Betrug kostet Unternehmen mehr als nur verlorene Waren. Tatsächlich kostet durchschnittlich jeder 1,00 USD an Zahlungsbetrug bei US-Finanzdienstleistungen 5,75 USD. Die Kosten sind vielschichtig: Rückbuchungen schmälern die Margen, und Betrugsuntersuchungen verschlingen Arbeitszeit der Mitarbeitenden. Der Aufwand für das Betrugsmanagement kann das Wachstum stark einschränken. Ein Rahmenwerk für das Betrugsrisikomanagement bietet Ihnen einen strukturierten Weg, diese Kosten zu minimieren. Es ermöglicht Ihnen, Ihre Risiken zu verstehen, die wichtigsten Risiken zu priorisieren und Kontrollen zu implementieren, die auch dann noch greifen, wenn sich Angriffsmuster ändern.

Im Folgenden besprechen wir, was Betrugsrisikomanagement ist, wie der vierstufige Zyklus in der Praxis funktioniert und wie Sie ein Rahmenwerk aufbauen, das zu Ihrem Unternehmen passt.

Das Wichtigste auf einen Blick

• Betrugsrisikomanagement folgt in der Regel einem Zyklus aus Identifizierung, Bewertung, Eindämmung und laufender Überwachung.

• Die Betrugsarten, die Online-Unternehmen tendenziell am stärksten treffen – Card-Not-Present (CNP)-Betrug, Kontoübernahmen und „Friendly Fraud“ –, nutzen die Lücken aus, die durch Remote- und digitale Transaktionen entstehen.

• Eine Richtlinie zum Betrugsrisikomanagement funktioniert nur, wenn sie explizite Verantwortlichkeiten, eine definierte Risikobereitschaft und einen von Anfang an integrierten Überprüfungsrhythmus umfasst.

Was ist Betrugsrisikomanagement?

Betrugsrisikomanagement ist der Prozess zur Identifizierung, Bewertung und Reaktion auf die Art und Weise, wie Ihr Unternehmen zum finanziellen Vorteil ausgenutzt werden könnte. Es unterscheidet sich in einem wichtigen Punkt vom allgemeinen Risikomanagement: Bei Betrug ist Absicht im Spiel. Sie schützen sich vor dem Verhalten von Personen, die aktiv versuchen, Ihre Kontrollen zu umgehen.

Wie funktioniert Betrugsrisikomanagement?

Der Zyklus des Betrugsrisikomanagements besteht aus vier Phasen: Identifizierung, Bewertung, Eindämmung und laufende Überwachung. Jede Phase baut auf der vorherigen auf.

Identifizierung von Betrugsrisiken

Beginnen Sie mit Ihrer Angriffsfläche: wie Ihr Transaktionsablauf aussieht, wo Menschen damit interagieren und wo er automatisiert ist. Unternehmen mit hohen CNP-Transaktionsvolumina sind anderen Angriffsvektoren ausgesetzt als solche, die Zahlungen persönlich abwickeln. Historische Betrugsdaten sind ein Ausgangspunkt, geben Ihnen aber nur Auskunft über Betrug, den Sie bereits gesehen haben. Musteranalysen und die Abbildung von Geschäftsmodellen helfen, Schwachstellen aufzudecken, bevor sie ausgenutzt werden.

Betrugsrisikobewertung

Nicht alle Betrugsrisiken sind gleich, und Sie können sie nicht gleich behandeln. Bewerten Sie jedes Risiko auf zwei Achsen: Wahrscheinlichkeit und Auswirkungen. Die Wahrscheinlichkeit spiegelt wider, wie oft eine Betrugsart in Unternehmen wie Ihrem auftritt. Beispielsweise ist CNP-Betrug im E-Commerce häufig, während First-Party-Missbrauch bei Abonnement- und Kreditprodukten weiter verbreitet ist. Die Auswirkungen umfassen finanzielle Verluste, Rückbuchungsgebühren, Sanierungskosten und die Beeinträchtigung der Kundenerfahrung. Risiken mit hoher Wahrscheinlichkeit und hohen Auswirkungen sollten sofortige Aufmerksamkeit und dedizierte Kontrollen erhalten.

Eindämmung von Betrugsrisiken

Die Eindämmung wandelt Ihre Bewertung in Kontrollen über drei Ebenen hinweg um. Präventive Kontrollen stoppen Betrug, bevor er passiert. Detektive Kontrollen erkennen Betrug, während er stattfindet oder kurz danach. Reaktionsverfahren definieren, was passiert, nachdem ein Betrug bestätigt wurde, wie z. B. Kontosperrung, Beweissicherung für Streitfälle und gegebenenfalls die Eskalation an Strafverfolgungsbehörden. Sich nur auf Prävention zu verlassen, kann Sie unvorbereitet lassen, wenn ein neuer Angriffsvektor auftaucht.

Laufende Überwachung und Überprüfung

Betrugsmuster ändern sich, und Kontrollen, die vor sechs Monaten funktioniert haben, funktionieren heute möglicherweise nicht mehr. Betrügerische Akteure tauschen Techniken aus, neue Produktfunktionen schaffen neue Schwachstellen, und Angriffsvektoren entwickeln sich schneller, als jährliche Überprüfungszyklen erfassen können. Vierteljährliche Überprüfungen sind eine sinnvolle Grundlage, wobei Ad-hoc-Überprüfungen durch größere Änderungen der Rückbuchungsraten, neue Produkteinführungen oder bestätigte Betrugsvorfälle ausgelöst werden.

Wie führen Sie eine Betrugsrisikobewertung durch?

Eine Betrugsrisikobewertung ist eine strukturierte Prüfung Ihrer Risiken. Die folgenden Schritte sind dabei involviert:

• Definieren Sie Ihren Geltungsbereich: Entscheiden Sie, ob Sie Ihr gesamtes Unternehmen, eine bestimmte Produktlinie oder eine bestimmte Transaktionsart bewerten. Der Geltungsbereich bestimmt, was Sie in Ihr Anlageninventar aufnehmen und wer einbezogen werden muss.

• Erstellen Sie eine Transaktionskarte: Dokumentieren Sie jeden Punkt in Ihrem Transaktionsablauf, an dem Betrug auftreten könnte. In einem E-Commerce-Unternehmen umfasst dies den Bezahlvorgang, die Kontoerstellung, die Speicherung der Zahlungsmethode, Rückerstattungen und Streitfälle. Jeder einzelne ist eine potenzielle Angriffsfläche.

• Identifizieren Sie Betrugsszenarien: Fragen Sie sich an jedem Kontaktpunkt, was ein betrügerischer Akteur tun könnte (z. B. Kartentests beim Bezahlvorgang, Kontoübernahme beim Login, „Friendly Fraud“ in der Streitfallphase) und was er davon hätte. Wenn Sie das Szenario spezifizieren, lässt es sich viel einfacher bewerten und eindämmen.

• Bewerten Sie Wahrscheinlichkeit und Auswirkungen: Nutzen Sie historische Daten, Branchenbenchmarks und die Einschätzung Ihres Zahlungsdienstleisters. Die Wahrscheinlichkeitswerte sollten Ihr tatsächliches Transaktionsvolumen und Ihr Kundenprofil widerspiegeln, nicht allgemeine Branchendurchschnitte. Die Auswirkungen sollten direkte finanzielle Verluste, Rückbuchungsgebühren, Sanierungskosten und die Beeinträchtigung der Kundenerfahrung berücksichtigen.

• Priorisieren Sie und weisen Sie Verantwortlichkeiten zu: Hochpriorisierte Risiken erfordern eine bestimmte Person oder ein bestimmtes Team, die für die Kontrolle verantwortlich sind. Ohne Verantwortlichkeit werden keine Kontrollen implementiert und es finden keine Prüfungen statt.

• Dokumentieren und legen Sie ein Überprüfungsdatum fest: Das Ergebnis einer Betrugsrisikobewertung ist ein dynamisches Dokument und muss von Anfang an mit einem Überprüfungsrhythmus verknüpft sein.

Welche Betrugsrisiken sind für E-Commerce und Finanzplattformen am wichtigsten?

Die Betrugsarten, die Online-Unternehmen in der Regel am stärksten treffen, nutzen alle das Fehlen einer physischen Überprüfung aus. Dazu gehören die folgenden:

CNP-Betrug

CNP-Betrug tritt auf, wenn gestohlene oder kompromittierte Kartendaten verwendet werden, um Einkäufe auf einem beliebigen Kanal zu tätigen, bei dem die Karte nicht physisch anwesend ist: Online-Bezahlvorgänge, telefonische Bestellungen, wiederkehrende Abrechnungen und In-App-Käufe. Die Karte selbst wechselt nie den Besitzer, was es schwer macht, dies ohne mehrschichtige Überprüfung zu erkennen. Die Raten von CNP-Betrug neigen dazu, nach großen Datenlecks zu steigen, wenn neue Datensätze in Darknet-Marktplätze gelangen.

Kontoübernahmebetrug

„Credential Stuffing“ (automatisierte Angriffe, bei denen gestohlene Kombinationen aus Benutzernamen und Passwörtern auf vielen Websites getestet werden) ist kostengünstig durchzuführen, was Kontoübernahmebetrug zu einer häufigen Bedrohung gemacht hat. Betrügerische Akteure nutzen geleakte Benutzernamen- und Passwortkombinationen, um auf Konten von Kundinnen und Kunden zuzugreifen, ändern dann Lieferadressen, fügen neue Zahlungsmethoden hinzu oder räumen gespeichertes Guthaben ab. Dies ist besonders schädlich, da es das Vertrauen der Kundinnen und Kunden selbst dann untergräbt, wenn das Unternehmen richtig reagiert.

Friendly Fraud

„Friendly Fraud“, auch Rückbuchungsbetrug genannt (und manchmal unter der breiteren Kategorie des First-Party-Betrugs zusammengefasst), tritt auf, wenn eine legitime Karteninhaberin oder ein legitimer Karteninhaber einen Kauf tätigt und anschließend die Abbuchung bei der eigenen Bank anficht. Es wird behauptet, die Ware nie erhalten oder die Transaktion nicht autorisiert zu haben. Streitfallraten von über etwa 1 % des Transaktionsvolumens sind ein häufiges Warnsignal, obwohl die Schwellenwerte je nach Zahlungsdienstleister und Unternehmenskategorie variieren.

Richtlinienmissbrauch

Zwischen Betrug und legitimem Kundenverhalten angesiedelt, umfasst der Richtlinienmissbrauch Rückerstattungsbetrug, das Stapeln von Gutscheincodes und Empfehlungsmissbrauch. Dies ist nicht immer das Werk von organisiertem Verbrechen. Manchmal sind es gewöhnliche Kundinnen und Kunden, die Lücken in Ihren Richtlinien ausnutzen. Die finanziellen Auswirkungen sind in jedem Fall real, und die entsprechenden Kontrollen überschneiden sich mit der Betrugsprävention bei Zahlungen.

Wie verbindet sich ein Rahmenwerk für das Betrugsrisikomanagement mit den Tools, die Sie täglich nutzen?

Ein Rahmenwerk für das Betrugsrisikomanagement ohne Ausführung ist nur Dokumentation. Die Übersetzung von der Strategie zur täglichen Betrugsprävention erfolgt durch drei Kategorien von Tools:

• Regel-Engines: Dies sind logikbasierte Kontrollen, mit denen Sie Transaktionen über einem bestimmten Wert von neuen Konten blockieren, Bestellungen markieren können, bei denen Rechnungs- und Lieferländer nicht übereinstimmen, oder zusätzliche Überprüfungen für risikoreiche Produktkategorien fordern können. Regeln sind schnell und transparent, aber statisch. Raffinierter Betrug passt sich schnell an bekannte Regeln an, weshalb regelbasierte Systeme allein nicht ausreichen.

• Modelle für maschinelles Lernen: Diese analysieren Transaktionen anhand wesentlich größerer Merkmalsgruppen, als es eine Regel-Engine manuell tun könnte. Ein gut trainiertes Modell kann Hunderte von Variablen gleichzeitig abwägen und in Millisekunden eine Risikobewertung erstellen. Der Kompromiss ist die Intransparenz, da Modelle für maschinelles Lernen nicht immer eine klare Erklärung dafür liefern, warum eine Transaktion verdächtig war, was die Streitbeilegung und den Kundenservice erschweren kann.

• Überwachungs- und Warnsysteme: Diese schließen den Kreis. Echtzeit-Dashboards, Integrationen von Rückbuchungswarnungen und automatisierte Berichte informieren Sie, wenn sich etwas ändert. Ohne Überwachung können Sie zwischen den Überprüfungszyklen keine Schwachstellen erkennen.

Stripe Radar vereint alle drei Ebenen innerhalb der Zahlungsinfrastruktur von Stripe. Das Modell für maschinelles Lernen von Radar wird mit Transaktionsdaten aus dem gesamten Netzwerk von Stripe trainiert, was bedeutet, dass es von Signalen profitiert, die Ihr Unternehmen allein nicht generieren könnte. Sie können Ihre eigenen benutzerdefinierten Regeln darüberlegen und 3D Secure für bestimmte Transaktionsarten verlangen oder Reibungsverluste für Bestellungen hinzufügen, die bekannten Betrugsmustern entsprechen. Intelligenz auf Netzwerkebene und unternehmensspezifische Regeln wirken in Kombination und nicht isoliert.

Wie erstellen Sie eine Richtlinie zum Betrugsrisikomanagement für Ihr Unternehmen?

Eine Richtlinie zum Betrugsrisikomanagement formalisiert Ihren Rahmen. Sie definiert, was Sie schützen, wer für den Schutz verantwortlich ist und was passiert, wenn etwas schiefgeht.

Hier ist ein schrittweiser Überblick, wie Sie diese Richtlinie erstellen:

• Definieren Sie den Geltungsbereich und die Ziele der Richtlinie: Seien Sie spezifisch. „Unter den branchenüblichen Schwellenwerten für Betrug und Streitfälle bleiben“ ist ein nützliches Ziel. „Betrug reduzieren“ ist es nicht.

• Erstellen Sie eine explizite Erklärung zur Risikobereitschaft: Dies hilft Ihrem Team, konsistente Entscheidungen zu treffen. „Wir akzeptieren eine Betrugsrate von höchstens 0,1 % bei Kartentransaktionen, bevor wir Kontrollen verschärfen“ ist eine klare Aussage. „Wir nehmen Betrug ernst“ ist es nicht.

• Listen Sie bestimmte implementierte Kontrollen auf: Fügen Sie hinzu, was sie verhindern sollen und wer dafür verantwortlich ist. Es muss nicht erschöpfend sein, sollte aber spezifisch genug sein, damit ein neues Teammitglied Ihre Präventionsstrategie allein durch das Lesen verstehen kann.

• Etablieren Sie Eskalationsverfahren: Definieren Sie, was eine Eskalation auslöst, wer benachrichtigt wird, wenn Betrugsschwellenwerte überschritten werden, und wie der Reaktionszeitplan für bestätigte Vorfälle aussieht. Diese Verfahren sind am wichtigsten, wenn die Dinge schnell gehen und keine Zeit bleibt, den Prozess von Grund auf zu lernen.

• Legen Sie Ihren Überprüfungsrhythmus fest: Wann wird die Richtlinie überprüft und was löst eine außerplanmäßige Überprüfung aus? Definieren Sie dies im Voraus, sonst passiert es möglicherweise nicht.

So kann Stripe Radar Sie unterstützen

Stripe Radar verwendet KI-Modelle, um Betrug zu erkennen und zu verhindern. Diese Modelle wurden mit Daten aus dem globalen Netzwerk von Stripe trainiert. Sie werden kontinuierlich auf der Grundlage neuester Betrugstrends aktualisiert und schützen Ihr Unternehmen vor aufkommenden betrügerischen Aktivitäten.

Stripe bietet außerdem Radar for Fraud Teams an, mit dem Nutzer/innen benutzerdefinierte Regeln für Betrugsszenarien hinzufügen können, die speziell auf ihr Unternehmen zugeschnitten sind. Außerdem erhalten sie Zugang zu neuesten Erkenntnissen über betrügerische Aktivitäten.

Mit Radar kann Ihr Unternehmen unter anderem Folgendes umsetzen:

• Verlust aufgrund von Betrug vermeiden: Stripe wickelt jährlich Zahlungen in Höhe von über 1 Billion USD ab. Dadurch kann Radar auf einzigartige Weise Betrug genau erkennen und verhindern.

• Umsatz steigern: Die KI-Modelle von Radar werden anhand tatsächlicher Anfechtungsdaten, Kundeninformationen, Daten zum Surfverhalten und mehr trainiert. Damit kann Radar riskante Transaktionen identifizieren und falsch positive Ergebnisse reduzieren und so Ihren Umsatz steigern.

• Zeit sparen: Radar ist in Stripe integriert und lässt sich ohne Codierung einrichten. Sie können über eine einzige Plattform Ihre Performance mit Blick auf Betrug überwachen, Regeln schreiben und vieles mehr. Das erhöht die Effizienz.

Erfahren Sie mehr über Stripe Radar oder starten Sie noch heute.