Eine Internet Protocol (IP)-Betrugsbewertung gibt an, wie wahrscheinlich es ist, dass eine bestimmte IP-Adresse mit betrügerischen Aktivitäten in Verbindung steht. Die Bewertung wird anhand von Details aus virtuellen privaten Netzwerken (VPNs), Abweichungen bei der Geolokalisierung, Transaktionsgeschwindigkeit und Proxy-Nutzung, beispielsweise über Rechenzentren, berechnet. Leider stehen 30 %–95 % des Datenverkehrs in großen privaten Proxy-Netzwerken mit Black-Hat- oder Gray-Hat-Betrugsaktivitäten in Verbindung, was Betrug zu einem globalen Problem macht.

Unternehmen rufen eine IP-Betrugsbewertung ab – ob beim Bezahlvorgang oder wenn eine Kundin oder ein Kunde ein neues Konto erstellt –, um bei der Entscheidung zu helfen, ob eine Transaktion genehmigt, zur Überprüfung weitergeleitet oder direkt blockiert wird. Für sich genommen liefert die IP-Betrugsbewertung nur Informationen über die Online-Verbindung der Transaktion, nicht über die Person, die sie nutzt. An diesem Punkt können Betrugsstrategien fehlschlagen.

Im Folgenden besprechen wir, wie IP-Betrugsbewertungen durchgeführt werden, wie Unternehmen sie in Zahlungsrisikomodellen verwenden und warum eine zu starke Abhängigkeit von ihnen zu falschen Positivergebnissen für legitime Kundinnen und Kunden führen kann.

Das Wichtigste auf einen Blick

• Eine IP-Betrugsbewertung nutzt Details zur Erkennung von VPNs und Proxys, Abweichungen bei der Geolokalisierung und die Häufigkeit von Transaktionsversuchen, um das Risiko einzuschätzen. Sie kann jedoch nicht bestätigen, wer tatsächlich hinter einer Transaktion steckt.

• Wenn man sich nur auf IP-Bewertungen verlässt, kann dies zu falschen Positivergebnissen für legitime Kundinnen und Kunden führen, darunter Geschäftsreisende, Remote-Mitarbeitende, die Unternehmens-VPNs nutzen, und Personen in gemeinsam genutzten Mobilfunknetzen.

• Bestimmte Softwareprogramme können auf Transaktionsdaten von Millionen von Unternehmen zurückgreifen, um ein vollständigeres Bild des potenziellen Risikos einer einzelnen Transaktion zu erstellen, als dies eine isolierte IP-Prüfung bieten kann.

Was ist eine IP-Betrugsbewertung?

Eine IP-Betrugsbewertung ist eine numerische oder gestufte Bewertung, die einschätzt, wie wahrscheinlich es ist, dass eine bestimmte IP-Adresse mit betrügerischen Aktivitäten in Verbindung steht. Um sie zu erstellen, gleichen Bewertungstools die IP-Adresse mit Datenbanken bekannter VPNs, Proxys, Tor-Knoten und Rechenzentren ab und beziehen dann den Verhaltensverlauf ein, wie beispielsweise Kontoübernahmen, Card-Testing-Versuche und frühere Zahlungsanfechtungen.

Welche Signale bestimmen eine IP-Betrugsbewertung?

In der Regel greifen Bewertungstools auf verschiedene Arten von Informationen zurück und zeichnen so ein Bild des tatsächlichen Risikos.

Hier sind die wichtigsten Signale, die zur Ermittlung einer IP-Betrugsbewertung verwendet werden:

• Erkennung von VPNs und Proxys: Die IP-Adresse wird mit Listen bekannter kommerzieller VPNs und offener Proxys abgeglichen, über die betrügerische Akteure ihren tatsächlichen Standort verschleiern oder von einer Verbindung aus durch viele Identitäten wechseln können.

• Abweichungen bei der Geolokalisierung: Wenn festgestellt wird, dass sich die IP-Adresse in St. Petersburg (Russland) befindet, die Rechnungsadresse jedoch in Toronto (Kanada) liegt, wird diese Diskrepanz als Risikofaktor angesehen, insbesondere bei einer Erstbestellung ohne Kaufhistorie als Vergleichsmöglichkeit.

• Transaktionsgeschwindigkeit: Eine IP-Adresse, über die ein Dutzend Bestellungen in einer Stunde getätigt werden, jede mit einer anderen Karte, wird als verdächtiger angesehen als eine andere, über die versucht wird, eine einzelne Transaktion in einer Sitzung abzuschließen.

• Nutzung von Tor-Exit-Knoten: Tor leitet den Online-Datenverkehr über mehrere Relays weiter, um den Ursprung einer potenziellen Transaktion zu verbergen. Dies führt fast automatisch zu einer Markierung, auch wenn viele Menschen das Netzwerk aus völlig legitimen Datenschutzgründen nutzen.

• Datenverkehr aus Rechenzentren: Verbraucherinnen und Verbraucher kaufen in der Regel nicht über IP-Bereiche von Amazon Web Services (AWS) oder Google Cloud ein. Datenverkehr, der von solchen Seiten stammt, deutet oft auf einen Bot, einen Scraper oder ein Script hin, das Card-Testing-Versuche ausführt.

• Signale zum Device Fingerprinting: Browserkonfiguration, Bildschirmauflösung und installierte Schriftarten werden mit der IP-Adresse abgeglichen, um festzustellen, ob die Transaktion nach einer echten Person oder einem gescripteten Angriff aussieht.

Wie verwenden Unternehmen IP-Betrugsbewertungen in Zahlungsrisikomodellen?

E-Commerce-Unternehmen und Zahlungsplattformen rufen in der Regel eine IP-Bewertung ab, wenn eine potenzielle Kundin oder ein potenzieller Kunde ein Konto erstellt oder beim Bezahlvorgang versucht, etwas zu kaufen. Bei der Anmeldung könnte eine hohe Betrugsbewertung zusätzliche Identitätsprüfungen auslösen, bevor ein neues Konto alle Berechtigungen erhält. Beim Bezahlvorgang könnte dies zu einer Entscheidung darüber führen, ob die Transaktion genehmigt, zur manuellen Überprüfung weitergeleitet oder ein zusätzlicher Authentifizierungsschritt erforderlich wird.

In der Regel arbeiten Risikomodelle mit Schwellenwerten anstelle eines einzigen Bestanden-oder-Durchgefallen-Kriteriums. Eine Bewertung unter 25 könnte ohne Komplikationen durchgehen, während eine Bewertung zwischen 25 und 75 eine zusätzliche Verifizierung anfordern oder zur Überprüfung zurückgehalten werden könnte. Alles über 75 erfordert oft Vorsicht, insbesondere wenn es mit anderen Warnsignalen gepaart ist, wie einer abweichenden Rechnungsadresse oder einer ungewöhnlich großen Erstbestellung.

Ein Unternehmen, das eine Transaktion jedoch ausschließlich aufgrund einer hohen Risikobewertung blockiert, könnte echte Kundinnen und Kunden ablehnen. Das Abwägen von Faktoren wie Kartenverifizierung, Gerätedaten und Verhaltensmustern ermöglicht es einem Unternehmen, ein vollständigeres Bild zu erhalten, wenn es eine Entscheidung über eine Transaktion trifft. Wenn IP-Bewertungsbereiche oder Schwellenwerte zu locker festgelegt werden, könnten betrügerische Bestellungen durchrutschen. Wenn sie jedoch zu streng festgelegt sind, könnten legitime Kundinnen und Kunden beim Bezahlvorgang abgewiesen werden. Viele Betrugsteams betrachten die Festlegung von Schwellenwerten als kontinuierlichen Kalibrierungsprozess.

Warum erzeugen IP-Betrugsbewertungen falsche Positivergebnisse?

Legitimes Verhalten kann auf Netzwerkebene riskant erscheinen, aber jede Kundin und jeder Kunde, die oder der fälschlicherweise blockiert oder gezwungen wird, zusätzliche Verifizierungsschritte durchzuführen, kann das Geschäftsergebnis eines Unternehmens beeinträchtigen. Andererseits können wiederholte Komplikationen beim Bezahlvorgang Kundinnen und Kunden zu Mitbewerbern mit einfacheren Bezahlvorgängen drängen.

Zu den größten Quellen für falsche Positivergebnisse gehören:

• Unternehmens- und Universitätsnetzwerke: Große Organisationen leiten Tausende von Mitarbeitenden über eine kleine Anzahl von gemeinsam genutzten IP-Adressen weiter, sodass es so aussehen kann, als würde eine einzige Adresse ein unplausibles Volumen nicht zusammenhängender Transaktionen generieren.

• Mobilfunkanbieter: Carrier-Grade Network Address Translation (CGNAT) bedeutet, dass eine einzige IP-Adresse Hunderte oder Tausende von verschiedenen Abonnenten gleichzeitig repräsentieren kann, was jede Bewertung basierend auf der Transaktionsgeschwindigkeit verfälscht.

• Internationale Reisen: Kauft ein Karteninhaber oder eine Karteninhaberin von einem Land aus ein, das bisher nicht Teil der Kaufhistorie war, führt dies zu einer Abweichung bei der Geolokalisierung. Dadurch sieht die Transaktion aus, als handele es sich um eine gestohlene Karte, obwohl die Person möglicherweise nur im Ausland unterwegs ist.

• Datenschutz-Tools: VPNs werden aus Gründen genutzt, die nichts mit Betrug zu tun haben – von Sicherheitsrichtlinien am Arbeitsplatz bis hin zu persönlichen Vorlieben. Bewertungsmodelle behandeln sie jedoch standardmäßig weiterhin als erhöhten Risikofaktor.

Wie prüft man eine IP-Betrugsbewertung?

Wenn ein Unternehmen eine einzelne IP-Adresse überprüft, erfassen verschiedene isolierte Prüftools für IP-Betrugsbewertungen diese Adresse und geben ein Risikorating zurück. Dieses basiert teilweise auf Warnsignalen wie der Nutzung von VPNs, Proxys oder Rechenzentren. Diese Systeme eignen sich gut für eine einmalige Überprüfung des Risikoratings oder um zu verstehen, warum eine bestimmte Transaktion markiert wurde.

Aber das Prüfen einzelner IP-Adressen ist für Unternehmen, die ein hohes Volumen an Transaktionen abwickeln, nicht immer praktikabel. Im Idealfall sollte die IP-Bewertung in dasselbe System integriert sein, das die Karte, das Gerät und das Verhalten der Kundinnen und Kunden beim Bezahlvorgang in Echtzeit bewertet, ohne dass ein zusätzlicher manueller Schritt erforderlich ist. Auf diese Weise müssen Unternehmen Bewertungen nicht manuell abrufen und eigene Regeln dafür erstellen. Die Bewertung erfolgt automatisch als Teil des Zahlungsablaufs.

Stripe Radar bezieht IP-Adress- und Standortdaten in seine Betrugsbewertung ein, behandelt diese Daten jedoch nicht als isolierten Entscheidungspunkt. Radar bewertet jede Transaktion anhand von Hunderten von Signalen, einschließlich der Reputation der IP-Adresse und der Geolokalisierung, sowie anhand des Kartenverhaltens, der Geräteeigenschaften und spezifischen Mustern aus dem eigenen Transaktionsverlauf eines Unternehmens.

Die Skalierung hinter der IP-Adressanalyse von Radar unterscheidet sich deutlich von einer dedizierten IP-Adressen-Überprüfung. Radar trainiert seine Modelle für maschinelles Lernen mit Transaktionsdaten von Millionen von Unternehmen auf Stripe. Dies liefert ein klareres Bild von normalem und abnormalem Transaktionsverhalten über zahlreiche Branchen, Regionen und Kundentypen hinweg, als es ein einzelnes Unternehmen jemals durch die reine Beobachtung seines eigenen Datenverkehrs erstellen könnte. Durch diese Skalierung kann Radar aufkommende Betrugsmuster – wie ein neues Proxy-Netzwerk oder eine koordinierte Card-Testing-Welle – schneller erkennen als ein Unternehmen, das sich auf statische Sperrlisten für IP-Adressen verlässt. Radar ermöglicht es Unternehmen zudem, ihre benutzerdefinierten Regeln mit seiner Bewertung durch maschinelles Lernen zu kombinieren. So kann ein Unternehmen selbst entscheiden, wie es reagiert, wenn eine Transaktion wegen eines Risikos im Zusammenhang mit der IP-Adresse markiert wird.

So kann Stripe Radar Sie unterstützen

Stripe Radar hilft bei der Erkennung von Betrug und der Erschließung von Wachstum und nutzt dabei KI, die mit Daten aus dem globalen Netzwerk von Stripe trainiert wurde. Radar schützt Ihr Unternehmen während des gesamten Kunden-Lifecycles vor Betrug, bevor sich dieser auf Ihr Geschäftsergebnis auswirkt, und hilft Ihnen gleichzeitig dabei, mehr legitime Kundinnen und Kunden sowie Zahlungen zu genehmigen.

Mit Radar kann Ihr Unternehmen unter anderem Folgendes umsetzen:

• Betrugsverluste verhindern: Die KI von Radar lernt aus jährlichen Transaktionen im Wert von über 1,9 Billionen USD im gesamten globalen Stripe-Netzwerk. Dadurch werden Betrugsmuster erkannt und blockiert, die einzelne Unternehmen alleine möglicherweise nicht entdecken würden.

• Schutz bei sich wandelnden Betrugsangriffen vereinheitlichen: Radar vereint den Schutz vor Transaktionsbetrug, Kontobetrug und Kundenmissbrauch in einer einzigen Lösung, sodass Sie einen einheitlichen Schutz vor den wichtigsten Betrugsarten erhalten.

• Anpassung an die Entwicklung von Betrug: Radar passt sich kontinuierlich an veränderte Betrugsmuster an – von First-Party-Missbrauch bis hin zu agentenbasierten Transaktionen – und hilft so, Ihr Unternehmen vor neuen Bedrohungen zu schützen.

• Nutzung Ihres vorhandenen Tech-Stacks: Nutzen Sie Radar mit Stripe-Zahlungen, ohne dass eine Integration erforderlich ist, oder greifen Sie über programmierbare APIs auf die Intelligenz von Radar zu, unabhängig davon, ob Sie Zahlungen über Stripe abwickeln oder nicht.

Erfahren Sie mehr über Stripe Radar oder starten Sie noch heute.

FAQs zu IP-Betrugsbewertungen