Betrugsprävention in Deutschland

Betrugsprävention im Banking heißt, Zahlungen zu stoppen, die der Kontoinhaber nicht wollte oder nur wollte, weil ihn jemand getäuscht hat. Zwei Muster dominieren. Im ersten löst der Betrüger die Zahlung aus: mit gestohlenen Kartendaten online, einer gestohlenen Karte im Laden oder gekaperten Online-Banking-Zugängen. Im zweiten überweist der Kunde selbst, nach einem falschen Bankanruf, einer gefälschten Rechnung oder einem Anlagebetrug. Der gemeinsame Bericht von EBA und EZB zum Zahlungsbetrug (auf Englisch) beziffert den gemeldeten Zahlungsbetrug im EWR für das letzte volle Jahr auf 4,2 Mrd. € und stellt fest, dass die Manipulation des Zahlers mehr als die Hälfte des Werts betrügerischer Überweisungen ausmacht.

Diese Aufteilung entscheidet, wer zahlt. Nach § 675v BGB trägt ein Kunde bei einer nicht autorisierten Zahlung mit verlorenem oder gestohlenem Zahlungsinstrument höchstens 50 €, außer er handelte vorsätzlich oder grob fahrlässig, und gar nichts, wenn die Bank keine starke Kundenauthentifizierung verlangt hat. Eine Zahlung, die der Kunde selbst autorisiert hat, auch unter Täuschung, lässt sich schwerer zurückholen. Der Bericht zeigt die Lücke im EWR: Bei Überweisungen trugen Zahlungsdienstnutzer rund 85 % der Betrugsschäden, bei Kartenzahlungen 38 %.

Zwei EU-Regeln prägen die Arbeit der Betrugsteams deutscher Banken. Die starke Kundenauthentifizierung nach der Zahlungsdiensterichtlinie (PSD2) verlangt vor einer Zahlung zwei unabhängige Faktoren, etwa Smartphone und PIN. Laut EBA- und EZB-Bericht haben Kartenzahlungen mit starker Authentifizierung niedrigere Betrugsraten als solche ohne, und die Betrugsraten bei Karten lagen etwa siebzehnmal höher, wenn die Gegenseite außerhalb des EWR saß, wo diese Pflicht womöglich nicht gilt.

Die zweite ist die Empfängerüberprüfung (Verification of Payee), die die EU-Verordnung über Echtzeitüberweisungen vorschreibt. Bevor ein Kunde eine Euro-Überweisung freigibt, gleicht die Bank den Empfängernamen mit der IBAN ab und meldet Übereinstimmung, teilweise Übereinstimmung oder keine Übereinstimmung. Laut BaFin soll die Prüfung Fehlüberweisungen verringern und Betrug verhindern. Überweist der Kunde trotz Warnung und landet das Geld beim Falschen, haftet die Bank nicht; hat sie die Prüfung ausgelassen, muss sie erstatten. Die Antwort zu Instant Payments nennt die Termine und den täglichen Sanktionsabgleich derselben Verordnung.

Betrugserkennung in Banken beruht auf Transaktionsmonitoring: Ein Modell bewertet jede Zahlung gegen das übliche Verhalten des Kunden, das Gerät, den Ort und den Empfänger und hält riskante zur Prüfung an. Machine-Learning-Modelle übernehmen einen großen Teil dieser Bewertung neben festen Regeln. Mehrere deutsche Firmen bauen diese Software. Hawk, in München gegründet, erkennt mit KI Transaktionsbetrug, Scams und Geldwäsche und will unnötige Alarme reduzieren. Risk Ident in Hamburg, eine Tochter der Otto Group, erkennt Betrugsmuster bei Online-Transaktionen für E-Commerce, Telekommunikation und Finanzdienstleister.

Betrugsprävention und Geldwäschebekämpfung liegen nah beieinander. Ein Betrug hat auf der einen Seite ein Opfer und auf der anderen oft ein Konto eines Finanzagenten, das das gestohlene Geld empfängt. Deshalb verkauft ein Anbieter wie Hawk Betrugs- und Geldwäscheerkennung auf einer Plattform. Identitätsprüfungen bei der Kontoeröffnung, beschrieben auf der Seite KYC in Deutschland, sind die erste Hürde gegen Konten mit gestohlenen oder synthetischen Identitäten.

Nicht jeder Betrug kommt von außen. Wirecard, ein deutscher Zahlungsabwickler, brach zusammen, nachdem er offenlegte, dass 1,9 Mrd. € „fehlten“, und meldete Insolvenz an. Fast die Hälfte seines Transaktionsvolumens lief über undurchsichtige Drittpartner, die BaFin durfte das Kerngeschäft nicht prüfen, und der Abschlussprüfer bestätigte das Bargeld nicht. Für Compliance-Teams in Deutschland ist der Fall das Standardbeispiel dafür, dass Betrugsrisiko auch Buchhaltung, Partner und Prüfer umfasst, nicht nur Kundenzahlungen.

Finance Loop ist der Treffpunkt für Betrugsanalysten, Payments-Produktteams und die Data Scientists, die Erkennungsmodelle trainieren. Das Netzwerk verbindet die Finance-, IT- und KI-Communitys, mit Events in Frankfurt und gelegentlich in München, Berlin und Hamburg.

Betrugserkennung war eines der Praxisthemen der KI Exchange in Hamburg, einer Konferenz von Payment & Banking zu KI im Finanzwesen, neben KI-Governance und DORA-Compliance. Finance Loop unterstützt When Banks Say 'No', ein Frankfurter Seminar, in dem ein Vortrag zeigt, wie Blockchain-Forensik Krypto-Flüsse in Betrugsfällen nachverfolgt. Verwandte Seiten: Sanktionsprüfung in Deutschland und MiCA in Deutschland.

Betrugsprävention im Banking umfasst alles, womit eine Bank ungewollte Zahlungen stoppt: starke Authentifizierung bei Login und Zahlung, Geräte- und Verhaltensprüfungen, Transaktionsmonitoring mit Regeln und Modellen, Empfängerüberprüfung, Limits für neue Empfänger, Warnungen in der App und ein Team, das Kunden vor einer verdächtigen Überweisung anruft. Dazu gehört auch die Rückholung, wenn die Bank Geld von der Empfängerbank zurückruft.

APP steht für Authorized Push Payment: Der Kunde wird dazu gebracht, selbst zu überweisen, etwa durch einen Anrufer, der sich als Sicherheitsteam der Bank ausgibt, oder durch eine gefälschte Anlageseite. Die Zahlung ist autorisiert, deshalb greift die Haftungsgrenze für nicht autorisierte Zahlungen in § 675v BGB nicht. Empfängerüberprüfung und Warnungen in der App zielen auf dieses Muster.

Sind Karte oder Online-Banking gefährdet, rufen Sie die Bank oder den Sperr-Notruf 116 116 an, der Girocard, Kreditkarten, Online-Banking und den Online-Ausweis rund um die Uhr sperrt. Erstatten Sie dann Anzeige bei der Polizei, online oder auf der Wache, und bewahren Sie Zahlungsdaten und Nachrichten für die Bank auf.