Wie sich E-Commerce-Händler vor Zahlungsbetrug schützen

Auch in diesem Jahr erwarten Händler anlässlich des Weihnachtsgeschäfts wieder einen Ansturm. Der einfache Zugang zu Online-Zahlungsoptionen, wie sie etwa der Zahlungsdienstleister Adyen anbietet, führt dabei zu steigenden Umsätzen im Handel, erfordert aber auch Vorbereitungen im Risikomanagement. Denn im Zusammenhang mit der Technologie verändern sich schnell auch die Betrugsmaschen.

Sicher nicht gleich sicher?

Wer sich als Händler vor Betrug schützen will, sollte auf umfassendes Risikomanagement setzen. Dabei versprechen die standardisierten Vorgaben PDS2, SCA und insbesondere 3DS2 trotz futuristischer Namen etwas Konkretes: einen wichtigen Schritt zum Schutz vor Betrügern und deren immer ausgefeilter werdenden Methoden. Doch kann dieses Versprechen in der Praxis gehalten werden?

Um Händler und Kunden im E-Commerce-Sektor besser vor Betrug zu schützen, wurden in den letzten Jahren europaweit verschiedene Richtlinien und Sicherheitsstandards eingeführt. Mit der Zahlungsdiensterichtlinie PDS2 setzte die EU vor zwei Jahren einen überarbeiteten, rechtlichen Rahmen für elektronische und bargeldlose Transaktionen. Teil der Richtlinie ist die Vorschrift der Zwei-Faktoren-Kundenauthentifizierung bei der Online-Bezahlung – die „Strong Customer Authentication” (SCA). In der Praxis bedeutet dies, dass die Kunden nicht mehr nur ein statisches Passwort bei Online-Transaktionen eingeben, sondern mindestens zwei von drei Punkten bei der Authentifizierung erfüllen müssen: Neben dem Passwort muss der Kunde zusätzlich etwas, das er besitzt, wie etwa einen SMS-Code auf seinem Smartphone oder ein biometrisches Merkmal zur Identifizierung, angeben. Der Bezahlvorgang wird damit sicherer und führt zu höheren Konversionsraten. Außerdem stellt der neue Standard potenzielle Betrüger im Online-Handel vor höhere Hindernisse.

Die Grenzen von 3DS2

So viele Vorteile das neue Sicherheitsprotokoll 3D Secure 2 (3DS2) auf den ersten Blick auch hat, es bietet keinen ausgereiften Schutz vor neuen Betrugsmaschen wie etwa dem Card Testing und dem Geschenkkartenbetrug oder vor Wiederverkäufen. Bei der Methode des Card Testing nutzen Betrüger gestohlene Kreditkarten und prüfen über die Anmeldung eines Probemonats bei einem Aboservice, ob Transaktionen mit der Karte möglich sind, und verwenden sie danach für große Zahlungen oder verkaufen sie im Darknet. Beim Geschenkkartenbetrug kaufen Betrüger ein Produkt mit gestohlenen Zahlungsdetails und lassen sich den Wert der Ware auf eine Geschenkkarte gutschreiben. Doch auch für solche Betrugsmaschen gibt es Lösungen: Online-Händler sollten ihr SCA-System um zusätzliche Tools erweitern. Diese sollten auf individuell anpassbaren Risikoregeln sowie der Erstellung von Käufer - und Verhaltensprofilen basieren, um Auffälligkeiten im Zahlungsverhalten von Kunden zu erkennen. Dadurch sind schnelle, datenbasierte Entscheidungen möglich.

Dies ist ein Artikel aus unserer Print-Ausgabe 11-12/2021. Bestellen Sie ein kostenfreies Probe-Abo.

Um Card Testing und Kartenbetrug zu bekämpfen, können Online-Händler mit Häufigkeitsprüfungen über Zahlungstransaktionen, sogenannten Velocitychecks, arbeiten. Ein flexibles Risikosystem und die Verwendung von Referenzlisten können bei der Erstellung von Käuferprofilen und Kaufverhalten genutzt werden. Moderne Risikosysteme nutzen darüber hinaus Machine Learning (ML) und können vorhersagen, ob eine Zahlung betrügerisch ist. Das manuelle Aufstellen von Regeln und die Zuweisung von Punkten können zeitaufwändig sein. Während einfache Muster, die mit Betrug in Verbindung gebracht werden, von einem menschlichen Experten leicht in Regeln kodiert werden können, haben ML-Modelle bei komplexeren Mustern eine höhere Chance, diese zu erkennen.

Flexibilität als Schutz vor Betrug

Was können wir daraus für den Online-Handel lernen? Mit PDS2, SCA und 3DS2 gibt es mittlerweile sinnvolle Richtlinien und Protokolle zur Kundenauthentifizierung. Diese erfüllen aber nur einen Mindeststandard hinsichtlich sicherer Payments. Für einen effektiven Schutz reichen diese Standards nicht. Unternehmen, die sich wirksam schützen möchten, sollten ihre Maßstäbe höher setzen und ihr Risikomanagement um intelligente Tools wie Referenzlisten sowie um Machine-Learning-Modelle erweitern. Das Stichwort lautet Flexibilität: Auf das Geschäftsmodell individuell anpassbare Risikoregeln können bei der Erkennung von Zahlungsbetrug helfen, um Betrügern langfristig Einhalt zu gebieten.

Bildquelle: Getty Images / iStock / Getty Images Plus