Die Kartennummer ist bei der Transaktion meist das Ungefährdetste. Moderne Zahlungsabläufe sind gerade so gebaut, dass der Händler sie nie zu sehen bekommt — und bei Plattformen, die diesem Muster folgen, würde selbst ein vollständiger Einbruch keine brauchbare Kartendatenbank hergeben.
Was der Händler dagegen hält, ist alles andere: die E-Mail-Adresse, mit der du dich angemeldet hast, Name und Postleitzahl zur Karte, die IP-Adressen, von denen du dich verbunden hast, und eine detaillierte Aufstellung dessen, was du angesehen oder gekauft hast. Für die meisten, die das hier lesen, ist dieser zweite Satz das eigentliche Risiko — und der am wenigsten diskutierte.
Wer fasst deine Kartennummer eigentlich an?
Drei bis fünf Parteien, und nur eine davon ist die Seite, die du vor dir hast.
| Partei | Rolle | Sieht die vollständige Nummer? |
|---|---|---|
| Der Händler (die Seite) | Verkauft das Abo, legt den Preis fest | Nicht, wenn der Ablauf sauber gebaut ist |
| Zahlungsdienstleister | Rendert das Kartenformular, tokenisiert die Nummer | Ja — das ist seine Aufgabe |
| Acquiring-Bank | Führt das Händlerkonto, leitet die Transaktion weiter | Verarbeitet sie auf dem Weg |
| Kartennetzwerk | Leitet die Autorisierung zwischen Acquirer und Issuer | Verarbeitet sie auf dem Weg |
| Kartenausgebende Bank | Deine Bank, genehmigt oder lehnt ab | Ja — es ist ihre Karte |
Der Konstruktionszweck der ganzen Anordnung ist, den Händler aus dieser Liste herauszuhalten. Ein vom Dienstleister gehostetes Formular gibt dem Händler ein Token zurück — eine Referenz, die sich erneut belasten lässt, für alle anderen aber wertlos ist, weil sie nur für diesen Händler bei diesem Dienstleister funktioniert.
Zwei beobachtbare Zeichen dafür, dass genau das passiert: Die Kartenfelder liegen in einem Iframe von einer anderen Domain als die Seite, oder ein Klick auf „Abonnieren“ schickt dich komplett auf eine Zahlungsdomain. Keines davon ist ein Beweis für gute Praxis, aber ihr Fehlen — ein Kartenformular, das direkt an die Domain der Seite selbst sendet — ist ein aussagekräftiges negatives Signal.
Was lässt sich von außen überhaupt überprüfen?
Weniger, als dir lieb wäre, und das sollte man klar sagen, statt zu suggerieren, eine Checkliste würde die Sache erledigen.
Speicherpraxis, Aufbewahrungsfristen oder interne Zugriffskontrollen einer Plattform kannst du von außen nicht prüfen. Beobachten kannst du:
- Woher das Kartenformular ausgeliefert wird. Sieh dir den Quelltext an oder nutze die Entwicklerwerkzeuge, um zu erkennen, ob die Eingabefelder zu einem Frame eines Dritten gehören.
- Ob eine zusätzliche Authentifizierung erscheint. Eine Weiterleitung auf die Verifizierungsseite deiner eigenen Bank bedeutet, dass die Transaktion durch 3-D Secure lief, was die Betrugshaftung verschiebt und darauf hindeutet, dass der Händler auf einer etablierten Abwicklungsroute liegt.
- Ob eine echte juristische Person genannt wird. AGB- und Abrechnungsseiten, die Firma, Rechtsraum und Anschrift nennen, sind ein schwaches positives Zeichen; eine Abrechnungsseite, die niemanden nennt, ein starkes negatives.
- Ob die Datenschutzerklärung eine Aufbewahrungsfrist nennt. Vage Erklärungen sind verbreitet; eine, die überhaupt nichts festlegt, sagt etwas darüber aus, wie mit den Daten umgegangen wird.
- Ob die Kündigung selbst möglich ist. Plattformen, die für eine Kündigung eine E-Mail verlangen, sind oft dieselben, die es auch sonst mit der Abrechnungshygiene nicht genau nehmen.
Welche Risikokategorien gibt es tatsächlich?
Sie auseinanderzuhalten lohnt sich, weil die Abwehr jeweils anders aussieht und das schlimmste Risiko nicht das offensichtliche ist.
| Risiko | Wie es aussieht | Was es verringert |
|---|---|---|
| Diebstahl der Kartennummer | Betrügerische Abbuchungen auf der Karte | Vom Dienstleister gehostete Formulare; eine eigene Kartennummer für Abos |
| Datenleck beim Händler | E-Mail, Name, Kaufhistorie offengelegt | Ein eigener E-Mail-Alias; minimale Profildaten |
| Sichtbares Händlerkennzeichen | Eine unerwartete Zeile auf einem gemeinsamen Kontoauszug | Das Kennzeichen vor dem Abschluss kennen; ein separates Konto |
| Ungewollte wiederkehrende Abbuchung | Belastungen laufen weiter, obwohl du gekündigt zu haben glaubtest | Ausgabenlimits; die Kündigungsbestätigung aufbewahren |
| Abrechnung über einen Aggregator | Eine Belastung von einem Namen, den du nicht kennst | Prüfen, welche Firma die AGB als Abrechnungsstelle nennen |
| Phishing nach der Anmeldung | E-Mails, die die Abrechnung der Plattform nachahmen | Nie Kartendaten über einen Link aus einer E-Mail neu eingeben |
Der Zusammenhang, den die meisten übersehen: Die Seiten mit der schwächsten Zahlungshygiene sind meist auch die mit der schwächsten Datenhygiene, weil beides dasselbe widerspiegelt — ob der Betreiber von einem etablierten Dienstleister angenommen wurde oder um einen herumbauen musste.
Warum geht bei der wiederkehrenden Abrechnung am meisten schief?
Weil Abo und Karte zwei getrennte Objekte sind und die Kündigung des einen das andere nicht beendet.
Ein gespeichertes Token lässt sich belasten, bis der Händler aufhört, es zu belasten. Wenn du kündigst, indem du die Kontoseite schließt, der Abo-Datensatz aber weiterlebt, läuft die Abrechnung weiter. Legst du stattdessen die Karte still und lässt das Abo aktiv, scheitert die Belastung, doch die vertragliche Verpflichtung kann bestehen bleiben, und manche Händler geben offene Beträge an Inkasso weiter.
Die verlässliche Reihenfolge lautet: im Konto kündigen, den Bestätigungsbildschirm oder die E-Mail aufheben, und erst dann überlegen, die Kartennummer stillzulegen. Prüf es am nächsten Abrechnungstermin nach, statt es anzunehmen.
Was solltest du tun, wenn ein Datenleck bekannt wird?
Offengelegte Kartendaten und offengelegte Nutzerdaten erfordern unterschiedliche Reaktionen, und die zweiten brauchen meist die Aufmerksamkeit.
Zur Karte: Wende dich an die kartenausgebende Bank und lass dir eine neue Nummer geben. Strittige Belastungen lassen sich in der Regel anfechten, wobei Frist und genaue Regeln von deiner Bank, deinem Kartennetzwerk und deinem Land abhängen — frag nach, nimm nichts an.
Zu den Daten: Ändere das Kontopasswort und überall dort, wo du es wiederverwendet hast, rechne mit gezieltem Phishing, das die Plattform beim Namen nennt, und behandle jede darauffolgende „Sicherheitshinweis“-Mail mit mehr Misstrauen als sonst, denn auf die Bekanntgabe eines Datenlecks folgen Nachahmungen. Wenn die E-Mail-Adresse, die du benutzt hast, anderswo mit deiner echten Identität verknüpft ist, existiert diese Verbindung nun in einem Datensatz außerhalb deiner Kontrolle, und keine Maßnahme macht das rückgängig — das ist das Argument dafür, einen eigenen Alias anzulegen, bevor du ihn brauchst.