Die Erkennung und Prävention von Zahlungsbetrug ist eine komplexe Herausforderung, die dynamische und ineinandergreifende Lösungen erfordert. Für Unternehmen ist es wichtig, sich darüber zu informieren, um ihre finanziellen Vermögenswerte zu schützen, das Vertrauen der Kundinnen und Kunden zu erhalten und auf veränderte Bedrohungen reagieren zu können. Im Jahr 2025 wurden bei der Federal Trade Commission (FTC) 3 Millionen Betrugsfälle gemeldet, was einem Verlust von 15,9 Milliarden USD entspricht.

Im Folgenden erörtern wir die Auswirkungen von Zahlungsbetrug, die verschiedenen Arten sowie einige Best Practices, die Unternehmen zur Bekämpfung anwenden können.

Worum geht es in diesem Artikel?

• Was ist Zahlungsbetrug?
  
• Die Auswirkungen von Zahlungsbetrug auf Unternehmen
  
• Arten von Zahlungsbetrug und wie man sie verhindert
  
• Wie Sie einen individuellen Plan zur Prävention von Zahlungsbetrug für Ihr Unternehmen erstellen
  
• So kann Stripe Radar Sie unterstützen
  

Was ist Zahlungsbetrug?

Zahlungsbetrug ist jede unehrliche oder illegale Aktivität, die Zahlungssysteme ausnutzt, um sich unbefugten Zugang zu Geldern oder Finanzinformationen zu verschaffen. Dazu gehören der Identitätsdiebstahl, das Tätigen unautorisierter Käufe und der Versuch, ein Unternehmen zur Rückerstattung von Geldern zu verleiten.

Die Auswirkungen von Zahlungsbetrug auf Unternehmen

Zahlungsbetrug hat schwerwiegende Folgen für Einzelpersonen, Unternehmen und die gesamte Wirtschaft. Dies sind die Hauptauswirkungen von Zahlungsbetrug:

• Finanzielle Verluste: Betrügerische Transaktionen können zu erheblichen finanziellen Verlusten für Einzelpersonen, Unternehmen und Finanzinstitute führen. Im Jahr 2024 verursachte allein der Online-Zahlungsbetrug weltweite E-Commerce-Verluste in Höhe von über 44 Milliarden USD und diese Zahl wird voraussichtlich bis 2029 auf 107 Milliarden USD steigen.

• Identitätsdiebstahl: Zahlungsbetrug geht häufig mit dem Diebstahl und Missbrauch von persönlichen und finanziellen Daten einher. Dies verursacht langfristige Schäden bei den Opfern und erschwert es ihnen, ihre Identität und Kreditwürdigkeit wiederherzustellen.

• Ruf von Unternehmen: Unternehmen, die Opfer von Zahlungsbetrug werden, können einen Reputationsschaden erleiden und das Vertrauen ihrer Kundinnen und Kunden verlieren, was zu geringeren Umsätzen, einer höheren Kundenabwanderung und gestiegenen Betriebskosten führen kann. Betrug kann auch das Vertrauen in Zahlungssysteme untergraben.

• Rechtliche und regulatorische Konsequenzen: Organisationen, die Betrugsbekämpfungsvorschriften nicht erfüllen oder Kundendaten nicht angemessen schützen, müssen mit rechtlichen Strafen, Bußgeldern und verstärkter behördlicher Kontrolle rechnen.

• Erhöhte Betriebskosten: Die Erkennung und Prävention von Zahlungsbetrug erfordert erhebliche Investitionen in Technologie, Personal und Ressourcen, was das Budget und die betriebliche Effizienz einer Organisation belasten kann.

Durch die Bekämpfung von Zahlungsbetrug können Unternehmen und Finanzinstitute die mit betrügerischen Aktivitäten verbundenen Risiken und negativen Folgen minimieren, die Integrität und Sicherheit der Zahlungssysteme gewährleisten und das Vertrauen in das gesamte Finanzsystem aufrechterhalten.

Arten von Zahlungsbetrug und wie man sie verhindert

Da betrügerische Akteure verschiedene Methoden anwenden, um Schwachstellen in Zahlungssystemen auszunutzen, tritt Zahlungsbetrug in vielen Formen auf.

Card-not-present-Betrug (CNP)

CNP-Betrug tritt auf, wenn Kriminelle gestohlene Kreditkartendaten verwenden, um unautorisierte Käufe online, telefonisch oder über Mobile Apps zu tätigen, bei denen die physische Karte nicht überprüft werden kann. Da physische Sicherheitsmerkmale wie EMV-Chips (Europay, Mastercard und Visa) nicht geprüft werden können, macht CNP-Betrug den Großteil des Betrugs im digitalen Handel aus.

So erkennen und verhindern Sie CNP-Betrug:

• Karteninhaberdaten verifizieren: Führen Sie beim Bezahlvorgang Prüfungen durch den Address Verification Service (AVS) und Card Verification Value (CVV) durch, um zu bestätigen, dass der/die Käufer/in physisch über die Kartenangaben und die Rechnungsadresse verfügt.

• Dynamic 3D Secure (3DS) einsetzen: Verwenden Sie 3DS-Protokolle, um eine Authentifizierung (über Einmalpasswörter oder Biometrie) nur für risikoreiche Transaktionen vorzuschreiben. Dadurch wird die Haftung für Streitfälle gemäß den Vorgaben zur starken Kundenauthentifizierung (SCA) auf den Kartenaussteller übertragen.

• KI-basiertes Risikoscoring nutzen: Implementieren Sie Echtzeit-Betrugserkennungs-Engines wie Stripe Radar, um Hunderte von Transaktionsattributen zu bewerten – einschließlich Device Fingerprinting, Proxy-Nutzung und Zahlungsverhalten bei verschiedenen Unternehmen –, um betrügerische Versuche vor der Autorisierung zu blockieren.

• Netzwerk-Tokenisierung einführen: Ersetzen Sie die primären Kontonummern (Primary Account Numbers, PANs) durch sichere Token der Kartenmarken, um zu verhindern, dass gespeicherte Anmeldedaten bei Datenschutzverletzungen kompromittiert werden.

First-Party-Betrug

First-Party-Betrug tritt auf, wenn legitime Karteninhaber/innen oder opportunistische Käufer/innen Unternehmensrichtlinien und Zahlungsmechanismen zum finanziellen Vorteil ausnutzen:

• Rückbuchungsbetrug („Friendly Fraud“): Ein Kunde bzw. eine Kundin tätigt einen legitimen Kauf und behauptet anschließend gegenüber der Bank fälschlicherweise, dass die Transaktion nicht autorisiert war, das Paket nie angekommen ist oder das Produkt fehlerhaft war. Dadurch soll eine Rückerstattung erzwungen werden, während die Ware behalten wird.

• Missbrauch von Rückerstattungen und Richtlinien: Im Gegensatz zu Rückbuchungen liegt ein Missbrauch von Rückerstattungen vor, wenn Kundinnen und Kunden Rückgaberichtlinien direkt bei dem Unternehmen ausnutzen. Zum Beispiel geben sie gebrauchte Kleidung zurück („Wardrobing“), senden leere Kartons zurück, behaupten, es hätten Artikel im Paket gefehlt, oder geben wiederholt an, dass Bestellungen nie angekommen sind, um doppelte Lieferungen oder Rückerstattungen in bar zu erhalten.

So erkennen und verhindern Sie First-Party-Betrug:

• Detaillierte Ausführungsdokumentation pflegen: Sammeln Sie überprüfbare Zustellnachweise, einschließlich Trackingnummern von Paketdiensten, GPS-Zustell-Tags, Fotos von abgestellten Paketen und Unterschriftsbestätigungen.

• Abrechnungsbeschreibungen und Rückgaberichtlinien klarstellen: Verwenden Sie erkennbare Handelsnamen auf den Kreditkarten-Abrechnungsbeschreibungen und stellen Sie beim Bezahlvorgang deutlich sichtbare, leicht lesbare Konditionen für Rückerstattungen bereit, um Verwirrung bei Kundinnen und Kunden zu minimieren.

• Kundenverhalten und Missbrauchsmuster verfolgen: Überwachen Sie Kundenkonten auf Muster von übermäßigen Rückerstattungsanfragen, häufigen Behauptungen über fehlende Artikel oder wiederholten Rückbuchungen und schränken Sie Zahlungsmethoden ein oder fordern Sie für markierte Profile eine Unterschrift bei der Lieferung an.

• Beweisübermittlung bei Streitfällen automatisieren: Verwenden Sie automatisierte Tools für das Management von Streitfällen, um Transaktions-Logs, Kundenkommunikation, Zustellnachweise und die Zustimmung zu den Nutzungsbedingungen zusammenzustellen und betrügerische Rückbuchungen anzufechten.

Business Email Compromise (BEC) und KI-generiertes Social Engineering

BEC ist eine hochentwickelte Form von Betrug, bei der Kriminelle sich als Führungskräfte eines Unternehmens, vertrauenswürdige Anbieter oder rechtliche Partner ausgeben, um Mitarbeitende dazu zu verleiten, Gelder zu überweisen oder Rechnungsauszahlungen umzuleiten.

Der Aufstieg der generativen KI hat diese Bedrohung verschärft: Angreifer nutzen große Sprachmodelle (Large Language Models), um hyperrealistische, fehlerfreie Spear-Phishing-E-Mails zu generieren, und setzen bei Sprach- und Videoanrufen Deepfakes ein, um herkömmliche mündliche Genehmigungsprüfungen zu umgehen.

So erkennen und verhindern Sie BEC und KI-gesteuerten Betrug:

• Strenge Genehmigungsworkflows mit mehreren Personen implementieren: Verlangen Sie eine doppelte Autorisierung von verschiedenen Managern bzw. Managerinnen für jegliche Geldtransfers, Lohn- und Gehaltsaktualisierungen oder Änderungen von Bankkonto-Details von Anbietern.

• Out-of-Band-Verifizierung etablieren: Schreiben Sie vor, dass Mitarbeitende jede Anfrage zur Änderung von Zahlungsanweisungen oder Bankdaten verifizieren müssen, indem sie den Anbieter oder die Führungskraft direkt über eine im Voraus festgelegte, vertrauenswürdige Telefonnummer anrufen – niemals über die in der Änderungsanfrage-E-Mail angegebenen Kontaktdaten.

• Fortschrittliche E-Mail-Authentifizierungsprotokolle erzwingen: Setzen Sie Sender Policy Framework (SPF), DomainKeys Identified Mail (DKIM) sowie Domain-based Message Authentication, Reporting, and Conformance (DMARC) ein, um Domain-Spoofing zu verhindern und unautorisierte Absender zu blockieren.

• Personal in Bezug auf KI-basiertes Social Engineering schulen: Schulen Sie Finanz- und Beschaffungsteams darin, KI-generierte Spear-Phishing-Hinweise, Deepfake-Audio-Taktiken und dringende Transferforderungen zu erkennen, die nicht den etablierten Prozessen folgen.

Identitätsdiebstahl und synthetischer Identitätsbetrug

Identitätsbetrug beinhaltet die Verwendung von kompromittierten personenbezogenen Daten (Personally Identifiable Information, PII) – wie Sozialversicherungsnummern (SSNs), Geburtsdaten und Wohnadressen –, um betrügerische Konten zu eröffnen, Kredite zu erhalten oder Käufe zu tätigen:

• Traditioneller Identitätsdiebstahl: Betrügerische Akteure geben sich mithilfe vollständiger Datensätze gestohlener persönlicher Daten als echte Personen aus.

• Synthetischer Identitätsbetrug: Angreifer kombinieren echte gestohlene personenbezogene Daten (häufig SSNs von Kindern, Verstorbenen oder inaktiven Kreditprofilen) mit komplett erfundenen Namen und Adressen. Sie pflegen diese synthetischen Identitäten über Monate oder Jahre hinweg, um legitim aussehende Kredit-Scores aufzubauen, bevor sie die Kreditlimits ausschöpfen und die Konten aufgeben (bekannt als „Busting-out“).

So erkennen und verhindern Sie Identitätsbetrug:

• Mehrschichtige Identitätsverifizierung: Verlangen Sie eine Identitätsverifizierung an mehreren Punkten für risikoreiche Transaktionen oder Kontoerstellungen, indem Sie das Scannen von amtlichen Ausweisdokumenten mit biometrischen Lebendigkeitsprüfungen kombinieren.

• Identitätsdatenbanken abgleichen: Verifizieren Sie die Daten der Antragsteller/innen mit Registern von Auskunfteien, Telekommunikationsdatenbanken und behördlichen Aufzeichnungen, um Unstimmigkeiten zwischen Namen, Geburtsdaten und SSNs zu erkennen.

• Verhaltenssignale analysieren: Verfolgen Sie Verhaltensbiometrie (z. B. Tipprhythmus, Copy-and-Paste-Aktivitäten in Formularfeldern, Gerätenavigation), um automatisierte Bots und betrügerische Formularausfüller/innen von authentischen Nutzer/innen zu unterscheiden.

• Multifaktor-Authentifizierung (MFA) erzwingen: Verlangen Sie Phishing-resistente MFA (z. B. FIDO2-Passkeys, Authenticator-Apps), um Angriffe zur Kontoübernahme zu blockieren, die auf Credential Stuffing zurückzuführen sind.

Betrug bei Echtzeitzahlungen (RTP) und Ausnutzung von Sofortzahlungen

Mit der rasanten Expansion von Netzwerken für Sofortzahlungen rund um die Uhr, wie dem RTP-Netzwerk von The Clearing House und dem FedNow Service der Federal Reserve in den USA, zielen Cyberkriminelle zunehmend auf Konto-zu-Konto-Transfers ab.

Da RTPs nur Sekunden dauern und unwiderruflich sind, nutzen böswillige Akteure Betrugsmaschen bei autorisierten Zahlungen per Push-Methode oder Kontoübernahmen, um Opfer dazu zu bringen, Sofort-Transfers zu senden. Anschließend verteilen sie die gestohlenen Gelder schnell über Netzwerke von „Mule“-Konten, bevor Banken oder Unternehmen die Gelder einfrieren können.

So erkennen und verhindern Sie Betrug bei Echtzeitzahlungen:

• Implementieren Sie eine Risikobewertung vor der Ausführung: Bewerten Sie das Transaktionsrisiko in Millisekunden, bevor Sie einen Sofort-Transfer freigeben, und analysieren Sie dabei die Geräteintegrität des Senders, Sitzungsanomalien und historische Transfermuster.

• Verwenden Sie die Überprüfung des Zahlungsempfängers: Verifizieren Sie, dass der registrierte Kontoname der Empfängerin oder des Empfängers mit dem vom Sender eingegebenen Namen übereinstimmt, bevor Sie den Transfer ausführen, und markieren Sie potenzielle „Mule“-Konten.

• Erzwingen Sie dynamische Limits und Abkühlungsphasen: Wenden Sie temporäre Wertobergrenzen oder kurze Verzögerungen bei der Zahlungsabwicklung für Sofort-Transfers an, die an neu hinzugefügte Begünstigte oder unbekannte Konten gerichtet sind.

• Überwachen Sie ausgehende Zahlungsmuster: Markieren Sie hochfrequente oder plötzliche, hochwertige Transfers, die von kürzlich geänderten Nutzerprofilen oder Konten stammen, auf die von neuen Internetprotokoll-Adressen (IP-Adressen) zugegriffen wurde.

Skimming am Point of Sale (POS) und Hardware-Manipulation

Beim Skimming werden verdeckte physische Geräte oder bösartige Software auf Kartenlesegeräten an POS-Datenterminals, Geldautomaten (ATMs) oder Zapfsäulen installiert. Wenn eine Kundin oder ein Kunde die Karte durchzieht, kopiert der Skimmer die unverschlüsselten Daten, die auf dem Magnetstreifen gespeichert sind, während versteckte Lochkameras oder gefälschte Tastaturen die persönliche Identifikationsnummer (PIN) der Kundin oder des Kunden aufzeichnen. Betrügerische Akteure klonen dann den Magnetstreifen auf gefälschte Karten, um Einkäufe in Geschäften oder Bargeldabhebungen zu tätigen.

So erkennen und verhindern Sie Skimming:

• Stellen Sie auf EMV-Chip und kontaktlose Zahlungen um: Verwenden Sie Lesegeräte, die Zahlungen per EMV-Chip und PIN sowie digitale Wallets auf Basis von kontaktloser oder Near-Field-Communication-Technologie (NFC-Technologie) akzeptieren können. EMV-Chips und tokenisiertes NFC generieren dynamische, einmalige Kryptogramme, die nicht aus Magnetstreifendaten geklont oder wiederverwendet werden können.

• Überprüfen Sie die Hardware regelmäßig: Führen Sie tägliche, dokumentierte physische Inspektionen aller Zahlungsdatenterminals durch und prüfen Sie diese auf lose Overlays, gebrochene Manipulationssiegel, nicht übereinstimmende Kunststoffgehäuse oder nicht genehmigte Kabelbefestigungen.

• Setzen Sie Point-to-Point-Verschlüsselung (P2PE) ein: Verwenden Sie PCI-validierte P2PE-Lösungen, die Karteninhaberdaten direkt innerhalb des sicheren kryptografischen Lesegeräts verschlüsseln, bevor Sie die Daten über Ihr Netzwerk übertragen.

• Sichern Sie den Zugang zum Datenterminal: Beschränken Sie den physischen Zugang zu Zahlungsausrüstung, sperren Sie ungenutzte Anschlüsse und verifizieren Sie die Identitäten aller externen Wartungstechnikerinnen und -techniker, bevor Sie ihnen Zugang zu POS-Hardware gewähren.

Anleitung zum Erstellen eines individuellen Plans gegen Zahlungsbetrug für Unternehmen

Um einen Plan zur Bekämpfung von Zahlungsbetrug zu erstellen, der auf Ihre individuellen Bedürfnisse und Risiken zugeschnitten ist, sollten Sie einem systematischen Ansatz folgen, der Bewertung, Priorisierung, Implementierung und kontinuierliche Verbesserung umfasst.

Die folgende Schritt-für-Schritt-Anleitung hilft Ihnen dabei, eine Strategie gegen Zahlungsbetrug zu entwickeln und umzusetzen:

• Bewerten Sie Ihr Risiko: Führen Sie eine vollständige Risikobewertung durch, um die Arten von Zahlungsbetrug zu identifizieren, die für Ihr Unternehmen basierend auf seiner Branche, Größe, seinem Kundenstamm und seinen Transaktionsmethoden am relevantesten sind. Bewerten Sie die bestehenden Systeme, Prozesse und Kontrollen, um Schwachstellen und potenzielle Verbesserungsbereiche zu identifizieren.

• Priorisieren Sie die größten Bedrohungen: Priorisieren Sie basierend auf der Risikobewertung die bedeutendsten Bedrohungen und Schwachstellen und berücksichtigen Sie dabei die potenziellen finanziellen Auswirkungen, den Reputationsschaden und die Eintrittswahrscheinlichkeit. Dies wird dabei helfen, zu bestimmen, welche Maßnahmen zur Betrugsprävention zuerst implementiert werden sollten.

• Entwickeln Sie Ihre Strategie: Skizzieren Sie eine klare Strategie, die die priorisierten Risiken und Schwachstellen angeht und eine Mischung aus präventiven, aufdeckenden und reaktiven Maßnahmen umfasst. Passen Sie die Strategie an die individuellen Bedürfnisse und Risiken des Unternehmens an und integrieren Sie sowohl kurzfristige als auch langfristige Ziele.

• Weisen Sie Ressourcen zu: Weisen Sie die erforderlichen Ressourcen zu – einschließlich Personal, Budget und Technologie –, um die gewählten Taktiken und Best Practices zu implementieren. Weisen Sie den Teammitgliedern klare Rollen und Verantwortlichkeiten zu und etablieren Sie eine starke Governance-Struktur, um die Implementierung und das laufende Management der Strategie zu überwachen.

• Implementieren Sie den Plan: Führen Sie die gewählten Taktiken und Best Practices ein und stellen Sie sicher, dass sie in bestehende Systeme und Prozesse integriert werden. Dies kann die Aktualisierung von Richtlinien und Verfahren, Investitionen in neue Technologien oder die Durchführung von Schulungs- und Sensibilisierungsprogrammen für Mitarbeiterinnen und Mitarbeiter umfassen.

• Überwachen und bewerten Sie die Ergebnisse: Überwachen Sie kontinuierlich die Wirksamkeit der implementierten Maßnahmen und verwenden Sie Key Performance Indicators (KPIs) und Kennzahlen, um den Fortschritt zu verfolden. Führen Sie regelmäßige Audits durch, um Verbesserungsbereiche zu identifizieren und die Compliance mit Branchenstandards und Vorschriften sicherzustellen.

• Passen Sie sich im Laufe der Zeit an und verbessern Sie sich: Verfeinern und passen Sie die Strategie je nach Bedarf basierend auf den Überwachungs- und Bewertungsergebnissen an. Integrieren Sie neue Taktiken, um aufkommende Bedrohungen oder sich ändernde Geschäftsanforderungen anzugehen. Behalten Sie einen proaktiven Ansatz zur Zahlungsbetrugsprävention bei und bleiben Sie über die neuesten Trends, Technologien und Best Practices in diesem Bereich informiert.

Wenn Sie mit einem Dienstleister für Betrugsprävention und -minimierung zusammenarbeiten, können Sie Ihre Bemühungen bei der Bekämpfung von Betrug verstärken. Und abhängig von den Lösungen, die Sie für den Betrieb Ihrer Zahlungsinfrastruktur und für die Zahlungsabwicklung nutzen, sind Sie möglicherweise bereits mit Mitteln zur Betrugsvorbeugung ausgerüstet.

So kann Stripe Radar Sie unterstützen

Stripe Radar verwendet KI-Modelle, um Betrug zu erkennen und zu verhindern. Diese Modelle wurden mit Daten aus dem globalen Netzwerk von Stripe trainiert. Sie werden kontinuierlich auf der Grundlage neuester Betrugstrends aktualisiert und schützen Ihr Unternehmen vor aufkommenden betrügerischen Aktivitäten.

Stripe bietet außerdem Radar for Fraud Teams an, mit dem Nutzer/innen benutzerdefinierte Regeln für Betrugsszenarien hinzufügen können, die speziell auf ihr Unternehmen zugeschnitten sind. Außerdem erhalten sie Zugang zu neuesten Erkenntnissen über betrügerische Aktivitäten.

Mit Radar kann Ihr Unternehmen unter anderem Folgendes umsetzen:

• Verhindern Sie Betrugsverluste: Stripe wickelt jährlich Zahlungen in Höhe von über 1,9 Billionen USD ab. Diese Größenordnung ermöglicht es Radar auf einzigartige Weise, dabei zu helfen, Betrug zu erkennen und zu verhindern, und Ihnen so Geld zu sparen.

• Umsatz steigern: Die KI-Modelle von Radar werden anhand tatsächlicher Anfechtungsdaten, Kundeninformationen, Daten zum Surfverhalten und mehr trainiert. Damit kann Radar riskante Transaktionen identifizieren und falsch positive Ergebnisse reduzieren und so Ihren Umsatz steigern.

• Zeit sparen: Radar ist in Stripe integriert und lässt sich ohne Codierung einrichten. Sie können über eine einzige Plattform Ihre Performance mit Blick auf Betrug überwachen, Regeln schreiben und vieles mehr. Das erhöht die Effizienz.

Erfahren Sie mehr über Stripe Radar oder starten Sie noch heute.