CVC-Code auf der Kreditkarte: Was er ist, wo er steht und wie er schützt

Was ist der CVC-Code? Definition und Bedeutung

Der CVC-Code ist eine drei- oder vierstellige Kartenprüfnummer auf Kredit- und Debitkarten. Er beweist beim Online-Shopping, dass du die physische Karte in der Hand hältst – ohne sie durch ein Lesegerät zu ziehen.

Die Abkürzung CVC steht für Card Validation Code. Je nach Kartenanbieter heißt dieselbe Funktion anders: CVV, CID, KPN oder CSC – dazu gleich mehr. Entscheidend ist der Zweck: Bei sogenannten Card-not-present-Transaktionen – also Zahlungen, bei denen die Karte nicht physisch vorgelegt wird – ersetzt dieser Code den Nachweis des Kartenbesitzes.

Typische Situationen, in denen der Code abgefragt wird:

• Online-Shopping beim Checkout
• Telefonische Bestellungen
• Manuelle Transaktionen ohne physisches Kartenlesegerät

Am Bezahlterminal im Laden wird er dagegen nie abgefragt. Dort übernimmt der Chip oder Magnetstreifen die Verifikation – kombiniert mit deiner PIN.

Wichtig: Es gibt zwei Varianten des Codes. Der CVC1 ist im Magnetstreifen kodiert und wird bei physischen Kartenzahlungen am Terminal automatisch übertragen – du siehst ihn nie. Der CVC2 ist der aufgedruckte Code, den du beim Online-Checkout eingibst. Wenn im Alltag von „dem CVC-Code“ die Rede ist, ist immer der CVC2 gemeint.

Die Bezeichnungen variieren je nach Anbieter erheblich. Hier ein Überblick aller gängigen Synonyme:

• CVV / CVV2 – Card Verification Value (2) → Visa
• CVC / CVC2 – Card Validation Code (2) → Mastercard
• CID – Card Identification Number → vierstellig, auf der Vorderseite
• KPN – Kartenprüfnummer → allgemeiner deutscher Begriff
• CSC – Card Security Code → herstellerneutraler Begriff
• CVN – Card Verification Number → weitere Variante
• CCV – Card Code Verification → seltenere Schreibweise

All diese Begriffe beschreiben dieselbe Sicherheitsfunktion. Wenn ein Online-Shop nach dem „Sicherheitscode“, der „Kartenprüfnummer“ oder dem „CVV“ fragt, ist immer derselbe aufgedruckte Code gemeint.

Warum ist dieser Code so wichtig? Weil er eine eigenständige Sicherheitsbarriere bildet. Jemand, der deine Kartennummer kennt – etwa durch einen Datenleck –, kann damit allein bei den meisten Online-Shops keine Transaktion abschließen. Ohne den CVC-Code fehlt das entscheidende Puzzlestück. Der Code ist nicht aus der Kartennummer ableitbar und taucht in keinem öffentlich zugänglichen Datensatz auf.

Wo befindet sich der CVC-Code auf der Karte? Position nach Anbieter

Die Position des Sicherheitscodes unterscheidet sich je nach Kartenanbieter – und das ist kein Zufall. Das bewusste Unterscheidungsmerkmal im Design soll Fälschungen erschweren und Nutzer zur genauen Prüfung ihrer Karte anhalten.

Visa und Mastercard: Rückseite, Unterschriftsfeld

Bei Visa- und Mastercard-Kreditkarten findest du den dreistelligen Code auf der Rückseite der Karte. Er befindet sich im oder direkt am Rand des weißen Unterschriftsfeldes – dem hellen Streifen, auf dem du früher deine Unterschrift geleistet hast.

Dort siehst du oft eine längere aufgedruckte Zahlenfolge, zum Beispiel „1234 567“. Die ersten vier Ziffern wiederholen Teile deiner Kartennummer – sie dienen der Identifikation. Die letzten drei Ziffern, meist durch einen kleinen Abstand oder eine Umrandung abgesetzt, sind dein eigentlicher CVC-Code. Manche Karten drucken nur die drei Ziffern ohne die vorangestellte Folge.

Achte darauf: Der Code steht rechts im Unterschriftsfeld, nicht links. Bei manchen Karten ist er auch direkt neben dem Unterschriftsfeld aufgedruckt, leicht eingerückt oder in einer kleinen Box.

Die vierstellige Variante: Vorderseite, rechts über der Kartennummer

Karten mit einem vierstelligen Sicherheitscode tragen diesen auf der Vorderseite der Karte. Er befindet sich rechts oberhalb der geprägten, also erhabenen Kartennummer. Du erkennst ihn daran, dass er kleiner und flacher gedruckt ist als die geprägte Kartennummer darunter.

Das ist ein wichtiges Unterscheidungsmerkmal: Die Kartennummer ist geprägt – du kannst sie ertasten. Der Sicherheitscode ist dagegen nur aufgedruckt und liegt flach auf der Karte. Dieses Detail ist sicherheitsrelevant, denn es bedeutet: Der Code kann nicht durch mechanisches Abdrücken (wie bei alten Kreditkarten-Imprinter-Geräten) kopiert werden.

Aufgedruckt, nicht geprägt – ein wichtiger Unterschied

Alle Sicherheitscodes – egal ob drei- oder vierstellig, Vorder- oder Rückseite – sind ausschließlich aufgedruckt, niemals geprägt. Das gilt für alle Anbieter ohne Ausnahme. Die Kartennummer, der Name und das Ablaufdatum können geprägt sein. Der Sicherheitscode nie.

Warum ist das relevant? Weil geprägte Ziffern maschinell lesbar sind und durch einfaches Abdrücken kopiert werden können. Ein aufgedruckter Code lässt sich so nicht auslesen. Zusammen mit der Tatsache, dass der Code weder im Magnetstreifen noch im NFC-Chip gespeichert ist, entsteht eine Sicherheitsebene, die gezielt gegen bestimmte Angriffsmethoden schützt.

Wenn dein Code durch häufiges Reiben in der Geldbörse unleserlich geworden ist: Nutze die Karte nicht weiter für Online-Transaktionen und beantrage sofort eine Ersatzkarte. Den Code kannst du nicht isoliert erneuern – es braucht immer eine neue Karte.

CVC, CVV, CID: Unterschiede nach Kartenanbieter im Vergleich

Drei Anbieter, drei Bezeichnungen, eine Funktion – aber mit einem entscheidenden Unterschied bei der Stellenanzahl und Position. Wer mehrere Karten besitzt, sollte die Unterschiede kennen.

Visa: CVV und CVV2

Visa nennt seinen Sicherheitscode Card Verification Value, kurz CVV. Die Ziffer 2 im Namen CVV2 verweist auf die zweite Generation des Codes – also den aufgedruckten, für Online-Transaktionen genutzten Code (im Gegensatz zum CVV1 im Magnetstreifen). Der Code ist dreistellig und befindet sich auf der Rückseite im Unterschriftsfeld. Alle Visa-Kredit- und Debitkarten folgen diesem Standard.

Mastercard: CVC und CVC2

Mastercard verwendet die Bezeichnung Card Validation Code, kurz CVC. Auch hier steht die 2 für die aufgedruckte Online-Variante. Dreistellig, Rückseite, Unterschriftsfeld – identische Position wie bei Visa. Im Alltag werden CVV und CVC oft synonym verwendet, was technisch nicht ganz korrekt, aber praktisch irrelevant ist.

Vierstelliger CID: Vorderseite statt Rückseite

Der vierstellige Card Identification Number-Code ist das auffälligste Unterscheidungsmerkmal im Vergleich. Er ist einen Ziffern länger als CVV und CVC, steht auf der Vorderseite der Karte und befindet sich rechts oberhalb der geprägten Kartennummer. Diese bewusste Abweichung im Sicherheitsdesign macht es schwieriger, den Code zu erraten oder durch einfaches Beobachten zu kopieren.

Debitkarten: Gleiche Regeln, gleiche Position

Auch Debitkarten tragen einen Sicherheitscode. Visa Debit und Debit Mastercard verwenden denselben dreistelligen Code an derselben Position wie ihre Kreditkarten-Pendants. Wer also eine Debitkarte für Online-Einkäufe nutzt, gibt denselben Code ein wie bei einer klassischen Kreditkarte.

Die folgende Tabelle fasst alle Unterschiede kompakt zusammen:

Alle drei Codes erfüllen trotz unterschiedlicher Bezeichnungen und Positionen dieselbe Kernfunktion: Sie beweisen beim Online-Checkout, dass die zahlende Person die physische Karte besitzt. Kein Code ist sicherer als der andere – die Unterschiede sind historisch und designtechnisch begründet, nicht sicherheitstechnisch.

Technische Funktionsweise: Wie der CVC-Code Sicherheit gewährleistet

Der CVC-Code wirkt auf den ersten Blick simpel – drei oder vier Ziffern, aufgedruckt. Dahinter steckt jedoch ein durchdachtes Sicherheitskonzept, das mehrere Angriffsvektoren gleichzeitig blockiert.

Kryptografische Berechnung statt Zufallszahl

Der Code ist keine willkürliche Zahl. Er wird auf Basis eines kryptografischen Algorithmus berechnet, der unter anderem die Kartennummer, das Ablaufdatum und einen geheimen Schlüssel des Kartenherausgebers berücksichtigt. Das hat eine wichtige Konsequenz: Der Code ist nicht aus der Kartennummer ableitbar. Wer deine 16-stellige Kartennummer kennt, kann den CVC-Code nicht errechnen – er muss ihn erraten oder stehlen.

Gleichzeitig bedeutet das: Bei jeder neu ausgestellten Karte – ob nach Ablauf, nach Verlust oder nach Kompromittierung – ändert sich auch der CVC-Code automatisch. Die neue Karte hat eine neue Kartennummer, ein neues Ablaufdatum und damit zwangsläufig einen neuen Code.

Nicht im Magnetstreifen, nicht im Chip

Ein häufiges Missverständnis: Viele glauben, der aufgedruckte Code sei auch irgendwo elektronisch gespeichert. Das stimmt nicht. Der CVC2 ist weder im Magnetstreifen noch im NFC-Chip der Karte hinterlegt. Im Magnetstreifen steckt der CVC1 – eine andere, für physische Transaktionen genutzte Variante. Der aufgedruckte CVC2 existiert ausschließlich auf der Kartenoberfläche.

Das macht ihn immun gegen eine der häufigsten Angriffsmethoden: Skimming. Dabei lesen Kriminelle mit manipulierten Kartenlesegeräten die Daten vom Magnetstreifen aus. Den aufgedruckten CVC2 können sie so nicht erbeuten – er ist schlicht nicht dort gespeichert.

Händler dürfen den Code nicht speichern

Nach einer Transaktion ist der CVC-Code für den Händler wertlos – und er darf ihn auch nicht aufbewahren. Die PCI-DSS-Richtlinien (Payment Card Industry Data Security Standard) verbieten es Händlern und Zahlungsdienstleistern ausdrücklich, den CVC-Code nach Abschluss einer Transaktion zu speichern, zu verarbeiten oder auf Belegen abzudrucken. Das gilt auch für verschlüsselte Speicherung.

Warum ist das wichtig für dich? Weil es bedeutet: Selbst wenn ein Online-Shop gehackt wird und Kundendaten gestohlen werden, sollte der CVC-Code in den gestohlenen Daten nicht enthalten sein – vorausgesetzt, der Händler hält sich an die Regeln. Ein Datenleck bei einem seriösen Shop liefert Angreifern also Kartennummern und Ablaufdaten, aber keinen CVC-Code.

Abgrenzung zu PIN und 3D Secure

Der CVC-Code ist eine von drei Sicherheitsebenen, die sich gegenseitig ergänzen:

• PIN: Schützt bei physischen Transaktionen am Terminal. Ohne PIN keine Abhebung am Geldautomaten, keine Zahlung im Laden. Nützt online nichts.
• CVC-Code: Schützt bei Card-not-present-Transaktionen. Beweist den physischen Kartenbesitz ohne Terminal. Nützt am POS-Terminal nichts.
• 3D Secure: Zusätzliche Authentifizierungsebene für Online-Zahlungen, oft per SMS-TAN oder App-Bestätigung (z. B. Verified by Visa, Mastercard Identity Check). Ergänzt den CVC-Code, ersetzt ihn aber nicht.

Alle drei Systeme können kombiniert eingesetzt werden. Bei einer vollständig gesicherten Online-Transaktion gibst du CVC-Code ein und bestätigst anschließend per 3D Secure in deiner Banking-App. Zwei unabhängige Faktoren, die beide überwunden werden müssten.

Noch ein wichtiger Punkt: Der Code kann nicht isoliert geändert werden. Wenn dein Code kompromittiert wurde oder unleserlich ist, gibt es nur eine Lösung: eine neue Karte mit neuer Nummer, neuem Ablaufdatum und neuem Code beantragen.

Kartenbetrug in Deutschland 2024: Zahlen, Fakten und Risiken

Kartenbetrug ist kein abstraktes Risiko. Die Zahlen aus Deutschland zeigen, wie real und wie häufig er ist – und warum der Schutz des CVC-Codes keine Kleinigkeit ist.

743.472 Betrugsfälle – und das ist nur der Anfang

Im Jahr 2024 wurden in Deutschland insgesamt 743.472 Betrugsfälle erfasst – ein leichter Rückgang von 1,5 % gegenüber dem Vorjahr. Klingt nach einer guten Nachricht. Doch dazu kommen noch einmal 513.518 Fälle, die aus dem Ausland heraus begangen wurden. Die Gesamtdimension ist also erheblich größer als die reine Inlandszahl suggeriert.

Kartenbetrug mit und ohne PIN im Vergleich

Besonders aufschlussreich ist der Vergleich zwischen Kartenbetrug mit PIN und ohne PIN – also zwischen physischen und Online-Transaktionen:

• Mit PIN: 23.905 Fälle, Schaden über 38,2 Millionen Euro, Aufklärungsquote 29,0 %
• Ohne PIN: 15.170 Fälle, Schaden 6,8 Millionen Euro, Aufklärungsquote nur 18,2 %

Zwei Erkenntnisse stechen heraus: Erstens ist der durchschnittliche Schaden pro Fall bei PIN-Betrug deutlich höher – das liegt daran, dass Bargeldabhebungen oft hohe Einzelbeträge betreffen. Zweitens ist die Aufklärungsquote bei Betrug ohne PIN mit 18,2 % erschreckend niedrig. Weniger als jeder fünfte Fall wird aufgeklärt. Das bedeutet: Wer Opfer eines Online-Kartenbetrugs wird, hat eine hohe Wahrscheinlichkeit, dass der Täter nie gefasst wird.

Jeder dritte Deutsche bereits betroffen

Laut einer Studie aus dem Jahr 2025 war bereits jeder dritte Deutsche Opfer eines Betrugs oder Betrugsversuchs bei Online-Zahlungen. Das ist keine Randgruppe – das ist ein Massenphänomen. Gleichzeitig ist Phishing mit 75 % der Befragten die bekannteste Betrugsmethode. Bekannt bedeutet aber nicht geschützt: Viele erkennen Phishing-Versuche erst im Nachhinein.

Warum CVC-Code-Diebstahl besonders gefährlich ist

Die niedrige Aufklärungsquote bei PIN-losen Transaktionen zeigt das Problem: Online-Betrug ist schwer zu verfolgen, oft grenzüberschreitend und technisch komplex. Wer CVC-Code, Kartennummer und Ablaufdatum eines Opfers besitzt, kann bei vielen Shops sofort einkaufen – ohne physische Karte, ohne PIN, ohne weitere Hürde. Die einzige Barriere, die dann noch greift, ist 3D Secure – sofern aktiviert.

Das folgende Diagramm zeigt die Fallzahlen und Schäden im direkten Vergleich:

Die Zahlen machen deutlich: Kartenbetrug ohne PIN – also der Typ, bei dem der CVC-Code die letzte Verteidigungslinie ist – hat zwar niedrigere Fallzahlen, aber eine besonders niedrige Aufklärungsquote von 18,2 %. Jeder gestohlene Code kann direkt zu einer nicht rückgängig zu machenden Transaktion führen.

CVC-Code schützen: Sicherheitstipps für den Alltag

Der beste Schutz vor Kartenbetrug beginnt mit dem richtigen Umgang mit deinem CVC-Code. Die meisten Betrugsfälle passieren nicht durch technische Angriffe auf Bankserver, sondern durch menschliche Fehler – Unachtsamkeit, Vertrauen in gefälschte Seiten, unbedachte Weitergabe.

Den Code niemals digital speichern

Das klingt selbstverständlich, ist es aber nicht. Viele Menschen fotografieren ihre Karte, um die Daten griffbereit zu haben. Andere speichern Kartennummer und CVC-Code in Notiz-Apps, Passwort-Managern oder Cloud-Diensten. All das ist gefährlich. Wird dein Smartphone gestohlen, dein Cloud-Account gehackt oder dein Passwort-Manager kompromittiert, liegen alle Kartendaten offen.

Die Regel ist einfach: Der CVC-Code gehört ausschließlich auf die physische Karte. Kein Screenshot, keine Notiz, keine Sprachmemo, kein Foto.

Niemals per E-Mail, SMS oder Messenger weitergeben

Seriöse Banken, Zahlungsdienstleister und Online-Shops fragen niemals aktiv nach deinem vollständigen CVC-Code per E-Mail oder Telefon. Wenn jemand dich kontaktiert und nach dem Code fragt – egal wie überzeugend die Geschichte klingt –, ist das ein sicheres Zeichen für einen Betrugsversuch.

Phishing-E-Mails imitieren oft täuschend echt die Optik deiner Bank. Sie behaupten, dein Konto sei gesperrt, eine Zahlung müsse bestätigt werden oder es gebe verdächtige Aktivitäten. Der Link führt auf eine gefälschte Seite, die deine Kartendaten abgreift. Erkennungsmerkmale:

• Dringende Aufforderung zur sofortigen Handlung
• Leicht abweichende Absenderadresse (z. B. „service@deine-bank-sicher.de“)
• Link-URL stimmt nicht mit der echten Bank-Domain überein
• Abfrage von CVC-Code, PIN oder vollständiger Kartennummer auf einer Webseite

Was tun bei abgeriebenem Code oder Kartenverlust?

Ist dein CVC-Code durch Abrieb unleserlich geworden, solltest du die Karte sofort für Online-Transaktionen aus dem Verkehr ziehen. Kontaktiere deinen Kartenanbieter und beantrage eine Ersatzkarte. Versuche nicht, den Code durch Raten oder aus alten Unterlagen zu rekonstruieren.

Bei Verlust oder Diebstahl der Karte gilt: Sofort sperren. Die zentrale Sperrhotline in Deutschland ist die 116 116. Aus dem Ausland erreichst du sie unter +49 116 116. Die Hotline ist rund um die Uhr erreichbar und gilt für alle deutschen Banken und Kartenanbieter.

Nach der Sperrung: Kontoauszüge der letzten Tage auf unberechtigte Abbuchungen prüfen. Bei festgestelltem Betrug Anzeige bei der Polizei erstatten – das ist wichtig für die Rückbuchung und für die Statistik, die Behörden bei der Verfolgung von Betrugsnetzwerken hilft.

Rechtliche Schutzwirkung für Händler

Ein oft übersehener Aspekt: Die CVC-Abfrage schützt nicht nur dich als Karteninhaber, sondern auch den Händler. Online-Shops, die bei höheren Beträgen auf die CVC-Abfrage verzichten, haften im Zweifel selbst bei missbräuchlicher Kartennutzung. Das ist ein starker Anreiz für Händler, die Abfrage konsequent einzusetzen. Als Käufer solltest du misstrauisch werden, wenn ein Shop keine CVC-Abfrage durchführt – das kann ein Hinweis auf mangelnde Sicherheitsstandards sein.