> > Bitte mitmachen, es fehlen noch viele BKZ, DDR-Meldestellen und KWEA < <

Aktuell: Telekomischer Lifestyle

Kreditkarten

und verwandte Systeme

Allgemeines

Von vornherein sei deutlich gesagt: Eine validierte Kreditkartenummer besagt nur, daß die Ziffernfolge aller Wahrscheinlichkeit nach richtig übermittelt worden ist. Sie macht jedoch keinerlei Aussage über den Kunden (Bonität, Kreditwürdigkeit), nicht einmal darüber ob diese Kreditkarte tatsächlich existiert. Diese Fragen können nur durch eine direkte Verbindung (telefonische Nachfrage, online mit dem Rechenzentrum) mit dem Kreditkartenunternehmen beantwortet werden.

Struktur

Unabhängig von der in der Tabelle beschriebenen Struktur der Kartennummer existieren noch weitere relevante Nummern:

• BIN — Bank Identifikation Number (Bankleitzahl):
  

  Die ersten sechs Ziffern der Kartenummer identifzieren die ausgebende Bank. Diese Bankleitzahl ist aber nicht mit der für Kontoverbindungen identisch.

• AVS — Address Verification System (Adreßverifizierung):
  

  Vom Kunden werden Postleitzahl und Hausnummer erfragt und zur Überprüfung üb ermittelt. Die Bank liefert als Ergebnis einen Wert für Übereinstimmung, teilweise Übereinstimmung oder falsch zurück. Es ist jetzt von Händler abhängig, ob er die Transaktion durchführen will oder nicht.

• CVC/CVV — Card Verification Code/Card Verification Value (Kartenverifizierungscode/~wert):
  

  Beide Ausdrücke beschreiben dasselbe, bei VISA wird er der Begriff CVV, bei MasterCard CVC verwendet. Dieser Wert wird bei einer Transaktion an einem Zahlungsterminal (POS) direkt vom Magnetstreifen gelesen und kann währenddessen verifiziert werden (vgl. auch CVC2/CVV2/CSC).

• CVC2/CVV2/CSC/4DBC/Kartenprüfnummer (KPN) — Card Verification Value/Card Verification Code/Card Security Code/Four-digit batch code (Kartenverifizierungscode/~wert 2/Kartensicherheitscode) [4, 5 ,6, 7]:
  

  Bei Transkationen bei denen die Karte in kein Lesegerät eingeführt wird und dem Händler micht physisch vorliegt (sog. CNP-Transaktionen [Card-Not-Present] wie MOTO-Geschäfte [Mail-Order, Telefon-Order]) kann der CVC/CVV nicht gelesen und geprüft werden. Deshab wurde der CVC2/CVV2 als zusätzliches Sicherheitsmerkmal eingeführt. Hierbei handelt es sich um eine auf die Karte aufgedruckte (also keine Reliefprägung) Ziffenfolge die bei Ferngeschäften vom Händler abgefragt werden kann. Sie dient als Beweis, daß die Karte tatsächlich beim Kunden vorliegt. Der aufgedruckte Wert taucht, im Gegensatz zu Name, Verfalldatum und Kartennummer, in keinem Beleg auf und soll auch bei Transkationen über das Internet nur abgefragt, aber nicht abgespeichert werden. Dadurch soll Betrug wenn nicht ausgeschlossen, zumindest aber erschwert werden. Wenn also bei einer Transkation nach der Kartenprüfnummer oder dem Sicherheitscode gefragt wird, ist damit der CVC2/CVV2/CSC gemeint.

  Eigenschaften des CVC2/CVV2

  Karte	Name	Länge	Ort	seit
  AMEX	CSC 4DBC	4	Vorderseite, rechts oberhalb der Prägung
  Eurocard/MasterCard	CVC2	3	Rückseite, letzte drei Ziffern im Unterschriftenfeld	01.01.1997
  VISA	CVV2			01.01.2001

  
  

  Errechnet wird der CVC2/CVV2 mit dem geheimen Schlüssel (DES-Algorithmus) des Kartenausstellers anhand von Kartennummer und Gültigkeitsdatum.

  Die Einführung dieses Sicherheitsmerkmales reduziert nicht nur den Betrug, sondern hat auch Konsequenzen für den Karteninhaber. Da es äußerst schwierig ist zu einer gegebenen Kartennummer den passenden CVC2/CVV2/CSC zu erraten, kann es für den Karteninhaber schwieriger sein, sich bei Betrug zu rechtfertigen und die Zahlung abzulehnen. Insofern kann man nur hoffen, daß sich die Händler daran halten und tatsächlich keine CVC2/CVV2/CSC in ihren Systemen speichern.

• MID — Merchant Identifikation Number (Händlernummer):
  

  Die MID identifiziert jeden kartenakzeptierenden Händler gegenüber der Bank und dient nur der Abrechnung zwischen Händler und Bank.

Eine ausführliche Schnittstellenbeschreibung für VisaNet - über welches nicht nur Zahlungen von VISA abgewickelt werden - ist ebenfalls frei verfügbar. [7, 8]

Prüfziffer

Berechnung

Vor der Berechnung der Prüfziffer ist zu beachten, daß je nach Karte das Präfix in die Berechnung mit einfließt oder eben auch nicht:

Kreditkarte	Präfix (x) berüksichtigen
Karten mit Zahlungsfunktion
American Express	ja*
Carte Blanche
Diner’s Club
Discover	nein
EnRoute
JCB
MasterCard/Eurocard	ja
Visa	ja
Karten ohne Zahlungsfunktion
Bahncard	ja
Miles & More	ja

* Es gibt auch eine Reihe anderslautender Meinungen dazu. Ich konnte jedoch bei meinen Tests ohne Berücksichtigung des Präfixes nie eine AMEX korrekt berechnen.

1. Beginnend von rechts werden alle Ziffern abwechselnd mit 1 und 2 gewichtet (PZ = 1. Stelle = Gewicht 1).
2. Die Quersumme über alle Produkte wird errechnet.
3. Von der Quersumme wird der ganzzahlige Rest zum nächst kleineren Vielfachen von 10 bestimmt (Modulo 10).
4. Die Prüfziffer ergibt sich nach Substraktion des Restes von 10.

• Ist die Differenz 10, gilt p = 0

4509 4721 4054 900p
4 = Visa, Präfix wird berücksichtigt.

Nummer	Schritt 1: Gewichtung	Schritt 2: Produkte für Quersumme
4	2	8
5	1	5
0	2	0
9	1	9
4	2	8
7	1	7
2	2	4
1	1	1
4	2	8
0	1	0
5	2	10
4	1	4
9	2	18
0	1	0
0	2	0
p	1	-
Quersumme		64
Schritt 3: Summe mod 10		64 ÷ 10 = 6 Rest 4
Schritt 4: Differenz		10 - 4
Endergebnis Prüfziffer		6
4509 4721 4054 9006

Validierung

Die Validierung einer gegebenen Nummer erfolgt durch Anwendung des Verfahrens auf die gesamte Nummer (inkl. der Prüfziffer). Für eine gültige Nummer muß dann für die Summe s mod 10 = 0 gelten.

Testnummern

Kreditkarte	Testnummer
American Express	3400 000000 00009
Carte Blanche	3000 0000 0000 04
Diner’s Club	3000 0000 0000 04 3600 0000 0000 08
Discover	6011 0000 0000 0004
EnRoute	2014 0000 0000 009
JCB	3088 0000 0000 0009
MasterCard	5500 0000 0000 0004
Visa	4111 1111 1111 1111

Bemerkungen

Zum Abschluss ein praktischer Tipp für Kreditkartenbenutzer oder solche die es werden wollen:
Man sollte darauf achten für Girokonto und Kreditkarte immer zwei verschiedene, voneinander unabhängige Banken zu wählen. Sollte es an einer Stelle irgendwelche Probleme geben, so wirken sich diese nicht umgehend auch auf die andere Stelle aus. Generell ist es niemals gut alle Transaktionen über eine zentrale Stelle abzuwickeln wenn es nicht unbedingt notwendig ist. Über das Bankgeheimnis als solches braucht man sich in Deutschland sowieso bis auf Weiteres keine Gedanken zu machen, da es faktisch nicht existiert. Die Behörden haben jederzeit einen automatisierten Zugriff, auch auf gelöschte Konten.[9]

Referenzen

1. Online Kreditkartencheck:
   http://WWW.set4u.AT/internet/tools.asp
2. Online Kreditkartencheck:
   http://WWW.Beachnet.com/~hstiles/cardtype.html
3. http://WWW.ASPheute.com/PrinterFriendly/20000628.htm
4. VisaNet Business Enhancements Technical Letter, Update Bulletin #1, 18.06.1998
5. Visa Announces Card Verification Value 2 Card-not-present Implementation Dates, VisaNet Processor Digest, 7/1998
6. Member Implementation Guide and Certification Guide, VisaNet Processor Digest, 8/1998
7. EIS - External Interface Specification (Second Generation) (Final EIS 1080 v6_3.pdf)
8. Vital
   http://WWW.vitalps.com/sections/int/int_Interfacespecs.html
9. Gläserne Bankkonten — Automatisierter Abruf von Kontoinformationen. A. Beck. Attraktor 11/2004

Hat Ihnen die Information weitergeholfen?
Ein kleine Anerkennung auf rein freiwilliger Basis ist stets willkommen.
Bitcoin: 1GPBNB6YKKR4cZNLneDLKGGWrtQdxT6NBa