Betrugsprävention im Online-Zahlungsverkehr: Betrugsarten, Werkzeuge und Kennzahlen

Welche Arten von Zahlungsbetrug treffen Onlinehändler?

Betrug folgt dem Geld und der schwächsten Kontrolle. EBA und EZB zählten für 2024 im EWR Zahlungsbetrug von 4,2 Milliarden €, wobei sich Kartenbetrug auf Card-not-present-Zahlungen und auf Zahlungen an Händler außerhalb des EWR konzentriert. Händler tragen die Kosten des Kartenbetrugs überwiegend selbst, durch Chargebacks, Gebühren und verlorene Ware.

Jede der folgenden Arten hinterlässt andere Signale und braucht eine andere Abwehr, weshalb ein einzelnes Regelwerk oder ein einzelnes Werkzeug selten alle abdeckt. In Deutschland kommt der verbreitete Kauf auf Rechnung hinzu: Dort sind Identitätsmissbrauch und falsche Lieferadressen ein eigenes Risiko, das Rechnungsanbieter mit Bonitäts- und Adressprüfungen abfangen.

Was ist Friendly Fraud, und ist Chargeback-Betrug strafbar?

Friendly Fraud, auch Chargeback-Betrug oder First-Party-Fraud genannt, liegt vor, wenn der Karteninhaber, der einen Kauf getätigt hat, ihn bei seiner Bank als nicht autorisiert oder nicht erhalten bestreitet. Manche Fälle beruhen auf ehrlicher Verwirrung über einen unbekannten Abrechnungsnamen oder den Kauf eines Familienmitglieds, andere auf Absicht. Wer einen Chargeback wissentlich zu Unrecht auslöst, um Ware und Geld zu behalten, kann sich wegen Betrugs nach § 263 StGB strafbar machen; in der Praxis wehren Händler solche Fälle aber über das Dispute-Verfahren ab.

3D Secure verhindert Friendly Fraud nicht, denn der echte Karteninhaber kann sich authentifizieren. Hilfreich sind ein Abrechnungsname, den Kunden wiedererkennen, Bestellbestätigungen per E-Mail, Liefernachweise und ein einfacher Weg zur Erstattung. Bei Visa-Disputes erlaubt Compelling Evidence 3.0, auf einen Betrugsvorwurf mit zwei früheren unbeanstandeten Transaktionen zu antworten, die 120 bis 365 Tage zuvor mit derselben Karte und passenden Geräte- oder IP-Daten erfolgten.

Welche Werkzeuge zur Betrugsprävention sollte ein Onlinehändler einsetzen?

Kein einzelnes Werkzeug deckt alle Betrugsarten ab, und jedes verursacht Kosten oder Reibung. Die nützliche Frage lautet, was ein Werkzeug sieht und wann es eingreift: vor der Bestellung, vor der Autorisierung, während der Authentifizierung oder nach dem Verkauf.

Machine-Learning-Scores verbinden viele schwache Signale, Regeln bilden dagegen ab, was Sie über Ihr Geschäft bereits wissen. Die meisten Händler brauchen beides: Regeln für harte Grenzen und nachvollziehbare Sperren, Scoring für die Grauzone dazwischen.

• Regeln: Sperren oder Prüfen nach Land, Betrag, Produkt, Versandart oder nach gesperrter E-Mail-Adresse, Karte und Gerät
• Velocity-Prüfungen: Begrenzung der Versuche pro Karte, Gerät, IP-Adresse, E-Mail und Konto innerhalb von Minuten und Tagen
• Geräte-Fingerprinting: Wiedererkennung bekannter Geräte, Emulatoren, Proxys und vieler Konten auf einem Gerät
• Risikoscoring mit Machine Learning: ein Score pro Zahlung aus Verhalten, Historie und Netzwerkdaten
• 3D Secure 2: Authentifizierung durch die Bank, mit Haftungsverlagerung bei authentifizierten Zahlungen
• CVV- und Adressprüfung (AVS): Prüfungen der Bank bei der Autorisierung; AVS gibt es vor allem für Karten aus dem Vereinigten Königreich, den USA und Kanada, bei in Deutschland ausgegebenen Karten also in der Regel nicht
• Manuelle Prüfung und Versandstopp: bei hochwertigen oder unklaren Bestellungen, bevor die Ware das Lager verlässt

Welche Betrugskennzahlen sollten Sie verfolgen?

Die Betrugsquote allein belohnt das Ablehnen aller Kunden. Verfolgen Sie sie zusammen mit der Dispute-Quote, die die Kartenorganisationen überwachen, und mit den False Declines, die Sie verursachen, denn ein abgelehnter guter Kunde kostet die volle Marge und oft auch seine Folgebestellungen.

Das Acquirer Monitoring Program von Visa zählt Betrugsmeldungen und Disputes zusammen; die Schwelle für Händler in Europa wurde im April 2026 auf 1,5 % gesenkt. Wer Schwellen der Kartenorganisationen überschreitet, riskiert Strafgebühren, höhere Acquirer-Entgelte und am Ende den Verlust der Kartenakzeptanz.

Wie sieht ein mehrstufiger Ansatz zur Betrugsprävention aus?

Jede Schicht fängt auf, was die vorige durchgelassen hat, und erlaubt es, Reibung nur dort einzusetzen, wo sie nötig ist. Risikoarme Zahlungen laufen schnell durch, Zahlungen mit mittlerem Risiko werden authentifiziert, und Zahlungen mit hohem Risiko werden gesperrt oder geprüft.

Setzen Sie jede Kontrolle so früh wie möglich ein: Einen Card-Testing-Bot bei der Registrierung zu stoppen, ist günstiger, als Autorisierungsgebühren für Tausende abgelehnter Versuche zu zahlen.

Wie hängt Risikoscoring mit dem Zahlungsrouting zusammen?

Ein Risikoscore ist am nützlichsten, wenn er bestimmt, was mit der Zahlung geschieht, und nicht nur, ob sie gesperrt wird. Niedrige Scores können mit einer TRA-Ausnahmeanfrage gesendet werden, damit der Checkout reibungslos bleibt, mittlere Scores laufen über 3D Secure, hohe Scores werden gesperrt oder zur Prüfung angehalten. Bei mehreren Acquirern kann der Score auch entscheiden, welche Anbindung die Zahlung abwickelt, etwa indem riskante Warenkörbe zum Konto mit dem besten Authentifizierungs-Setup gehen.

Routing erzeugt aber auch Betrugsrisiko. Eine abgelehnte Zahlung bei einem zweiten Anbieter erneut zu versuchen, hilft bei technischen und Soft Declines; wiederholt man jedoch Hard Declines oder vermutetes Card Testing, verteilt sich der Angriff auf alle Ihre Konten und die Dispute-Quoten steigen überall. Wiederholungsregeln sollten daher zuerst den Ablehnungsgrund und den Risikoscore prüfen.

Wie ergänzen Sie Betrugskontrollen über OrsunPay?

OrsunPay ist ein technischer Dienstleister auf den eigenen PSP-Konten des Händlers, sodass die Betrugswerkzeuge und Haftungsregeln der jeweiligen PSP-Verträge weiter gelten. Das Reporting führt Zahlungsergebnisse der angebundenen Anbieter zusammen; das Anti-Fraud-Modul RiskCogs ergänzt jede Transaktion um einen Risikoscore und Signale, die in Routing- und Cascading-Regeln einfließen.

So richten Sie eine mehrstufige Betrugsprävention ein

1. Ausgangslage messen Exportieren Sie drei Monate Zahlungen, Disputes und Ablehnungen und berechnen Sie Betrugsquote, Dispute-Quote und Genehmigungsquote je Land, Zahlungsart und Betragsstufe.
2. Automatisierte Angriffe zuerst stoppen Ergänzen Sie Bot-Erkennung und Velocity-Limits je Karte, Gerät, IP-Adresse und E-Mail, um Card Testing vor der Autorisierung zu blockieren.
3. Jede Zahlung bewerten Nutzen Sie die Risiko-Engine Ihres PSP oder ein separates Scoring-Werkzeug und schreiben Sie Regeln für die harten Grenzen, die Sie bereits kennen.
4. Scores in Aktionen übersetzen Legen Sie Bereiche für Freigabe mit Ausnahme, Authentifizierung mit 3D Secure, Prüfung und Sperre fest und testen Sie die Schwellen an früheren Bestellungen.
5. Auf Disputes vorbereiten Bereinigen Sie Ihren Abrechnungsnamen, speichern Sie Liefernachweise und Gerätedaten und erstatten Sie offensichtliche Fehler, bevor sie zu Chargebacks werden.
6. Monatlich überprüfen Betrachten Sie Betrug, Disputes und False Declines gemeinsam und passen Sie die Regeln an, denn Betrugsmuster verschieben sich nach jeder Änderung, die Sie vornehmen.