Im Bestellprotokoll eines Onlineshops tauchen über Nacht Dutzende abgelehnte Zahlungen auf. Dazwischen stehen einige erfolgreiche Bestellungen über den günstigsten Artikel im Sortiment, mit Namen wie zufällig getippten Buchstabenfolgen und E-Mail-Adressen, die nie jemand gelesen hat. Kein Kunde hat sich beschwert, der Umsatz ist sogar leicht gestiegen. Trotzdem ist das kein guter Tag für den Shop.
Was hier passiert, nennt man Kartentest, im Englischen Card Testing oder Carding. Wer gestohlene Kreditkartendaten gekauft hat, weiß nicht, welche davon noch gültig sind. Also lässt er ein Skript viele kleine Zahlungen in einem fremden Shop versuchen. Jede abgelehnte Zahlung sortiert eine Karte aus, jede erfolgreiche bestätigt eine. Die bestätigten Karten werden danach für größere Einkäufe verwendet oder weiterverkauft. Der Shop dient dabei nur als Prüfgerät.
Warum ein Kartentest den Händler etwas kostet
Auf den ersten Blick verliert der Händler nichts: Die Ware ist noch nicht verschickt, die abgelehnten Zahlungen haben kein Geld bewegt. Die Folgen zeigen sich später und an anderer Stelle.
- Rückbuchungen. Die echten Karteninhaber bemerken die Abbuchung oder auch nur eine Vormerkung auf ihrer Abrechnung und melden sie der Bank als unautorisiert. Jede Rückbuchung zählt für die Rückbuchungsquote des Shops, unabhängig davon, ob er den Fall gewinnt.
- Mehr Ablehnungen für echte Kunden. Viele abgelehnte Zahlungen verschlechtern den Ruf des Shops bei Banken und Kartennetzwerken. Das kann dazu führen, dass auch legitime Zahlungen häufiger abgelehnt werden, noch nachdem der Angriff vorbei ist.
- Gebühren. Je nach Zahlungsanbieter und Vertrag fallen Gebühren für Autorisierungen und Rückbuchungen an.
- Verfälschte Zahlen. Testbestellungen sehen in den Auswertungen aus wie neue Kunden. Wer Kampagnen nach Neukunden oder Conversion Rate steuert, steuert dann teilweise nach den Spuren eines Angriffs.
Der letzte Punkt wird oft unterschätzt. Wie sich automatisierter Verkehr auf die Kennzahlen eines Shops auswirkt, beschreiben wir ausführlicher in Bot-Traffic im Onlineshop.
Woran Sie einen Kartentest erkennen
Ein einzelnes Merkmal beweist noch keinen Angriff. Treten mehrere zusammen auf, ist die Lage meist eindeutig:
| Merkmal | Was im Shop sichtbar wird |
|---|---|
| Viele abgelehnte Zahlungen | Deutlich mehr fehlgeschlagene Zahlungsversuche als an üblichen Tagen, oft gebündelt in wenigen Stunden |
| Kleine Beträge | Bestellungen über den günstigsten Artikel, ein Muster oder einen Gutschein mit geringem Wert |
| Unsinnige Kundendaten | Zufällige Namen, Wegwerf-E-Mail-Adressen, Liefer- und Rechnungsadresse passen nicht zusammen |
| Wechselnde Karten, gleiche Muster | Viele verschiedene Karten, aber dieselbe Adresse, derselbe Artikel oder sehr ähnliche Namen |
| Ungewöhnliche Uhrzeit | Häufung nachts oder am Wochenende, wenn niemand den Shop beobachtet |
| Hohe Risikobewertung | Die Betrugsanalyse der Plattform kennzeichnet viele Bestellungen auf einmal als riskant |
Manche Angriffe schließen gar keinen Kauf ab, sondern versuchen nur, eine Karte zu hinterlegen. Solche Versuche tauchen auf den Abrechnungen der Karteninhaber oft nicht auf und bleiben deshalb länger unbemerkt. Ein Blick auf die abgelehnten Zahlungen gehört deshalb zur Prüfung, nicht nur der Blick auf die Bestellungen.
Was Sie während eines Angriffs tun
Wenn ein Angriff läuft, zählt die Reihenfolge. Zuerst wird verhindert, dass Ware an Betrüger geht, dann werden die Folgen begrenzt, erst danach wird nach Ursachen gesucht.
- ErkennenAbgelehnte Zahlungen und verdächtige Bestellungen prüfen
- ZurückhaltenVerdächtige Bestellungen nicht versenden
- ErstattenErfolgreiche Testzahlungen stornieren und zurückerstatten
- AbdichtenSchutzfunktionen der Plattform und des Zahlungsanbieters prüfen
- BeobachtenAblehnungen und Rückbuchungen in den Folgewochen verfolgen
Grafik verwenden? Gern, mit Quelle Wundrig und Link auf diesen Beitrag. Hinweise
Die Erstattung ist wichtig, weil eine stornierte Zahlung die Wahrscheinlichkeit einer Rückbuchung senkt. Ausschließen kann sie diese nicht: Die Bank des Karteninhabers kann eine Rückbuchung trotzdem veranlassen. Bestellungen aus einem Kartentest sollten deshalb nicht einfach liegen bleiben, sondern aktiv storniert werden.
Bei Shopify gibt es dafür mehrere Werkzeuge. Shops mit Shopify Payments haben einen eingebauten Schutz vor Kartentests und eine Kennzeichnung von Proxy-Verbindungen. Die Betrugsanalyse bewertet jede Bestellung, und mit der manuellen Zahlungserfassung lässt sich eine Zahlung erst einziehen, nachdem jemand die Bestellung geprüft hat. Zusätzlich lassen sich AVS- und CVV-Filter einstellen und einzelne E-Mail-Adressen, IP-Adressen oder Rechnungsdaten sperren. Der Bot-Schutz für Shopify Plus ist dagegen für Verkaufsaktionen mit knappen Produkten gedacht und ersetzt keine Betrugsprävention. Wer einen anderen Zahlungsanbieter nutzt, sollte dessen Einstellungen gezielt auf Kartentests prüfen. Sperren nach einzelnen IP-Adressen reichen dabei selten, weil die Skripte ihre Adressen wechseln.
So richten wir die laufende Kontrolle ein
In den Shops, die wir als Shopify-Agentur betreuen, verlassen wir uns nicht darauf, dass jemand die Bestellliste zufällig zur richtigen Zeit ansieht. Die Kontrolle besteht aus drei festen Bausteinen.
Erstens eine automatische Regel in Shopify Flow. Sobald die Betrugsanalyse eine Bestellung als hohes Risiko einstuft, setzt der Ablauf ein Schlagwort, hält die Auslieferung zurück und benachrichtigt eine benannte Person. Die Bestellung geht also nicht ins Lager, bevor ein Mensch sie angesehen hat. Bei mittlerem Risiko wird nur gekennzeichnet, damit der normale Betrieb nicht ins Stocken gerät.
Zweitens ein Vergleich mit dem Normalbetrieb. Für jeden Shop halten wir fest, wie viele abgelehnte Zahlungen an einem gewöhnlichen Tag und in einer gewöhnlichen Stunde vorkommen. Diese Zahl ist von Shop zu Shop verschieden und wird aus den eigenen Daten ermittelt, nicht geschätzt. Liegt die Zahl der Ablehnungen in einer Stunde deutlich über diesem Wert, geht eine Meldung hinaus, auch nachts.
Drittens eine Entscheidungsregel für das Team. Treffen mehrere Merkmale aus der Tabelle oben zusammen, wird nicht diskutiert, sondern nach dem Ablauf gehandelt: Bestellungen zurückhalten, erfolgreiche Testzahlungen erstatten, Einstellungen prüfen. Einzelne Bestellungen mit nur einem Merkmal bleiben normale Bestellungen. Diese Unterscheidung verhindert, dass ein vorsichtiges Team echte Kunden verärgert.
Ein Teil dieser Beobachtung lässt sich an einen KI-Agenten übergeben, der Muster über viele Bestellungen hinweg zusammenfasst und den Fall für die zuständige Person vorbereitet. Die Entscheidung über Stornierungen bleibt beim Menschen.
Checkliste für die nächste Woche
- Prüfen, welche Schutzfunktionen Ihr Zahlungsanbieter bietet und ob sie aktiviert sind.
- Den Normalwert für abgelehnte Zahlungen pro Tag und pro Stunde aus den eigenen Daten bestimmen.
- Eine Benachrichtigung einrichten, die bei Überschreitung eine benannte Person erreicht, auch am Wochenende.
- Festlegen, dass Bestellungen mit hohem Risiko vor dem Versand geprüft werden.
- Den Ablauf für einen laufenden Angriff schriftlich festhalten, inklusive Erstattung.
- Testbestellungen aus einem Angriff in den Auswertungen kennzeichnen oder herausrechnen.
Fazit
Ein Kartentest richtet sich nicht gegen den Shop, sondern benutzt ihn. Die Kosten trägt der Händler trotzdem: über Rückbuchungen, einen schlechteren Ruf bei Banken und verfälschte Kennzahlen. Wer die Merkmale kennt, eine automatische Regel für riskante Bestellungen einrichtet, den eigenen Normalwert für abgelehnte Zahlungen kennt und einen festen Ablauf hat, erkennt einen Angriff in Stunden statt in Wochen. Welche anderen Wege Dritte nutzen, um über einen Shop Schaden anzurichten, zeigt unser Beitrag zu fremdem Code in Shop-Apps.
Häufige Fragen
Was ist ein Kartentest im Onlineshop?
Bei einem Kartentest prüfen Betrüger mit automatisierten Skripten, welche gestohlenen Kreditkartendaten noch gültig sind. Dafür lösen sie viele kleine Zahlungen oder Kartenhinterlegungen in einem fremden Shop aus. Gültige Karten werden anschließend für größere Einkäufe genutzt oder weiterverkauft.
Soll ich Bestellungen aus einem Kartentest stornieren oder versenden?
Stornieren und die Zahlung erstatten, statt die Ware zu versenden. Eine Erstattung senkt das Risiko einer Rückbuchung, schließt sie aber nicht aus, weil die Bank des Karteninhabers trotzdem eine veranlassen kann. Versendete Ware ist in der Regel verloren.
Reicht es, die IP-Adressen der Angreifer zu sperren?
Meist nicht, weil die Skripte ihre Adressen häufig wechseln und über Proxy-Dienste arbeiten. Wirksamer ist eine Kombination aus den Schutzfunktionen des Zahlungsanbieters, einer automatischen Prüfung riskanter Bestellungen und einer Benachrichtigung bei ungewöhnlich vielen abgelehnten Zahlungen.