Ist es sicherer, meine Karte bei großen statt kleinen Online-Shops zu speichern?

Größere Händler investieren in der Regel mehr in Sicherheitsinfrastruktur und nutzen eher Tokenisierung statt Rohnummern zu speichern, aber Größe allein ist keine Garantie. Einige der größten bekannten Datenlecks betrafen namhafte Unternehmen. Entscheidender ist, ob der Händler einen etablierten Zahlungsdienstleister nutzt und gespeicherte Karten tokenisiert, statt volle Kartennummern in der eigenen Datenbank zu halten – als Kundin oder Kunde haben Sie darauf allerdings selten Einblick.

Was ist der Unterschied zwischen einer gespeicherten und einer tokenisierten Karte?

Eine schlecht umgesetzte gespeicherte Karte hinterlegt Ihre echte Kartennummer und das Ablaufdatum auf dem Server des Händlers. Bei einer tokenisierten Karte wird die Nummer durch eine zufällige Zeichenfolge ersetzt, die nur der Zahlungsdienstleister in die echte Kartennummer zurückübersetzen kann. Leakt die Händler-Datenbank, erhalten Angreifer nur einen nutzlosen Token statt einer verwendbaren Kartennummer. Große Zahlungsdienstleister setzen inzwischen meist auf Tokenisierung, kleinere Eigenentwicklungen setzen sie aber nicht immer korrekt um.

Sollte ich eine gespeicherte Karte direkt nach einem einmaligen Kauf wieder löschen?

Ja, wenn Sie bei diesem Händler absehbar nicht bald wieder einkaufen. Die meisten Checkout-Prozesse erlauben den Abschluss eines Kaufs, ohne die Karte zu speichern, oder Sie können sie direkt nach der Bestellung in den Kontoeinstellungen entfernen. So begrenzen Sie, wie viele Shops zu jedem Zeitpunkt Ihre Zahlungsdaten halten – und reduzieren damit direkt, wie viele künftige Datenpannen-Meldungen überhaupt Ihre Karte betreffen könnten.

Sollten Sie Online-Shops erlauben, Ihre Kartendaten zu speichern?

Gespeicherte Kartendaten sind bequem, machen aber jeden Händler zu einem potenziellen Angriffsziel. Eine nüchterne Abwägung.

Ein Klick auf „Kartendaten für nächstes Mal speichern“ dauert zwei Sekunden – zurück bleibt eine Kopie Ihrer Zahlungsdaten auf einem Server, den Sie nicht kontrollieren. Die Zahl der Betroffenen von Datenpannen in den USA stieg 2023 auf 353 million, wie das Identity Theft Resource Center dokumentiert. Im Jahr 2022 erhielt die Federal Trade Commission zudem 1.1 million Meldungen zu Identitätsdiebstahl. Jeder Online-Shop, dem Sie je erlaubt haben, eine Karte zu speichern, ist eine kleine Wette darauf, dass dessen IT-Sicherheitsteam nie eine schlechte Woche hat.

Wie aus einer gespeicherten Karte fremdes Problem wird

Eine gespeicherte Karte liegt nicht in einem Tresor, sondern in einer Datenbank – idealerweise tokenisiert, manchmal aber im Klartext, verknüpft mit Name, Rechnungsadresse und Bestellhistorie. Diese Datenbank wird gesichert, in Testumgebungen gespiegelt, von Drittanbieter-Plugins abgefragt und landet gelegentlich in einem falsch konfigurierten Cloud-Speicher. Kommt es zu einem Sicherheitsvorfall, braucht der Angreifer nicht Ihre physische Karte: Er bekommt Nummer, Ablaufdatum und oft sogar die Prüfziffer, wenn der Händler entgegen den Vorgaben der Zahlungsdienstleister zu viel gespeichert hat. Die Daten werden gebündelt, in Foren verkauft, an ungeschützten Checkout-Seiten kleinerer Shops getestet oder direkt für Betrug ohne physische Karte genutzt. Der Händler bemerkt den Vorfall meist erst Wochen oder Monate später, meldet ihn und bietet ein Jahr Kreditüberwachung als Entschuldigung an – da ist die Nummer längst weiterverkauft. Bei 353 million Betroffenen allein in den USA in einem einzigen Jahr, wie das Identity Theft Resource Center dokumentiert, ist die Wahrscheinlichkeit, dass mindestens einer der Shops mit Ihrer gespeicherten Karte irgendwann betroffen ist, über eine lange Einkaufshistorie hinweg keine Ausnahme, sondern nahezu statistische Gewissheit. Jeder zusätzliche Händler, dem Sie eine Karte anvertrauen, ist ein weiterer Eintrag in diesem Pool – eine Organisation, deren Sicherheitsniveau Sie von außen nicht überprüfen können. Sie sehen weder deren Patch-Zyklen noch deren Zugriffsrechte, noch ob ein ehemaliger Praktikant noch immer Datenbankzugriff hat. Kontrollieren können Sie nur, wie viele solcher Wetten Sie eingehen und wie schnell Sie reagieren, wenn eine davon schiefgeht. Selbst Zertifizierungen wie PCI-DSS, die Händler eigentlich zu einem Mindeststandard an Kartensicherheit verpflichten, verhindern Vorfälle nicht zuverlässig, da die Prüfung meist nur eine Momentaufnahme ist und ein einziges veraltetes Plugin oder ein falsch gesetztes Zugriffsrecht Monate später alles untergraben kann. Zertifizierung bedeutet also nicht Immunität, sondern lediglich, dass zum Prüfzeitpunkt ein bestimmtes Mindestniveau erreicht wurde – was zwischen zwei Audits passiert, bleibt für Kundinnen und Kunden unsichtbar.

Eine alltägliche Checkout-Gewohnheit, veranschaulicht

Dies ist ein illustratives Szenario, kein realer Fall und kein Erfahrungsbericht.

Stellen wir uns eine Käuferin vor, die bei drei verschiedenen Online-Shops innerhalb weniger Monate das Kästchen „Karte für nächstes Mal speichern“ anklickt, weil der Checkout jeweils mit einem kleinen Rabatt oder schnellerem Bezahlen lockt. Zwei Jahre später wird einer dieser Shops, ein mittelgroßer Anbieter für Haushaltswaren, Opfer eines Datenlecks. Die Käuferin erinnert sich kaum noch, dort je ein Konto angelegt zu haben, geschweige denn eine Karte hinterlegt zu haben. Wenige Wochen nach der Benachrichtigung per E-Mail tauchen zwei kleine Testbuchungen auf ihrem Kontoauszug auf – die Art Betrag, mit der Betrüger prüfen, ob eine gestohlene Nummer noch funktioniert, bevor sie größere Beträge abbuchen. Das Entwirren bedeutet: Bank anrufen, Karte sperren lassen, Zahlungsdaten bei jedem anderen Shop aktualisieren, wo dieselbe Karte gespeichert war. Ärgerlich, aber kein Einzelfall – gerade weil die Käuferin nichts falsch gemacht hat. Sie nutzte einen bekannten Anbieter, hatte kein schwaches Passwort und ist keiner Phishing-Mail aufgesessen. Die Exposition entstand allein durch eine Entscheidung zwei Jahre zuvor, in einem Moment der Bequemlichkeit, eine Nummer für einen Einkauf zu hinterlegen, der sich nie wiederholte. Multipliziert man diese eine Entscheidung mit jedem Checkout, der je „Karte merken“ angeboten hat, ergibt sich über eine typische Einkaufshistorie eine deutlich größere Angriffsfläche, als eine einzelne Schlagzeile über ein Datenleck vermuten lässt. Besonders unangenehm ist dabei nicht der finanzielle Schaden selbst – die Bank erstattet die Testbuchungen in der Regel anstandslos –, sondern der Zeitaufwand und das ungute Gefühl, nicht mehr genau zu wissen, wie viele weitere Shops irgendwo noch eine gültige Kartennummer von einem gespeichert haben.

Wie Sie entscheiden, wann eine Karte gespeichert werden darf

Sie müssen nicht jedes „Karte speichern“-Angebot ablehnen, aber Sie sollten bewusst entscheiden, welche Händler dieses Vertrauen verdienen – und wie Sie den Schaden begrenzen, falls einer davon versagt.

Speichern Sie Karten nur bei Shops, die Sie regelmäßig nutzen

Wiederkehrende Käufe, etwa ein monatliches Abo oder ein Shop, bei dem Sie wöchentlich bestellen, rechtfertigen den Komfort. Ein einmaliger Einkauf bei einer Seite, die Sie vermutlich nie wieder besuchen, tut das fast nie. Fragen Sie sich vor dem Klick auf „Speichern“, ob Sie diese Karte in den nächsten Monaten dort tatsächlich wieder brauchen werden. Lautet die ehrliche Antwort Nein, lassen Sie das Kästchen leer und geben die Nummer beim nächsten Mal erneut manuell ein. Weniger Händler mit Ihrer Karte bedeuten weniger Datenbanken, aus denen sie überhaupt austreten kann. Konsequent über Jahre angewendet, kann dieser kleine Griff den Unterschied zwischen fünf und fünfzig Shops mit Ihren Zahlungsdaten ausmachen. Es lohnt sich außerdem, diese Regel auch auf Zahlungs-Apps und digitale Wallets anzuwenden, die eine Karte einmal hinterlegt und dann bei jedem verknüpften Dienst automatisch weitergeben.

Nutzen Sie virtuelle Kartennummern für Unsicheres

Viele Banken und Zahlungs-Apps ermöglichen inzwischen virtuelle Kartennummern, die an Ihr echtes Konto gekoppelt sind, oft mit Ausgabenlimit oder Händlerbindung. Setzen Sie eine solche Nummer bei jedem Shop ein, dessen Sicherheitsniveau Sie nicht einschätzen können, besonders bei kleineren Anbietern mit eigenem statt eines etablierten Zahlungsdienstleisters. Leakt diese virtuelle Nummer, sperren oder löschen Sie sie, ohne Ihre Hauptkarte anzufassen, und jede andere gespeicherte Verwendung bleibt unberührt. Manche Dienste erzeugen sogar pro Händler eine eigene Nummer, sodass ein Datenleck sofort verrät, welcher Shop verantwortlich war, statt raten zu müssen, welche von einem Dutzend gespeicherter Karten die Quelle war. Dieser kleine Umweg über eine zusätzliche Nummer kostet beim ersten Einrichten ein paar Minuten, spart aber im Ernstfall die mühsame Suche danach, welcher der vielen gespeicherten Einträge tatsächlich kompromittiert wurde.

Prüfen und löschen Sie gespeicherte Karten regelmäßig

Die meisten Händler verstecken „Gespeicherte Zahlungsmethoden“ tief in den Kontoeinstellungen – ein guter Grund für eine feste Erinnerung im Kalender. Loggen Sie sich alle paar Monate bei Ihren wichtigsten Shops ein und entfernen Sie jede Karte, die dort nicht mehr gebraucht wird. Vergessene, alte Konten sind besonders gefährdet, da sie oft in schlecht gepflegten Systemen liegen – das gesamte Konto zu löschen ist dann oft sinnvoller als nur die Karte zu entfernen. Behandeln Sie das wie das Aufräumen alter Browser-Erweiterungen oder App-Berechtigungen: ein kleiner Wartungsaufwand, der eine viel größere Aufräumaktion nach einer Datenpannen-Benachrichtigung verhindert. Wer sich die Shops notiert, bei denen eine Karte hinterlegt ist, spart sich bei der nächsten Kartensperrung zudem das mühsame Durchprobieren, wo überall eine Aktualisierung nötig ist.

Warum ein Passwort-Manager mit Kartenspeicher die Lage ändert

Der sicherste Ort für eine Kartennummer ist ein einziger, von Ihnen kontrollierter, Ende-zu-Ende verschlüsselter Tresor – nicht Dutzende Händler-Datenbanken, in die Sie keinen Einblick haben. Ein Passwort-Manager mit integriertem, sicherem Kartenspeicher füllt Zahlungsdaten beim Checkout automatisch aus, ohne dass der Shop die Rohnummer selbst speichert, und manche Browser und Manager warnen sogar, wenn ein Checkout-Formular ungewöhnlich exponiert wirkt. Das verschiebt die Sicherheitslast vom schwächsten Glied Ihrer Einkaufshistorie hin zu einem Werkzeug, das gezielt gegen Datenlecks und Credential-Stuffing gebaut ist. Es erleichtert auch den oben beschriebenen Prüfschritt erheblich: Statt zwanzig einzelne Händlerkonten durchzugehen, sehen Sie in einem Tresor genau, welche Karten wo hinterlegt wurden, und können Einträge nach einer Datenpannen-Meldung an einer Stelle aktualisieren oder löschen. Wer bei vielen kleinen und mittleren Shops einkauft, spart so den Unterschied zwischen fünf Minuten Aufräumen und tagelangem Nachverfolgen jedes Shops, der vielleicht noch eine alte Nummer gespeichert hat. Zudem entfällt eine Versuchung: Ist Autofill aus einem vertrauenswürdigen Tresor genauso schnell wie „Karte speichern“, gibt es kaum noch einen Grund, einem Händler die Rohnummer überhaupt anzuvertrauen. Die zugrunde liegende Verschlüsselung läuft dabei lokal auf Ihrem Gerät, sodass selbst der Anbieter des Passwort-Managers die gespeicherten Kartendaten im Klartext nicht einsehen kann – ein deutlicher Unterschied zu einer Händler-Datenbank, bei der Mitarbeitende oder ein kompromittiertes System theoretisch Zugriff haben könnten.

Einkäufe