Am 26. November läutet der Black Friday das Weihnachtsgeschäft ein – die Hochphase des Online-Handels steht bevor. E-Commerce-Händler blicken einem vielversprechenden Geschäft entgegen, höchste Zeit die eigene Betrugsprävention auf den Prüfstand zu setzen, um Kunden und das Geschäft gegen die neuesten Tricks zu schützen.
Laut einer Umfrage des Merchant Risk Council (MRC) für das Jahr 2021 berichteten 74 % der Online-Händler weltweit von einer Zunahme der Betrugsversuche in der Pandemie. Zu wissen, wie man sich vor Zahlungsbetrug schützen kann, wird deshalb immer wichtiger.
Alexa von Bismarck, Deutschland-Chefin des Zahlungsdienstleisters Adyen, stellt in diesem Gastbeitrag die häufigsten Tricks beim Zahlungsbetrug vor und erklärt, mit welchen Strategien Online-Händler sich dagegen wehren können.
Bild 1: Anstieg der Online-Zahlungen zum Black Friday und zum Weihnachtsgeschäft 2020. (Datenquelle: Adyen)
Cardtesting – Wie Betrüger gestohlene Zahlungsdaten überprüfen
Durch die fortschreitende Digitalisierung finden immer mehr Zahlungsvorgänge im Internet statt. Es wird weniger mit Bargeld gezahlt und die Nutzung von Kreditkarten und mobilen Zahlungsmöglichkeiten steigt kontinuierlich. Entsprechend verlagern auch viele Betrüger ihr Geschäft auf Kreditkarten und das Abgreifen fremder Zahlungsdaten.
Bevor Diebe diese Daten einsetzen oder im Darknet verkaufen, müssen sie überprüfen, ob die gestohlenen Kreditkarten noch aktiv sind und für Zahlungen verwendet werden können. Dieser Vorgang wird Cardtesting genannt. In vielen Fällen melden sich die Betrüger dafür zunächst bei einem Abo-Service für einen kostenlosen Probemonat an. Das Abo-Unternehmen führt daraufhin eine Kartenautorisierung für einen Nullbetrag durch, sodass der Betrüger erkennen kann, ob Transaktionen mit der Karte möglich sind, zunächst ohne dass dabei tatsächlich Geld abgebucht wird. Sobald die Betrüger wissen, welche der getesteten Karten noch aktiv sind, werden diese für größere betrügerische Zahlungen verwendet oder im Darknet verkauft. Um viele Karten in kurzer Zeit testen zu können, werden beim Cardtesting immer häufiger Bots und Skripte eingesetzt, sodass eine hohe Anzahl von Transaktionen innerhalb eines kurzen Zeitfensters erfolgt.
Um Cardtesting zu erkennen, sollten Sie deshalb die Zeitrahmen für Bestellungen regelmäßig überprüfen. Durch den Einsatz von Velocity-Checks – einer Häufigkeitsprüfung, bei der Zahlungstransaktionen innerhalb eines vordefinierten Zeitraums auf wiederkehrende Muster geprüft werden – können Sie sicherstellen, dass zweifelhafte Vorgänge rechtzeitig blockiert werden.
Kontoübernahme – Wer zahlt hier mit welchen Daten?
Bei einer Kontoübernahme (engl. Account Takeover) stehlen Betrüger über verschiedene Phishing- und Identitätsdiebstahlstrategien die Zahlungsdaten argloser Käufer. In vielen Fällen werden dafür gefälschte Websites erstellt, die echten Online-Shops zum Verwechseln ähnlich sehen. Unwissende Käufer geben dort Ihre Kontodaten ein, die dann von den Betrügern abgegriffen werden.
Durch ein flexibles Risikosystem, das zusätzliche Angaben wie beispielsweise das Kontoerstellungsdatum erfasst, können genauere Käuferprofile erstellt werden, die Ihnen dabei helfen, echte Käuferkonten von Kontoübernahmen zu unterscheiden. Wenn Sie das Kaufverhaltens ihrer echten Käufer anhand einer Zeitleiste visualisieren, können Sie feststellen, ob sich das Verhalten ändert und auf diese Weise Kontoübernahmen identifizieren.
Triangulation Fraud – Online-Handel über zwei Ecken
An einem Triangulation Fraud sind drei Parteien beteiligt: ein Betrüger, ein argloser Käufer und ein unwissender Online-Shop. Wie bei einer Kontoübernahme erstellen Betrüger zunächst eine gefälschte Website auf der unwissende Käufer Ware bestellen und ihre Zahlungsdaten eingeben. Die Betrüger sammeln die Kreditkarten- und Adressinformationen und nutzen die gestohlenen Zahlungsinformationen, um damit in einem echten Online-Shop damit einzukaufen. Weder der Käufer noch der Online-Händler bemerkt damit zunächst etwas von dieser Form des Betrugs. Erst wenn die Zahlungsdaten für andere Einkäufe verwendet werden, entsteht ein merkbarer Schaden.
Um Triangulation Fraud zu stoppen, können Sie auf Blockier- und Zulassungslisten zurückgreifen und dort Attribute wie käuferspezifische Merkmale (z. B. Informationen zum Gerät über das der Kauf abgewickelt wird oder IP-Adressen) und Liefermöglichkeiten definieren, die mit mutmaßlichem Triangulation Fraud in Verbindung gebracht werden. Verdächtige Käufer, die auf dieser Liste landen, können dann nicht mehr ohne Weiteres bei Ihnen einkaufen.
Erstattungsbetrug – Wenn das Rückgaberecht ausgenutzt wird
Von Erstattungsbetrug (im Englischen auch Friendly Fraud genannt) ist die Rede, wenn Betrüger Waren bei einem Online-Händler bestellen und dann die Rückbuchung der Kreditkartentransaktion einleiten, obwohl sie die Ware bereits erhalten haben.
Mit einer Handvoll solcher Verluste ist bei jedem Online-Händler zu rechnen. Es gibt jedoch auch professionelle Betrüger, die Schlupflöcher in Rückgaberichtlinien für verloren gegangene oder beschädigte Waren nutzen und die betrügerische Rückerstattung anderen Personen über Websites als Dienstleistung anbieten. Im großen Umfang können betrügerische Rückerstattungen Online-Marktplätze Millionen Euro kosten.
Beim Erstattungsbetrug handelt es sich um eine Betrugsform, die oft nur schwer aufgedeckt werden kann und die sich deshalb immer weiter verbreitet. Um Erstattungsbetrug zu erkennen, sollten Sie ein Risikosystem implementieren, das verdächtige Muster erkennt. Serienbetrüger lassen sich häufig dadurch erkennen, dass sie mehrere Rückbuchungen über einige wenige verschiedene Karten und Identitäten initiieren. Die Verwendung von Referenzlisten (Referral Lists) kann Ihnen dabei helfen, die Verhaltensmuster ihrer Käufer mit denen von Betrügern abzugleichen und gefährliche Käufer zu stoppen.
Geschenkkartenbetrug – Die Gefahr von Gutscheinen
Im Vergleich zu Debit- und Kreditkarten lassen sich Geschenkkarten nur schwer zurückverfolgen und bieten deshalb viel weniger Schutz für den Käufer, was sie zu einem beliebten Mittel bei Betrügern macht. Bei dieser Form des Betrugs geben sich Betrüger als jemand aus, der sie nicht sind, um eine Person davon zu überzeugen, einen bestimmten Betrag auf eine Geschenkkarte einzuzahlen. Im Online-Handel ist ebenfalls von Geschenkkartenbetrug die Rede, wenn ein Produkt mit gestohlenen Zahlungsdetails erworben wird und der Betrüger sich anschließend den Wert der Ware auf eine Geschenkkarte gutschreiben lässt.
Um Geschenkkartenbetrug aufzudecken ist es wie auch bei den vorher beschriebenen Betrugsformen hilfreich, das Kaufverhalten ihrer Kunden genauer unter die Lupe zu nehmen. Indem sie Referenzlisten erstellen, die auf benutzerdefinierten Daten basieren und Risikoregeln definieren, kann es Ihnen gelingen, betrügerische Transaktionen aufzudecken und Betrugsversuche direkt zu entschärfen.
Ein umfassendes Risikomanagement schützt Sie vor den Betrugsmaschen
Die große Anzahl immer ausgefeilterer Betrugsmaschen kann auf den ersten Blick überwältigend wirken. Wenn Sie sich jedoch frühzeitig um ein umfassendes Risikomanagementsystem kümmern, können Sie damit eine stabile Abwehr schaffen und Ihr Geschäft effektiv und nachhaltig vor Betrügern schützen. Durch den Einsatz fortschrittlicher Technologien und individuell anpassbarer Risikoregeln lassen sich Auffälligkeiten im Zahlungsverhalten von Kunden schnell erkennen. Mithilfe individueller Risikoprofile können Sie datenbasierte Entscheidungen treffen, die Ihnen dabei helfen werden, neuen Betrugsstrategien immer einen Schritt voraus zu sein.
Zusätzlich zu Ihrem Risikomanagement können Sie weitere Maßnahmen ergänzend hinzuziehen, um die Online-Zahlungen sicherer gestalten. Eine wichtige Grundlage hierfür liefert die PSD2-Richtlinie, die europaweit für einen transparenteren, wettbewerbsfähigeren und sicheren Zahlungsverkehr sorgen soll. Unter anderem werden dadurch die Vorgaben bezüglich einer Starken Kundenauthentifizierung verschärft. Eine konkrete Möglichkeit, auf die Sie als Händler setzen können, ist 3D Secure 2 (3DS2). Der dynamische und benutzerfreundliche Prozess der Zahlungsabwicklung mit 3DS2 verbessert die grundsätzliche Customer Experience im Vergleich zu seinem Vorgänger, und führt zu weniger Kaufabbrüchen auf Händlerseite. Dank mehr verfügbaren Datenpunkten und der Möglichkeit, Regeln für Prüfungen festzulegen, können Händler bessere Authorisierungsentscheidungen treffen.
Mit einer guten Sicherheitsstrategie können sie sich erfolgreich gegen Zahlungsbetrug schützen. Einem erfolgreichen Black Friday steht dann nichts mehr im Weg!
