Betrugsbekämpfung mit den Kontrollen und Tools von Stripe durchführen
Verstehen Sie, wie sich Betrug auf Ihr Ausstellungsprogramm auswirken kann und welche Maßnahmen Sie ergreifen können, um dagegen vorzugehen.
Als Produkt zur Erleichterung des Zahlungsverkehrs ist Issuing von Natur aus mit potenziellen Betrugsrisiken und Haftungen für Unternehmen und Aussteller verbunden. Aus diesem Grund müssen Sie Ihre Verantwortung für Verluste verstehen und wissen, wie Sie mit diesem Risiko im Rahmen der Nutzung unserer Plattform am besten umgehen. Dieses Dokument enthält Anleitungen zu den Betrugsarten, gibt an, wer im Betrugsfall haftet, und beschreibt die bei Stripe zur Verfügung stehenden Ressourcen, die Sie bei der Überwachung und Verhinderung von Betrug unterstützen.
Betrug in Issuing
Bei Payments gibt es drei Hauptarten von Betrug:
- Transaktionsbetrug: Die unbefugte Verwendung einer Zahlungskarte, um in betrügerischer Weise an Geld oder Eigentum zu gelangen.
- Geschäftlicher Betrug: Eine Person erstellt ein betrügerisches Konto (häufig mit einer gestohlenen Identität), um einen Betrug zu begehen.
- Betrug durch Kontoübernahme (ATO): Die Anmeldung von legitimen Inhaber/innen eines Kontos wird von nicht autorisierten Dritten kompromittiert, die Aktionen auf deren Konto durchführen.
Geschäftlicher Betrug und ATO-Betrug können zwar in Issuing vorkommen, Transaktionsbetrug stellt jedoch häufig ein größeres Risiko dar. Dieser Leitfaden konzentriert sich auf Transaktionsbetrug und die verfügbaren Tools zu seiner Bekämpfung.
Transaktionsbetrug
Bei Stripe Issuing sehen wir Transaktionsbetrug als nicht autorisierte Abbuchungen von einer von Stripe ausgestellten Karte. Transaktionsbetrug kann zu jedem Zeitpunkt im Lebenszyklus eines/einer Karteninhaber/in auftreten. Auch bei Einkäufen bei legitimen Unternehmen kann es zu Transaktionsbetrug kommen. Eine ausgestellte Karte kann durch Folgendes kompromittiert werden:
- Physischer Diebstahl
- Verlust des/der Karteninhabers/in
- Kompromittierte Anmeldeinformationen durch Taktiken wie:
- Phishing
- Spyware
- Nicht sichere Bezahlvorgänge
- Externe Verstöße
Verlusthaftung
Die Verlusthaftung ergibt sich aus einem Problem mit einer Transaktion, das zu einem finanziellen Verlust für eine Partei führt. Die Haftung ergibt sich in der Regel entweder aus Transaktionsbetrug oder aus einem Unternehmen, das seinen Verpflichtungen aus einem Kauf nicht nachkommt.
Die Verlusthaftung wird entweder dem Händler (dem Anbieter der Dienstleistung oder der gekauften Ware), Ihnen als Stripe Issuing-Nutzer/in oder (in seltenen Fällen) dem/der Karteninhaber/in zugewiesen. Das bedeutet, dass Sie bei der Zuweisung der Verlusthaftung an den „Aussteller“ rechenschaftspflichtig sind, es sei denn, es gilt eine Ausnahme.
Mit Stripe Issuing können Sie Ihr Betrugsüberwachungssystem entwerfen und Ihre eigene Geschäftslogik einrichten und Transaktionsentscheidungen treffen. Obwohl Stripe möglicherweise Unterstützung bei der Verhinderung von Transaktionsbetrug bietet, sind Sie dennoch für alle Verluste verantwortlich, bei denen der Aussteller haftbar gemacht wird. Sie müssen also ausreichende Kontrollen aufbauen, um Betrug zu überwachen, zu verwalten und zu verhindern.
Haftungsverlagerung
In vielen Fällen haftet das Unternehmen für betrügerische Transaktionen. Es gibt jedoch einige Faktoren, die dazu führen könnten, dass sich die Haftung auf Sie, den/die Stripe Issuing-Nutzer/in verlagert wird.
Card-Present-Transaktionen: Wenn die Karte oder eine Mobile Wallet wie Apple Pay und Google Pay für die Transaktion vorhanden ist, haftet der Aussteller in der Regel für Betrug, mit wenigen Ausnahmen:
Karten und Wallets müssen elektronisch gelesen werden, wo immer dies verfügbar ist, d. h. durch über die Chipschnittstelle mit oder ohne Kontakt oder durch Durchziehen des Magnetstreifens. Bei manuell eingegebenen Kartennummern, wie zum Beispiel bei Versand- oder Telefonbestellungen, liegt die Haftung beim Unternehmen.
Wenn eine chipfähige Karte an einem Datenterminal verwendet wird, das nur Magnetstreifenzahlungen unterstützt, verlagert sich die Haftung auf den Händler.
- Wenn das vom Händler verwendete Datenterminal jedoch in der Regel Chiptransaktionen unterstützt, der Magnetstreifen aber für eine bestimmte Transaktion verwendet wird, bleibt die Haftung bei Ihnen als dem/der ausstellender Nutzer/in.
Card-Not-Present-Transaktionen: Wenn die Karte für die Transaktion (d. h. den Online-Handel) nicht vorhanden ist, wird die Haftung in erster Linie durch 3DS bestimmt.
Notiz
3DS 3DS ist eine zusätzliche Authentifizierungsebene, die ein Händler bei Autorisierungen anfordern kann, die er als hochriskant einstuft (und die daher wahrscheinlich dazu führen, dass der Aussteller im Anfechtungsfall die Betrugshaftung übernehmen muss). Diese zusätzliche Verifizierungsebene (in der Regel durch eine Form der Multi-Faktor-Authentifizierung wie ein einmaliges Passwort) löst eine „Haftungsverschiebung“ aus, bei der die Betrugshaftung unabhängig von den Umständen vom Händler auf den Aussteller übergeht.
Wenn 3DS von einem Unternehmen für eine bestimmte Kartenautorisierung angefordert wird, muss der/die Karteninhaber/in möglicherweise eine zusätzliche Authentifizierung durchführen, um die Transaktion abzuschließen. Ob die Authentifizierung ausgelöst wird, hängt jedoch davon ab, ob Sie die Karte für 3DS registriert haben und ob es Ausnahmen oder „reibungslose“ Abläufe gibt, die automatisch alle konfigurierten 3DS-Anfragen umgehen. Die 3DS-Registrierung ist in den USA nicht erforderlich und standardmäßig deaktiviert. Dementsprechend registrieren US-Aussteller ihre Karten nicht durchgängig, um unnötige Reibungspunkte für ihre Karteninhaber/innen zu vermeiden. Wenn ein Händler im Zusammenhang mit Stripe Issuing 3DS auslöst, geht die Betrugshaftung in der Regel automatisch auf Sie als Stripe Issuing-Nutzer/in über, unabhängig davon, ob Sie 3DS für Ihre Karten aktiviert haben. Dementsprechend hilft Ihnen die Aktivierung von 3DS, das Risiko einer finanziellen Haftung für betrügerische Transaktionen zu reduzieren. Weitere Informationen finden Sie unter 3DS for Stripe Issuing.
Digital Wallet-Nutzung
Unabhängig von Überlegungen bezüglich 3DS wird durch die Verwendung einer Stripe Issuing-Karte in einer Apple Pay- oder Google Pay-Wallet für eine Transaktion ohne Karte auch die Haftung auf den Aussteller verlagert.
Kontrollen und Tools für Transaktionen
Angesichts des Risikos, das die Haftung für Transaktionsbetrug mit sich bringen kann, müssen Sie proaktive Maßnahmen zur Überwachung und Verhinderung desselben ergreifen. Im Folgenden finden Sie Steuerelemente und Tools, die Sie Ihrem Stripe Issuing-Programm hinzufügen können. Wir empfehlen, so viele Kontrollen und Tools wie möglich zu verwenden, um das Transaktionsbetrugsrisiko Ihres Programms zu begrenzen.
| Kontrolle/Tool | Vorteile | Nachteile |
|---|---|---|
| 3D Secure (3DS) | Reduziert die Haftung für Verluste bei bestimmten Transaktionen durch die Einführung einer zusätzlichen Ebene der Verifizierung der Karteninhaber/innen. | Karteninhaber/innen durchlaufen bei einigen Transaktionen einen zusätzlichen Verifizierungsschritt. |
| Ausgabenkontrollen | Legt Regeln für Karten und Karteninhaber/innen fest, um die Ausgaben zu kontrollieren. | Begrenzte Fähigkeit, komplexe Regeln anzuwenden. |
| Echtzeit-Webhook | Genehmigt oder lehnt eine Autorisierungsentscheidung in Echtzeit auf der Grundlage aller am Point of Sale verfügbaren Daten ab. | Erfordert die Integration in den Stripe-Webhook. |
| Stripe Defense Layer beta | Blockiert automatisch Transaktionen mit hohem Risiko auf der Grundlage der eigenen Risikomodellierung von Stripe | Einige legitime Transaktionen werden möglicherweise abgelehnt. |
| Verifizierungsdaten | Lehnt Autorisierungen ab, wenn die Prüfziffer (CVV) oder das Ablaufdatum nicht mit der Autorisierung übereinstimmen. | Benutzerdefinierte Konfiguration ist nicht verfügbar. |
| Token-Verwaltung | Damit können Sie Token für Digital Wallets, die mit betrügerischen Aktivitäten in Verbindung stehen, aussetzen oder deaktivieren. | Erfordert die Integration in die Tokens API. |
| Kartenverwaltung | Hiermit können Sie physische oder virtuelle Karten, die mit betrügerischen Aktivitäten in Verbindung stehen, sperren oder deaktivieren. | Keine. |
| Zahlungsanfechtungen | Zahlungsanfechtungen können Ihnen dabei helfen, Gelder zurückzuerhalten, die Sie durch nicht autorisierte Aktivitäten verloren haben. | Bei Zahlungsanfechtungen wird nicht garantiert, dass sie zur Rückforderung von Geldern führen, und es kann einige Zeit dauern, bis sie beigelegt sind. |
Proaktive Kontrollen zum Schutz vor Betrug
KYC/KYB
Know Your Customer (KYC) oder Know Your Business (KYB) ist ein obligatorischer Ablauf zur Erfassung und Verifizierung von Informationen über das Unternehmen oder die Person, die die Karten verwenden wird. Zu diesen Informationen gehören die juristische Person und persönliche Daten über den/die Vertreter/in des Unternehmens sowie über diejenigen, die das Unternehmen besitzen oder kontrollieren.
Der einfachste Weg zur Verwaltung von KYC/KYB ist die Integration von Connect Onboarding. Dabei übernimmt Stripe den Aufwand rund um die grundlegenden KYC-Verpflichtungen.
Ausgabenkontrollen
Mit Ausgabenkontrollen können Sie bestimmte Länder oder Händlerkategorien (zum Beispiel Casinos) blockieren und Ausgabenlimits pro Autorisierung (zum Beispiel 100 USD) oder pro Monat (zum Beispiel 3000 USD pro Monat) festlegen. Sie können diese Kontrollen entweder auf einzelne Karten oder auf Karteninhaber/innen anwenden. Sie sind am effektivsten, wenn das erwartete Ausgabenmuster bekannt ist.
Wir empfehlen die Implementierung einer Kombination aus Ausgabelimits und Händlerkategoriekontrollen, um das Risiko im Falle einer unbefugten Nutzung einzudämmen. Weitere Informationen finden Sie unter Ausgabenkontrollen.
3D Secure
3D Secure (3DS) ist eine zusätzliche Authentifizierungsebene, die von Händlern verwendet wird, um sicherzustellen, dass ein Online-Kauf durch eine/n legitime/n Karteninhaber/in erfolgt. 3DS wird für Online-Transaktionen verwendet und funktioniert nur, wenn Händler dies verlangen und Sie die Funktion für Ihr Issuing-Programm aktiviert haben. Der zusätzliche 3DS-Schritt erfolgt beim Bezahlvorgang, bei dem den Karteninhaber/innen eine Authentifizierungsseite angezeigt wird und sie aufgefordert werden, einen Verifizierungscode einzugeben, der an ihr Telefon oder ihre E-Mail-Adresse gesendet wurde.
Wir empfehlen, 3DS zu aktivieren, um das Risiko von Betrug bei Online-Transaktionen zu reduzieren. Erfahren Sie mehr über 3DS und wie es aktiviert wird.
Kontrollen zur Betrugsvorbeugung in Echtzeit
Echtzeit-Webhook
Sie können Autorisierungsanfragen in Echtzeit basierend auf den Daten, die Ihnen zum Zeitpunkt der Autorisierung zur Verfügung stehen, genehmigen oder ablehnen. So erhalten Sie Kontrolle über die Autorisierungsergebnisse und können Ihre eigene Betrugspräventionslogik implementieren. Verwenden Sie den Echtzeit-Webhook von Stripe, um ein bestimmtes Betrugsmuster zu bekämpfen und gleichzeitig die Auswirkungen auf anderes Ausgabeverhalten zu minimieren. Beispielsweise können Sie Autorisierungsdaten für den Standort der Autorisierung verwenden, um bestimmte Regionen, Währungen und Händler/innen zu sperren. Erfahren Sie mehr über den Echtzeit-Webhook und seine Funktionsweise.
Stripe Defense Layer
Standardmäßig bietet Stripe mehrere automatische Kontrollen, um Ihr Betrugsrisiko zu reduzieren, ohne die Verlusthaftung zu ändern. Stripe versucht unter anderem, Berechtigungen zu blockieren, für die Folgendes gilt:
- Scheint ein Kartentest zu sein.
- Basierend auf unserer eigenen Risikomodellierung schätzen wir das Risiko als extrem hoch ein.
Diese Abwehrmaßnahmen betreffen in der Regel nur eine sehr kleine Teilmenge (weniger als 0,5 %) der Autorisierungen, sind rein additiv und sollten nicht als Ersatz für Ihr eigenes Risikomanagementprogramm angesehen werden. Letztendlich müssen Sie das ideale Gleichgewicht zwischen Benutzererfahrung und Risikomanagement finden, das für die spezifischen Merkmale Ihres Programms am besten geeignet ist. Der Stripe Defense Layer hat keinen Einfluss auf die Haftung.
Fraud Challenges
Fraud Challenges bieten eine zusätzliche Verifizierungsebene für Nutzer/innen, um Einkäufe per SMS zu bestätigen. Dies trägt dazu bei, versehentliche Blockierungen legitimer Einkäufe zu minimieren, die zunächst als risikoreich erscheinen können. Nach der Bestätigung des Kaufs kann der/die Karteninhaber/in die Transaktion erneut versuchen. Weitere Informationen finden Sie unter Fraud Challenges.
Autorisierungssignale
Autorisierungssignale ermöglichen es Ihnen, Entscheidungen in Echtzeit zu treffen, um eine Autorisierung abzulehnen oder zu genehmigen, basierend auf:
- Verifizierungsdaten:: Ob die an der Kasse angegebenen Kartenwerte mit den gespeicherten übereinstimmen
- Bewertung von Anfechtbarkeit bei Betrug: Die Wahrscheinlichkeit, ob eine Autorisierung im Betrugsfall angefochten werden kann
- Warnungen bei Händlern mit hohem Risiko: Das Risikoniveau eines Händlers basierend auf der Anfechtungsaktivität
- Kartentests: Die Wahrscheinlichkeit eines Kartentestangriffs
Weitere Informationen finden Sie unter Autorisierungssignale.
Tools für Transaktionen nach Betrug
Token-Verwaltung
Verwalten Sie Token für Digital Wallets über die API, um Digital Wallet-Karten, die mit betrügerischen Aktivitäten in Verbindung gebracht wurden, schnell zu deaktivieren. Lesen Sie mehr über das Aktivieren der Token-Verwaltung und der API.
Kartenverwaltung
Wenn Sie oder Ihr/e Karteninhaber/in nicht autorisierte Aktivitäten vermuten, können Sie eine Karte vorübergehend über das Dashboard oder die API deaktivieren, um die weitere unbefugte Nutzung während der Ermittlungen zu sperren. Wenn die Aktivität autorisiert wurde, können Sie die Anmeldedaten der Karte beibehalten und sie wieder aktivieren. Wenn Sie die unbefugte Verwendung bestätigen, sperren Sie die Karte sofort. Lesen Sie weitere Informationen zur Kartenverwaltung und Verwendung der API
Anfechtungen
Wenn betrügerische Transaktionen stattfinden, können Sie diese Transaktionen bei Visa oder Mastercard über das Dashboard oder die API mit dem Grund ‘Fraudulent’ einreichen. In einigen Fällen, je nachdem, welche Verifizierung am Point of Sale durchgeführt wird, kann der/die Händler/in für die betrügerische Transaktion haftbar gemacht werden. Lesen Sie mehr über den Umgang mit Zahlungsanfechtungen.
Kontrollen und Informationen für Nutzer/innen
Sie können verschiedene Aspekte der Betrugskontrollen von Stripe anpassen und Ihre Karteninhaber/innen darüber informieren, wie oft sie benötigt werden.
Nutzerkonfigurationen
Je nach Anwendungsszenario und Workflow können Sie Anpassungen an den Standardkontrollen von Stripe anfordern, zum Beispiel:
- 3DS-Anforderungen senken
- Erhöhung der Obergrenzen für Transaktionsbeträge
Stripe kann diese Anfragen zwar auf individueller Basis bearbeiten, letztendlich sind Sie jedoch für erhöhte Risiken oder Haftungsverluste verantwortlich, die sich aus solchen Anfragen ergeben.
Informieren Sie Ihre Karteninhaber/innen
Informieren Sie Ihre Karteninhaber/innen darüber, wie sie ihre Kartendaten sicher aufbewahren können. Bringen Sie ihnen bei, die Aktivitäten auf ihren Konten genau zu beobachten, um die Wahrscheinlichkeit zu erhöhen, dass sie – ebenso wie Sie selbst – betrügerische Aktivitäten frühzeitig bemerken. Weisen Sie Ihre Karteninhaber/innen auf die folgenden Präventivmaßnahmen hin:
- Prüfen Sie in Geschäften auf Karten-Skimmer: Vergewissern Sie sich, dass keine Kameras oder Skimming-Geräte am Zahlungsterminal vorhanden sind. Überprüfen Sie, ob irgendetwas in den Kartenleser, die Anschlüsse, das Display oder das Tastenfeld eingesteckt oder daran befestigt ist.
- Transaktionen bei vertrauenswürdigen Unternehmen durchführen: Geben Sie Ihre Kartendaten nur an Händler/innen weiter, die Sie kennen und denen Sie vertrauen.
- Sperren einer Karte, sobald sie verloren gegangen ist oder gestohlen wurde: Ergreifen Sie sofortige Maßnahmen, um eine unbefugte Nutzung zu verhindern, bevor ein betrügerischer Akteur in der Lage ist, Ihre Kartendaten in Erfahrung zu bringen. Wenn Sie weiterhin Ausgaben tätigen möchten, erstellen Sie eine neue Karte, nachdem Sie die verloren gegangene oder gestohlene Karte gesperrt haben.
Metriken überwachen
Wir empfehlen, die folgenden Metriken zu überwachen, um Betrug in Ihren Issuing-Konten zu erkennen und zu messen.
Frühindikatoren
Frühindikatoren sind Metriken, die Ihnen helfen können, potenziellen Betrug in einem frühen Stadium zu erkennen.
- Die Autorisierung wird aufgrund falscher Verifizierungsdaten (CVC2, Ablaufdatum) in einem bestimmten Zeitraum abgelehnt.
- Autorisierungsquote in einem bestimmten Zeitraum.
- Autorisierungen außerhalb des geografischen Fußabdrucks in einem bestimmten Zeitraum.
- Autorisierungen nach Land des Händlers in einem bestimmten Zeitraum.
- Autorisierungen nach Händlerkategorie-Code in einem bestimmten Zeitraum.
- Erzwungene Erfassungen in einem bestimmten Zeitraum.
Spätindikatoren
Spätindikatoren sind Kennzahlen, anhand derer Sie beurteilen können, wie stark sich betrügerische Aktivitäten auf Ihr Issuing-Programm ausgewirkt haben:
- Prozentsatz der Gesamtausgaben, die in einem bestimmten Zeitraum wegen Betrugs angefochten wurden.
- Gewinn-Verlust-Quote der angefochtenen Zahlungen in einem bestimmten Zeitraum.
- Absolute Verluste aufgrund von angefochtenen Zahlungen in einem bestimmten Zeitraum.
- Akquirieren von Händlern mit dem höchsten Prozentsatz angefochtener Transaktionen.
Betrugsmanagement
Das Betrugspotenzial in Issuing erfordert eine gründliche Überwachung und ein proaktives Betrugsmanagement. Wenn Sie sich über Ihre Rollen und Verantwortlichkeiten im Klaren sind und die Ressourcen von Stripe effektiv nutzen, können Sie diese Risiken auf ein Niveau reduzieren, das Sie für Ihr Unternehmen für angemessen halten.
Bei der Entscheidung über Ihren Ansatz für das Betrugsmanagement ist Folgendes zu beachten:
Im welchem Ausmaß Sie Betrug erwarten sollten: Das durchschnittliche Volumen des monatlichen Betrugs variiert je nach Branche, Region, Geschäftsmodell usw. erheblich. Die meisten Nutzer/innen reichen Zahlungsanfechtungen wegen Betrug bei 0,1 % oder weniger ihres Transaktionsvolumens ein. Je nach Ihrer Ausstellungsaktivität kann dies jedoch stark variieren. Es ist ungewöhnlich, dass es überhaupt keinen Betrug gibt, außer in seltenen Geschäftsmodellen oder bei geringen Volumina.
Definition einer Zahlungsanfechtung: Eine Zahlungsanfechtung liegt vor, wenn ein/ Kontoinhaber/in eine Belastung seiner Kartenabrechnung bei seinem Kartenaussteller anfechtet. Der Grund für die Anfechtung ist unterschiedlich – der/die Kontoinhaber/in erkennt die Belastung möglicherweise nicht an, hält sie für betrügerisch oder ist mit den gekauften Waren oder Dienstleistungen unzufrieden. Zahlungsanfechtungen können Aussteller/innen helfen, Gelder im Fallen von betrügerischen Aktivitäten zurückzuerhalten.
Zusätzliche Stripe-Betrugssignale und -kontrollen: Stripe Issuing bietet derzeit eine Beta-Version der erweiterten Risikosuite (Enhanced Risk Suite) für API-zentrierte Nutzer/innen an, die daran interessiert sind, erweiterte Signale zur Identifizierung und Verhinderung von Transaktionsbetrug zu verwenden. Wenn Sie mehr erfahren möchten, kontaktieren Sie bitte den Support.