Betrugsbekämpfung im E-Commerce: die Schritt-für-Schritt-Anleitung, die jedes Startup vor der Skalierung benötigt

Der erste relevante Betrug kommt fast nie zum erwarteten Zeitpunkt. Es erscheint direkt nach dem ersten Umsatzgipfel, wenn der Betrieb real aussieht. Eine Reihe von Bestellungen mit unterschiedlichen Karten, derselben Lieferadresse, hohen Werten und einem eiligen Versand. In der darauffolgenden Woche kommen die Rückbuchungen und mit ihnen die Rechnung wegen Unfälligkeit.

Für ein E-Commerce-Startup gehört Betrug zu den Themen, die in weiter Ferne erscheinen, bis sie dringlich werden. Und wenn sie es tun, gehen sie in der Regel mit einer schwierigen Entscheidung einher: Alles sperren und legitime Verkäufe verlieren oder alles freigeben und Verluste auffangen. Das Unternehmen trifft fast immer eine schlechte Wahl, weil es die Betrugsbekämpfung nie als Teil des Produkts berücksichtigt hat.

Dieser Text ist eine Schritt-für-Schritt-Anleitung für diejenigen, die noch keine ausgereifte Struktur haben, aber bereits genug verkaufen, um ein Ziel zu sein. Es geht nicht darum, Angst zu machen, sondern darum, Priorität zu geben.

Betrugsbekämpfung ist eine Geschäftsentscheidung, nicht nur eine Sicherheitsentscheidung

Es besteht die Versuchung, Betrug als rein technisches Problem zu betrachten, das mit dem richtigen Tool gelöst werden kann. Das ist es nicht. Die zentrale Frage ist geschäftlicher Natur: Wie viel Betrugsverlust sind Sie bereit, in Kauf zu nehmen, um die Konversionsrate hoch zu halten?

Betrug zu 100 % zu blockieren ist trivial, lehnen Sie einfach alle Anfragen ab. Die Kosten hierfür sind nicht zu verkaufen. Die eigentliche Arbeit besteht darin, den Punkt zu finden, an dem Sie den meisten Betrug mit den geringsten Auswirkungen auf legitime Kunden ablehnen. Dieser Punkt ändert sich je nach Ihrer Marge, Ihrem durchschnittlichen Ticket und Ihrer Risikobereitschaft.

Daher ist die erste Entscheidung nicht die, welche Betrugsbekämpfungsagentur Sie beauftragen, sondern vielmehr, welche Betrugsrate und Rate ungerechtfertigter Ablehnungen Ihr Unternehmen unterstützt. Ohne dieses Ziel wird jedes Werkzeug zum Tritt.

Schritt 1: Verstehen Sie, wo Betrug ins Spiel kommt

Ordnen Sie die Vektoren zu, bevor Sie eine Lösung kaufen. Im E-Commerce kommt es am häufigsten zu Zahlungsbetrug (geklonte oder gestohlene Karte), Kontoübernahme (jemand betritt das Konto eines legitimen Kunden) und Werbemissbrauch (gefälschte Konten, um Gutscheine und Cashback zu erbeuten).

Auf diese drei Probleme gibt es unterschiedliche Antworten. Zahlungsbetrug wird bei der Auftragsfreigabe bekämpft. Die Kontoübernahme wird in Authentifizierung und Login bekämpft. Missbrauch der Werbung wird in den Registrierungs- und Aktionsregeln bekämpft. Alles als „Betrug“ zu betrachten und ein generisches Tool einzusetzen, ist Verschwendung.

Ein Startup, das teure Elektronikartikel verkauft, hat ein anderes Risikoprofil als eines, das preisgünstige Abonnements verkauft. Der erste leidet unter einer geklonten Karte; das zweite mit massiven Fake-Accounts. Beginnen Sie mit dem Vektor, der Ihrem Geld am meisten schadet.

Schritt 2: Instrument vor der Automatisierung

Der häufigste Fehler von Einsteigern besteht darin, intelligente Regeln zu wollen, ohne über Daten zu verfügen. Wenn Sie das Verhalten nicht aufzeichnen, können Sie keine Muster erkennen.

Stellen Sie vor jedem Modell sicher, dass Sie bei jeder Bestellung grundlegende Signale erfassen: Gerät, ungefähre IP-Geolokalisierung, Kundenhistorie, Abweichungen zwischen Rechnungs- und Lieferadressen, Geschwindigkeit zwischen Registrierung und erstem Kauf. Diese Signale sind das Rohmaterial für jede zukünftige Entscheidung, ob manuell oder automatisch.

Ein Detail, das unbedeutend erscheint, es aber nicht ist: Erfassen Sie auch die Bestellungen, die Sie genehmigt haben und die zu Rückbuchungen geführt haben. Mit dieser Bezeichnung „Das war Betrug“ können Sie Regeln kalibrieren und später Modelle trainieren. Wer das Ergebnis nicht einhält, bleibt blind.

Schritt 3: Beginnen Sie mit den Regeln und entwickeln Sie sie weiter, um zu punkten

Am Anfang lösen explizite Regeln einen Großteil des Problems und sind leicht zu prüfen. Bestellungen über einem bestimmten Wert mit Erstkauf und abweichender Lieferung werden manuell überprüft. Mehrere Karten auf demselben Gerät innerhalb weniger Minuten blockieren. Dies sind einfache, transparente und ausreichende Regeln für die Anfangsphase.

Wenn das Volumen zunimmt und die manuelle Regelung nicht skaliert, fängt man an, zu viele oder zu wenige Leute abzulehnen. Hier kommt ein Risiko-Score ins Spiel, sei es von einem spezialisierten Anbieter oder Ihrem eigenen Modell. Die Partitur ersetzt kein Urteil; er priorisiert. Anfragen mit geringem Risiko werden direkt weitergeleitet, Anfragen mit hohem Risiko werden blockiert und der graue Bereich geht an die menschliche Überprüfung.

Zu den Lieferanten: Auf dem brasilianischen Markt gibt es Anti-Betrugs-Anbieter, die in Zahlungsmethoden integriert sind, und dies ist für ein Startup in der Regel der schnellste Weg. Erstellen Sie Ihr eigenes Modell nicht, bevor Sie nicht über die Menge und das Team verfügen, um es zu warten. Eine zu frühe Neuerfindung der Betrugsbekämpfung ist eine der teuersten Möglichkeiten, das Wachstum zu verzögern.

Schritt 4: Behandeln Sie Reibung als knappe Ressource

Jede Verifizierungsebene kostet die Umrechnung. Das Anfordern eines Dokuments, die Bestätigung per SMS, das Zurückhalten des Auftrags zur Analyse – all das vertreibt einen Bruchteil der legitimen Kunden. Reibung ist ein wirksames Werkzeug, sollte jedoch nur dort eingesetzt werden, wo das Risiko dies rechtfertigt.

Die richtige Logik besteht darin, Reibung nach Risiko zu klassifizieren. Der Stammkunde mit einer sauberen Vorgeschichte, der das Übliche kauft, sollte nichts spüren. Bei der verdächtigen Anfrage nach einem neuen Konto mit seltsamen Zeichen lohnt es sich, eine zusätzliche Verifizierung anzufordern. Die gleiche Barriere für alle anzuwenden bedeutet, gute Kunden für Betrüger zu bestrafen.

An der Kasse führt dies zu einer goldenen Regel: unsichtbar für diejenigen, die legitim sind, unüberwindbar für diejenigen, die es nicht sind. Man schafft es nie zu 100 % richtig, aber dieses Gleichgewicht zu finden, ist die Arbeit.

Kritische Reflexion: kostspielige Fehler

Es gibt vorhersehbare Fallstricke. The first is to confuse bank approval with security: the issuer can approve the transaction and the chargeback comes later, the responsibility, in many cases, is yours. Die zweite besteht darin, nur die Betrugsrate zu optimieren und unangemessene Ablehnungen zu ignorieren, die das Wachstum stillschweigend zunichtemachen, ohne auf einem Sicherheits-Dashboard angezeigt zu werden.

Der dritte, subtilere ist kultureller Natur. Eine gut durchgeführte Betrugsbekämpfung erfordert, dass Produkt, Finanzen, Service und Technologie zusammenarbeiten. Wenn Betrug „das Problem des Risikoteams“ ist und niemand sonst hinschaut, werden Entscheidungen vom Geschäft abgekoppelt. Und da ist noch die Datendimension: Sie sammeln und vergleichen sensible Verhaltens- und Zahlungsinformationen, was eine direkte Verantwortung gemäß LGPD mit sich bringt. Beschränken Sie Ihre Sammlung auf ein Minimum, schützen Sie das, was Sie aufbewahren, und machen Sie sich über den Zweck im Klaren.

Denken Sie abschließend daran, dass Betrug kontrovers ist. Im Gegensatz zu einem Käfer gibt es auf der anderen Seite jemanden, der aktiv versucht, Ihre Abwehrkräfte zu umgehen. Jedes Betrugsbekämpfungssystem ist ein veraltetes Foto. Es muss überprüft und nicht installiert und vergessen werden.

Der Punkt, der bleibt

Ein ausgereifter Betrugsbekämpfungsdienst ist nicht derjenige, der die meisten Anfragen ablehnt. Es ist derjenige, der die Marge schützt, ohne das Wachstum abzuwürgen, und der in Zahlen weiß, wie viel Risiko er eingeht. Für ein Startup besteht das Ziel nicht darin, Betrug zu eliminieren, sondern darin, ihn bei zunehmender Skalierung innerhalb eines vorhersehbaren Kostenrahmens zu halten.

Beginnen Sie mit dem Vektor, der am meisten schadet, Instrument vor Automatisierung, stufen Sie die Reibung nach Risiko ein und behandeln Sie die Entscheidung als geschäftliche Entscheidung. Der Rest ist Verfeinerung.

Wenn Ihr Betrieb das Stadium erreicht, in dem Betrug keine Hypothese mehr ist und sich zu einer Bargeldlinie entwickelt hat, lohnt es sich, vor dem nächsten Höhepunkt darüber zu reden und die Struktur in Ruhe zu überprüfen. Ergänzend dazu gibt es auf dem Blog weitere Texte zu den Themen Sicherheit, Zahlungen und digitale Produkte.