Man geht davon aus, dass Online-Kontoeröffnungen bis 2028 jährlich um mehr als 13 % steigen, was die Möglichkeiten für Betrug bei der Kontoerstellung erhöht. Die Erstellung gefälschter Konten ist der Prozess des Eröffnens von Konten mithilfe erfundener oder gestohlener Identitätssignale. Es mag wie ein Problem mit Ihrem Registrierungssystem erscheinen, ist aber in Wirklichkeit ein wirtschaftliches Problem. Angreifer erstellen Konten in großem Umfang, weil die Kosten gering sind und der potenzielle Ertrag hoch. Erfolgreiche Präventionsmaßnahmen müssen die Kosten für Angreifer/innen so weit in die Höhe treiben, dass sich ihre Vorgehensweise nicht mehr lohnt.

Im Folgenden erläutern wir, wie Sie gefälschte Konten erkennen, warum die Registrierung ein empfehlenswerter Einstiegspunkt ist und wie sich die Erkennung auf der Registrierungsebene in eine umfassendere Betrugsabwehr einfügt.

Highlights

• Gefälschte Konten sind häufig eine Einstiegsinfrastruktur für nachgelagerten Missbrauch. Dabei kann es sich z. B. um die Mehrfachnutzung kostenloser Testzeiträume, API-Scraping und Zahlungsbetrug handeln.

• Um gefälschte Konten zu erkennen, müssen vorrangig Geräte-, Netzwerk-, Verhaltens- und Identitätssignale über Registrierungsversuche hinweg in Beziehung gesetzt werden.

• Systeme zur Erkennung gefälschter Konten können den für böswillige Registrierungen nötigen Aufwand erhöhen. Eine zusätzliche Überwachung nach der Registrierung kann Betrug erkennen, der durchschlüpft oder sich erst später zeigt.

Was ist die Erstellung gefälschter Konten?

Die Erstellung gefälschter Konten ist eine Art von Betrug, bei dem Konten mit gefälschten oder gestohlenen Informationen eröffnet werden. Das kann generierte E-Mail-Adressen, VoIP-Telefonnummern (Voice over Internet Protocol) – die Telefonanrufe über virtuelle Nummern anstelle von Festnetzanschlüssen ermöglichen –, erfundene Namen oder Kombinationen echter Daten, die nicht tatsächlich derselben Person gehören, umfassen.

Der Hauptunterschied zwischen einem gefälschten Konto und einem normalen Konto besteht in der Absicht. Echte Nutzer/innen registrieren sich, um Ihr Produkt zu verwenden. Ein gefälschtes Konto wird erstellt, um Nutzen aus der Plattform zu ziehen oder eine Form von Missbrauch zu ermöglichen.

Welche Motivation steckt hinter der Erstellung gefälschter Konten?

Das Erstellen gefälschter Konten ist selten das eigentliche Ziel. In der Regel ist es die Infrastruktur, die andere Formen von Missbrauch ermöglicht.

Im Folgenden erfahren Sie, warum Angreifer/innen gefälschte Konten erstellen.

Missbrauch von kostenlosen Testzeiträumen und Werbeaktionen

Jeder Registrierungsanreiz kann zum Ziel werden: kostenlose Testzeiträume, Guthaben, Empfehlungsprämien oder Registrierungsprämien. Angreifer/innen erstellen massenhaft Konten, um diese Vorteile wiederholt in Anspruch zu nehmen. Eine koordinierte Kampagne kann ein Werbebudget innerhalb von Stunden aufbrauchen.

Spam und Manipulation von Plattformen

Auf Marktplätzen, sozialen Plattformen und Bewertungsportalen sind gefälschte Konten Rohmaterial für Manipulation. Sie ermöglichen gefälschte Bewertungen, überhöhte Follower-Zahlen, koordinierte Interaktion und andere Formen nicht authentischer Aktivitäten.

API- und Data Scraping

Web-Scraping-APIs werden verwendet, um Daten aus Websites zu extrahieren. Authentifizierte Nutzer/innen erhalten oft höhere API-Begrenzungen als anonymer Traffic. Mit gefälschten Konten können Angreifer/innen Scraping-Aktivitäten über mehrere authentifizierte Sitzungen verteilen und Drosselungen pro Konto umgehen.

Infrastruktur für Credential Stuffing

Angreifer/innen, die Credential-Stuffing-Kampagnen durchführen, benötigen dafür eine Infrastruktur. Registrierungsabläufe können verwendet werden, um E-Mail-Formate zu validieren, zu testen, welche Domänen E-Mails akzeptieren, oder Konten zu erstellen, die später zum Testen gestohlener Zugangsdaten dienen. In einigen Fällen werden neu erstellte Konten auch verkauft oder als Teil größerer Betrugsoperationen wiederverwendet.

Vorbereitung auf Zahlungsbetrug

In Finanz- oder Marktplatzumgebungen können gefälschte Konten verwendet werden, um gestohlene Kartennummern zu testen, kleine Carding-Versuche durchzuführen oder eine ausreichend legitim wirkende temporäre Unternehmensidentität für betrügerische Transaktionen aufzubauen.

Welche Warnsignale weisen bei der Registrierung auf die Erstellung gefälschter Konten hin?

Kein einzelnes Signal identifiziert gefälschte Konten zuverlässig. Die Erkennung funktioniert durch die Kombination von Signalen, die sich zusammengenommen nur schwer als normales Nutzerverhalten interpretieren lassen.

Das sind einige Warnsignale, die auf böse Absichten hindeuten können.

E-Mail-Signale

• Temporäre E-Mail-Domänen: Temporäre Postfachdienste werden häufig missbraucht, da sie das Erstellen von Konten ohne Aufrechterhaltung eines langfristigen Zugriffs erleichtern. Einige bekannte Anbieter sind leicht zu blockieren, aber kleinere Dienste rotieren ihre Domänen kontinuierlich, um Blocklisten zu entgehen.

• Generierte Alias-Muster: Bei der massenhaften Erstellung von Konten entstehen häufig vorhersehbare Muster und es werden fortlaufende Variationen wie „nutzer1@“, „nutzer2@“ usw. oder lange Zeichenketten aus zufälligen Zeichen verwendet.

• Sehr neue Domänen: Legitime Nutzer/innen registrieren sich selten mit Domänen, die erst wenige Tage zuvor registriert wurden. Konten, die vor sehr kurzer Zeit registrierte Domänen verwenden, sollten genauer geprüft werden.

Geräte- und Netzwerksignale

• Wiederverwendung von Geräte-Fingerabdrücken: Browserkonfiguration, Bildschirmauflösung, installierte Schriftarten und grafische Fingerabdrücke wiederholen sich häufig über Konten hinweg, die vom selben Automatisierungssystem erstellt wurden, auch wenn sich IP-Adressen und Identitätsdetails ändern.

• Rechenzentrums- oder Proxy-IP-Adressen: Datenverkehr, der von Cloud-Anbietern, virtuellen privaten Netzwerken (VPNs) oder Tor-Exit-Nodes stammt, birgt ein höheres Risiko als der Datenverkehr eines privaten Internetanbieters (ISP).

• Registrierungsgeschwindigkeit: Eine plötzliche Häufung neuer Konten von einem einzigen IP-Bereich, einer einzigen autonomen Systemnummer (ASN) oder einem einzigen Geräte-Fingerabdruck kann ein früher Indikator für eine koordinierte Kampagne sein.

Verhaltenssignale

• Unrealistische Geschwindigkeit beim Ausfüllen von Formularen: Eine echte Person braucht Zeit, um Felder zu lesen und auszufüllen. Wenn ein Registrierungsformular in Bruchteilen einer Sekunde ausgefüllt wird, ist Automatisierung die wahrscheinlichste Erklärung.

• Perfekte Eingabemuster: Menschen zögern, vertippen sich und korrigieren sich selbst. Saubere, lineare Eingaben ohne Pausen oder Rücktaste deuten häufig auf scriptgesteuertes Ausfüllen von Formularen hin.

• Mechanische Mausbewegungen: Bots erzeugen entweder gar keine Cursorbewegungen oder Bewegungsmuster, die eher geraden, gleichmäßigen Pfaden folgen als den unregelmäßigen Mustern menschlicher Interaktion.

Signale der Identitätskohärenz

• VoIP-Telefonnummern: Über VoIP-Dienste bereitgestellte Nummern sind in großen Mengen günstiger und einfacher zu erwerben als Mobilfunknummern von Mobilfunkanbietern. Deshalb kommen sie in Kampagnen mit gefälschten Konten häufig zum Einsatz.

• Inkonsistenzen bei Sprach- und Ländereinstellungen: Spracheinstellungen, Adressformate, Währungspräferenzen und der angegebene geografische Standort sollten in etwa übereinstimmen. Wenn das nicht der Fall ist, ist die Identität hinter dem Konto weniger glaubwürdig.

Wie erkennt man die Erstellung gefälschter Konten durch Signalkorrelation?

Bei der Erkennung von Mehrfachkonto-Betrug während der Registrierung sind einzelne Signale nützlich, doch die effektivste Erkennung basiert auf der Korrelation über mehrere Konten hinweg. Selbst wenn Angreifer Namen, E-Mail-Adressen und IP-Adressen variieren, bleiben andere Muster konstant. Statt Registrierungen einzeln zu bewerten, gruppieren viele Systeme Konten ausgehend von gemeinsamen Attributen in Cluster und prüfen, ob das jeweilige Cluster normales Verhalten aufweist.

Auf folgende Signale wird beim Clustering häufig zurückgegriffen:

• Ähnlichkeit des Gerät-Fingerabdrucks: Gemeinsame Browser-Konfigurationen, Bildschirmgrößen oder grafische Fingerabdrücke

• Netzwerkmuster: IP-Nähe, ASN-Inhaberschaft und ob der Datenverkehr aus privaten Netzwerken oder Cloud-Infrastrukturen stammt

• Verhaltenssequenzen: Reihenfolge und Zeitpunkt von Aktionen während der Registrierung, die den Fingerabdruck von Automatisierungstools erkennbar machen können

• Identitätsüberschneidungen: Ähnliche E-Mail-Stammadressen, wiederverwendete Telefonnummern oder teilweise übereinstimmende Adressen

• Geschwindigkeit und Beschleunigung: Plötzliche Aktivitätsspitzen aus Infrastrukturen, die zuvor keinen Datenverkehr erzeugt haben

Mit welchen Strategien lässt sich die Erstellung gefälschter Konten verhindern, ohne echte Nutzer/innen zu blockieren?

Wirksame Maßnahmen gegen die Erstellung gefälschter Konten sind vielschichtig. Sie sollten zudem dem tatsächlich erkannten Risikosignal angemessen sein.

Berücksichtigen Sie Folgendes:

• Begrenzung und Geschwindigkeitskontrollen: Die Begrenzung der Anmeldungen pro IP-Adresse, Geräte-Fingerabdruck oder E-Mail-Domäne schafft eine unkomplizierte erste Ebene. Sie stoppt Automatisierung, ohne echte Nutzer/innen zu beeinträchtigen.

• Verhaltensbasierte Bot-Erkennung: Eine unsichtbare Verhaltensanalyse z. B. von Mausbewegungen, Tippmustern und dem zeitlichen Verlauf von Interaktionen kann Bots ohne für Menschen sichtbare Anfrage herausfiltern. Komplexe CAPTCHAs (Completely Automated Public Turing tests to tell Computers and Humans Apart) sollten möglichst für unklare Fälle reserviert und nicht universell eingesetzt werden.

• Progressive Verifizierung: Anstatt alle Nutzer/innen durch denselben Verifizierungsablauf zu zwingen, sollten Überprüfungen nur bei steigendem Risiko eskaliert werden. Nutzer/innen, die sich über ein privates Netzwerk mit normalen Interaktionsmustern registrieren, könnten ohne Reibungsverluste zugelassen werden. Eine Rechenzentrums-IP-Adresse in Kombination mit einer temporären E-Mail-Adresse könnte dagegen eine telefonische Überprüfung auslösen.

• Betrachten Sie die Verifizierung als Risikosignal: Die Überprüfung per E-Mail und Telefon sollte nicht nur als Hürde angesehen werden. Der Abschluss der Verifizierung mit einer Handynummer eines legitimen Mobilfunkanbieters senkt das Risiko und steigert den Aufwand für die massenhafte Erstellung gefälschter Konten.

• Risikobasierte Sperren: Bei unklaren Signalen können Konten mit eingeschränktem Status, mit eingeschränktem API-Zugriff, ohne Testguthaben oder mit reduzierter Funktionalität erstellt werden. Wenn das Konto im Laufe der Zeit legitimes Verhalten zeigt, werden die Funktionen erweitert.

• Erkennungssoftware: Es gibt intelligente Tools, um Betrug während des Registrierungsprozesses zu reduzieren. Dazu zählt Software, die die Erstellung gefälschter Konten erkennt. Sie können auch Tools in Betracht ziehen, die verdächtiges Verhalten im Zuge der Erstellung gefälschter Konten kennzeichnen. Ein Beispiel hierfür ist Stripe Radar. Es nutzt künstliche Intelligenz (KI), die mit Daten von Millionen von Unternehmen weltweit trainiert wurde, um Betrug genauer zu erkennen.

Reicht es aus, die Erstellung gefälschter Konten bei der Registrierung zu blockieren?

Registrierungskontrollen sind notwendig, allein aber nicht ausreichend. Angriffstechniken entwickeln sich ständig weiter. Die VoIP-Erkennung verliert an Wirksamkeit, wenn Angreifer zu Subscriber Identity Module (SIM)-Farmen wechseln. Device Fingerprinting wird weniger effektiv, da Automatisierungstools immer besser werden. Jeder statische Erkennungsansatz wird früher oder später umgangen.

Was mit der Erkennung bei der Registrierung gut gelingt, ist die Erhöhung der Einstiegshürde. Eine Kampagne, mit der früher minimaler Aufwand verbunden war, erfordert nun möglicherweise mehr Infrastruktur, mehr Zeit und mehr Geld pro Konto. Missbrauch mit geringer Gewinnspanne, wie z. B. die Mehrfachnutzung kostenloser Testzeiträume, kann Kampagnen bei steigendem Aufwand unrentabel machen.

Entschlossene betrügerische Akteurinnen und Akteure werden sich wahrscheinlich anpassen. Daher behandelt ein effektives System Registrierungsabwehrmaßnahmen als eine Schicht innerhalb einer umfassenderen Strategie.

So sieht ein praktisches, mehrschichtiges Modell aus:

• Registrierungskontrollen: Signalkorrelation, Geschwindigkeitsbegrenzungen und progressive Verifizierung reduzieren den Bestand an gefälschten Konten schon vor der Erstellung.

• Überwachung nach der Registrierung: Ungewöhnliches Verhalten, abnormale Zahlungsmuster, verdächtige API-Nutzung und koordinierte Aktionen können Missbrauch erkennbar machen, der die erste Hürde überwunden hat.

• Kontoreputation im Zeitverlauf: Wenn Konten erst nach monatelangem normalen Verhalten missbräuchlich genutzt werden, sind Erkennungsmodelle vonnöten, die sich auf Verhaltensabweichungen anstatt auf Registrierungssignale konzentrieren.

Gefälschte Konten vollständig zu stoppen ist nicht realistisch. Das Ziel muss es sein, groß angelegten Missbrauch teuer, erkennbar und nicht tragfähig zu machen.

So kann Stripe Radar Sie unterstützen

Stripe Radar verwendet KI-Modelle, um Betrug zu erkennen und zu verhindern. Diese Modelle wurden mit Daten aus dem globalen Netzwerk von Stripe trainiert. Sie werden kontinuierlich auf der Grundlage neuester Betrugstrends aktualisiert und schützen Ihr Unternehmen vor aufkommenden betrügerischen Aktivitäten.

Stripe bietet außerdem Radar for Fraud Teams an, mit dem Nutzer/innen benutzerdefinierte Regeln für Betrugsszenarien hinzufügen können, die speziell auf ihr Unternehmen zugeschnitten sind. Außerdem erhalten sie Zugang zu neuesten Erkenntnissen über betrügerische Aktivitäten.

Mit Radar kann Ihr Unternehmen unter anderem Folgendes umsetzen:

• Verlust aufgrund von Betrug vermeiden: Stripe wickelt jährlich Zahlungen in Höhe von über 1 Billion USD ab. Dadurch kann Radar auf einzigartige Weise Betrug genau erkennen und verhindern.

• Umsatz steigern: Die KI-Modelle von Radar werden anhand tatsächlicher Anfechtungsdaten, Kundeninformationen, Daten zum Surfverhalten und mehr trainiert. Damit kann Radar riskante Transaktionen identifizieren und falsch positive Ergebnisse reduzieren und so Ihren Umsatz steigern.

• Zeit sparen: Radar ist in Stripe integriert und lässt sich ohne Codierung einrichten. Sie können über eine einzige Plattform Ihre Performance mit Blick auf Betrug überwachen, Regeln schreiben und vieles mehr. Das erhöht die Effizienz.

Erfahren Sie mehr über Stripe Radar oder starten Sie noch heute.