Card Cracking ist das systematische Ausprobieren von Kartendaten und Prüffragen, bis eine Karte für eine Zahlung akzeptiert wird.
Angreifer nutzen kleine, unauffällige Versuche an Händlern oder an Kontodiensten, um gültige Kombinationen zu finden.
Der Schaden trifft Karteninhaber, Händler und die Institute, die anschließend Rückbelastungen tragen.
Wie Card Cracking funktioniert
Der Ablauf trennt die Beschaffung von Daten von der Prüfung, welche Kombination tatsächlich belastbar ist.
Gestohlene Listen sind oft unvollständig oder veraltet, deshalb testen Angreifer Beträge, Prüfwerte und Adressen in vielen kleinen Schritten.
Jeder akzeptierte Test ist der Nachweis, dass die Karte für weiteren Missbrauch taugt.
Beschaffung von Karteninformationen
Kartennummern, Ablaufdaten und Prüfwerte stammen aus geleakten Datenbanken, aus Schadsoftware oder aus dem Handel mit gestohlenen Daten.
Häufig fehlt ein Teil der Angaben, oder die Karte wurde bereits gesperrt.
Die Beschaffung allein erzeugt noch keine Zahlung, sie liefert nur den Suchraum.
Die Sicherheitsmaßnahmen der Karte knacken
Geknackt werden die Prüfungen des Händlers oder des Kartennetzes, etwa Adressabgleich, Prüfwert und Betragsgrenzen.
Angreifer variieren diese Felder und werten aus, welche Ablehnung welchen Fehler nennt.
Eine zu gesprächige Fehlermeldung verkürzt diesen Suchraum erheblich.
Risiken von Card Cracking
Risiken reichen vom einzelnen missbräuchlichen Kauf bis zur massenhaften Prüfung ganzer Datenlisten an einem Händler.
Der Händler sieht viele kleine, zunächst erfolgreiche oder knapp abgelehnte Vorgänge.
Institute sehen später die Rückbelastung, oft ohne den ursprünglichen Testvorgang noch klar zuordnen zu können.
Auswirkungen auf Einzelpersonen
Einzelpersonen entdecken unbekannte kleine Buchungen, gesperrte Karten und den Aufwand, die Vorgänge anzufechten.
Auch ein abgelehnter Versuch kann zur Sperre führen und den legitimen Gebrauch unterbrechen.
Wer Buchungen zeitnah prüft, begrenzt das Fenster für weitere Käufe.
Auswirkungen auf Unternehmen und Finanzinstitute
Unternehmen tragen Erstattungen, Warenverluste und Gebühren für Rückbelastungen.
Ein Händler, der sich zum Testfeld eignet, zieht weitere Wellen an, weil die Prüfung dort billig gelingt.
Finanzinstitute tragen Betrugsverluste und den Aufwand der Neuausstellung.
Schutz gegen Card Cracking
Schutz erschwert das massenhafte Testen und verhindert, dass eine einmal bestätigte Karte sofort frei eingesetzt wird.
Händler und Institute brauchen dafür unterschiedliche Hebel, weil sie unterschiedliche Daten sehen.
Geschwindigkeit der Sperre ist wirksamer als die nachträgliche Aufklärung eines einzelnen Kleinstbetrags.
Individuelle Maßnahmen
Individuelle Maßnahmen sind zeitnahe Prüfung der Umsätze, Sperren bei unbekannten Buchungen und das Vermeiden, Kartendaten in unsichere Formulare zu setzen.
Benachrichtigungen über jede Buchung verkürzen die Zeit bis zur Reaktion.
Dieselbe Karte sollte nicht ungeschützt in vielen Händlerkonten hinterlegt sein.
Institutionelle Maßnahmen
Institutionelle Maßnahmen begrenzen Versuche je Karte, je Gerät und je Zeitraum und vereinheitlichen Fehlermeldungen.
Velocity-Prüfungen erkennen, wenn viele Karten in kurzer Folge mit ähnlichen Mustern getestet werden.
Ein bestätigter Test sollte weitere Belastungen verzögern, bis ein zusätzliches Signal vorliegt.
Fazit
Card Cracking macht aus unvollständigen Kartendaten durch systematisches Testen eine einsetzbare Karte.
Gesprächige Fehler, fehlende Raten und kleine Beträge halten den Vorgang lange unsichtbar.
Wer Tests erkennt und Karten früh sperrt, entwertet die Liste, bevor die eigentlichen Käufe beginnen.