Dieser Artikel zeigt dir, welche Betrugsarten Onlineshops treffen, wie du jede davon erkennst und verhinderst und wie du reagierst, wenn Betrug passiert.
Bei Zahlungsbetrug ist nicht die Frage, ob es dich trifft, sondern wann. Die meisten Onlineshops erleben schon im ersten Jahr einen Betrugsversuch. Die gute Nachricht: Mit Prüfungen, Überwachung und klugen Regeln senkst du dein Risiko deutlich.
Die drei häufigsten Arten von Zahlungsbetrug im Onlineshop
Rückbuchungen
Eine Rückbuchung (Chargeback) entsteht, wenn ein Kunde behauptet, er habe eine Zahlung nicht erlaubt, und seine Kreditkartenfirma oder Bank bittet, den Betrag zurückzubuchen. Der Kunde bekommt sein Geld zurück, du verlierst Ware und Zahlung und zahlst obendrein eine Rückbuchungsgebühr (meist $15-$100). Ein paar Rückbuchungen sind im E-Commerce normal. Zu viele (meist 1 % deines Transaktionsvolumens oder mehr) können aber dazu führen, dass Zahlungsdienstleister dein Konto kündigen.
Rückbuchungen gibt es in zwei Arten: berechtigte (das Konto des Kunden wurde wirklich gehackt oder die Ware kam nie an) und betrügerische (der Kunde hat die Ware erhalten, behauptet aber fälschlich das Gegenteil). Du kannst nicht alle Rückbuchungen verhindern, dich aber gegen falsche wehren, wenn du Versand, Zustellbestätigung und Kundenkommunikation sauber dokumentierst.
Zahlungen mit gestohlenen Karten
Ein Krimineller kauft mit einer gestohlenen Kreditkartennummer in deinem Shop ein. Er bestellt vielleicht grosse Mengen oder mehrere kleine Bestellungen, um nicht aufzufallen. Irgendwann entdeckt der Karteninhaber die unerlaubten Abbuchungen, veranlasst eine Rückbuchung, und du bleibst auf dem Verlust sitzen. Deine Rückbuchungsquote steigt, und wenn sie 1 % deines Monatsvolumens übersteigt, kann dein Zahlungsdienstleister dein Konto sperren.
Kontoübernahme und "Friendly Fraud"
Ein Krimineller verschafft sich Zugang zum Konto eines echten Kunden (durch Phishing, wiederverwendete Passwörter oder Datenlecks) und nutzt dessen gespeicherte Zahlungsdaten für unerlaubte Käufe. Der Kunde bemerkt die Abbuchung, bestreitet sie, veranlasst eine Rückbuchung, und du verlierst doppelt: einmal an den Betrüger und noch einmal durch die Rückbuchungsgebühr. Man nennt das manchmal "Friendly Fraud", weil die Transaktion auf den ersten Blick echt aussieht.
So erkennst du Betrug, bevor er dich Geld kostet
Achte auf Bestellmuster mit hohem Risiko
Bestimmte Muster deuten stark auf Betrug hin. Bestellungen mit mehreren dieser Warnzeichen solltest du prüfen, bevor du versendest:
- Grosse Mengen oder hohe Warenwerte von einem Neukunden ohne Bestellhistorie
- Rechnungs- und Lieferadresse in unterschiedlichen Ländern
- Mehrere Bestellungen mit derselben Kreditkarte, aber unterschiedlichen Kundennamen
- Bestellungen zu ungewöhnlichen Uhrzeiten (ausserhalb deiner üblichen Besucherzeiten)
- Wunsch nach Eilversand mit Expresszustellung über Nacht
- Komplett verschiedene Liefer- und Rechnungsadressen (Adressabweichung)
- Mehrere Bestellungen an dieselbe Lieferadresse in kurzer Zeit
- Ungültige oder widersprüchliche Kundendaten (Namensformat, uneinheitliche E-Mail-Adressen)
Kein einzelnes Warnzeichen beweist Betrug, aber eine Kombination rechtfertigt eine Pause. Melde dich beim Kunden und lass dir die Bestellung bestätigen, bevor du sie bearbeitest. Echte Kunden bestätigen sie. Betrüger brechen bei der Rückfrage oft ab.
Beobachte plötzliche Anstiege bei Rückbuchungen
Dein Zahlungsdienstleister benachrichtigt dich bei jeder Rückbuchung. Behalte sie regelmässig im Blick. Ein plötzlicher Anstieg (schon 3-5 in einer Woche) kann bedeuten, dass dein Shop ins Visier geraten ist oder deine Zugangsdaten kompromittiert wurden. Prüfe die betroffenen Bestellungen auf Muster: Ist es immer dasselbe Produkt? Dieselbe Region? Dieselbe Zahlungsart? Wenn du das Muster verstehst, kannst du ähnlichen Betrug blockieren, bevor er sich wiederholt.
Betrugsschutz und Prüfmethoden
Adressprüfung (AVS)
Das Address Verification System (AVS) prüft, ob die vom Kunden eingegebene Rechnungsadresse mit der Adresse übereinstimmt, die seine Kreditkartenfirma gespeichert hat. Die meisten Zahlungsdienstleister führen AVS bei jeder Transaktion automatisch durch. Eine Abweichung bedeutet nicht immer Betrug (Menschen ziehen um, nutzen Postfächer oder schreiben Adressen uneinheitlich), ist aber ein Grund zur Prüfung. Bekommst du viele Bestellungen mit AVS-Abweichung, kannst du Transaktionen ablehnen, die diese Prüfung nicht bestehen. Dabei lehnst du allerdings auch einige echte Kunden ab.
CVV-Prüfung
Der CVV (Card Verification Value) ist der drei- oder vierstellige Sicherheitscode auf der Rückseite der Kreditkarte. Wenn Kunden ihn beim Checkout eingeben müssen, zeigt das, dass sie die Karte physisch in der Hand haben (oder ein Foto davon), und senkt das Risiko durch gestohlene Kartennummern allein. Alle grossen Zahlungsdienstleister verlangen die CVV-Prüfung standardmässig.
3D-Secure-Authentifizierung (3DS)
3D Secure fügt dem Checkout einen zusätzlichen Schritt hinzu: Nach Eingabe der Zahlungsdaten werden Kunden zu ihrer Bank weitergeleitet, um ihre Identität zu bestätigen (meist per Passwort oder Einmalcode). Das senkt deine Haftung bei Betrug und die Zahl der Rückbuchungen, weil die Verantwortung auf die Bank des Karteninhabers übergeht. Viele Zahlungsdienstleister nutzen 3DS inzwischen standardmässig für bestimmte Transaktionen oder Regionen. Auch wenn der Checkout dadurch ein paar Sekunden länger dauert, lohnt sich der Schutz trotz der kleinen Hürde.
Dienste zur Betrugserkennung
Viele Dienste zur Betrugserkennung analysieren mit maschinellem Lernen Transaktionsmuster und melden verdächtige Bestellungen in Echtzeit. Diese Dienste kosten Geld (meist $500-$2.000+ pro Monat für einen wachsenden Shop). Bekommst du aber monatlich Hunderte Bestellungen, übersteigen die Kosten durch Rückbuchungen oft die Kosten der Betrugserkennung. WEMASY-Shops haben über ihren Zahlungsdienstleister Zugriff auf eine grundlegende Betrugsüberwachung und können weitere Dienste zur Betrugserkennung einbinden, wenn dein Shop mehr Schutz braucht.
Strategien, die wirken
Verlange bei riskanten Bestellungen eine Bestätigung per Telefon
Bevor du eine Bestellung mit mehreren Betrugssignalen versendest (hoher Betrag, Neukunde, Adressabweichung), ruf den Kunden an und lass dir die Bestellung bestätigen. Echte Kunden rechnen damit und bestätigen gern. Betrüger gehen selten ans Telefon, und wenn doch, geben sie bei direkter Nachfrage oft zu, dass sie die Bestellung nicht kennen.
Nutze Zustellbestätigung und Sendungsverfolgung
Versende immer mit einem Anbieter, der Sendungsverfolgung und Zustellbestätigung bietet. Wenn ein Kunde eine Rückbuchung auslöst und behauptet, er habe die Ware nie erhalten, kannst du die Zustellung belegen, indem du deinem Zahlungsdienstleister Sendungsnummer und Empfangsbestätigung schickst. Das ist dein stärkster Schutz gegen Rückbuchungen. Versende nie ohne Sendungsverfolgung, auch wenn der Kunde dich darum bittet.
Bewahre die Kommunikation sauber auf
Wenn sich ein Kunde vor oder nach der Bestellung mit Fragen meldet, behalte diese Nachrichten. Behauptet er später, er habe die Zahlung nicht erlaubt, belegen diese Nachrichten (in denen er die Bestellung bestätigt, nach der Grösse gefragt oder die Lieferung verfolgt hat), dass die Transaktion autorisiert war. Dokumentiere alles in deinem Kundensupport-System.
Setze Versandbeschränkungen und Limits
Du kannst dein Betrugsrisiko senken, indem du begrenzt, wie viel ein Neukunde bei der ersten Bestellung ausgeben darf. Erlaube Neukunden zum Beispiel bis zu $200 und prüfe Bestellungen darüber manuell. Ebenso kannst du den Versand in Hochrisikoregionen (Länder mit bekannten Betrugsaktivitäten) oder an Adressen einschränken, die stark von der Rechnungsadresse abweichen. Diese Limits bremsen echte Kunden etwas, senken aber auch die Betrugsverluste deutlich.
Was du bei einer Rückbuchung tun solltest
Handle sofort
Zahlungsdienstleister geben dir meist 10 bis 30 Tage Zeit, auf eine Rückbuchung zu antworten. Fang sofort an, Belege zu sammeln. Zuerst holst du den vollständigen Transaktionsdatensatz: Bestelldetails, Zahlungsdaten, Rechnungs- und Lieferadresse, E-Mail-Adresse des Kunden und jede Kommunikation mit ihm. Wurde die Bestellung versendet, besorge dir Sendungsnummer und Zustellbestätigung bei deinem Versanddienstleister.
Finde heraus, ob die Rückbuchung berechtigt oder falsch ist
Lies den Grundcode (Reason Code), den dein Zahlungsdienstleister nennt. Häufige Codes sind "Kunde bestreitet Transaktion" (unklar), "Ware nicht erhalten" (physisches Produkt), "Transaktion ohne Karte" (der Kunde behauptet, er habe sie nie erlaubt) oder "doppelte Transaktion" (der Kunde behauptet, er sei zweimal belastet worden). Der Code zeigt dir, was der Karteninhaber behauptet hat, und bestimmt, wie du antwortest.
Sammle Belege
Dein Zahlungsdienstleister verlangt Nachweise, dass die Transaktion autorisiert war und die Ware geliefert wurde. Sammle:
- Nachweis der Autorisierung: den ursprünglichen Autorisierungscode des Zahlungsdienstleisters, die Bestätigung, dass die CVV-Prüfung bestanden wurde, den 3DS-Nachweis oder Kopien der Kundenkommunikation, die die Bestellung bestätigt
- Nachweis der Lieferung: Versand- und Sendungsdaten, die zeigen, dass die Ware an die vom Kunden angegebene Adresse geliefert wurde, wenn möglich mit Unterschrift
- Nachweis der Kundenkommunikation: alle E-Mails, Nachrichten oder Support-Tickets, in denen der Kunde die Bestellung bestätigt oder sie bis zur Rückbuchung nicht bestritten hat
Reiche deine Antwort auf die Rückbuchung ein
Melde dich bei deinem Zahlungsdienstleister an und reiche deine Belege als Antwort auf die Rückbuchung ein. Sei klar und konkret. Lade nicht einfach Dateien hoch, sondern erkläre schriftlich, was jeder Beleg beweist. Zum Beispiel: "Die Sendungsverfolgung bestätigt die Zustellung an die beim Checkout angegebene Adresse am [Datum]." Dein Zahlungsdienstleister leitet das zur Prüfung an die ausstellende Bank weiter.
Wisse, wann du den Verlust akzeptieren solltest
Ist die Rückbuchung berechtigt (der Kunde hat die Ware wirklich nicht erhalten oder sein Konto wurde ohne dein Verschulden kompromittiert), gewinnst du den Streit vielleicht nicht. Nimm die Rückbuchungsgebühr als Geschäftskosten hin, erstatte dem Kunden den Betrag, wenn dir die Beziehung wichtig ist, und mach weiter. Wer eine Rückbuchung bekämpft, die er verliert, verschwendet Zeit und schadet der Kundenbeziehung. Spar dir deine Energie für falsche Rückbuchungen, bei denen du stichhaltige Belege hast.
So schützt WEMASY deinen Shop
Das E-Commerce-System von WEMASY ist mit den grossen Zahlungsdienstleistern verbunden und bringt eingebaute Schutzfunktionen mit: sichere Zahlungsseiten, die die PCI-Standards erfüllen, CVV-Prüfung bei jeder Transaktion und Tools zur Betrugsüberwachung, die riskante Bestellungen markieren. Dein WEMASY-Shop speichert ausserdem detaillierte Daten zu allen Transaktionen, Kundenadressen und Lieferungen. Diese Daten brauchst du, um dich gegen Rückbuchungen zu wehren.
Bei komplexen Betrugsfällen oder wenn deine Rückbuchungsquote steigt, hilft dir das Support-Team von WEMASY, Muster zu prüfen und zusätzliche Sicherheitsmassnahmen zu empfehlen. Sieh dir an, was in deinem Tarif enthalten ist.
Häufig gestellte Fragen
Was soll ich tun, wenn ein Kunde behauptet, er habe seine Bestellung nicht erhalten?
Prüfe zuerst deine Versandunterlagen. Zeigt die Sendungsverfolgung "zugestellt", ist das deine wichtigste Verteidigung gegen eine Rückbuchung. Schick dem Kunden eine Nachricht mit dem Tracking-Link und bitte ihn, beim Zustelldienst oder bei Nachbarn nachzufragen. Hat er das Paket wirklich nicht erhalten und du hast den Zustellnachweis, hast du die Belege, um die Rückbuchung zu gewinnen. Zeigt die Sendung, dass sie nie zugestellt wurde, erstatte dem Kunden den Betrag sofort und melde den Schaden bei deinem Versanddienstleister. Er haftet für verlorene Sendungen und sollte dir die Versandkosten erstatten.
Woran erkenne ich, dass mein Shop kompromittiert wurde?
Achte auf diese Anzeichen: ein plötzlicher Anstieg bei Rückbuchungen (mehr als 2-3 in einer Woche), mehrere Bestellungen von derselben IP-Adresse oder E-Mail-Domain, Bestellungen mit auffälligen Mustern (alle in eine Region, alle dasselbe Produkt, alle mit Nachtversand) oder viele fehlgeschlagene Zahlungsversuche. Siehst du eines davon, ändere sofort dein Admin-Passwort, prüfe die Zugriffsprotokolle und melde den Verdacht auf Betrug deinem Zahlungsdienstleister. Er kann verdächtige Aktivitäten auf deinem Konto markieren und dir helfen, die Quelle zu finden.
Was kostet eine Rückbuchung?
Eine Rückbuchung kostet dich meist drei Dinge: die gelieferte Ware oder Leistung (weg), den Zahlbetrag (zurückgebucht und an den Kunden erstattet) und eine Rückbuchungsgebühr (meist $15-$100, je nach Zahlungsdienstleister). Bei einer Bestellung über $100 und einer Gebühr von $25 verlierst du insgesamt $125. Mehrere Rückbuchungen schaden ausserdem dem Status deines Kontos beim Zahlungsdienstleister, und zu viele können zur Kündigung führen. Deshalb ist Vorbeugung so wichtig.
Darf ich den Versand in bestimmte Länder verweigern, um das Betrugsrisiko zu senken?
Ja, in Grenzen. Du kannst den Versand auf bestimmte Regionen beschränken, wenn du einen berechtigten Betrugsverdacht hast. Ganze Länder aufgrund von Annahmen zu sperren, schliesst aber auch echte Kunden aus und schadet deinem Umsatz. Besser ist es, für Bestellungen in Regionen mit höherem Risiko zusätzliche Prüfungen zu verlangen (zum Beispiel 3D Secure oder eine manuelle Prüfung), statt sie ganz zu blockieren. So bedienst du mehr Kunden und behältst das Betrugsrisiko im Griff.
Was ist der Unterschied zwischen Rückbuchung und Erstattung?
Bei einer Erstattung zahlst du (als Shopbetreiber) dem Kunden sein Geld zurück. Deine Marge bleibt erhalten oder der Verlust fällt geringer aus, und der Kunde ist zufrieden. Bei einer Rückbuchung umgeht dich der Kunde und bittet seine Bank, den Betrag zurückzubuchen. Du verlierst die Ware, die volle Zahlung und eine Gebühr, und deine Rückbuchungsquote steigt. Biete deshalb immer zuerst eine Erstattung an, bevor der Kunde eine Rückbuchung auslöst. Eine Erstattung kostet dich weniger als eine Rückbuchung.
Wie richte ich einen sicheren Checkout in meinem Onlineshop ein?
Starte mit verschlüsselten Checkout-Seiten, CVV-Prüfung und Zustellbestätigung bei jeder Sendung. Der Website-Builder von WEMASY enthält einen sicheren Checkout mit eingebautem Zahlungsschutz, damit du dich auf die Betrugsüberwachung konzentrieren kannst statt auf die technische Einrichtung.