Zwei Banken in Massachusetts, The Village Bank und Main Street Bank, haben 2026 Kunden angeschrieben: Ein Einbruch bei einem Händler hatte Kartennummer, Ablaufdatum und Sicherheitscode ihrer Mastercard-Debitkarte offengelegt, die neue Karte war da schon unterwegs. Niemand hat darum gebeten. Die Karte ändert sich einfach — und jeder Dienst, der bisher die alte Nummer belastet hat, muss damit irgendwie klarkommen. Wie genau, erfährst du in der Regel nicht.
Wie die neue Nummer ohne dein Zutun bei Händlern landet
Visas Account Updater (VAU), Mastercards Automatic Billing Updater (ABU) und Amex' Cardrefresher machen im Kern dasselbe: Sie lassen die kartenausgebende Bank eine neue Nummer, ein neues Ablaufdatum oder eine Schließungsmeldung an Händler schicken, bei denen deine alte Karte hinterlegt ist. Visas eigene Entwicklerdokumentation nennt dazu eine Zahl: Im Schnitt bekommen 30% der Konten im VAU-Portfolio einer Bank pro Jahr eine neue Nummer, ein neues Ablaufdatum oder werden geschlossen. Im Standardablauf fragt der Acquirer des Händlers VAU kurz vor der Abbuchung ab und gibt eine Aktualisierung innerhalb von zwei Werktagen an den Händler weiter; die Real-Time-Variante läuft direkt im VisaNet und liefert die neuen Daten schon während der Autorisierung selbst. Mastercards ABU zählt verlorene, gestohlene, abgelaufene und neu ausgestellte Karten ausdrücklich zu den Änderungen, die sie überträgt, und eine Karte wird meist automatisch angemeldet, sobald du ihre Nummer zum ersten Mal für eine wiederkehrende Zahlung hinterlegst. Amex macht es am einfachsten: Cardrefresher schiebt Daten nur nach außen, zum Zahlungsabwickler des Händlers — eine Abfrage von Händlerseite gibt es gar nicht.
Wo die Aktualisierung einfach nie ankommt
Das Ganze funktioniert nur, wenn drei getrennte Parteien mitmachen: das Kartennetzwerk, deine kartenausgebende Bank und der Zahlungsabwickler des Händlers. Fehlt ein Glied, passiert gar nichts — die Abbuchung scheitert beim nächsten Abrechnungszyklus einfach mit einem Hard Decline, ununterscheidbar von einem Händler, der nie an irgendeinem Updater-Dienst teilgenommen hat. Visa und Mastercard melden Händler nur über den Acquirer an; Discover und Amex sind die einzigen zwei Netzwerke, bei denen sich ein Händler direkt anmelden kann, und Discover lässt sich das bezahlen: eine einmalige Einrichtungsgebühr von $500 plus $0.10 je erhaltener Aktualisierung — und selbst dann nur für Karten, deren ausgebende Bank ebenfalls bei Discovers Programm angemeldet ist — eine kuriose Rechnung für etwas, das Visa und Mastercard gratis mitliefern. Wer sehen will, welche Händler tatsächlich angebunden sind: Die Chase-App hat ein Tool namens Stored Cards (More → Stored Cards), das alle auflistet, die deine Karte in den letzten neun Monaten gespeichert hatten, markiert, wer automatisch aktualisiert und wer nicht, und bietet bei manchen Abos eine Kündigung per Fingertipp — laut Chase kündigen solche Anbieter "ein ungewolltes Abo meist innerhalb von drei Werktagen".
Der eine Fall, in dem die Aktualisierung eigentlich stoppen soll — und es manchmal nicht tut
Ablauf und routinemäßiger Kartentausch sind der einfache Fall: Das Netzwerk reicht die neuen Daten einfach weiter. Bei bestätigtem Betrug soll es anders laufen. Visas Protokoll kennt eine "Contact Cardholder Advice" — die Anweisung an den Händler, dich direkt zu kontaktieren statt still zu aktualisieren — und eine Opt-out-Option auf Bankebene, die bis zu zwei Jahre oder unbefristet gelten kann, bis die Bank sie selbst wieder aufhebt. Visa beschreibt den Zweck des ganzen Dienstes so: das Risiko "abgelehnter Zahlungen, unterbrochener Dienste [und] Mahngebühren" zu senken — und genau an dieser Stelle hänge ich jedes Mal: Ein System, das darauf ausgelegt ist, Aktualisierungen standardmäßig durchzuführen, war nie gut darin, sie wieder zu stoppen.
Die britische Verbraucherorganisation Which? hat 2.079 Erwachsene befragt — im März 2026 — und dabei festgestellt: Bei 61% der Betrugsopfer der vergangenen zwei Jahre trat der Betrug innerhalb von drei Monaten auf der neuen Karte erneut auf. Wie gut man sich abmelden konnte, hing stark von der Bank ab: Starling bot gar keine allgemeine Opt-out-Möglichkeit, sondern schaltete Kunden erst nach bestätigtem Betrug automatisch aus; Monzo erlaubte ein Opt-out nur während der Bestellung der neuen Karte selbst; Barclays, HSBC, Lloyds, Nationwide, NatWest und Santander boten überhaupt keine Opt-out-Möglichkeit. Which?-Mitarbeiterin Faye Lipson erlebte im Juli betrügerische Uber-Abbuchungen; ihre Bank tauschte die Karte aus; im August belastete derselbe betrügerische Uber-Account bereits die brandneue Karte — weil der Updater-Dienst die neuen Daten selbst an das Konto weitergegeben hatte, das der Betrüger gespeichert hatte. Die Bank musste eine dritte Karte ausstellen und das Konto komplett zurücksetzen, um die Verbindung zu kappen. UK Finance verteidigt die Standardeinstellung damit, dass eine Blockade von Händlern "unbeabsichtigte Folgen" haben könne — formal stimmt das, nur sehe ich nicht, wem das hilft, dessen neue Karte derselbe Betrüger gerade zum zweiten Mal belastet hat.
Was du nach jedem Kartentausch tatsächlich prüfen solltest
Das prüfe ich, bevor ich davon ausgehe, die neue Karte "funktioniert genauso wie die alte":
- Zieh die Kontoauszüge der alten Karte für mindestens 12-13 Monate, nicht nur den letzten — jährliche Posten (Clubmitgliedschaften, Cloud-Speicher, Softwarelizenzen) sind die, die am leichtesten in Vergessenheit geraten, und genau die laufen am ehesten still weiter oder verschwinden still.
- Falls deine Bank ein Tool wie Chases Stored Cards hat, schau zuerst dort nach — es weiß bereits, wer deine neue Nummer hat und wer nicht.
- Alles, was nicht als aktualisiert markiert ist, änderst du manuell beim jeweiligen Anbieter. Ein Hard Decline durch eine tote Kartennummer löst sich nicht von selbst beim erneuten Versuch — anders als ein Soft Decline wegen fehlender Deckung, der manchmal von allein verschwindet.
- Kam der Kartentausch nach bestätigtem Betrug zustande, prüf gezielt, ob der Händler aus diesem Betrugsfall noch funktionierende Kartendaten hat — genau das ist das Szenario aus Lipsons Fall, und wenn es sich wiederholt, lohnt sich ein weiterer Kartentausch.
- Unterscheide zwischen einem Kartentausch (gleiches Konto, neue Nummer) und einer vollständigen Kontoschließung — Händler behandeln das unterschiedlich, mehr dazu in diesem Beitrag darüber, was mit Abos bei einer vollständigen Kartenkündigung passiert.
Jährliche Posten gehen bei so einer Prüfung am schnellsten unter — dieses Muster beschreibt der Beitrag zur Jahresverlängerungsfalle, die einmal im Jahr abbucht und sich sonst versteckt. Den Kontoauszug durch etwas wie Subnesio laufen zu lassen, macht aus Schritt eins eine fertig gefilterte Liste statt 13 Monate Auszüge von Hand durchzuscrollen.
Die Bank hat ihr Betrugsproblem an dem Tag gelöst, an dem sie die neue Karte verschickt hat. Ob deine Abos ihres auch gelöst haben, hängt davon ab, ob jemand die Händlerseite geprüft hat.
