode mit drei oder vier Ziffern, der auf Kreditkarten und vielen Debitkarten aufgedruckt ist. Er wird auch CVC, CVV oder CID genannt – je nach Kartenanbieter – und vor allem dann abgefragt, wenn die Karte beim Bezahlen nicht physisch vorgelegt wird, etwa bei Online-Käufen oder telefonischen Bestellungen. Beim Zahlen an der Kasse oder am Geldautomaten spielt er keine Rolle.
CVV, CVC und CID: Worin liegt der Unterschied?
Mit diesen Abkürzungen ist jeweils die Kartenprüfnummer gemeint, auch wenn die genaue Bezeichnung je nach Kartenanbieter variiert. Im Alltag werden die Begriffe oft gleichbedeutend verwendet:
- CVV ist die Bezeichnung bei Visa und steht für „Card Verification Value“.
- CVC ist die übliche Bezeichnung bei Mastercard und steht für „Card Verification Code“.
- American Express verwendet für die vierstellige Nummer die Bezeichnung CID („Card Identification“ oder „Card Identification Number“).
Wo steht die Kartenprüfnummer?
Wo der Code steht, hängt vom Kartenanbieter ab: Bei Visa und Mastercard befindet sich die dreistellige Nummer auf der Rückseite der Karte, meist neben dem Unterschriftenfeld. Bei American Express ist die Kartenprüfnummer vierstellig und befindet sich auf der Vorderseite der Karte, rechts oberhalb der Kartennummer.
Wer eine virtuelle Karte nutzt, findet die Kartenprüfnummer meist in der Banking-App des Anbieters. In Apple Pay oder Google Pay wird sie aus Sicherheitsgründen nicht angezeigt, dort hilft nur ein Blick in die App der Bank oder des Kartenanbieters.
Warum die Kartenprüfnummer wichtig ist
Durch Datenlecks bei Onlineshops oder Phishing gelangen Kriminelle immer wieder an Kartennummern und Ablaufdaten von Kreditkarten. Beim Phishing geben sich Betrüger als Bank, Paketdienst oder andere vertrauenswürdige Stelle aus, um an sensible Daten zu gelangen. Kartennummer und Ablaufdatum dürfen Händler unter bestimmten Voraussetzungen speichern.
Anders verhält es sich mit der Kartenprüfnummer: Händler dürfen sie nach der Autorisierung nicht speichern – das verbieten internationale Sicherheitsstandards. Auch bei klassischen Kartenlesegeräten wird die Prüfnummer in der Regel nicht ausgelesen. Das erschwert es Betrügern, an vollständige Kartendaten zu gelangen. Ohne die Kartenprüfnummer lassen sich gestohlene Datensätze bei vielen Online-Zahlungen nur eingeschränkt nutzen.
Wichtig zu verstehen ist jedoch: Der Code schützt nur dann, wenn Kriminelle Kartendaten ohne das Wissen des Karteninhabers abgreifen – etwa durch ein Datenleck. Wer hingegen auf einer gefälschten Website alle Daten, inklusive der Kartenprüfnummer, aktiv eingibt, ist trotzdem nicht geschützt. In diesem Fall haben Betrüger alles, was sie brauchen.
Zusätzliche Schutzebenen: 3D-Secure und dynamische Codes
Die Kartenprüfnummer ist nicht die einzige Sicherheitsmaßnahme beim Online-Bezahlen: Auch das 3D-Secure-Verfahren erhöht die Sicherheit beim Bezahlen mit der Kreditkarte. Dabei ist nach der Karteneingabe eine zweite Bestätigung nötig, etwa per Banking-App, SMS-Code oder Fingerabdruck. Seit 2021 ist für die meisten Online-Zahlungen in der EU die 2-Faktor-Authentifizierung (PSD2) Pflicht. Das bedeutet: Auch wenn jemand alle Kartendaten inklusive der Prüfnummer kennt, schützt die zweite Bestätigungsebene in vielen Fällen vor unberechtigten Abbuchungen.
Einige Anbieter gehen noch einen Schritt weiter und bieten sogenannte dynamische Sicherheitscodes an. Statt eines fest aufgedruckten Codes ändern sich die Ziffern in regelmäßigen Abständen, zum Beispiel stündlich oder pro Transaktion. Der Code wird dann nur in der Banking-App angezeigt. Wird er abgefangen, ist er kurz darauf bereits ungültig.
Ähnlich funktionieren virtuelle Einmalkarten, die manche Anbieter für einzelne Online-Transaktionen ausstellen. Die sogenannten Disposable Cards werden nur für eine einzelne Transaktion erstellt und verfallen danach automatisch. Abgegriffene Daten sind damit wertlos.
Kartenprüfnummer, PIN und Kreditkartennummer: Was ist was?
Drei Begriffe rund um die Kreditkarte werden häufig verwechselt. Dabei haben sie grundlegend unterschiedliche Funktionen:
- Kartennummer: Identifiziert die Karte beziehungsweise das hinterlegte Kartenkonto.
- Kartenprüfnummer: Ein zusätzlicher Sicherheitscode, der ausschließlich für Zahlungen ohne physische Karte (zum Beispiel im Internet) benötigt wird.
- PIN: Die persönliche Geheimzahl für Bargeldabhebungen am Automaten oder für Zahlungen am Terminal im Geschäft.
Wer über den Unterschied Bescheid weiß, kann verdächtige Abfragen leichter erkennen. Fragt ein Onlineshop beispielsweise nach einer PIN, ist das ein klares Warnsignal für Betrug – denn im Netz wird diese niemals benötigt.
Niemals weitergeben: So schützt man die Kartenprüfnummer
Die Kartenprüfnummer sollte man nur auf vertrauenswürdigen Seiten eingeben. Seriöse Onlineshops verlangen die Kartenprüfnummer lediglich im regulären Bezahlprozess. Vor dem Bezahlen lohnt sich außerdem ein Blick auf die Website: Ob ein Shop seriös ist, kann man etwa mit dem Fakeshopfinder der Verbraucherzentrale prüfen.
Misstrauisch sollte man werden, wenn jemand per E-Mail, Messenger oder Telefon nach vollständigen Kartendaten inklusive Sicherheitscode fragt. Banken fragen diese Daten nicht auf diesem Weg ab. Bei telefonischen Bestellungen sollte man besonders vorsichtig sein und Kartendaten nur an bekannte, vertrauenswürdige Anbieter weitergeben.
Was tun bei Verlust oder Verdacht auf Missbrauch?
Wer seine Karte verliert oder den Verdacht hat, dass Kartendaten in fremde Hände gelangt sind, sollte die Karte sofort sperren lassen. In Deutschland geht das rund um die Uhr über den Sperr-Notruf 116 116. Aus dem Ausland ist der Sperr-Notruf unter +49 116 116 erreichbar, alternativ unter +49 30 4050 4050. Aus dem Mobilfunknetz und aus dem Ausland können Gebühren anfallen.
Der zentrale Sperr-Notruf funktioniert nur für Karten, deren Anbieter dort registriert sind. Auf der Seite sperr-notruf.de kann man prüfen, ob die eigene Bank dabei ist. Karten, die dort nicht erfasst werden, müssen direkt beim jeweiligen Anbieter gesperrt werden, meist über die Banking-App. Wer das weiß, verliert im Ernstfall keine wertvolle Zeit.
Viele Banken ermöglichen zusätzlich eine vorübergehende Kartensperre in der App. Unberechtigte Abbuchungen sollte man sofort bei der Bank reklamieren. Bei Diebstahl oder Betrug ist außerdem eine Strafanzeige sinnvoll. Je nach Fall kann man eine Erstattung erhalten, wenn die Zahlung nicht autorisiert war, oder es kommt ein Chargeback-Verfahren infrage, also eine Rückbuchung über die Bank bei strittigen Kartenzahlungen. Für Chargebacks gilt je nach Anbieter und Fall häufig eine Frist von bis zu 120 Tagen, dennoch sollte man nicht abwarten.
Fazit: Schutz mit Grenzen
Die Kartenprüfnummer ist ein wichtiger, aber nicht umfassender Schutz. Sie erschwert den Missbrauch gestohlener Kartendaten, versagt aber, wenn man selbst auf eine gefälschte Website hereinfällt und alle Daten aktiv eingibt. Wer zusätzlich auf 3D-Secure setzt, verdächtige Abfragen erkennt und im Ernstfall schnell reagiert, ist beim Online-Bezahlen gut aufgestellt.
