Wer einen Card-Testing-Angriff beobachtet, sieht jedes Mal dasselbe. Bestellungen des billigsten Artikels im Katalog, die in Schüben eintreffen, jede mit einem anderen Namen und einer anderen Karte und derselben Lieferadresse. Hunderte abgebrochene Checkouts pro Tag, die kein Mensch erzeugt hat. Fast keiner davon geht durch, und genau das lässt viele annehmen, es sei das Problem eines anderen.
Signifyd hat von Januar bis April 2026 gegenüber denselben Monaten in 2025 einen Anstieg der Card-Testing-Angriffe um 175% gemessen und führt ihn auf die automatisierte Prüfung gestohlener Zugangsdaten zurück. Für denselben Zeitraum beziffert das Unternehmen den Betrugsdruck in Nordamerika auf plus 33% und die Versuche zur Kontoübernahme auf plus 78%.
Dass sich das auf Shopify so schwer stoppen lässt, hat nichts damit zu tun, wie gut die Abwehr ist. Es liegt daran, wo sie sitzt.
Was der Angreifer tatsächlich tut
Verwirrend ist das Motiv. Jemand jagt Hunderte Bestellungen durch Ihren Shop und bricht fast alle ab, was nach Vandalismus aussieht, bis man versteht, dass es nie um die Bestellungen ging.
Viele der Kartennummern wurden niemandem gestohlen. Sie wurden erraten. Eine Kartennummer ist nicht zufällig. Die ersten sechs bis acht Ziffern sind die Bank Identification Number, die die ausgebende Bank bezeichnet, und diese Bereiche sind öffentlich. Die letzte Ziffer ist eine Prüfziffer nach der Luhn-Formel, also Arithmetik, die jeder nachrechnen kann. Ein Angreifer wählt eine BIN einer lohnenden Bank, füllt die mittleren Ziffern mit Kandidaten und berechnet die Schlussziffer so, dass jede Nummer strukturell gültig ist. Daraus entsteht ein endloser Vorrat an Nummern, die für jedes Formular echt aussehen, das nur ihre Form prüft.
Strukturell gültig ist weit von brauchbar entfernt. Die meisten dieser Nummern gehören zu gar keinem Konto, und von denen, die zu einem gehören, sind die meisten abgelaufen, gesperrt oder längst gekündigt. Für Nummern aus einem Datenleck gilt dasselbe, denn sie liegen monatelang in einem Dump, bevor jemand sie anfasst.
Der Angreifer hat also einen Stapel Kandidatennummern und keine Ahnung, welche davon leben. Es gibt genau einen Weg, das herauszufinden, und der besteht darin, eine Bank zu fragen. Eine Bank direkt zu fragen kann ein Krimineller nicht. Einen Händler zu fragen ist trivial, denn jeder E-Commerce-Checkout der Welt existiert dazu, eine Karte an einen Zahlungsdienstleister zu reichen und die Antwort zurückzugeben.
Diese Antwort ist das Produkt. Eine Karte, die eine Belastung über zwei Dollar freigibt, ist eine lebende Karte mit gültigem Ablaufdatum und gültiger Prüfnummer, und sie ist auf einem Wiederverkaufsmarkt ein Vielfaches einer ungetesteten Nummer wert. Die Ware ist bedeutungslos. Der Angreifer kauft nicht ein.
Warum Ihr Shop und nicht der eines anderen
Nichts an Ihrem Shop hat das angezogen. Card Testing läuft gegen jeden Checkout, der billig zu erreichen ist, und ein Shopify-Shop ist billig zu erreichen, weil Shopify einheitlich ist. Dieselben URL-Muster funktionieren in jedem Shop der Plattform, ein gegen einen Shop geschriebenes Skript funktioniert also ohne Änderung gegen alle.
Kleine Beträge halten es leise. Angreifer arbeiten in Ein- und Zweierschritten am billigsten Produkt des Katalogs, weil ein kleiner Betrag weniger Aufmerksamkeit von Risikosystemen auf sich zieht und in den seltenen Fällen, in denen er durchgeht, fast nichts kostet. Geschenkkarten und wertlose Artikel sind noch besser, und Händler berichten, dass diese zuerst ins Visier geraten.
Wie sie den Checkout erreichen, ohne je Ihren Shop zu durchstöbern
Das ist der Teil, der überrascht, und ein Exploit steckt nicht darin.
Shopify unterstützt Cart-Permalinks, eine dokumentierte Funktion, die jeder Händler für Anzeigenlinks und E-Mail-Kampagnen nutzt. Eine URL in der Form /cart/{variant_id}:{quantity} baut einen Warenkorb und schickt den Besucher direkt zum Checkout, vorbei an der Produktseite, der Warenkorbseite und allem anderen. Sie existiert, damit eine Black-Friday-Mail jemanden mit einem Tippen in den Checkout befördern kann.
Ein Bot nutzt sie aus demselben Grund wie ein Marketer. Eine Anfrage erzeugt den Warenkorb und landet im Checkout, die Storefront wird vollständig übersprungen. Kommt ein automatisierter Browser dazu, der den Zahlungsschritt bedient, und wird der Verkehr über Adressen aus Residential-Proxys gestreut, damit keine einzelne auffällt, dann läuft das Ganze unbeaufsichtigt.
Nichts an diesem Ablauf ist kaputt oder ungewöhnlich. Der Angreifer nutzt eine unterstützte Funktion genau so, wie sie entworfen wurde, in einem Umfang und zu einem Zweck, die niemand vorgesehen hat.
Der Angriff lädt die Seiten nie, die Sie verteidigen
Händler, die diese Angriffe in Shopifys eigenem Community-Forum schildern, berichten, dass der Verkehr direkt an der Checkout-URL eintrifft, ohne dafür die Storefront zu durchlaufen. Dieses eine Detail erklärt, warum die üblichen Antworten sauber zurückkommen.
Ein Captcha auf der Produktseite bewacht eine Seite, die der Bot nie anfragt. Eine App, die Länder oder Adressen blockiert, filtert Storefront-Sitzungen, die der Bot nie öffnet. Shopifys Betrugsanalyse bewertet abgeschlossene Bestellungen, und ein abgelehnter Card-Testing-Versuch wird nie zu einer. Das Werkzeug, das Betrug fangen soll, hat also nichts vor sich. Ein Händler in diesem Thread berichtet, dass reCAPTCHA umgangen wurde und die Bots weiterhin den Checkout erreichten.
Das berichtete Muster ist einheitlich genug, um es zu erkennen: pro Versuch ein neues Kundenkonto, wechselnde E-Mail-Adressen, die häufig echte aus Datenlecks sind, und darunter eine einzige, immer wieder verwendete Lieferadresse. Das Ziel ist, was am wenigsten kostet. Händler nennen neu angelegte Billigprodukte sowie Geschenkkarten und wertlose Artikel, sofern der Shop sie führt.
Teuer wird das Ignorieren durch das Volumen. Ein Händler berichtet von Hunderten betrügerischer abgebrochener Checkouts pro Tag, ein anderer von einem Angriff, der seit Juni 2025 durchgehend läuft, und ein dritter hat über vier Wochen einen Anstieg der abgebrochenen Checkouts um 18,4% gemessen.
Jede abgelehnte Belastung kostet Sie trotzdem etwas
Diesen Teil unterschätzen Händler, und er ist der Grund, warum ein Shop ohne eine einzige betrügerische Bestellung von einem Angriff trotzdem schwer beschädigt werden kann.
Eine gescheiterte Autorisierungsanfrage ist ein Datenpunkt über Sie, gesendet an die Bank, die sie abgelehnt hat. Genug davon, nah genug beieinander, und Ihr Shop sieht für die Institute, die über die Freigabe Ihrer Kunden entscheiden, nach einem schlechten Risiko aus. Shopify beschreibt das Ergebnis direkt: Fehlgeschlagene Transaktionen verschlechtern das Standing eines Händlers bei den Banken, und rechtmäßige Kunden werden lange nach dem Ende des Angriffs abgelehnt, bei anhaltend gedrückten Autorisierungsraten.
Shopify berichtet, dass bei Händlern unter seinem Schutz 13% mehr der rechtmäßigen Verkäufe freigegeben werden. Lesen Sie das als Größe des Lochs und nicht als Funktion, denn es ist dieselbe Zahl von der anderen Seite betrachtet.
Es gibt eine zweite Kostenstelle ganz ohne Gegenwert. Die betrügerischen Datensätze abgebrochener Checkouts lassen sich nicht entfernen, und Händler berichten, das mit Shopify Flow, dem Admin und der API gleichermaßen bestätigt zu haben. Jede Conversion-Rate, jede Kennzahl zum Warenkorbabbruch und jeder Funnel-Bericht über diese Wochen ist dauerhaft falsch.
Visa überwacht Enumeration jetzt als eigene Kategorie
Das Visa Acquirer Monitoring Program hat die älteren Betrugs- und Chargeback-Programme zu einem einzigen zusammengefasst, mit Schwellenwerten ab dem 1. Juni 2025 und einer Hinweisphase, die am 30. September 2025 endete.
Die zentrale Kennzahl ist ein Verhältnis von Betrug und Chargebacks zu abgerechneten Transaktionen:
VAMP Ratio = Count of [Fraud (TC40) + Disputes (TC15)] / Count of Settled Transactions (TC05)
Für Händler in den USA, Kanada, der EU und im asiatisch-pazifischen Raum lag die Schwelle für exzessives Verhalten bei einer VAMP-Ratio von 220 Basispunkten oder mehr, zusammen mit mindestens 1.500 Betrugs- und Chargeback-Ereignissen im Monat. Diese Schwelle ist am 1. April 2026 auf 150 Basispunkte gefallen.
Darunter steht die Klausel, die speziell für Card Testing gilt. Visa verlangt von Acquirern, Händler unter zwei Enumeration-Schwellen zu halten:
| Kennzahl | Schwellenwert |
|---|---|
| Enumeration Ratio: enumerierte Autorisierungen geteilt durch alle Autorisierungen, freigegebene wie abgelehnte | 2.000 Basispunkte, also 20% |
| Enumeration Transaction Count: enumerierte Transaktionen im Monat, freigegebene wie abgelehnte | 300.000 |
Lesen Sie die erste Zeile genau, denn der Nenner sind Autorisierungsversuche und nicht abgeschlossene Bestellungen. Ein Shop mit bescheidenem Volumen kann während eines einzigen anhaltenden Angriffs 20% seiner Autorisierungsversuche überschreiten und dabei 300.000 Transaktionen nie auch nur annähernd erreichen. Kleine Shops sind hier nicht dadurch geschützt, dass sie klein sind. Sie sind dadurch exponiert.
Visa veröffentlicht die Gebührenbeträge zu diesen Stufen nicht. Zahlungsdienstleister, die das Programm dokumentieren, beschreiben Strafen je Transaktion, die unter der Kennzahl gezählt wird, sobald die Schonfrist endet, und mindestens einer dokumentiert eine frühe Warnstufe ganz ohne Gebühr. Wer die Zahl braucht, sollte seinen Acquirer fragen statt einer Angabe aus einem Blog zu vertrauen, und das schließt die Angaben ein, die mit selbstbewussten Dollarbeträgen kursieren.
Was Shopify tut, und wo es aufhört
Shopify hat im Juni 2026 eine Beschreibung der eigenen Abwehr veröffentlicht, und die Zahlen darin sind ernst zu nehmen.
Sein Machine-Learning-Modell bewertet jeden Zahlungsversuch, bevor er den Dienstleister erreicht, und blockiert rund 90% der Card-Testing-Angriffe auf Gast-Checkouts mit Kreditkarte. Das ist eine echte Abwehr, die echte Arbeit leistet, und sie ist kostenlos, wenn Sie Shopify Payments nutzen.
Der Schutz hat Grenzen. Er gilt für Gast-Checkouts mit Kreditkarte und nur für Händler, die Shopify Payments einsetzen. Rund 90% lassen außerdem etwa einen von zehn Versuchen durch, was bei den von Händlern beschriebenen Volumina immer noch eine erhebliche Zahl täglicher Autorisierungen auf Ihre Raten bedeutet.
Shopify beschreibt auch, wie sich die Angriffe verändert haben, und diese Beschreibung wiegt schwerer als die Prozentzahlen. Moderne Angriffe sind verteilt und laufen mit geringem Volumen über Tausende Händler gleichzeitig, geleitet durch Residential-Proxys, damit sie wie gewöhnlicher Verkehr aussehen. Das ist bewusst darauf ausgelegt, genau die Abwehr auszuhebeln, zu der die meisten zuerst greifen.
Das Edge sieht den Checkout jetzt, was nicht immer so war
Jahrelang lautete der Standardrat, einen Proxy vom Checkout fernzuhalten. Anleitungen, die heute noch kursieren, sagen Shopify-Händlern, sie sollten Checkout-Subdomains unproxied lassen.
Dieser Rat ist überholt, und ihn zu prüfen dauert eine Minute. Rufen Sie die Checkout-URL eines aktiven Shopify-Shops auf, und sie löst auf Ihre eigene primäre Domain auf, in der Form yourdomain.com/checkouts/cn/<token>. Sie liegt nicht auf einem Hostnamen, der Shopify gehört. Eine Zone, die über Cloudflare proxied ist, sieht diese Anfragen und kann auf sie reagieren.
Das ändert, was Ihnen zur Verfügung steht. Ratenbegrenzung, Managed Challenges und WAF-Regeln lassen sich gegen den Pfad schreiben, den der Angriff tatsächlich nutzt, statt gegen die Storefront, die er nie berührt.
Eine Ausnahme sollte man klar aussprechen, statt sie später zu entdecken. Shop Pay und andere beschleunigte Checkouts leiten auf eine Domain um, die Shopify gehört und außerhalb Ihrer Zone liegt, und keine Ihrer Regeln erreicht diesen Pfad.
Regeln, die zum Angriff passen
Veröffentlichte Empfehlungen für Checkout-Pfade beginnen bei etwa 5 bis 10 POST-Anfragen pro IP und Minute und blockieren oder fordern danach für einige Minuten heraus. Das ist niedrig genug, um einen Bot zu stoppen, der auf den Endpunkt hämmert, und hoch genug, um einen echten Käufer in Ruhe zu lassen, der eine abgelehnte Karte erneut versucht.
Staffeln Sie die Strenge nach Pfad, statt sie überall anzuheben. Checkout- und Zahlungspfade verdienen eine strengere Behandlung als das Stöbern im Katalog, und genau darin liegt der Vorteil, am Edge zu regeln statt in einer App, die beides nicht auseinanderhalten kann.
Setzen Sie eine Challenge ein, bevor Sie blockieren. LexisNexis hat ermittelt, dass 56% der US-Einzelhändler und 54% der US-E-Commerce-Händler eine höhere Kundenabwanderung durch ihre eigenen Maßnahmen zur Betrugsabwehr berichten, und das sind echte Kosten, die echte Käufer tragen. Eine Managed Challenge kostet einen falsch Verdächtigten eine Sekunde. Eine Blockade kostet Sie den Verkauf.
Kombinieren Sie Challenge und Ratenbegrenzung, statt sich zwischen beiden zu entscheiden. Eine Challenge greift am Formular. Eine Ratenbegrenzung fängt Anfragen ab, die das Formular nie darstellen, und genau das ist hier das dokumentierte Verhalten.
Akzeptieren Sie, was eine Begrenzung je IP nicht leisten kann. Gegen einen verteilten Angriff, dünn über Residential-Proxys gestreut, ist das Zählen je IP eine Untergrenze und keine Antwort, und die ehrliche Fassung dieses Ratschlags sagt das auch. Ein Händler in diesem Community-Thread berichtet, Tausende Dollar für eine WAF mit begrenztem Erfolg ausgegeben zu haben, und das passiert, wenn gutes Werkzeug auf die falsche Schicht gerichtet wird.
Nehmen Sie dem Angriff das Ziel, bevor Sie irgendetwas justieren
Die billigsten Erfolge sind hier gar keine Regeln, und Händler berichten, dass sie wirken.
Nehmen Sie wertlose Produkte und Geschenkkarten aus der Veröffentlichung, wenn der Shop sie nicht braucht, denn danach greifen die Bots zuerst. Ein Händler berichtet, dass dies zusammen mit dem Wechsel auf einen dreiseitigen Checkout den Großteil des Volumens beseitigt hat.
Zahlungen manuell statt automatisch einzuziehen nimmt das sofortige Autorisierungssignal weg, wegen dem der Angreifer gekommen ist, und macht Ihren Shop zu einem schlechten Prüfstand, was ihn woanders hin treibt.
Keines von beidem verlangt eine WAF, eine App oder ein Gespräch mit Ihrem Acquirer. Beides senkt die Attraktivität des Ziels, und das ist eine haltbarere Antwort, als einen Angreifer zu übertunen, der Adressen schneller wechseln kann, als Sie sie auflisten.
Was das hier ist und was nicht
Dieser Artikel beschreibt Angriffsmuster, die Händler öffentlich berichtet haben, sowie Schwellenwerte, die Visa veröffentlicht hat. Er ist keine Rechts- oder Compliance-Beratung, und die konkreten Gebühren, Auflagen zur Behebung und Meldepflichten, die an Ihrem Konto hängen, kommen von Ihrem Acquirer.
Wenn Ihr Shop gerade angegriffen wird, ist die Reihenfolge kurz. Nehmen Sie die billigen Ziele weg, legen Sie Challenge und Ratenbegrenzung auf den Checkout-Pfad, und bringen Sie Ihre Autorisierungsrate vor Ihren Zahlungsanbieter, bevor das Ablehnungsmuster zu der Sache wird, die Sie erklären, statt zu der, die Sie beheben.