Betrug im Online-Handel erkennen und verhindern

Um Betrügern nicht ins Netz zu gehen und sich als Händler effektiv gegen Betrugs- und Manipulationsversuche zu wappnen, ist es wichtig, die verschiedenen Betrugsszenarien zu kennen und somit auf Anzeichen bereits reagieren zu können.

Die für eine E-Commerce Zahlung notwendigen Daten, wie Kartennummer, Name, Ablaufdatum und Kartenprüfnummer, können einfach „verloren gehen“ – schließlich sind sie für jeden gut sichtbar auf der Karte aufgedruckt. Ein kurzer unachtsamer Moment genügt – etwa an der Hotelrezeption oder der Strandbar – damit ein geschickter Betrüger unbemerkt ein Foto der Karte machen kann. Auch online gibt es zahlreiche Möglichkeiten, wie Kartendaten in die falschen Hände geraten können: Zum Beispiel im Rahmen einer Phishing-Attacke, wenn ein Karteninhaberversehentlich seine Kartendaten auf einer unsicheren Webseite eingibt, wo Betrüger sie auslesen können. Oder wenn Kartendaten bereits auf einer Seite gespeichert sind und Hackerunberechtigt auf sie zugreifen können.

Nach einem erfolgreichen Hackerangriff auf einen Online-Händler werden die gestohlenen Kartendaten häufig auf dem Schwarzmarkt im so genannten Darknet angeboten. Hier können sie von Online-Betrügern anonym erworben werden. Allerdings sind Kartendaten von Online-Hacks meistens unvollständig, da die Kartenprüfnummer von Händlern und Zahlungsdienstleistern (wie Saferpay) niemals mitgespeichert werden darf. Betrüger versuchen daher häufig, die fehlenden Daten in vielen Bezahlversuchen zu erraten. Dabei geben sie einen kleinen Transaktionsbetrag ein, um keine unnötige Aufmerksamkeit zu erregen. Im Falle eines kompletten Kartendatendiebstahls inklusive Kartenprüfnummer, sind häufig große Beträge zu erwarten.

Betrug durch Kontoübernahme ("Account Takeover" oder kurz ATO) liegt vor, wenn sich ein Betrüger Zugang zu einem Kundenprofil in Ihrem Webshop verschafft und dann im Namen Ihres Kunden mit dem im Shop hinterlegten Zahlungsmittel einkaufen kann. Diese Art des Identitätsdiebstahls ist z.B. möglich, wenn Ihr Kunde ein leicht zu erratendes Passwort gewählt hat oder das Passwort seines E-Commerce-Kontos beispielsweise durch eine Phishing-Attacke kompromittiert werden konnte. Eine weitere Variante ist, wenn ein Betrüger das E-Mail-Konto Ihres Kunden gehackt hat und darüber ebenfalls auf das Kundenprofil in Ihrem Shop zugreifen und somit finanziellen Schaden anrichten kann.

Für Betrüger am einfachsten und bequemsten ist es, direkt Geld zu bekommen, anstatt im Namen eines Kunden Waren zu bestellen. Daher erfreut sich der sogenannte Reservierungsbetrug bei Betrügern großer Beliebtheit, der insbesondere die Hotelbranche betrifft: Dabei wird mit gestohlenen Kartendaten ein längerer Hotelaufenthalt gebucht und anschließend unter einem Vorwand wieder storniert, mit der Bitte, eine Gutschrift auf eine andere Kreditkarte oder ein anderes Konto zu erhalten. Der rechtmäßige Karteninhaber wird ebenfalls eine Rückbuchung veranlassen, sobald er den Schaden bemerkt.

Bei Friendly Fraud ("freundlicher Betrug") handelt es sich um Online-Käufe, bei denen ein Kunde mit Kredit- oder Debitkarte bezahlt und später eine Rückbuchung verlangt (Chargeback), statt eine Rückerstattung vom Händler. In den meisten Fällen liegen dabei aber keine betrügerischen Absichten vor. Zum Beispiel wird etwas online bestellt und dann vergessen - der Karteninhaber kann sich bei der Durchsicht seiner Kartenabrechnung nicht an den Vorgang erinnern und reklamiert die Zahlung. Oder ein Kind hat unbeaufsichtigten Zugang zu einem Gerät, auf dem Kreditkartendaten hinterlegt sind. In Einzelfällen gibt es jedoch auch Kunden, die den Erhalt der Ware einfach abstreiten und sich so einen Vorteil verschaffen wollen. Solche Einzelfälle lassen sich jedoch leider nur schwer erkennen.

In der Regel tragen Sie als Händler das volle Risiko im Online-Betrugsfall – und somit auch die Kosten. Eine Haftungsumkehr ("Liability Shift") gibt es nur, wenn sich der Kartenherausgeber oder Zahlungsdienstleister bereit erklären, für die einzelne Transaktion die Haftung zu übernehmen. Bei 3-D Secure-Zahlungen bekommen Sie als Händler fast immer eine Haftungsumkehr und sind damit auf der sicheren Seite. Ein Risiko tragen Sie bei Zahlungsmitteln ohne starke Kundenauthentifizierung und 3-D Secure, bei Zahlungen außerhalb des PSD2-Raums (wo 3-D Secure nicht von allen Issuern unterstützt wird) sowie in Ausnahmefällen ("Exemptions"), die vom Händler beantragt werden.

Grundsätzlich gilt: Wenn eine Haftungsumkehr stattgefunden hat und es dann zu einer Rückbuchung (Chargeback) kommt, dann wird der Zahlungsdienstleister die Kosten dafür übernehmen. Die Haftungsumkehr ist allerdings keine Garantie, dass es sich nicht um Betrug handelt!