Wenn man ein Online-Zahlungsformular ausfüllt, stößt man auf ein Feld “MM/JJ”, und der Zweifel kommt auf: Soll man zuerst den Monat und dann das Jahr eingeben, mit oder ohne Slash? Dieses Feld entspricht dem Ablaufdatum Ihrer Kreditkarte, das je nach Modell auf der Vorder- oder Rückseite aufgedruckt ist. Zwei Ziffern für den Monat, zwei Ziffern für das Jahr. Ein Eingabefehler, und die Transaktion wird abgelehnt, manchmal ohne eine klare Nachricht.
Zahlung abgelehnt wegen des Formats MM/JJ: das Problem an der Quelle verstehen
Das häufigste Szenario ist ein blockierter Online-Kauf, obwohl das Guthaben ausreichend ist und die Karte im Geschäft funktioniert. In den meisten Fällen liegt das Problem an einer Verwirrung zwischen dem Format MM/JJ und dem Format MM/JJJJ. Einige Websites verlangen das Jahr in zwei Ziffern (25 für 2025), andere in vier Ziffern (2025). “2025” in ein Feld einzugeben, das “25” erwartet, führt zu einer sofortigen Ablehnung.
Man trifft auch auf die englische Variante MM/YY (month/year), die genau dasselbe bedeutet. Auf internationalen Plattformen ändert sich die Bezeichnung, aber das Prinzip bleibt gleich: Monat zuerst, Jahr zweitens.
Die Frage was ist MM JJ auf einer Kreditkarte kommt häufig auf: Diese Zeichen bezeichnen den Monat und das Jahr des Ablaufdatums, die auf der Karte eingraviert oder aufgedruckt sind, und die das Zahlungssystem überprüft, bevor es eine Ferntransaktion genehmigt.
Ablaufdatum der Kreditkarte: eine persönliche Daten, die durch die DSGVO geregelt ist
Man denkt selten über den rechtlichen Status dieses Datums nach. Das Ablaufdatum gehört jedoch zu den Bankdaten, die als personenbezogene Daten im Sinne von Artikel 4(1) der DSGVO gelten, ebenso wie die Kartennummer (PAN) und der Sicherheitscode (CVV).
Die direkte Konsequenz betrifft die Online-Shops. Standardmäßig darf ein E-Commerce-Händler das MM/JJ nicht unbegrenzt speichern. Jede Speicherung über die Transaktion hinaus (zum Beispiel zur Erleichterung eines späteren Kaufs) muss auf einer klaren, dokumentierten rechtlichen Grundlage beruhen und auf die Gültigkeitsdauer der Karte beschränkt sein.
In der Praxis speichern viele Websites diese Daten, um wiederkehrende Käufe zu vereinfachen. Wenn Sie Ihre Karte von einem Kundenkonto löschen, ist der Händler verpflichtet, diese Informationen zu löschen.
CVV, Kartennummer und MM/JJ: das Trio, das die Online-Zahlung sichert
Bei einem Fernkauf werden systematisch drei Elemente abgefragt: die 16-stellige Nummer, das Ablaufdatum (MM/JJ) und der Sicherheitscode (CVV oder CVC, drei Ziffern auf der Rückseite der Karte). Jedes spielt eine eigene Rolle.
- Die Kartennummer (PAN) identifiziert das Konto und das Netzwerk (Visa, Mastercard). Die ersten Ziffern geben den Herausgeber an, die folgenden das Konto des Karteninhabers, und die letzte Ziffer dient als Prüfziffer über den Luhn-Algorithmus.
- Das MM/JJ überprüft, dass die Karte nicht abgelaufen ist. Eine Karte, deren Datum überschritten ist, wird vom System abgelehnt, selbst wenn das zugehörige Konto weiterhin aktiv ist.
- Der CVV beweist, dass die zahlende Person die Karte physisch in der Hand hat, da dieser Code nicht im Magnetstreifen oder im Chip gespeichert ist.
Ohne eines dieser drei Elemente schlägt die Zahlung fehl. Das Ablaufdatum ist kein einfaches administratives Detail: Es ist ein integraler Bestandteil des Authentifizierungsmechanismus.
Abgelaufene Karte und wiederkehrende Zahlungen: die Abonnements im Blick behalten
Wenn eine Karte abläuft, stoppen die automatischen Abbuchungen (Streaming, Versicherung, Internet-Box) nicht immer von selbst. Einige Zahlungsdienstleister profitieren von einem automatischen Aktualisierungsmechanismus, der von Visa und Mastercard angeboten wird, der die neuen Daten der Ersatzkarte an den Händler übermittelt.
Dieses System ist praktisch, schafft jedoch einen Graubereich. Man kann weiterhin von einem Dienst abgebucht werden, von dem man dachte, dass er gekündigt wurde, indem man die Karte ablaufen ließ. Eine Karte ablaufen zu lassen, kündigt kein Abonnement. Um eine Abbuchung zu stoppen, muss man direkt beim betreffenden Dienst kündigen oder über die Bank Widerspruch einlegen.
In Bezug auf die Sicherheit haben Forscher gezeigt, dass abgelaufene Visa-Karten in bestimmten Konfigurationen weiterhin für kontaktlose Zahlungen verwendet werden können. Diese Art von Verwundbarkeit bleibt marginal, erinnert jedoch daran, dass das Ablaufdatum allein kein absoluter Schutz gegen Betrug darstellt.
PCI DSS-Norm und Schutz des MM/JJ: was sich 2025 geändert hat
Das MM/JJ ist direkt von den Anforderungen des PCI DSS-Standards betroffen, dem globalen Sicherheitsstandard für Kreditkartendaten. Die Version 4.0.1, deren Anforderungen 2025 verbindlich wurden, verstärkt die Kontrollen über die Speicherung und Übertragung aller Kartendaten, einschließlich des Ablaufdatums.
Für Händler und Zahlungsdienstleister bedeutet dies spezifische technische Verpflichtungen:
- Die Verschlüsselung von Kartendaten während der Übertragung und im Ruhezustand, einschließlich des MM/JJ
- Die strikte Begrenzung des Zugriffs auf gespeicherte Daten auf autorisierte Personen
- Regelmäßige Audits, um zu überprüfen, ob die Systeme diese Anforderungen erfüllen
Eine Website, die Ihr Ablaufdatum unverschlüsselt in einer ungeschützten Datenbank speichert, ist Sanktionen und vor allem massiven Datenlecks ausgesetzt. Mehrere große Online-Händler haben in der Vergangenheit unter solchen Sicherheitsverletzungen gelitten und Millionen von Kartennummern mit ihren Ablaufdaten offengelegt.
Das nächste Mal, wenn Sie das Feld MM/JJ ausfüllen, überprüfen Sie, ob die Website das HTTPS-Schloss anzeigt und ob sie ihre PCI DSS-Konformität in den Allgemeinen Geschäftsbedingungen erwähnt. Ein unsicheres Zahlungsformular sollte niemals Ihr Ablaufdatum erhalten, noch irgendwelche anderen Kartendaten.
