Corporate-Karte absichern: Betrugsschutz und Einstellungen

Die öffentlichen Zahlen des Observatoire de la sécurité des moyens de paiement (Observatorium für Zahlungsmittelsicherheit der Banque de France) erzählen eine Geschichte mit zwei Gesichtern. Im ersten Halbjahr 2025 sinkt der Kartenbetrug auf 211 Millionen Euro, rund 48 € Betrug auf 100.000 € Zahlungen — der niedrigste je gemessene Stand^[3]. Gleichzeitig klettern die Betrugsfälle durch Manipulation (Phishing, falscher Lieferant, falscher Präsident) um 37 % auf 245 Millionen Euro^[1]. Für eine Finanzabteilung übersetzt: Die Karte selbst wehrt sich gut — angegriffen werden die Menschen drumherum.

Eine Corporate-Karte verschärft dieses Risiko aus zwei Gründen. Erstens trägt sie deutlich höhere Limits als eine Privatkarte: Eine betrügerische Abbuchung von 5.000 € bleibt unbemerkt, wo sie einen Verbraucher sofort alarmieren würde. Zweitens ist die Rückverfolgbarkeit verwässert: Dieselbe Nummer kann von mehreren Mitarbeitern genutzt, für einen wiederkehrenden Kauf geteilt oder bei fünf SaaS-Lieferanten hinterlegt sein. Die Konfiguration ist daher kein Compliance-Detail — sie ist die erste Verteidigungslinie.

Die Mehrzahl der Zwischenfälle lässt sich mit fünf Kontrollen vermeiden, die sich aus jedem ernstzunehmenden Back-Office einstellen lassen. Keine erfordert Entwicklung, alle sind in wenigen Minuten je Karte oder Ausgabenprofil eingerichtet.

Das Prinzip ist überall dasselbe: standardmäßig verbieten, ausnahmsweise erlauben. Der Händlerkategoriecode (MCC) ist der zentrale Baustein — der vierstellige Code, der jeden Händler einordnet und über die Autorisierung entscheidet. Ausgabenplattformen stützen sich darauf, um eine Kategorie je Karteninhaber zu sperren oder freizugeben^[4]. Ein Vertriebler auf Dienstreise hat nichts in einem Casino verloren; ein Einkäufer muss keinen Wettanbieter bezahlen. Der MCC weiß es, die Einstellung setzt es um, der Karteninhaber erhält sofort eine Ablehnung.

Ein schlecht kalibriertes Limit lässt entweder Betrug durch oder blockiert Mitarbeiter im Restaurant. Der richtige Reflex ist, das Limit in drei Dimensionen aufzuteilen — je Transaktion, je Periode (Tag, Woche, Monat) und je MCC-Kategorie —, statt einen einzigen Gesamtbetrag festzulegen. Eine Führungskraft, die 2.000 € für einen Empfang ausgeben darf, braucht keine Einzelzahlung von 2.000 €. Zum Detail der Kalibrierung führt unser Guide zu Limits und Ausgabenrichtlinie die komplette Methode aus.

Die Karte im „Card-not-present“-Verfahren (Onlinezahlung, bei der die Nummer ohne physische Karte eingegeben wird) bündelt den größten Teil des Restrisikos. Zwei Mechanismen bändigen es.

Die starke Kundenauthentifizierung (SCA) über 3-D Secure 2. Aus der europäischen PSD2-Richtlinie hervorgegangen, verlangt sie eine Zwei-Faktor-Authentifizierung bei den meisten Onlinezahlungen, mit geregelten Ausnahmen (vertrauenswürdiger Zahlungsempfänger, transaktionsbezogene Risikoanalyse)^[5]. In einem Corporate-Programm lässt sich das 3DS bei riskanten Online-Händlern erzwingen und bei vertrauenswürdigen wiederkehrenden Lieferanten lockern, um das legitime Kauferlebnis nicht zu bestrafen.

Die einmaligen virtuellen Karten. Statt eine dauerhafte Nummer bei jedem Lieferanten zu hinterlegen, generiert man eine dedizierte Nummer — mit eigenem Limit, eigenem Ablaufdatum, eventuell eigenem freigegebenen MCC — für eine bestimmte Zahlung oder Mission. Leakt die Nummer, ist sie bereits abgelaufen. Das ist die wirksamste Verteidigung gegen betrügerische Wiederverwendung, ein Thema, das unsere Seite zur virtuellen Firmenkarte vertieft.

Eine perfekte Konfiguration genügt nicht; man muss auch sehen, was durchgeht. Echtzeit-Warnungen (Push oder E-Mail zu jeder Transaktion, oder nur zu den regelwidrigen) machen aus dem Back-Office einen Ausguck. Genähertes Limit, Zahlung in einem ungewohnten Land, wiederholte Ablehnung bei demselben Händler, zwei gleichzeitige Zahlungen 2.000 km voneinander entfernt: lauter Signale, die ein Automat in wenigen Hundert Millisekunden erkennt und für die ein menschlicher Prüfer in einem Monatsauszug Tage bräuchte.

Die richtige Warnschwelle ist nicht „alles melden“ — das erschöpft. Reservieren Sie die Benachrichtigungen für Transaktionen, die eine Programmregel verletzen: überschrittener Schwellwert, sensibler MCC, Geografie außerhalb des Perimeters. Den Rest sieht man nachträglich im Buchungsfluss.

Die Netzwerke kommunizieren Anti-Betrug-Garantien (Zero Liability), und viele Emittenten ergänzen Versprechen wie „Zero Fraud“. Der Broschüre nach glaubt man, in jedem Fall abgesichert. Die Realität ist differenzierter — und bei Firmenkarten ist die Lücke am größten.

Die Zero Liability Policy von Visa etwa schließt bestimmte Transaktionen auf Firmenkarten und anonyme Prepaid-Karten ausdrücklich aus^[2]. Der Schutz von Mastercard deckt nicht autorisierte betrügerische Transaktionen ab — unter der Bedingung einer schnellen Meldung^[6]. Klar gesagt: Die Garantie ist in einem B2B-Programm weder universell noch automatisch und hängt weitgehend davon ab, was Ihr Emittent ausgehandelt und vertraglich zugesichert hat.

Praktische Konsequenz: Verlangen Sie von Ihrem Emittenten den exakten Wortlaut der Garantie, die Meldefristen (oft sehr kurz), die Ausschlussfälle und den Erstattungsmechanismus. Und verwechseln Sie Zero Liability nie mit Risikofreiheit — die Garantie greift nach dem Verlust. Die Konfiguration verhindert, dass er eintritt. Beide ergänzen sich, keines ersetzt das andere.

Sind die Kontrollen erst gesetzt, lebt die Sicherheit von der Routine. Einige Reflexe trennen ein solides von einem porösen Programm:

Ein Inhaber, ein Verwendungszweck. Vermeiden Sie zwischen Mitarbeitern geteilte Karten: Sie machen die Rückverfolgbarkeit unmöglich und entwerten das Limit je Profil. Besser eine Karte je Mitarbeiter — oder eine virtuelle Karte je Mission.

Kurze, regelmäßige Sensibilisierung. Der Betrug durch Manipulation legt in einem Halbjahr um 37 % zu^[1]. Keine Konfiguration hält das aus, wenn der Mitarbeiter klickt. Eine zehnminütige vierteljährliche Erinnerung an Phishing und falsche Lieferanten schlägt jede lange jährliche Schulung, die man vergisst.

Die Kontrollen auditieren, nicht nur die Ausgaben. Häufig prüft man die Spesenabrechnungen; seltener, dass die gesperrten MCC weiterhin gesperrt sind, dass die Limits nicht im Notfall hoch- und nie wieder herabgesetzt wurden, dass die erlaubten Länder noch dem realen Perimeter entsprechen. Ein vierteljährliches Audit der Konfiguration selbst hält die Verteidigung auf Höhe.

Schnell sperren, langsam reaktivieren. Beim geringsten Zweifel an einer Nummer friert man die Karte per Klick im Back-Office ein und stellt eine virtuelle Ersatzkarte aus. Die Kosten einer übertriebenen Sperrung sind vernachlässigbar gegenüber denen eines nicht gestoppten Betrugs.

Die Corporate-Karte von Greenway trägt diese Kontrollen serienmäßig: Limits je Transaktion und Periode, MCC-Blockierung, Georestriction, Echtzeit-Warnungen und der spontane Versand virtueller Karten. Die Idee ist nicht, Sicherheitsfunktionen für die Galerie zu stapeln, sondern den Betrug strukturell zu erschweren — damit die Karte dem Bezahlen dient und nicht dem Beunruhigen der Finanzabteilung.