Card Testing nutzt Ihren Checkout, um herauszufinden, welche gestohlenen Karten noch funktionieren. Jemand kauft eine Liste mit Kartennummern und probiert sie massenhaft aus, mit kleinen Zahlungen oder durch das Speichern einer Karte, und behält die, die Ihr Zahlungsanbieter akzeptiert. Stripe nennt als weitere Namen Carding, Account Testing, Enumeration und Card Checking; OWASP nennt es Carding, „mehrere Zahlungsautorisierungsversuche, um die Gültigkeit gestohlener Zahlungskartendaten in großer Menge zu prüfen“. Es läuft per Skript, denn eine Liste lohnt sich nur in großer Zahl.
Was Card Testing Sie kostet
- Disputes. Einige Testzahlungen gelingen, die Karteninhaber sehen sie und melden Betrug, und jede kann zu einem Dispute mit Gebühr werden.
- Die Zahlungen Ihrer echten Kunden. Tausende Ablehnungen unter Ihrem Namen lassen Kartenherausgeber jede Ihrer Zahlungen als riskanter sehen, und Stripe warnt, dass legitime Zahlungen dann häufiger abgelehnt werden können, auch nachdem die Tests aufgehört haben.
- Gebühren und Last. Autorisierungsgebühren bei manchen Preismodellen und eine Welle von Anfragen, die Ihre Server und Ihr Anbieter beantworten müssen.
- Die Aufmerksamkeit der Kartennetzwerke. Visa zählt mit: Seit Juni 2025 markiert sein Acquirer-Monitoring-Programm einen Händler, dessen Enumeration-Autorisierungen 20 % aller seiner Autorisierungen erreichen, mit mindestens 300.000 davon in einem Monat.
- Ihre Zahlen. Die kleinen Zahlungen des Testers sehen in Ihren Daten wie neue Kunden aus.
Wie es sich in Ihren Zahlungen zeigt
Stripe nennt die üblichen Symptome:
- ein sprunghafter Anstieg fehlgeschlagener oder blockierter Zahlungen;
- ein sprunghafter Anstieg abgelehnter Anfragen, viele mit einer allgemeinen Ablehnung;
- mehr kleine Zahlungen, oft mit unsinnigen Namen und E-Mail-Adressen.
Beobachten Sie auch das Speichern von Karten, nicht nur die Zahlung. Stripe merkt an, dass Tester es bevorzugen, weil eine im Konto gespeicherte Karte meist nicht auf der Abrechnung des Karteninhabers erscheint, sodass niemand sie meldet.
Warum eine einzelne Maßnahme nicht reicht
Tester wechseln Karten, Adressen und Sitzungen, sodass ein Filter auf ein einzelnes Signal, etwa die IP-Adresse, laut Stripe für sich allein meist nicht reicht. Stripe rät zu mehreren Maßnahmen auf den Routen, die eine Karte speichern oder eine Zahlung annehmen: ein auf dem Server geprüftes CAPTCHA, ein Login vor der Zahlung, Rate Limits und eine Kombination davon. Jede fügt einen Schritt hinzu, und der trifft Ihre Käufer ebenso wie das Skript.
Fragen, bevor Sie belasten
Ein Testskript schickt seine Anfragen meist direkt an Ihre Zahlungsroute und lädt nie Ihre Checkout-Seite. Bot Protection beurteilt die Anfrage, bevor Ihr Server den Zahlungsanbieter aufruft, und auf dieser Route können Sie einen Nachweis verlangen, dass die Seite wirklich besucht wurde: eine Aktion, die den Tag braucht. Setzen Sie sie auf den POST, der die Karte belastet, den, der eine Karte speichert, und den, der eine Geschenkkarte einlöst. Dann handeln Sie nach der Klasse:
bot_high: ablehnen, mit derselben Meldung, die eine abgelehnte Karte zeigt, oder mit einer Köder-Antwort, damit das Skript nichts über seine Karten erfährt.bot: zuerst Ihre eigene Prüfung verlangen, etwa 3-D Secure, oder den Käufer über die Challenge-Seite schicken.unknown,human,human_high: die normale Zahlung.
Beginnen Sie im Monitor-Modus: Niemand wird gestoppt, und jede Antwort sagt, was der Block-Modus getan hätte, sodass Sie sehen, wie viele Anfragen an Ihren Checkout von Skripten kommen, bevor Sie ihn einschalten. Die vollständige Einrichtung, Route für Route und Sprache für Sprache, steht in einen Checkout schützen.
Nach der Zahlung
Erstatten Sie die kleinen Zahlungen, die durchgekommen sind, bevor die Karteninhaber sie anfechten, wie Stripe rät. Senden Sie dann das Ergebnis der Zahlung als Feedback zurück: Ein Chargeback oder ein bestätigter Betrug belastet die nächsten Entscheidungen über denselben Browser, ein guter Kunde hebt sie an.
Fail-open bleiben
Die Prüfung sitzt in Ihrem Checkout, also darf sie ihn nie anhalten. Nutzen Sie einen kurzen Timeout und lassen Sie den Käufer bei jedem Fehler durch: Ein paar Testzahlungen während eines Ausfalls kosten weniger als ein Checkout, der nicht antwortet. Mehr dazu in warum eine Bot-Prüfung fail-open sein muss.
Quellen
Geprüft am 28. Oktober 2026.