Zahlungssicherheit im Netz: So schützen Sie Ihre Daten

Das Vorhängeschloss beweist weniger, als Sie denken

Jeder prüft das Vorhängeschloss, bevor er eine Kartennummer eintippt. Es beweist, dass die Verbindung verschlüsselt ist, sodass jeder, der die Daten abfängt, verschlüsselte Zeichen sieht. Das ist alles, was es beweist. Es sagt nichts darüber, ob der Laden ehrlich ist, und nichts darüber, was mit Ihrer Nummer passiert, nachdem sie auf dem Server des Händlers gelandet ist. Der Schutz, der wirklich zählt, sitzt hinter der Seite: PCI-DSS-Regeln, die Händler, die Kartendaten verarbeiten, zu strengen Sicherheitsstandards zwingen, und ein 3-D-Secure-Schritt wie Verified by Visa oder Mastercard SecureCode, der meist einen Code per SMS auf Ihr Telefon schickt. Jede Ebene existiert, weil die darüber versagen kann.

Zahlen Sie mit etwas, das nicht Ihre Karte ist

Apple Pay, Google Pay und PayPal sitzen aus einem Grund zwischen Ihnen und dem Händler: Der Händler erhält ein Token, das nur für diese eine Transaktion gültig ist, niemals Ihre echte Kartennummer. Wird der Händler gehackt, ist das gestohlene Token wertlos. Tippen Sie die Nummer direkt ein, und Ihre echte Karte ist das, was bei einem Datenleck herausfliegt. Der Preis sind ein paar zusätzliche Sekunden an der Kasse gegen eine Kartennummer, die der Händler nie zu sehen bekommt. Nehmen Sie diesen Tausch jedes Mal vor.

Zwei Gewohnheiten entscheiden den größten Teil des Ausgangs

Passwörter wiederzuverwenden ist der größte einzelne Fehler beim Online-Shopping und der, dem sich die Menschen am meisten widersetzen, weil einzigartige Passwörter lästig zu merken sind. Ein Passwortmanager wie Bitwarden, 1Password oder LastPass nimmt die Ausrede weg: Er erzeugt und speichert ein anderes Passwort für jedes Konto. Wird eine Shopping-Seite gehackt, bekommen Angreifer ein Konto, nicht alle. Behandeln Sie das als nicht verhandelbar, denn die Alternative ist, jedes Konto zurückzusetzen, das je das Passwort geteilt hat.

Die Zwei-Faktor-Authentifizierung läuft nach derselben Logik. Selbst mit gestohlenem Passwort bleibt das Konto ohne den zweiten Faktor verschlossen, meist ein Code, der auf Ihr Telefon geschickt oder von einer App erzeugt wird. Der Preis sind ein paar Sekunden pro Login. Der Preis des Verzichts ist die Aufräumliste weiter unten, die mit dem Einfrieren einer Karte beginnt und mit 12 Monaten Überwachung Ihrer Kreditauskunft endet.

Virtuelle Karten für die Käufe, denen Sie ohnehin misstrauen

Viele Banken bieten inzwischen virtuelle Kartennummern an: vorübergehende Nummern, die mit Ihrem echten Konto verknüpft sind und nach einmaliger Nutzung oder nach einem festgelegten Ausgabelimit ablaufen. Nutzen Sie sie für genau die Käufe, um die es auf dieser Seite geht: Einmalbestellungen bei unbekannten Händlern, internationale Käufe in neuen Shops, Gratistests, die eine Karte verlangen. Bei den Tests setzen Sie das Limit auf $1, damit aus dem Test keine Abbuchung wird. Der Preis ist eine Minute Verwaltung pro Kauf, und der Gewinn ist ein Händler, der nichts Dauerhaftes über Ihre echte Karte erfährt.

Phishing ist ein Rechtschreibtest

amazonn.com statt amazon.com. paypal.security-check.com statt paypal.com. Ein Buchstabe oder ein paar Zusatzwörter sind der ganze Unterschied zwischen einer Kasse und einer Falle. Der Druck tut den Rest: „Ihr Konto wird geschlossen!“ und „Verdächtige Aktivität erkannt!“ sind geschrieben, damit Sie handeln, bevor Sie hinschauen. Anhänge von unbekannten Absendern sind feindlich, bis das Gegenteil bewiesen ist, besonders .exe-, .zip- oder makrofähige Dokumente. Eine Regel klärt die meisten Fälle: Seriöse Unternehmen bitten nie per E-Mail oder SMS um Ihre Kartennummer, Ihren CVV oder Ihr Passwort. Im Zweifel tippen Sie die Adresse selbst in Ihren Browser, statt auf den Link zu klicken.

Ihr Gerät ist Teil der Transaktion

Der ganze Händler-Schutz nützt nichts gegen einen Keylogger auf Ihrem eigenen Rechner. Die Abwehr ist unglamourös: Halten Sie das Betriebssystem aktuell, damit Sicherheitspatches bekannte Lücken schließen, betreiben Sie ein Antivirenprogramm, das Keylogger und kartenstehlende Malware erwischt, und behandeln Sie öffentliches WLAN als Ort zum Stöbern, nicht zum Kaufen. Wenn Sie dort zahlen müssen, verschlüsselt ein VPN die Verbindung. Ein Sperrbildschirm – ob PIN, Passwort oder Biometrie – verhindert, dass ein verlorenes Telefon zum Spendierfest wird, und „iPhone suchen“ oder „Mein Gerät finden“ lässt es sich aus der Ferne orten oder löschen. Die Reibung sind Sekunden pro Tag; die Alternative ist ein Fremder mit Ihrer entsperrten Brieftasche.

Wenn die Karte schon weg ist

Schnelligkeit schlägt Cleverness. In dieser Reihenfolge:

1. Kontaktieren Sie Ihre Bank oder Ihren Kartenherausgeber und frieren Sie die kompromittierte Karte ein
2. Prüfen Sie letzte Transaktionen und bestreiten Sie alles, das Sie nicht autorisiert haben
3. Fordern Sie eine neue Kartennummer an
4. Ändern Sie Passwörter auf jedem Konto, das dieselben Zugangsdaten verwendet
5. Überwachen Sie Ihre Kreditauskunft für die nächsten 12 Monate
6. Legen Sie einen Betrugsalarm oder einen Kreditstopp bei den großen Kreditbüros an
7. Melden Sie es der zuständigen Stelle: der FTC in den USA, Action Fraud in Großbritannien

Schritt 4 ist der, den die Leute überspringen, und es ist der Schritt, der aus einer gestohlenen Karte eine gestohlene Identität macht. Die Kartennummer stirbt mit einem Telefonat; das wiederverwendete Passwort nicht.

Die Regel, die jede Checkliste schlägt

Jede Ebene auf dieser Seite existiert, weil die darüber versagt hat, also hören Sie auf, sie wie ein Menü zu behandeln. Setzen Sie die Reibung dort ein, wo der Ausfall am wahrscheinlichsten ist: Ein Passwortmanager plus 2FA schließt das größte Loch für ein paar Sekunden pro Login, und eine virtuelle Karte deckt den zwielichtigsten Kauf für die Minute ab, die ihre Erzeugung dauert. Das Vorhängeschloss war nie der Schutz. Die Regel ist, dass Ihre echte Kartennummer nie weiter reist als bis zu Ihrer Bank und Ihrer Brieftasche – alles andere auf dieser Seite ist die zweite Linie für den Tag, an dem die erste versagt. Für den Rest der praktischen Grundregeln dieser Seite ist die Seite mit den häufig gestellten Fragen der bessere erste Halt.