Viele Verbraucher geben ihre Kreditkartennummer routiniert in Online-Bezahlfelder ein, ohne groß darüber nachzudenken. Dabei steckt hinter der Zahlenfolge ein durchdachtes System: Eine eingebaute Prüfziffer erkennt Tippfehler, bevor die Daten überhaupt die Bank erreichen. Und obwohl die Nummer allein für eine Zahlung meist nicht ausreicht, wird sie in Kombination mit Ablaufdatum und Kartenprüfnummer zum begehrten Ziel für Betrüger. Wie die Nummer aufgebaut ist, was sie verrät und wie man sie schützt, erklärt unser Ratgeber.
Das Wichtigste in Kürze
- Die Kreditkartennummer besteht in der Regel aus 16 Ziffern (Visa und Mastercard). Je nach Anbieter sind aber auch andere Längen möglich: American Express nutzt 15 Ziffern, Diners Club 14.
- An den vorderen Ziffern lässt sich der Kartenanbieter meist direkt erkennen: Visa beginnt mit 4, Mastercard mit 51 bis 55 oder 2221 bis 2720, American Express startet mit 34 oder 37.
- Kartendaten sollten niemals leichtfertig weitergegeben werden: Einmal in falsche Hände geraten, können Betrüger sie für unautorisierte Online-Zahlungen nutzen.
Was ist die Kreditkartennummer?
Ohne Kreditkartennummer geht beim Online-Shopping nichts – sie ist die eindeutige Kennung, die jede Transaktion dem richtigen Konto zuordnet. Fachleute nennen sie auch Primary Account Number (PAN). Beim Bezahlen mit Kreditkarte im Geschäft wird die Nummer automatisch eingelesen, beim Online-Shopping muss man sie selbst eingeben.
Bei Visa und Mastercard besteht sie in der Regel aus 16 Ziffern, bei American Express aus 15. Der Aufbau folgt einer klaren Struktur:
- Die vorderen Ziffern bilden die sogenannte Bank Identification Number (BIN) beziehungsweise Issuer Identification Number (IIN). Sie gibt Hinweise auf den Kartenherausgeber und den Kartenanbieter.
- Die mittleren Ziffern funktionieren wie eine Art interne Kontonummer. Damit ordnet die Bank die Umsätze dem richtigen Kundenkonto zu.
- Die letzte Stelle dient der Kontrolle. Sie wird nach einer festen Formel aus den vorherigen Zahlen berechnet und stellt sicher, dass die Kombination mathematisch aufgeht.
Was steckt hinter der Prüfziffer? Die Luhn-Formel
Beim Online-Shopping erkennt das System einen Fehler in der Kreditkartennummer oft schon in Millisekunden. Doch wie bemerkt es so schnell, dass eine Ziffer nicht stimmt? Dahinter steckt die sogenannte Luhn-Formel, die jede Kreditkartennummer auf ihre Plausibilität prüft. Das tut sie, indem sie einen Wert aus den Ziffern der Kartennummer berechnet und ihn mit der letzten Ziffer, der sogenannten Prüfziffer, vergleicht. Die Prüfziffer prüft jedoch lediglich, ob die Kreditkartennummer formal plausibel aufgebaut ist. Ob die Karte tatsächlich existiert oder gedeckt ist, sagt sie nicht. Vor gezieltem Betrug bietet sie also keinen Schutz.
Sie ist nicht zu verwechseln mit der Kartenprüfnummer (CVV/CVC), dem dreistelligen Sicherheitscode auf der Kartenrückseite. Fehler wie Zahlendreher und Tippfehler fallen sofort auf, bevor die Zahlung weiterverarbeitet wird.
Wo steht die Kreditkartennummer?
Bei den meisten Karten ist die Kreditkartennummer auf der Vorderseite aufgedruckt oder geprägt. Bei einigen neueren Karten befindet sie sich aus Sicherheitsgründen stattdessen auf der Rückseite oder ist nur digital in der App sichtbar. Das sorgt für mehr Diskretion: So sind die sensiblen Daten beim Bezahlen an der Ladenkasse vor neugierigen Blicken geschützt.
Kreditkartennummer und Kartenprüfnummer: Was ist der Unterschied?
Mit der Kreditkartennummer allein ist eine Zahlung in der Regel nicht möglich. Für eine erfolgreiche Transaktion werden üblicherweise zusätzlich das Ablaufdatum und die Kartenprüfnummer (CVV/CVC) benötigt. Dieser Code dient als zusätzliche Sicherheitsprüfung, indem er belegt, dass der Käufer Zugriff auf die vollständigen Kartendaten hat. Onlineshops dürfen diesen Code nach einer Transaktion nicht dauerhaft speichern, die Kreditkartennummer hingegen unter bestimmten Voraussetzungen schon. Dadurch kann die Kartenprüfnummer im Falle eines Datenlecks nicht so leicht in falsche Hände geraten.
Zusätzlich verlangen viele Onlineshops eine Zwei-Faktor-Authentifizierung per 3D-Secure: Dabei muss die Zahlung per App oder per SMS-Code auf dem Smartphone bestätigt werden.
Je nach Anbieter hat die Kartenprüfnummer einen anderen Namen und befindet sich an unterschiedlicher Stelle:
- Visa: Card Verification Value (CVV). Die dreistellige Zahl steht auf der Rückseite, meist neben dem Unterschriftenfeld.
- Mastercard: Card Verification Code (CVC). Ebenfalls dreistellig und auf der Rückseite zu finden.
- American Express: Card Identification Number (CID). Vierstellig und auf der Vorderseite, über der Kartennummer, aufgedruckt.
Visa, Mastercard und American Express im Vergleich
An den ersten Ziffern der Kreditkartennummer lässt sich der Kartenanbieter oft direkt erkennen. Visa beginnt mit 4, Mastercard nutzt die Nummernbereiche 51 bis 55 sowie 2221 bis 2720, American Express startet mit 34 oder 37:
| Anbieter | Startziffer(n) | Typische Länge |
|---|---|---|
| Visa | 4 | 16 Ziffern |
| Mastercard | 51–55 oder 2221–2720 | 16 Ziffern |
| American Express | 34 oder 37 | 15 Ziffern |
Quelle: Kaufkompass-Recherche. Stand: Mai 2026.
Sicherer Umgang mit der Kreditkartennummer
Die Kreditkartennummer ist so sensibel wie ein Passwort und sollte nicht an Dritte gelangen. Ein paar Grundregeln helfen dabei, sie zu schützen:
- Nur verschlüsselte Seiten nutzen: Kartendaten sollten nur auf Seiten eingegeben werden, deren Adresse mit „https« beginnt. Fehlt das »s«, sollte man skeptisch werden.
- Keine Weitergabe per E-Mail oder Chat: Kartendaten sollten niemals per E-Mail oder über Chat-Apps wie WhatsApp übermittelt werden, auch nicht auf Anfrage einer vermeintlichen Bank oder eines Shops.
- Virtuelle Kartennummern nutzen: Bei manchen Banken kann man temporäre Kartennummern verwenden, die nur für eine bestimmte Zeit oder eine einzelne Transaktion gültig sind. Wer damit bezahlt, gibt seine echte Kartennummer nicht preis. Ob die eigene Bank das anbietet, lässt sich in der App prüfen.
- Apple Pay oder Google Pay: Beide Dienste übermitteln nie die echte Kartennummer an den Händler, sondern eine verschlüsselte Ersatznummer. Wer mobile Bezahldienste nutzt, sollte sich dennoch bewusst sein, dass dabei zusätzliche Anbieter in den Zahlungsprozess eingebunden werden.
- Abrechnung regelmäßig prüfen: Je früher eine verdächtige Transaktion gemeldet wird, desto schneller kann die Bank reagieren.
- Öffentliche Geräte und WLAN meiden: Kartendaten sollten möglichst nicht auf gemeinsam genutzten Geräten oder in öffentlichen WLAN-Netzwerken eingegeben werden.
- Gespeicherte Kartendaten verwalten: Wird ein Shop gehackt, können gespeicherte Kartendaten in falsche Hände geraten. Nicht mehr benötigte Daten sollte man aktiv löschen. Noch sicherer ist es, grundsätzlich als Gast zu bestellen.
Was tun, wenn die Kreditkartennummer in falsche Hände gerät?
Bei Verlust oder Diebstahl der Kreditkarte oder bei verdächtigen Umsätzen sollte die Karte sofort gesperrt werden. Innerhalb Deutschlands ist der Sperr-Notruf 116 116 rund um die Uhr erreichbar. Aus dem Ausland funktioniert die Nummer +49 116 116, alternativ +49 30 4050 4050. Je nach Netzbetreiber können Gebühren anfallen.
Wichtig: Der Sperr-Notruf deckt nur Anbieter ab, die dort angeschlossen sind. Ob die eigene Bank teilnimmt, lässt sich auf der Seite sperr-notruf.de prüfen. Ist der Anbieter nicht registriert, muss die Karte direkt bei der Bank oder in der App gesperrt werden.
Verlust oder Diebstahl der Karte sowie unberechtigte Zahlungen sollte man umgehend der Bank melden. Bei Diebstahl oder Betrug kann zusätzlich eine Anzeige bei der Polizei sinnvoll sein. Das Protokoll kann bei der späteren Klärung mit der Bank hilfreich sein.
Wer muss im Schadensfall zahlen?
Wer Opfer von Kartenmissbrauch wird, haftet gesetzlich für unautorisierte Zahlungen mit maximal 50 Euro, vorausgesetzt, dass man nicht grob fahrlässig gehandelt und den Vorfall unverzüglich gemeldet hat. Ab dem Zeitpunkt der Kartensperrung haftet die Bank vollständig für alle weiteren unautorisierten Transaktionen.
Hat man grob fahrlässig gehandelt, etwa indem die PIN zusammen mit der Karte aufbewahrt wurde, kann es sein, dass man unbeschränkt haften muss. Bei Phishing-Fällen hängt die Haftung stark vom Einzelfall ab, etwa davon, ob die Bank eine starke Kundenauthentifizierung eingesetzt hat und ob grobe Fahrlässigkeit vorlag. Wer etwa Kartendaten auf einer gefälschten Website eingibt, hat die Zahlung möglicherweise selbst autorisiert: In diesem Fall greift der gesetzliche Schutz unter Umständen nicht. Im Zweifel lohnt es sich, die eigenen Kartenkonditionen und AGB zu prüfen.
Wer eine Karte von Mastercard oder Visa besitzt, kann sich zusätzlich auf deren „Zero Liability“-Regelung berufen. Beide Anbieter haben sich freiwillig verpflichtet, Karteninhaber im unverschuldeten Betrugsfall von Kosten freizustellen. Voraussetzung ist, dass die Sperrung umgehend erfolgt und die Bank rechtzeitig informiert wird. In diesem Fall kann man die Zahlung mit der Kreditkarte bei der kartenausgebenden Bank oder bei der Sparkasse reklamieren und das Geld zurückverlangen. Dieses Verfahren nennt sich Chargeback. Die Zero-Liability-Regelung ist kein gesetzlicher Anspruch, sondern eine freiwillige Regel der Kartenanbieter. Je nach Fall gelten unterschiedliche Fristen, häufig bis zu 120 Tage. Deshalb sollte man immer so schnell wie möglich handeln.
Fazit: Kreditkartennummer kennen und schützen
Die Kreditkartennummer ist ein zentraler Bestandteil jeder Kartenzahlung. Allein reicht sie für eine Zahlung meist nicht aus – in Kombination mit Ablaufdatum und Kartenprüfnummer können Betrüger damit jedoch echten Schaden anrichten. Deshalb sollten Kartendaten nur auf vertrauenswürdigen Seiten eingegeben und nicht unnötig in Shops gespeichert werden. 3D-Secure und die gesetzliche Haftungsgrenze von maximal 50 Euro schützen Verbraucher zusätzlich, vorausgesetzt, man handelt nicht grob fahrlässig. Trotzdem gilt: Verdächtige Umsätze sollte man sofort prüfen, die Karte bei Missbrauchsverdacht sperren und unberechtigte Zahlungen umgehend bei der Bank reklamieren.
