Datenschutzgerechte Erkennung von Online-Betrügern

Anbieter zum Thema

Fsas Technologies GmbH

FAST LTA GmbH

FTAPI Software GmbH

Die Gefahr des gläsernen Nutzers

Auch die eindeutigen Gerätekennzeichen, die von Lösungen im Bereich Online Fraud Prevention erhoben und ausgewertet werden, sind nicht unkritisch. Aus den Kennungen der genutzten Endgeräte und Anwendungen lässt sich eine Art Fingerabdruck des Gerätes erstellen, wie dies zum Beispiel bereits für die Online-Werbung genutzt wird. Wenn ein solcher Fingerabdruck nicht anonymisiert gespeichert und analysiert wird, sondern mit der IP-Adresse, der E-Mail-Adresse oder anderen eindeutigen Angaben aus der Kundenregistrierung verknüpft würde, könnten Kunden identifiziert und ihre Aktivitäten nachverfolgt werden.

Ein solches Vorgehen würde jedoch dem Datenschutz widersprechen, der zum einen die Zweckbindung fordert, also eine Zweckentfremdung von Daten, die zur Betrugserkennung erhoben werden, verbietet. Zudem fordert der Datenschutz wo immer möglich das Angebot einer anonymen oder pseudonymen Bezahlung, was zum Beispiel die Erhebung der vollständigen IP-Adresse ausschließt.

Den Datenschutz nicht übersehen

Dabei will der Datenschutz nicht verhindern, dass Online-Betrüger erkannt werden. Vielmehr soll die Privatsphäre der ehrlichen Kunden geschützt werden, wenn Datenschutzforderungen zur Betrugserkennung aufgestellt werden. Online-Anbieter müssen aus Sicherheits- und Compliance-Gründen also zwei Ziele verfolgen: die Betrüger erkennen und die Kundendaten schützen. Dazu müssen die Daten, die der Betrugserkennung dienen, zum einen anonymisiert werden, um sie erst im konkreten Verdachtsfall einer Person zuzuordnen. Zum anderen müssen die erhobenen Nutzerdaten vor Zweckentfremdung und Missbrauch geschützt werden.

Betrugserkennung als Dienstleistung

Die Lösungen im Bereich Online Fraud Detection werden in aller Regel nicht durch den jeweiligen Online-Händler selbst betrieben, sondern als Dienstleistung genutzt. Dadurch werden Daten von Nutzern des jeweiligen Online-Shops durch Dritte verarbeitet. Findet die Datenverarbeitung zur Betrugsbekämpfung innerhalb Deutschlands oder der EU statt, müssen die Vorgaben an eine Auftragsdatenverarbeitung eingehalten werden. Dazu gehört insbesondere, dass der Online-Shop-Betreiber für die Daten verantwortlich bleibt und die Sicherheitsmaßnahmen des Fraud Detection Dienstleisters prüfen muss. Befindet sich der Betrugserkennungsdienst außerhalb der EU, müssen zusätzlich weitere Vorgaben zur Datenübermittlung in Drittstaaten bedacht werden.

Datenschutz und Betrugserkennung kein Widerspruch

Zweifellos hat ein Online-Anbieter ein berechtigtes Interesse an der Erkennung von Betrugsversuchen und sollte sich entsprechender Lösungen für Fraud Detection bedienen. Bei der Auswahl einer solchen Lösung jedoch darf die genaue Prüfung der Datenschutzerklärung des Anbieters, der Vertragsbedingungen und der Datenschutzmaßnahmen auf Seiten der Fraud-Detection-Lösung nicht fehlen. Verschiedene Lösungen auf dem Markt unterstreichen ihren Fokus auf den Datenschutz, wie zum Beispiel Fraud Detection & Compliance Monitoring vom Fraunhofer-Insititut IAIS, und zeigen damit, dass Datenschutz die Betrugserkennung nicht ausschließt, sondern letztlich erst in zulässiger Form ermöglicht.

(ID:42372337)