Anti-Fraud-Management-Systeme

Regelwerk, das du selbst anpassen kannst

Die zentrale Frage: Kannst du Regeln ohne den Anbieter ändern? Betrugsmuster wandern. Wenn du für jede neue Regel ein Ticket schreiben und drei Wochen warten musst, bist du immer hinterher. Achte darauf, dass es eine Oberfläche gibt, in der eine fachkundige Person aus deinem Team Regeln bauen, testen und wieder abschalten kann.

Testmodus für neue Regeln

Eng damit verbunden: ein Modus, in dem eine neue Regel erst nur mitläuft und protokolliert, ohne schon Transaktionen zu blockieren. So siehst du vorher, wie viele Vorgänge sie erwischt hätte, bevor du echten Umsatz gefährdest. Fehlt das, testest du im Livebetrieb, und das geht selten gut aus.

Fallmanagement und Prüfoberfläche

Wenn ein Vorgang markiert wird, muss ihn jemand ansehen. Die Prüfoberfläche entscheidet, ob dein Team am Tag fünfzig oder fünfhundert Fälle schafft. Achte darauf, dass alle relevanten Daten auf einem Blick zusammenlaufen: Bestellhistorie, Zahlungsart, bisherige Auffälligkeiten. Wer für jeden Fall in drei Systeme klicken muss, verliert Zeit und trifft schlechtere Entscheidungen.

Scoring statt reinem Ja-Nein

Ein Score, also ein Risikowert, ist praktischer als eine harte Blockade. Damit kannst du abstufen: niedriges Risiko durchlassen, mittleres zur manuellen Prüfung, hohes automatisch stoppen. Diese Schwellen solltest du selbst einstellen können, weil sie von deiner Marge und deinem Risikoappetit abhängen.

Anbindung an deine Systeme

Das System muss dort andocken, wo deine Daten entstehen: Shopsystem, Zahlungsdienstleister, Warenwirtschaft. Kläre früh, ob es fertige Schnittstellen für deine Umgebung gibt oder ob alles über eine Programmierschnittstelle selbst gebaut werden muss. Der Unterschied sind oft Wochen an Aufwand.

Nachvollziehbarkeit der Entscheidungen

Wenn das System einen Vorgang blockiert, willst du wissen warum. Gerade bei musterbasierten Verfahren ist das nicht selbstverständlich. Frag konkret nach, ob zu jeder Entscheidung eine Begründung ausgegeben wird. Das brauchst du für die eigene Prüfung und für den Fall, dass ein Kunde sich beschwert.

Lass die richtige Person testen

Der häufigste Fehler in der Auswahl: Die Demo macht die Geschäftsführung, gearbeitet wird später von der Buchhaltung oder dem Support. Lass die Software in der Demo von der Person bedienen, die später täglich Fälle prüft. Die merkt in zehn Minuten, ob die Oberfläche taugt, während der Chef auf die Funktionsliste schaut.

Prüfe die Trefferqualität mit deinen echten Daten

Jeder Anbieter zeigt dir Zahlen, die gut aussehen. Die einzige belastbare Prüfung ist ein Test mit deinen eigenen historischen Vorgängen. Nimm einen Zeitraum, in dem du weißt, welche Fälle wirklich Betrug waren, und lass das System darauf laufen. Dann siehst du, wie viele echte Fälle es fängt und wie viele ehrliche Kunden es fälschlich markiert.

Denke an die Fehlalarme, nicht nur an die Treffer

Ein System, das alles blockiert, fängt jeden Betrug und ruiniert dein Geschäft. Frag dich immer: Was passiert mit dem ehrlichen Kunden, der zufällig ins Raster fällt? Wie viel Prüfaufwand entsteht durch Fehlalarme? Diese Kennzahl ist wichtiger als die reine Fangquote.

Vendor-Lock-in einschätzen

Wenn dein gesamtes Regelwerk und deine Fallhistorie im System des Anbieters liegen, kommst du da schwer wieder raus. Kläre vorher, ob du Regeln und Daten exportieren kannst. Das ist keine akademische Frage, das ist deine Verhandlungsposition bei der nächsten Preisrunde.

Skalierung und Reaktionszeit

Ein System, das bei hundert Transaktionen pro Tag flott ist, kann bei Lastspitzen (Aktionstage, Saisongeschäft) einbrechen. Wenn die Prüfung in Echtzeit im Bestellprozess läuft, ist die Antwortzeit kritisch. Frag nach, wie das System bei deinem Spitzenvolumen reagiert, nicht bei deinem Durchschnitt.

Beim Preis gibt es kein einheitliches Bild, und du solltest dich nicht vom monatlichen Grundbetrag blenden lassen. Üblich sind mehrere Modelle, oft in Kombination.

Transaktionsbasierte Abrechnung

Du zahlst pro geprüftem Vorgang. Das klingt fair, kann aber tückisch sein, wenn dein Volumen wächst oder stark schwankt. Rechne nicht mit deinem heutigen Volumen, sondern mit dem, das du in zwei Jahren erwartest. Und kläre, ob auch Vorgänge zählen, die gar nicht auffällig waren, oder nur die geprüften Fälle.

Feste monatliche oder jährliche Lizenz

Ein Pauschalbetrag ist planbar, enthält aber meist ein Kontingent. Prüfe, was passiert, wenn du das Kontingent überschreitest, denn die Überschreitungspreise sind oft deutlich höher als der Grundtarif.

Was in der Grundgebühr oft nicht drin ist

Hier stecken die Überraschungen. Rechne mit möglichen Zusatzkosten für: die Ersteinrichtung und Anbindung, Schulung deines Teams, zusätzliche Datenquellen (etwa externe Prüfdienste für Adressen oder Geräte), Support über die Standardzeiten hinaus und die Anpassung von Regeln, wenn du das nicht selbst machen kannst.

Die versteckten internen Kosten

Der größte Kostenblock steht in keinem Angebot: die Arbeitszeit deines Teams für die Fallprüfung. Wenn ein System viele Fehlalarme produziert, bezahlst du das jeden Tag in Personalstunden. Rechne die Prüfzeit pro Fall mal der Fallzahl, dann siehst du, was ein schlechtes System wirklich kostet, unabhängig vom Lizenzpreis.

Die Regeln werden einmal gesetzt und nie wieder angefasst

Ein Betrieb richtet das System sauber ein, und dann kümmert sich niemand mehr darum. Nach einem Jahr passen die Regeln nicht mehr zur Realität, blockieren gute Kunden und lassen neue Betrugsmuster durch. Ein Anti-Fraud-System ist kein Gerät, das du aufstellst und laufen lässt, es braucht regelmäßige Pflege.

Alles auf einmal scharf schalten

Ein Team schaltet zum Start sämtliche Regeln aktiv und blockierend. Am ersten Tag stehen die Fälle in dreistelliger Zahl in der Warteschlange, ehrliche Bestellungen werden gestoppt, das Telefon klingelt. Besser: Neue Regeln erst im Beobachtungsmodus laufen lassen und stufenweise scharf schalten.

Niemand ist verantwortlich

Das System läuft, aber es ist unklar, wer die Fälle prüft, wer über Grenzfälle entscheidet und wer die Regeln pflegt. In der Folge bleiben Fälle liegen, Entscheidungen werden inkonsistent getroffen. Lege vor dem Start fest, wer welche Rolle hat.

Die Fehlalarme werden ignoriert

Ein Team schaut nur auf gefangene Betrugsfälle und feiert die Quote. Dass gleichzeitig ehrliche Kunden abspringen, weil ihre Bestellung grundlos gestoppt wurde, sieht niemand, weil der verlorene Umsatz nicht auffällt. Miss beide Seiten.

Die Datenschutzseite wird zu spät eingebunden

Das System sammelt Verhaltensdaten, Gerätekennungen, Zahlungshistorien. Wer die datenschutzrechtliche Prüfung erst nach dem Livegang macht, muss im schlimmsten Fall zurückbauen. Bindet den Datenschutz von Anfang an ein.

Anti-Fraud-Systeme verarbeiten personenbezogene Daten, oft sensible: Zahlungsverhalten, Standortdaten, Gerätekennungen. Damit greift die Datenschutz-Grundverordnung in vollem Umfang, in Deutschland ergänzt durch das Bundesdatenschutzgesetz, in Österreich durch das Datenschutzgesetz, in der Schweiz durch das revidierte Datenschutzgesetz.

Rechtsgrundlage und Verhältnismäßigkeit

Du brauchst eine Rechtsgrundlage für die Verarbeitung. In vielen Fällen stützt man sich auf das berechtigte Interesse an Betrugsprävention, das ist grundsätzlich anerkannt. Aber du musst abwägen: Die Datenverarbeitung muss verhältnismäßig sein. Ein System, das mehr Daten sammelt, als für die Betrugserkennung nötig ist, wird zum Problem. Dokumentiere diese Abwägung.

Automatisierte Entscheidungen

Die DSGVO setzt Grenzen bei ausschließlich automatisierten Entscheidungen, die eine Person erheblich beeinträchtigen. Wenn dein System eigenständig Bestellungen ablehnt oder Konten sperrt, kann das darunter fallen. Praktisch bedeutet das oft: Es muss eine Möglichkeit zur menschlichen Prüfung geben, und die betroffene Person muss die Entscheidung anfechten können. Kläre das mit deinem Datenschutzbeauftragten.

Auftragsverarbeitung und Serverstandort

Wenn der Anbieter die Daten in deinem Auftrag verarbeitet, brauchst du einen Auftragsverarbeitungsvertrag. Prüfe, wo die Daten liegen. Bei Servern außerhalb der EU brauchst du eine tragfähige Grundlage für den Datentransfer. Das ist kein Detail, das ist eine Kernfrage bei der Anbieterauswahl.

Dokumentations- und Informationspflichten

Die Verarbeitung gehört in dein Verzeichnis der Verarbeitungstätigkeiten. Je nach Umfang und Risiko kann eine Datenschutz-Folgenabschätzung nötig sein. Und deine Datenschutzerklärung muss transparent machen, dass und wie du Betrugsprävention betreibst. Diese Punkte sind kein Beiwerk, sondern Voraussetzung für den rechtssicheren Betrieb.

Hinweis: Das ersetzt keine Rechtsberatung. Für deine konkrete Konstellation solltest du eine fachkundige Person hinzuziehen.

Schritt 1: Deine Betrugsfälle verstehen

Bevor du Software ansiehst, schau in deine eigenen Zahlen. Wo entstehen dir tatsächlich Verluste? Rücklastschriften, Kartenmissbrauch, Gutscheinbetrug, interne Fälle? Ohne diese Klarheit kaufst du Funktionen, die du nicht brauchst, und übersiehst die, die du bräuchtest.

Schritt 2: Anforderungen und Verantwortliche festlegen

Schreib auf, was das System können muss, welche Systeme es anbinden muss und wer intern damit arbeitet. Benenne früh die Person, die später die Fälle prüft und die Regeln pflegt. Diese Person sollte an der Auswahl beteiligt sein.

Schritt 3: Zwei bis drei Kandidaten testen

Beschränke dich auf wenige ernsthafte Kandidaten. Fordere jeweils einen Test mit deinen eigenen historischen Daten. Achte dabei auf Trefferquote und auf Fehlalarme gleichermaßen. Lass die spätere Nutzerin die Prüfoberfläche bedienen.

Schritt 4: Gesamtkosten durchrechnen

Rechne über zwei bis drei Jahre: Lizenz oder Transaktionskosten, Einrichtung, Schulung, Zusatzdienste und die interne Prüfzeit. Rechne mit deinem erwarteten Wachstum, nicht mit dem heutigen Volumen. Frag nach Überschreitungspreisen und Ausstiegsbedingungen.

Schritt 5: Rechtliches klären

Hol den Datenschutz an den Tisch, bevor du unterschreibst. Kläre Serverstandort, Auftragsverarbeitungsvertrag und die Frage der automatisierten Entscheidungen. Das nachträglich zu reparieren ist teurer als es vorher zu klären.

Schritt 6: Kontrolliert starten

Start im Beobachtungsmodus, schrittweise scharf schalten, die ersten Wochen eng begleiten. Plane von Anfang an feste Termine ein, an denen ihr die Regeln und die Fehlalarmquote überprüft. Ein Anti-Fraud-System ist ein laufender Prozess, kein einmaliges Projekt.

Wenn du diese Schritte gehst, kaufst du kein Versprechen, sondern eine Lösung, die zu deinen tatsächlichen Fällen passt. Und du weißt vorher, was sie kostet, im Lizenzvertrag und in Arbeitszeit.