Verhinderung von Zahlungsbetrug

Zahlungsbetrug wird immer häufiger und hat erhebliche Auswirkungen auf Unternehmen und Kunden.

Ein Blick auf den jährlichen Schaden von über 40 Milliarden US-Dollar, den Unternehmen weltweit erleiden, oder die 14 Zahlungsbetrugs-E-Mails pro Jahr, die Sie in den USA durchschnittlich erhalten, genügt, um das Ausmaß zu erkennen.

Unternehmen müssen ihre Geschäftsabläufe vor Betrugsrisiken schützen. Abonnementbasierte Geschäftsmodelle sind genauso anfällig für Zahlungsbetrug – wenn nicht sogar noch stärker betroffen.

Dieser Leitfaden erläutert alles Wissenswerte über Zahlungsbetrug, seine Funktionsweise, die verschiedenen Betrugsarten sowie bewährte Methoden, um sich vor betrügerischen Zahlungsvorgängen zu schützen.

Was ist Zahlungsbetrug?

Zahlungsbetrug ist eine Form des Finanzbetrugs, bei dem eine Partei gefälschte oder gestohlene Zahlungsinformationen nutzt, um ein Produkt oder eine Dienstleistung zu erhalten.

Gerade für abonnementbasierte Unternehmen sind die Risiken und Schäden durch Zahlungsbetrug besonders hoch. Ohne ein solides Sicherheits- und Auftragsmanagementsystem gestaltet sich die Schadensbegrenzung äußerst langwierig. Es ist daher unerlässlich, die wichtigsten Elemente zu verstehen und zu wissen, wie sich Unternehmen bestmöglich wappnen können.

Verwandtes Thema: Wie Sie elektronische Zahlungen und Umsatzverluste in den Griff bekommen

Zahlungsarten

Grundsätzlich gibt es zwei Zahlungsarten.

Kartenzahlung mit physischer Präsenz (Card Present, CP)

Bei dieser Zahlungsart ist eine physische Zahlungskarte – etwa eine Kredit- oder Debitkarte – erforderlich. Die Karte wird vom Karteninhaber beim Händler am Point of Sale (POS) oder an einem Zahlungsterminal vorgelegt.

Dies ist die gängige Zahlungsoption im stationären Einzelhandel, in Geschäften, Restaurants und anderen physischen Standorten.

Kartenzahlung ohne physische Präsenz (Card Not Present, CNP)

Die andere Zahlungsart ist die Kartenzahlung ohne physische Präsenz (CNP). Hierbei muss der Kunde seine Kredit- oder Debitkarte beim Kauf nicht physisch verwenden. Es wird weder gezogen noch kontaktlos bezahlt. Stattdessen erfolgen CNP-Zahlungen über virtuelle Zahlungsterminals.

CNP ist die bevorzugte Zahlungsoption für Online-Transaktionen – und damit für abonnementbasierte Geschäftsmodelle.

Arten von Zahlungsbetrug

Kreditkartenbetrug

Kreditkartenbetrug ist eine Form des Zahlungsbetrugs, bei der ein Täter unbefugt Zugriff auf die Kreditkartendaten des Nutzers erlangt – beispielsweise durch ATM-Skimming. Anschließend werden ohne Ihr Einverständnis Einkäufe getätigt, Gelder abgehoben oder andere Transaktionen durchgeführt.

Debitkartenbetrug

Debitkartenbetrug ähnelt dem Kreditkartenbetrug, da auch hier sensible persönliche Daten des Karteninhabers gestohlen werden. In diesem Fall werden die Gelder jedoch sofort vom Konto abgebucht, und noch nicht eingelöste Schecks platzen.

Mobile Payment-Betrug

Zahlungsbetrug tritt auch als Mobile Payment-Betrug auf. Hierbei nutzen Betrüger Schwachstellen in mobilen Zahlungsplattformen aus, um Zahlungsvorgänge abzufangen und Zahlungsdaten zu stehlen.

Identitätsdiebstahl

Nicht jeder Zahlungsbetrug betrifft ausschließlich Finanzdaten. Beim Identitätsdiebstahl werden persönliche und vertrauliche Informationen einer Person gestohlen und missbraucht. Die meisten Identitätsdiebstähle sind finanziell motiviert.

Rückerstattungsbetrug

Rückerstattungsbetrug geht noch einen Schritt weiter: Der Betrüger initiiert einen Rückerstattungsprozess für ein Produkt, das er weder rechtmäßig erworben hat noch für das ihm eine Rückerstattung zusteht. Online-Händler und abonnementbasierte Unternehmen sind häufig Ziel solcher Betrugsmaschen, oft mit Unterstützung von Insidern.

Gutscheinkartenbetrug

Beim Gutscheinkartenbetrug werden Prepaid-Karten mit einem bestimmten Guthaben genutzt, die Kunden zum Kauf von Waren und Dienstleistungen oder zum Verschenken verwenden können. Betrugsformen sind unter anderem das Klonen von Karten, das Erraten von Kartennummern oder der Weiterverkauf.

Kartentestbetrug

Auch als „Card Cracking“ oder „Carding“ bekannt: Beim Kartentestbetrug stehlen Cyberkriminelle physische Kredit- oder Debitkartendaten und prüfen anschließend deren Gültigkeit, um unbefugt auf Gelder zuzugreifen oder betrügerische Einkäufe zu tätigen.

Diese Form des Zahlungsbetrugs ist besonders gezielt und nutzt systematisch Schwachstellen in verschiedenen Zahlungssystemen und Sicherheitsprotokollen aus.

Phishing und Spoofing

Phishing und Spoofing sind digitale Betrugsarten, bei denen Einzelpersonen oder Systeme manipuliert werden. Dabei kommen Methoden des Social Engineering zum Einsatz.

Laut einer Studie des FBI war Phishing im Jahr 2020 die häufigste Form der Internetkriminalität. Die Zahl der Phishing-Angriffe stieg von 114.702 Fällen im Jahr 2019 auf 241.324 Fälle im Jahr 2020.

Nachfolgend einige weitere Formen von Phishing und Spoofing:

E-Mail-Phishing

Hierbei werden täuschend echte E-Mails versendet, um Personen dazu zu bringen, sensible Informationen wie Zugangsdaten, Finanzdaten oder persönliche Angaben preiszugeben. Diese E-Mails wirken authentisch und ahmen Mitteilungen vertrauenswürdiger Quellen wie Banken, sozialen Netzwerken, Online-Diensten oder Behörden nach.

Vishing

Vishing steht für „Voice Phishing“ und bezeichnet Betrugsversuche per Telefon oder Sprachnachricht, bei denen Opfer zur Herausgabe sensibler Daten verleitet werden.

Vishing-Angriffe nutzen Social-Engineering-Techniken, um vertrauliche Informationen wie Kreditkartennummern, Passwörter, Sozialversicherungsnummern oder andere persönliche Daten zu erlangen.

Smishing

Smishing ist das Pendant zum Phishing per SMS. Auch hier werden Social-Engineering-Methoden eingesetzt, um Opfer zu täuschen.

Pharming

Pharming bezeichnet das Umleiten von Nutzern von legitimen auf betrügerische Websites, ohne dass diese es bemerken. Im Gegensatz zum klassischen Phishing zielen Pharming-Angriffe auf Schwachstellen in der Internet-Infrastruktur, etwa bei DNS-Servern (Domain Name System), ab. Dadurch können sie den Datenverkehr auf gefälschte Websites umleiten.

Warum Zahlungsbetrug ein wachsendes Problem ist

Die Bedrohung durch Zahlungsbetrug nimmt jährlich weiter zu, mit 

Experian berichtet, dass die Verluste durch betrügerische Identitäten von 51 % im Jahr 2017 auf 57 % im Jahr 2019 gestiegen sind. Doch woran liegt das? Hier einige Gründe:

Zunahme digitaler Transaktionen

Der Anstieg von Zahlungsbetrug ist teilweise auf die wachsende Zahl digitaler Transaktionen zurückzuführen. Da immer mehr Menschen Waren und Dienstleistungen online kaufen, steigt das Risiko von Zahlungsübernahmen.

Wachstum des E-Commerce

Mit dem Aufkommen des E-Commerce in den 1990er Jahren hat der Sektor ein stetiges Wachstum erlebt. Derzeit wird der weltweite Marktwert auf 6,3 Billionen US-Dollar geschätzt – mit einer Prognose von 8,1 Billionen US-Dollar bis 2026. Mit dem enormen Wachstum der Profitabilität ist leider auch der Betrug im Zusammenhang mit E-Commerce stark angestiegen.

Fortschritte bei Betrugstechniken

Leider sorgt die gleiche Technologie, die Online- und traditionelle Zahlungen erleichtert, auch dafür, dass Zahlungsbetrug schwerer zu erkennen ist. Betrüger können Schwachstellen heute schneller ausfindig machen und gefälschte Zahlungen einfacher denn je durchführen.

Auswirkungen von Zahlungsbetrug auf Unternehmen

Finanzielle Verluste

Unternehmen können durch Zahlungsbetrug erhebliche finanzielle Schäden erleiden. Die Verluste können bei großen Marken leicht in die Millionen gehen und im schlimmsten Fall zur Insolvenz führen. Für abonnementbasierte Unternehmen können die finanziellen Schäden durch Zahlungsübernahmen kontinuierlich und langanhaltend sein, wobei die Entdeckung oft schwierig ist.

Schaden für Markenreputation und Kundenvertrauen

Wenn Kunden erfahren, dass ihre bevorzugte Marke von Zahlungsbetrug betroffen ist, verlieren sie das Vertrauen in deren Geschäft. Auch die Reputation der Marke leidet. Je nach Ausmaß und Folgen des Angriffs kann sich der Weg zur Wiederherstellung für das Unternehmen erheblich verzögern.

Auswirkungen von Zahlungsbetrug auf Kunden

Ein einziger Zahlungsbetrugsfall kann weitreichende Folgen für ein Unternehmen haben. Die Auswirkungen können für das Unternehmen langfristig sein. Hier sind einige der wichtigsten Auswirkungen von Zahlungsbetrug auf Kunden:

Identitätsdiebstahl

Eine Möglichkeit, wie Verbraucher unter Zahlungsbetrug leiden, ist der Identitätsdiebstahl. Cyberkriminelle können sensible persönliche Daten stehlen und für finanzielle oder andere kriminelle Zwecke missbrauchen.

Finanzieller Verlust

Zahlungsbetrug führt fast immer dazu, dass Verbraucher Geld von ihrem Konto verlieren. Betrüger verschaffen sich sofort Zugriff auf das verfügbare Geld, das sich hinter gestohlenen Passwörtern und Kreditkartendaten verbirgt.

Persönlicher Stress und Angst

Neben dem möglichen Verlust von Geld und persönlichen Daten verlieren Verbraucher nach einem Zahlungsbetrug häufig auch ihre innere Ruhe. Opfer sind oft gestresst und leiden unter dem Erlebnis.

Wie Zahlungsbetrug erkannt wird

Zahlungsbetrug kann verheerend sein, hinterlässt aber oft Spuren. Es gibt Systeme, die Nutzern helfen können, betrügerische Aktivitäten frühzeitig zu erkennen.

Betrugserkennungssysteme

Eine Möglichkeit zur Erkennung von Zahlungsbetrug sind Zahlungsbetrugserkennungssysteme, die Zahlungsgateways und -kanäle überwachen und im Bedarfsfall die zuständigen Stellen über einen Sicherheitsverstoß informieren.

Maschinelles Lernen und KI in der Betrugserkennung

Mit dem Aufkommen von Machine Learning und KI hat die Betrugserkennung einen enormen Schub erhalten. KI-Systeme können heute riesige Datenmengen verarbeiten und die Wahrscheinlichkeit gefälschter Zahlungsbestätigungen vorhersagen. Diese Modelle können Angriffe zudem deutlich schneller erkennen und stoppen als bisher.

On-Demand ansehen: Zahlungsbetrug im Zeitalter von Generative AI und Risiken für Abo-Unternehmen

Rolle von Banken und Finanzinstituten

Banken und Finanzinstitute sind die letzte Instanz bei der Verhinderung von Zahlungsbetrug. Sie sorgen für eine ordnungsgemäße Autorisierung, bevor eine Transaktion durchgeführt wird. Mit bankgestützten Sicherheitsfunktionen wie 2FA (Zwei-Faktor-Authentifizierung) und KYC (Know Your Customer) wird Zahlungsbetrug deutlich erschwert.

Best Practices zur Vermeidung von Zahlungsbetrug

Die Vermeidung von Zahlungsbetrug erfordert die Einhaltung mehrerer Best Practices, um die Sicherheit der Zahlungen für Ihr Unternehmen zu gewährleisten.

Sichere und verschlüsselte Transaktionen

Sowohl Unternehmen als auch Kunden sollten auf verschlüsselte Zahlungsmethoden bei jeder Transaktion bestehen.

Glücklicherweise gibt es heute Kreditkartenverschlüsselung, Gateway-Verschlüsselung und Geräteverschlüsselung. Jede Kombination dieser Sicherheitsfunktionen erschwert es Betrügern, unbefugt auf Zahlungs- und persönliche Daten der Nutzer zuzugreifen.

Regelmäßige Überwachung der Konten

Banken können Abrechnungskonten regelmäßig überwachen, um betrügerische Aktivitäten frühzeitig zu erkennen. So lassen sich auch ungewöhnliche Transaktionsanfragen identifizieren, die nicht vom eigentlichen Nutzer stammen.

DSGVO und andere regulatorische Anforderungen

Unternehmen, die der DSGVO entsprechen, können sich ebenfalls vor Zahlungsbetrug schützen. Die Verordnung erlaubt es Unternehmen, Nutzerdaten zum Zweck der Betrugserkennung zu verarbeiten, um das eigene Risikoprofil besser zu verstehen.

Die Zukunft von Zahlungsbetrug und Prävention

Mit der zunehmenden Verzahnung von Zahlungs- und Sicherheitstechnologien möchten Marken und Kunden wissen, wie die Zukunft der Betrugserkennung und -prävention aussieht.

Neue Technologien zur Betrugserkennung und -prävention

Es wird kontinuierlich an neuen Methoden zur Erkennung und Verhinderung von Zahlungsbetrug geforscht und entwickelt – darunter Verhaltensanalysen, Blockchain, IoT (Internet of Things), Machine Learning und KI.

Staatliche Richtlinien und Vorschriften

Staatliche Vorgaben spielen eine zentrale Rolle bei der Verhinderung und Bekämpfung von Zahlungsbetrug. Strengere Datenschutzgesetze, Vorschriften und Compliance-Anforderungen werden die Standards weiter erhöhen. Zudem könnte es eine umfassendere, staatlich unterstützte Verbraucheraufklärung über die Bedeutung von Zahlungssicherheit geben.

Rolle von Cybersicherheitsmaßnahmen

Es ist zu erwarten, dass künftig noch robustere Cybersicherheitsmaßnahmen zur weiteren Eindämmung von Zahlungsbetrug eingesetzt werden, etwa Multi-Faktor-Authentifizierung, Tokenisierung und stärkere Verschlüsselungsprotokolle.

Aufbau einer Kultur des Betrugsbewusstseins

Mitarbeiterschulungen zur Erkennung und Meldung verdächtiger Aktivitäten

Schulungen für Mitarbeitende zur Erkennung und Meldung verdächtiger Aktivitäten und Betrugsfälle bieten eine zusätzliche Verteidigungslinie gegen Zahlungsbetrugsangriffe, die auf Täuschung und Social Engineering setzen.

Kundenaufklärung über Sicherheitsmaßnahmen und Betrugsprävention

Die Kultur der Betrugsprävention muss auch auf die Kunden ausgeweitet werden – durch gezielte Aufklärung und Sensibilisierung für grundlegende Sicherheitsmaßnahmen, die bei jeder Transaktion zu beachten sind.

FAQ zu Zahlungsbetrug

Was gilt als Zahlungsbetrug?

Zahlungsbetrug umfasst den unbefugten Zugriff auf Zahlungsdaten, der zu illegalen Transaktionen führt. Er tritt auch dann auf, wenn Betrüger Schwachstellen im System ausnutzen und manipulieren, um sich finanziell zu bereichern.

Was sind die häufigsten Arten von Zahlungsbetrug?

Die drei häufigsten Betrugsarten im Jahr 2022 waren: Autorisierte Push-Zahlungsbetrugsmaschen, Kartenbetrug und Identitätsdiebstahl.

Wie erkennt man Zahlungsbetrug?

Die beste Methode zur Erkennung von Zahlungsbetrug ist es, die Feinheiten des Themas und der Betrugstechniken zu verstehen, um sich vor den gravierenden persönlichen und finanziellen Folgen zu schützen. Ebenso wichtig ist es, sich über die neuesten und sich weiterentwickelnden Strategien der Betrüger auf dem Laufenden zu halten.

Die in diesem Leitfaden genannten Best Practices helfen ebenfalls, Betrug vorzubeugen und zu erkennen. Es gibt verschiedene Möglichkeiten, Betrug zu erkennen. Hier einige gängige Methoden:

• Adressverifizierungsdienste nutzen
• Velocity Checks (Überprüfung der Transaktionshäufigkeit)
• Geolokalisierungsprüfung
• Analyse der IP-Adresse
• Einsatz von Machine-Learning-Modellen
• Betrugsscoringsysteme
• Social Media und Open Source Intelligence
• Mustererkennung
• Echtzeit-Benachrichtigungen
• Blacklist-/Whitelist-Prüfungen
• Biometrische Verifizierung
• Überprüfung des CVV
• 3D Secure-Zahlungsautorisierung nutzen

Was ist ein Beispiel für Push-Zahlungsbetrug?

Autorisierter Push-Zahlungsbetrug, auch APP-Betrug oder APP-Scam genannt, ist derzeit die am schnellsten wachsende Betrugsmasche. Dabei erschleicht sich der Betrüger das Vertrauen einer Person oder eines Kunden und überzeugt sie, Geld auf ein vom Betrüger kontrolliertes Konto zu überweisen. Laut dem Fraud and Payment Report 2022 von Outseer machen APP-Betrugsfälle 75 % aller Online-Banking-Betrugsfälle aus.

Wie schützt man sich vor Online-Zahlungsbetrug?

Achten Sie als Nutzer darauf, dass die Website ein SSL-Zertifikat (HTTPS) in der URL hat, bevor Sie Ihre Kartendaten eingeben – viele Betrugsseiten verfügen nicht darüber. Unternehmen sollten zudem „Know Your Customer“ (KYC) umsetzen.

Erfahren Sie, wie Zuora Ihr Unternehmen vor Betrug schützt: Überblick über Zuora Fraud Protection

Was ist Anzahlungsbetrug?

Anzahlungsbetrug, auch als Immobilien- oder Hypothekenbetrug bekannt, liegt vor, wenn jemand Sie dazu bringt, eine Vorauszahlung zu leisten, bevor Sie die versprochenen Waren, Dienstleistungen oder finanziellen Vorteile erhalten. Betrüger nutzen häufig das Bedürfnis nach schnellem Gewinn aus. Typische Formen sind:

• Immobilienbetrug
• Job-Betrug
• Lotterie- oder Gewinnspielbetrug
• Kredit- oder Finanzhilfebetrug
• Online-Shopping-Betrug
• Investmentbetrug
• Reise- und Urlaubsbetrug

Wie stoppt man betrügerische wiederkehrende Kreditkartentransaktionen?

Der erste Schritt besteht darin, den Kreditkartenanbieter sofort zu informieren, sobald Sie eine betrügerische Transaktion feststellen. Die Karte wird dann deaktiviert und eine Untersuchung eingeleitet, sodass Sie keine finanzielle Verantwortung für die Transaktion tragen.

Anschließend sollten Sie eine kostenlose Betrugsmeldung beim Experian Fraud Centre einreichen – so wird Ihre Identität überprüft, bevor eine neue Karte ausgestellt wird. Eine Betrugsmeldung bei einer Auskunftei wird automatisch an die anderen beiden weitergeleitet.

Besuchen Sie zudem die Bundesstelle für Identitätsdiebstahl, um einen Bericht einzureichen.

Gibt es Branchen, die besonders anfällig für Zahlungsbetrug sind?

Ja, Branchen wie E-Commerce, Einzelhandel und Finanzdienstleistungen sind aufgrund des hohen Volumens an Online-Transaktionen und sensiblen Daten besonders gefährdet.

Welche Rolle spielen Payment Gateways bei der Betrugsprävention?

Payment Gateways verschlüsseln Transaktionsdaten und bieten Betrugserkennungstools, die verdächtige Aktivitäten identifizieren und blockieren, bevor ein Schaden entsteht.

Wie können Betrüger an meine Kartendaten gelangen, obwohl ich sie nie verwendet habe?

Betrüger können Kartendaten auf verschiedene Weise erlangen – auch ohne, dass Sie Ihre Karte je genutzt haben. Zu den Methoden zählen:

• Gefälschte Websites
• Malware und Keylogger
• Öffentliche WLAN-Netzwerke
• Datenlecks
• Gefälschte Anrufe
• Gestohlene Dokumente
• Gefälschte Apps
• Social Engineering
• Postdiebstahl
• Karten-Skimming

So schützen Sie sich vor diesen Risiken:

• Verwenden Sie kein öffentliches WLAN für sensible Transaktionen
• Nutzen Sie aktuelle Geräte und die neuesten Sicherheitsupdates
• Überprüfen Sie regelmäßig Ihre Kontoauszüge und Transaktionen
• Bewahren Sie Ihre physische Karte sicher auf und benachrichtigen Sie Ihren Kartenanbieter sofort bei Verlust oder Diebstahl
• Geben Sie persönliche Daten niemals auf unaufgeforderte E-Mails, Nachrichten oder Anrufe preis

Wie können Verbraucher Zahlungsbetrug melden?

Verbraucher können Zahlungsbetrug bei ihrer Bank, der örtlichen Polizei sowie bei Organisationen wie der Bundesstelle für Identitätsdiebstahl (FTC) oder dem Internet Crime Complaint Center (IC3) melden.