Kreditkarten: Gauner betrügen Gauner

Ein anderes Gebiet der Internet-Schattenwirtschaft, dem sagenhafte Umsätze und Profite nachgesagt werden, ist der massenhafte Handel mit gestohlenen Kreditkartennummern. Von einem halben bis zu 12 US-Dollar sollen pro Kreditkartennummer bezahlt werden, die Schäden in die Größenordnung von 5.3 Milliarden US-Dollar gehen (Schätzung von Symantec). Als Medium dient hier vor allem der Internet Relay Chat (IRC), auf dem sich Käufer und Verkäufer anonym gegenüberstehen. Hier gibt es allerdings einen Widerspruch: Warum Kreditkartendaten für 50 Cent verkaufen, statt sie selbst zu verwenden? Selbst wenn dies extra Aufwand bedeutet, müsste er sich eigentlich rechnen.

Der Grund ist, dass es sich beim Markt für gestohlene Kreditkartendaten um das handelt, was Angelsachsen einen „Lemon Market“ nennen, im deutschsprachigen Raum als Saure-Gurken-Problem bekannt. Wenn Käufer die Qualität eines angebotenen Produktes nicht oder nur schwer einschätzen können, sind sie weniger zu zahlen bereit, als wenn sie mehr Informationen hätten. Das Risiko schlechter Ware wird also eingepreist, wenn sich die Information nicht beschaffen lässt. Sinkt dadurch das allgemeine Preisniveau unter das, was die Anbieter qualitativ hochwertiger Ware als Minimum zu akzeptieren bereit sind, ziehen sich diese zurück. Als Folge sind überhaupt nur noch Anbieter von minderwertigen Produkten im Markt aktiv. In einem legalen Markt mit schwer einschätzbaren Produkten, etwa Gebrauchtwagen, löst man ein solches Problem durch unabhängige Gutachter, etwa TÜV/Dekra-Plaketten oder Werkstattprüfungen. Auch gesetzliche oder freiwillige Gewährleistungsbestimmungen dienen dem Zweck, solcherlei Niedergang vorzubeugen und Marktversagen zu verhindern, Verkäufer-Reputationssysteme wie bei eBay sind ebenfalls eine geeignete Maßnahme.

In einem illegalen Markt freilich lässt sich so etwas nicht durchsetzen. Die gehandelten Kreditkartendaten sind deshalb durchsetzt mit Fälschungen, von denen über 90 Prozent nichts wert sind und bei denen fast bei einem Viertel nicht einmal die Prüfsumme stimmt. Die Anbieter solcher falschen Daten werden „Ripper“ genannt, und jeder Neuling zunächst als solcher angesehen. Um sich dagegen abzusichern, haben die Händler echter Kreditkartennummern Allianzen geschlossen, bei denen Daten nur noch zwischen einander bekannten Teilnehmern ausgetauscht werden und Neulinge keinen Zutritt haben. Herley und Florencio meinen gar, dass sich der gesamte Handel mit echten Kreditkartendaten nur noch von vier Banden aus Russland und der Ukraine abgewickelt wird. Statt der geschätzten 5,3 Milliarden sollen nur rund 82 Millionen US-Dollar über den Tisch gehen.