GermanWikipedia - /page/entry.mu

Micron Document

<!DOCTYPE html>

<title>Card Validation Code</title>

</head>

<h1 id="firstHeading" class="firstHeading mw-first-heading"><span class="mw-page-title-main">Card Validation Code</span></h1>

</header>

</div>

<p>Der <b>Card Validation Code</b> (<b>CVC</b>) (auch <b>Card Verification Value</b> (<b>CVV</b>), <b>Card Verification Number</b> (<b>CVN</b>), <b>Card Security Code</b> (<b>CSC</b>), <b>Card Code Verification</b> (<b>CCV</b>), <b>Kartenprüfnummer</b> (<b>KPN</b>)) oder <b>Sicherheitscode</b> ist ein <a href="Sicherheitsmerkmal" title="Sicherheitsmerkmal">Sicherheitsmerkmal</a> auf <a href="Kreditkarte" title="Kreditkarte">Kreditkarten</a>.

</p><p>Die Prüfnummer soll die Nutzung von gefälschten oder gestohlenen Kreditkartenangaben erschweren, da sich hiermit feststellen lassen soll, ob eine Kreditkarte tatsächlich physisch vorliegt.

</p>

<div class="mw-heading mw-heading2"><h2 id="Funktion">Funktion</h2></div>

<p>Das aktuell gebräuchliche Format heißt <b>CVC2</b>. Es handelt sich dabei um eine drei- oder vierstellige Zahlenkombination, die zusätzlich zur Kreditkartennummer auf der Kreditkarte aufgedruckt (nicht geprägt) ist. Dadurch ist die Prüfnummer nicht <a href="Maschinenlesbarkeit" title="Maschinenlesbarkeit">maschinenlesbar</a>. Sie kann ausschließlich vom ausgebenden Kreditinstitut verifiziert werden, da es keinen mathematischen Zusammenhang zur Kartennummer gibt. Einige Kreditinstitute erstellen die Prüfziffer mit dem <a href="Data_Encryption_Standard" title="Data Encryption Standard">DES</a>-Algorithmus u. a. aus Kartennummer und Gültigkeitsdatum.<sup id="cite_ref-1" class="reference"><a href="#cite_note-1"><span class="cite-bracket">[</span>1<span class="cite-bracket">]</span></a></sup>

</p><p>Das vorherige Format <b>CVC</b>, heute <b>CVC1</b> genannt, ist auf dem <a href="Magnetstreifen" title="Magnetstreifen">Magnetstreifen</a> der Karte gespeichert und damit ausschließlich für eine Prüfung einer physisch vorliegenden Karte – nicht per Telefon oder Internet – geeignet.

</p><p>Der CVC darf nach den Richtlinien der Kartenunternehmen<sup id="cite_ref-2" class="reference"><a href="#cite_note-2"><span class="cite-bracket">[</span>2<span class="cite-bracket">]</span></a></sup> lediglich abgefragt, aber weder gespeichert noch verarbeitet (z. B. auf eine Quittung/Rechnung gedruckt) werden. Dies soll sicherstellen, dass der CVC bei jeder Transaktion erneut abgefragt werden muss.

</p><p>Bei Online-Transaktionen ist es heutzutage üblich, zur Authentifizierung des Karteninhabers die Anschrift (<a href="Address_Verification_System" title="Address Verification System">Address Verification System</a>, AVS) und/oder den CVC2 während der Erfassung der Zahlungsdetails abzufragen, obwohl dies letztlich eine Verarbeitung bzw. Speicherung darstellen kann. Unbefugte könnten durch unsichere Übermittlung oder unzulässige Speicherung Zugang zu den Authentifizierungsdaten erhalten und die Sicherheitsmerkmale damit nutzlos machen.

</p>

<div class="mw-heading mw-heading2"><h2 id="Verwendung_des_CVC2">Verwendung des CVC2</h2></div>

<ul><li><a href="Mastercard" title="Mastercard">EuroCard/MasterCard</a> und <a href="VISA_International_Service_Association" class="mw-redirect" title="VISA International Service Association">Visa</a>: Die Prüfnummer ist dreistellig, heißt CVV2 (Card Verification Value 2) und befindet sich auf der Rückseite der Karte.</li>

<li><a href="American_Express" title="American Express">American Express</a>: Die Prüfnummer ist vierstellig, heißt CID (Card Identification #) und befindet sich auf der Vorderseite der Karte.</li></ul>

<div class="mw-heading mw-heading2"><h2 id="Kritik">Kritik</h2></div>

<p>Es wird bemängelt, dass die Prüfnummer leicht zu ermitteln sei, wenn die Kreditkartennummer bekannt ist. Sicherheitsexperten der Tübinger Firma SySS führten dies 2007 in der Sendung <a href="WISO_(Fernsehsendung)" title="WISO (Fernsehsendung)">WISO</a> und 2011 erneut im Auftrag der Wochenzeitung <a href="Die_Zeit" title="Die Zeit">Die Zeit</a> öffentlich vor.<sup id="cite_ref-Fischermann_3-0" class="reference"><a href="#cite_note-Fischermann-3"><span class="cite-bracket">[</span>3<span class="cite-bracket">]</span></a></sup> Die Verschlüsselung durch DES nutze nichts, weil die Prüfnummer einfach durch systematisches Probieren per Anfrage bei verschiedenen Webshops ermittelt werden kann. Manche Webshops schränken nicht einmal die Zahl der Fehlversuche ein, weil sie ungeschickte Kunden, die sich mehrfach vertippen, nicht verprellen möchten. Somit sei die Prüfnummer nutzlos und täusche dem Kunden zusätzliche Sicherheit nur vor.<sup id="cite_ref-Fischermann_3-1" class="reference"><a href="#cite_note-Fischermann-3"><span class="cite-bracket">[</span>3<span class="cite-bracket">]</span></a></sup>

</p>

<div class="mw-heading mw-heading2"><h2 id="Weitergehendes_Verfahren">Weitergehendes Verfahren</h2></div>

<p><a href="3-D_Secure" title="3-D Secure">3-D Secure</a> ist ein weitergehendes Verfahren, mit dem Kreditkarten-Herausgeber versuchen, den <a href="Kreditkartenbetrug" title="Kreditkartenbetrug">Kreditkartenbetrug</a> bei Online-Geschäften einzudämmen. Es beruht darauf, dass während der Transaktion eine Verbindung zum Kartenherausgeber hergestellt wird, damit der Käufer seine Identität dort mittels eines Codes bestätigt.

</p>

<div class="mw-heading mw-heading2"><h2 id="Einzelnachweise">Einzelnachweise</h2></div>

<li id="cite_note-1"><span class="mw-cite-backlink"><a href="#cite_ref-1">↑</a></span> <span class="reference-text">Werner Rockenbach: <a rel="nofollow" class="external text" href="https://web.archive.org/web/20070929103257/http://informatik.bildung-rp.de/fileadmin/user_upload/informatik.bildung-rp.de/InformatikAG/pdf/OOP-Kreditkartenpruefziffer.pdf">Die Prüfziffer der Kreditkarte (nicht mehr vorhanden)</a>.</span>

</li>

<li id="cite_note-2"><span class="mw-cite-backlink"><a href="#cite_ref-2">↑</a></span> <span class="reference-text"><a rel="nofollow" class="external text" href="https://www.pcisecuritystandards.org/documents/pa-dss_v2.pdf">Payment Card Industry Data Security Standard (PCI DSS)</a> (PDF; 393 kB) verbietet die Speicherung vertraulicher Authentifizierungsdaten.</span>

</li>

<li id="cite_note-Fischermann-3"><span class="mw-cite-backlink">↑ <sup><a href="#cite_ref-Fischermann_3-0">a</a></sup> <sup><a href="#cite_ref-Fischermann_3-1">b</a></sup></span> <span class="reference-text">Thomas Fischermann: <i>Lauter Löcher</i>. Die Zeit, 19. Mai 2011. Online unter <a rel="nofollow" class="external autonumber" href="http://www.zeit.de/2011/21/Kreditkarten-Sicherheit">[1]</a>, abgerufen am 5. August 2011.</span>

</li>

</ol>

<div class="mw-heading mw-heading2"><h2 id="Literatur">Literatur</h2></div>

<ul><li>Thomas Lammer (Hrsg.): <i>Handbuch E-Money, E-Payment & M-Payment.</i> Physica-Verlag, Heidelberg 2006, ISBN 3-7908-1651-5.</li></ul></div><div><div class="zim-footer">

Dieser Artikel wurde von <a class="external text" title="Zuletzt bearbeitet am 2025-10-13" href="https://de.wikipedia.org/wiki/?title=Card_Validation_Code&oldid=260549577">Wikipedia</a> herausgegeben. Der Text ist unter <a class="external text" href="https://creativecommons.org/licenses/by-sa/4.0/deed.de">Creative Commons Attribution-Share Alike 4.0</a> verfügbar, sofern nicht anders angegeben. Für die Mediendateien können zusätzliche Bedingungen gelten.

</div>

</div></div>

</div>

</main>

</div>

</body></html>