Betrug mit gestohlenen Karten im Onlineshop: Warnsignale und was Sie vor dem Versand prüfen sollten

Bestellung eines Neukunden, hoher Betrag, Expressversand an eine Adresse, die nicht die Rechnungsadresse ist. Mit Karte bezahlt, ohne Auffälligkeiten. Sie packen sie, sie geht raus, und ein paar Wochen später kommt eine Rückbuchung (Chargeback): Der Karteninhaber erkennt den Kauf nicht an. Sie haben die Ware, das Geld und das Porto verloren und zahlen obendrein die Chargeback-Gebühr.

Betrug mit gestohlenen Karten sieht man im Moment der Zahlung nicht, denn die Zahlung funktioniert. Man sieht ihn an den Details der Bestellung, und deshalb muss die Prüfung vor dem Versand stattfinden, dem letzten Moment, in dem Sie noch nichts verlieren müssen.

So funktioniert dieser Betrug

• Gestohlene Daten. Die Kartennummern stammen aus Datenlecks, aus Phishing oder aus Skimmern im Checkout anderer Shops und werden in Paketen verkauft.
• Kartentests. Bevor der Betrüger sie einsetzt, prüft er mit kleinen, wiederholten Zahlungen in schlecht geschützten Shops, welche funktionieren. Wenn Sie in kurzer Zeit Dutzende fehlgeschlagene Versuche mit kleinen Beträgen sehen, werden Sie als Testfeld benutzt.
• Kauf leicht weiterverkäuflicher Produkte. Elektronik, Parfüm, Geschenkkarten, teure Ersatzteile, Markenkleidung. Alles, was sich schnell zu Geld machen lässt.
• Versand an eine Durchgangsadresse. Abholstellen, Packstationen oder Personen, die das Paket weiterschicken.

Wovor 3D Secure Sie schützt und wovor nicht

Seit der europäischen Zahlungsdiensterichtlinie (PSD2) verlangen Kartenzahlungen in Europa eine starke Kundenauthentifizierung, die in Onlineshops über 3D Secure erfolgt: Die Bank des Kunden lässt ihn in ihrer App oder mit einem Code bestätigen. Wurde eine Zahlung so authentifiziert, geht die Haftung für eine Betrugs-Rückbuchung in der Regel auf die kartenausgebende Bank über, nicht auf Sie.

Es gibt aber wichtige Einschränkungen:

• Die Ausnahmen. Der Zahlungsanbieter kann beantragen, dass eine Zahlung ohne Authentifizierung läuft (kleine Beträge, Risikoanalyse). Das ist bequemer für den Kunden, aber wenn sich diese Zahlung als Betrug herausstellt, liegt die Haftung meist wieder bei Ihnen.
• Es deckt nur Betrug ab. Eine Rückbuchung wegen „Ware nicht erhalten“ oder „nicht wie beschrieben“ gewinnt man nicht mit 3D Secure, sondern mit Zustellnachweisen und Belegen für das, was Sie verkauft haben.
• Es deckt keinen Karteninhaber ab, der lügt. Kauft der Inhaber selbst und behauptet dann, er sei es nicht gewesen, ist 3D Secure Ihr bester Beweis, aber Sie müssen ihn vorlegen.

Die Signale, die eine betrügerische Bestellung verraten

Kein Signal beweist für sich allein etwas: Ein echter Kunde kann jemandem in einer anderen Stadt ein Geschenk schicken. Entscheidend ist die Häufung.

Die Routine vor dem Versand

1. Legen Sie eine Schwelle fest. Ab einem bestimmten Betrag oder bei zwei oder mehr Signalen aus der Tabelle geht die Bestellung nicht raus, ohne dass jemand sie angesehen hat.
2. Prüfen Sie die Zahlung im Dashboard des Zahlungsanbieters: ob es sie gibt, ob der Betrag stimmt und ob sie mit 3D Secure authentifiziert wurde.
3. Suchen Sie den Kunden in Ihren früheren Bestellungen nach E-Mail, Telefon und Adresse.
4. Rufen Sie die Telefonnummer der Bestellung an. Ein kurzer Anruf zur Bestätigung der Lieferung räumt viele Zweifel aus: Der echte Kunde geht ran und bedankt sich.
5. Wenn Sie weiter zweifeln, erstatten Sie, statt zu versenden. Eine Erstattung vor dem Versand kostet Sie wenig; eine Rückbuchung nach dem Versand kostet Sie die Ware, das Geld und die Gebühr.
6. Ändern Sie die Adresse einer verdächtigen Bestellung nach der Zahlung nicht. Besteht der Kunde darauf, stornieren Sie, und er soll neu bestellen.

Wenn Ihr Shop zum Testen von Karten benutzt wird

Eine Welle kleiner fehlgeschlagener Zahlungen kostet Sie keine Ware, aber Gebühren, kann dazu führen, dass Ihr Zahlungsanbieter Ihr Konto überprüft, und verfälscht Ihre Statistiken. Was hilft: Zahlungsversuche pro Kunde und pro Verbindung begrenzen, die Betrugsregeln Ihres Zahlungsanbieters aktivieren und automatisierten Traffic filtern, bevor er den Checkout erreicht.

Und der Betrug, der aus Ihrem eigenen Shop kommt

Es gibt einen weiteren Betrug, der nichts mit dem Kunden zu tun hat: dass jemand Ihr Zahlungsmodul so verändert hat, dass das Geld auf seinem Konto landet, oder einen Skimmer in Ihren Checkout eingebaut hat, um die Karten Ihrer Kunden zu stehlen. Beides setzt Schreibzugriff auf Ihren Server voraus, und der häufigste Einstieg sind nicht aktualisierte Module und gestohlene Zugangspasswörter. PrestaShop, PHP und die Module aktuell zu halten ist keine Formalität: Es ist der Unterschied zwischen Opfer und Werkzeug des Betrugs.

Checkliste

• Schwelle für die manuelle Prüfung nach Betrag und Anzahl der Signale.
• 3D Secure aktiv und Ausnahmen für hohe Beträge überprüft.
• Prüfung im Dashboard des Zahlungsanbieters vor dem Versand markierter Bestellungen.
• Bestätigungsanruf im Zweifelsfall.
• Lieber vorsorglich erstatten als zweifelhaft versenden.
• Begrenzung der Zahlungsversuche und Betrugsregeln des Zahlungsanbieters aktiviert.

So lösen Sie es in PrestaShop

Keines dieser beiden Module bewertet das Risiko eines Kunden: Das übernehmen die Regeln Ihres Zahlungsanbieters und Ihre Prüfroutine. Was sie leisten, ist, den Betrug abzudecken, der über Ihren eigenen Shop hereinkommt. RKR Order Guard prüft die Transaktionsnummer jeder Bestellung je nach Zahlungsanbieter, warnt in der Bestellansicht —dort, wo derjenige arbeitet, der sie versendet—, wenn eine Zahlung nicht legitim aussieht, und überwacht den Fingerabdruck der Dateien Ihrer Zahlungsmodule; außerdem verhindert es, dass eine doppelte Benachrichtigung Ihnen zwei Bestellungen und zwei Abbuchungen beschert. RKR Security Alert benachrichtigt Sie per Telegram über Anmeldungen im Backoffice von neuen IPs, über Änderungen an den Zahlungsanbietern und an den Mitarbeitern und durchsucht die Dateien nach Skimmern und Hintertüren.