Was ist der CVV-Code auf einer Kredit- oder Debitkarte?

Den CVV-Code findet man auf den meisten modernen Debit- oder Kreditkarten. Häufig muss man ihn eingeben, wenn man Online-Transaktionen per Karte durchführt. Der Code auf der Rückseite der Karte ist eine Kartenprüfnummer. Er dient dazu, unrechtmäßige Zahlungen zu vermeiden.

Für Online-Zahlungen und solche, die ohne die physische Verwendung der Karte vorgenommen werden, ist der CVV-Code wichtig. Er stellt eine Information zur Authentifizierung solcher Transaktionen dar.

Als Händler erkennen Sie so, dass die Person, von der Sie die Zahlung erhalten, auch tatsächlich im physischen Besitz der Karte ist. Der CVV-Code ist somit ein wesentlicher Baustein, um dem Betrug mit Kredit- oder Debitkarten entgegenzuwirken.

Im Rahmen von Online-Einkäufen, bei denen Händler keine Einsicht der physischen Karte erhalten, hilft der Sicherheitscode dabei, dem Kreditkartenbetrugsschutz zu gewährleisten und Onlinezahlungen sicherer zu machen.

Was bedeutet CVV?

Das Kürzel CVV steht für “Card Verification Value”, auch bekannt als “Card Security Code” bzw. kurz CSC. Alternative Bezeichnungen bzw. Kürzel lauten CID, das für “Card Identification Number” steht, sowie CVC, was eine Abkürzung für “Card Verification Code” ist.

Die Bezeichnungen variieren zum Teil je nach Kartenanbieter, sie alle meinen aber dasselbe, nämlich den Sicherheitscode für die Authentifizierung. Es handelt sich dabei um eine drei- oder vierstellige Nummer, die sich meist auf der Rückseite Ihrer Debit- oder Kreditkarte neben dem Unterschriftsfeld befindet.

Der CVV-Code ist für jede Karte einzigartig. Wenn das Ablaufdatum verstreicht und die Karte ersetzt wird, ändert sich damit auch diese Ziffer, während die Kartennummer in den meisten Fällen unverändert bleibt.

Es gibt zwei unterschiedliche Varianten der CVV-Codes: 

• Der CVV Typ 1 (CVV1) ist verschlüsselt und auf dem Magnetstreifen der Karte zu finden. Er wird verwendet, wenn eine Transaktion über diesen Magnetstreifen vor Ort in einem Geschäft durchgeführt wird.Dies erfolgt, indem die Karte in das Lesegerät eingeführt und der Code an die Bank bzw. den Kartenherausgeber übermittelt wird. Ist der Code gültig, wird die Transaktion autorisiert.
  
• Der CVV-Code des Typs 2 (CVV2) wird bei Online-Käufen, telefonischen Bestellungen und anderen Transaktionen ohne physische Präsenz der Karte eingesetzt und muss aktiv eingegeben bzw. übermittelt werden.

In der Praxis ist für Karteninhaber meist nur der CVV2 relevant, weshalb hier der Fokus auch auf dieser Variante liegen soll.

Wo befindet sich der CVV auf einer Karte

Die Position des CVV-Codes variiert zum Teil je nach Anbieter. Üblicherweise ist er auf der Rückseite zu finden, es gibt aber auch Anbieter, die ihn vorne aufdrucken.

Bei Visa und Mastercard findet man den Code meistens in dreistelliger Form auf der Kartenrückseite rechts neben dem Unterschriftsfeld.

Anders ist es bei American Express. Bei diesem Anbieter ist der Sicherheitscode vierstellig und befindet sich auf der Vorderseite der Karte.

Mittlerweile gibt es auch immer häufiger dynamische CVVs. Diese Sicherheitscodes ändern sich regelmäßig und sind in der Banking-App sichtbar. Dies sorgt für ein noch höheres Maß an Sicherheit, denn gestohlene Kartendaten verlieren für Betrüger damit an Wert.

Was ist der Zweck eines CVV-Codes?

Die Nummer lässt sich für kartenlose Transaktionen verwenden, bei denen ein Kauf per Telefon oder online getätigt wird. Der CVV-Code wurde eingeführt, um Einzelhändlern und Verkäufern eine zusätzliche Bestätigung zu geben, dass der Käufer auch die Person ist, dem die Karte gehört, und nicht irgendjemand, der dessen Daten gestohlen haben könnte.

Typische Anwendungsfälle für die Eingabe des CVV-Codes sind zum Beispiel:

• Onlinekäufe: Bei der Online-Zahlung sind meistens die Kartennummer, das Ablaufdatum und der CVV-Code anzugeben. Mit den Informationen können Händler die Transaktion authentifizieren und sicherstellen, dass Käufer und Karteneigentümer ein- und dieselbe Person sind.
  
• Telefonische Käufe: Bei telefonischen Bestellungen werden diese Daten ebenfalls abgefragt. Der Mitarbeiter, der diese erfragt, gibt sie dann in das Zahlungssystem ein, das sie zur Autorisierung an den Kartenherausgeber übermittelt. So stellt er sicher, dass der Anrufer die Karte vorliegen hat.
  
• Kartenlose Transaktionen: Card-Not-Present-Transaktionen, kurz CNP, werden online, telefonisch, per Mail oder bei digitalen Abonnements sowie bei der Hinterlegung einer Karte in einer App oder einem Wallet durchgeführt. Hierbei dient der CVV-Code dazu, zu prüfen, ob der Käufer im Besitz der Karte ist.

Der CVV alleine autorisiert keine Zahlung, er dient vielmehr als Sicherheitsmerkmal. Moderne Verfahren kombinieren ihn mit Einmalpasswörtern, biometrischer Authentifizierung (etwa per Fingerabdruck), mit 3D-Secure-Bestätiguhngen oder der Tokenisierung.

Online-Portale dürfen zum Beispiel keine Informationen über den CVV-Code eines Karteninhabers speichern, da dies gegen die PCI-DSS-Regeln verstößt. Selbst wenn die Kartendaten auf einem Payment Gateway eingeben werden und dort abgelegt sind, wird diese Nummer niemals gespeichert. Dieser Schritt macht es viel schwieriger, persönliche Daten, Identität oder Geld zu stehlen.

CVV vs. PIN: Was ist der Unterschied?

So vielen Zahlen auf einem kleinen Stück Plastik können schnell verwirrend werden, sodass man meinen könnte, die CVV-Nummer sei eine PIN. Das ist allerdings nicht der Fall, denn diese beiden Nummern sind zwei unterschiedliche Sicherheitsmerkmale einer Zahlungskarte. Sie werden in verschiedenen Situationen verwendet.

Eine PIN ist in der Regel vierstellig oder länger und normalerweise nur für das Abheben von Bargeld am Geldautomaten mit Debitkarten oder für Bargeldverfügungen mit Kreditkarten gedacht. Sie wird von der Bank verwaltet, aber nicht auf die Karte gedruckt. Idealerweise kennt nur der Karteninhaber die PIN.

Während eine PIN normalerweise vom der Benutzer erstellt wird, werden CVVs automatisch vom Kartenaussteller generiert und dann auf das Plastik gedruckt. Kartennutzer haben keine Kontrolle über die CVV-Nummer, im Gegensatz zur PIN. Der CVV-Code kann von jedem Menschen eingesehen werden, der die Karte in der Hand hat, zumindest, sofern er sich dort befindet und nicht nur in der Banking-App sichtbar ist.

Die PIN dient dazu, den Karteninhaber zu authentifizieren. Sie findet vor allem beim Abheben von Geld am Bankautomaten sowie bei Kartenzahlungen am Terminal Anwendung. Der CVV-Code hingegen ist ein Nachweis des Kartenbesitzes bei Fernzahlungen. Er wird bei Online-Käufen und anderen Transaktionen eingesetzt, bei denen sich Händler und Käufer nicht physisch gegenüberstehen. Um hier ein Höchstmaß an Sicherheit zu gewährleisten, wird er häufig mit zusätzlichen Identitätsnachweisen des Karteninhabers kombiniert.

Wie wird ein CVV generiert?

Der CVV-Code wird von der Bank, die die Karte herausgibt, mithilfe eines kryptografischen Schlüssels auf Basis von Kartendaten generiert. Die genaue Methode wird aus Sicherheitsgründen nicht dokumentiert. Dies soll dem Missbrauch entgegenwirken.

Faktoren, die in die Generierung mit einfließen, sind etwa die Kartennummer, das Ablaufdatum und spezifischen Codes, die je nach Aussteller variieren können.

Bei jeder neu erstellten Karte wird der CVV-Code neu generiert. Damit ist jeder Code einzigartig und gilt immer nur für eine Karte. Mittlerweile gibt es auch dynamische Codes, die sich immer wieder ändern, etwa alle paar Stunden oder Tage. Sie werden in der Banking-App angezeigt.

Die Berechnung von CVV-Codes ist komplex und erfolgt mithilfe von speziell gesicherten Hardware-Sicherheitsmodulen. Weder Händler noch Karteninhaber können ihn selbst erzeugen oder rekonstruieren.

Holen Sie sich die perfekte Zahlungslösung für Ihr Unternehmen

Sichern Sie sich 10 % Rabatt auf Ihre erste Bestellung, indem Sie das nachstehende Formular ausfüllen!

Gibt es einen Unterschied zwischen dem CVV auf Kredit- und Debitkarten?

Der CVV-Code funktioniert bei Kredit- und Debitkarten nahezu identisch. Technisch gesehen besteht kein Unterschied, denn der Code erfüllt bei beiden Kartenvarianten denselben Zweck.

Unterschiede bestehen eher durch die Karte selbst. Bei der Kreditkarte erfolgt die Autorisierung zunächst über den Kreditkartenrahmen, das Konto wird erst später belastet. Bei der Debitkarte erfolgt die Abbuchung nach der Autorisierung hingegen direkt vom Konto des Karteninhabers.

Warum Händler CVV-Codes nicht speichern dürfen

Unternehmen ist es laut der internationalen Sicherheitsnorm PCI DSS (Payment Card Industry Data Security Standard) nicht erlaubt, CVV-Nummern in Transaktionsdatenbanken zu speichern.

Das dient dazu, Hackern den unerwünschten Zugriff auf die Sicherheitscodes zu erschweren. Selbst wenn diese in eine Datenbank oder Webseite eines Unternehmesn eindringen und dort Kreditkartennummern oder Ablaufdatum stehlen, erhalten sie somit keinen Zugriff auf CVV-Codes der Kunden.

Der Hauptgrund für dieses Verbot ist somit der Schutz vor Kartenbetrug. Die einzige Ausnahme ist die kurzfristige Verarbeitung im Arbeitsspeicher oder die temporäre Speicherung während einer laufenden Zahlungsabwicklung. Sobald die Autorisierung jedoch erfolgt ist, ist die Speicherung nicht mehr gestattet.

Wie der CVV Online-Zahlungen schützt

Der CVV-Code ist eine zusätzliche Hürde für Betrüger und stellt dadurch einen höheren Schutz von Online-Zahlungen sicher. Während ein Händler bei einem Einkauf im stationären Geschäft die Karte sehen, den Chip lesen und ggf. eine PIN verlangen kann, fehlt dies bei den CNP-Transaktionen.

Käufer geben bei Online-Einkäufen in der Regel Kartennummer, Ablaufdatum, den Namen des Karteninhabers und den Sicherheitscode ein. Der Kartenherausgeber prüft dann, ob der CVV-Code korrekt ist.

Da der E-Commerce in der heutigen Zeit einen wachsenden Teil der Käufe ausmacht, nimmt der CVV-Code im Zuge der Sicherheitsmaßnahmen von Unternehmen eine zentrale Bedeutung ein.

Moderne Verfahren kombinieren ihn mit weiteren Schutzmechanismen. So wird der Betrug erschwert, wenn eine Karte gestohlen wurde und der Dieb den CVV sehen kann.

9 Wege, um Ihren CVV-Code zu schützen

Häufig glauben Kunden, dass sie mit einem Kartensicherheitscode vor Online-Hacker und betrügerischen Aktivitäten sicher sind.

Aber wir raten zu höchster Vorsicht. Böswillige Personen lauern überall, die es auf das Geld und die Identität von Karteninhabern abgesehen haben. Deshalb empfehlen wir nachfolgend einige wichtige Schritte, mit denen sich der Sicherheitscode einer Debit- oder Kreditkarte online schützen lässt.

Hier sind ein paar Beispiele:

1. Installation einer seriösen Antiviren-Software auf dem eigenen PC: Eine solche Software sucht nach Viren, Software zum Aufzeichnen von Tastatureingaben und anderen Tools, die Betrüger typischerweise verwenden, um persönliche Daten zu stehlen. Wer sich nicht sicher ist, welche Software er verwenden soll, lässt sich am besten von einem Spezialisten beraten.
   
2. Schutz des WLAN-Netzwerks mit einem Passwort: So wird verhindert, dass sich Fremde mit dem Netzwerk verbinden, den dortigen Internetverkehr überwachen und Daten verfolgen. Auch die Verwendung eines VPN sollte in Betracht gezogen werden, wenn Sie nicht zu Hause sind, um Ihre persönlichen Daten zu schützen.
   
3. Verwendung eines sicheren Passwort-Managers: Diese Tools können dabei helfen, sichere und eindeutige Passwörter für jede verwendete Website zu erstellen und zu speichern. Damit lässt sich die Online-Sicherheit effektiv erhöhen. Ein Beispiel für einen solchen Passwort-Manager ist LastPass.
   
4. Autofill und das Speichern von persönlichen Daten auf Websites vermeiden: Diese Option mag bequemer erscheinen. Nehmen sich Kunden jedoch die Zeit, Daten auf jeder neuen Website oder in jedem neuen Shop wieder einzugeben, kann dies vor Identitätsdiebstahl schützen. Außerdem sollten Daten nie auf Websites gespeichert werden, die nicht nach einer CVV fragen.
   
5. Bitten Sie Ihren Kartenaussteller um eine virtuelle Kreditkarte: Diese Option ist viel sicherer, da die Funktion der virtuellen Kreditkarte temporäre Kontonummern erstellt, die Ihre tatsächliche Kartennummer “maskieren”. Falls Hacker an die virtuelle Nummer gelangen, kann diese einfach entsorgt werden.
   
6. Einkauf auf sicheren Websites: Überprüfen beim Anfang der URL einer Website, ob diese mit einem https:// beginnt. Das “s” am Ende von “HTTPS” steht für “secure” – also “sicher” –, was bedeutet, dass die dort eigegebenen Daten verschlüsselt werden. Stellen Sie außerdem sicher, dass in Ihrem Browserfenster ein SSL-Vorhängeschloss angezeigt wird.
   
7. Sie haben gerade eine verdächtige E-Mail erhalten? Klicken Sie nicht auf die enthaltenen Links! Diese Methode ist auch als Phishing bekannt. Hier versuchen Hacker, an den CVV-Code von Karteninhabern, indem sie ihnen eine E-Mail schicken, die zwar seriös aussieht, sie aber in Wirklichkeit auf eine Seite führt, auf der sie deren Daten stehlen können. Ganz gleich, ob die E-Mail einen verdächtigen Link oder einen Anhang enthält, überprüfen Sie immer die Quelle, indem Sie Ihre Bank oder Ihr Finanzinstitut unter einer offiziellen Telefonnummer kontaktieren.
   
8. Regelmäßige Prüfung von Kontoauszügen: Durch die Überwachung von Konten und die regelmäßige Überprüfung der Kontoauszüge können ggf. merkwürdigen Aktivitäten auf Karten festgestellt werden. Auf diese Weise ist es möglich, dem Kartenaussteller verdächtiges Verhalten schnell zu melden, damit diese entweder die Karte sperren oder andere notwendige Maßnahmen ergreifen kann.
   
9. Senden Sie niemals Kredit-/Debitkartendaten in E-Mails: Online-Betrüger können E-Mails scannen und nach Kartennummern suchen. Daher sollten solche sensiblen Daten niemals per E-Mail verschickt werden. Darüber hinaus sollten auf keinen Fall Fotos von Karten in sozialen Medien geteilt werden.

Wer diese Hinweise beachtet, erschwert Betrügern den Zugriff auf die eigenen Daten und schützt seine Debit- oder Kreditkarte besser.

Was bedeutet CVV für deutsche Unternehmen

Der Schutz per CVV-Codes verschafft Unternehmen mehr Sicherheit bei sämtlichen Transaktionen, die ohne eine physische Karte stattfinden. Dies betrifft den E-Commerce ebenso wie telefonische Bestellungen oder den Mailorder-Versand.

Unternehmen sind daher gut beraten, die Abfrage des CVV-Codes in den Bezahlvorgang zu integrieren und dadurch betrügerische Zahlungen sowie Rückbuchungen zu vermeiden. Dabei sind stets die PCI-DSS-Anforderungen im Hinblick auf die Compliance zu beachten.

Das bedeutet, dass Sicherheitscodes höchstens vorübergehend für die Dauer des Bezahlvorgangs, jedoch niemals dauerhaft gespeichert werden dürfen.

Für die meisten E-Commerce-Transaktionen ist gemäß der PSD2 eine sogenannte starke Kundenauthentifizierung (Strong Customer Authentication, kurz SCA) vorgeschrieben. Unternehmen müssen, sofern keine Ausnahmeregelungen gelten, 3D-Secure- oder andere SCA-Verfahren beim Bezahlvorgang einsetzen.

Ein unverzichtbarer Bestandteil einer betrugssicheren Abwicklung von Transaktionen sind hierbei sichere Zahlungsgateways. Mit einem myPOS-Terminal und modernen Online-Zahlungslösungen stellen Sie sicher, dass Zahlungsabläufe sicher erfolgen und gleichzeitig die Mindeststandards für die Datensicherheit erfüllen.

Fazit

Obwohl sie nur drei Ziffern lang ist, sollten Sie die Bedeutung der CVV-Nummer auf Ihrer Karte nicht unterschätzen. Denn sie stellt eine wichtige Sicherheitsebene für Online-Shopping oder Einkäufe per Telefon dar.

Bei der Abfrage von CVV-Codes Ihrer Kunden kommt es auf einen verantwortungsvollen Umgang an. Wenn Sie dies im Blick behalten, stellen Sie sicher, dass Ihre Transaktionen mit Ihren Kunden weiterhin vertrauensvoll und sicher ablaufen.

Häufige Fragen