E-Commerce-Betrug Fünf Tipps zur Betrugs­be­kämpf­ung im E-Commerce

Anbieter zum Thema

FTAPI Software GmbH

Specops Software GmbH

F5 Networks GmbH

Im Zuge der Digitalisierung entwickeln sich Online-Betrugsmaschen ständig weiter. Dabei steigen die Gefahren für Verbraucher, E-Commerce-Anbieter und Finanzdienstleister sowohl hinsichtlich Anzahl als auch Raffinesse. Mit Hilfe von fünf Tipps können sie sich vor aktuellen Betrugsmethoden schützen.

Die Gesamtkosten für E-Commerce-Betrug werden Prognosen zufolge im Jahr 2023 weltweit die Marke von 48 Milliarden US-Dollar übertreffen. Zum Vergleich: Im Jahr 2022 waren es knapp über 41 Milliarden US-Dollar. Die Steigerung liegt unter anderem an der Zunahme von Online-Zahlungen und -Einkäufen, den allgegenwärtigen Schadprogrammen und Bots, die Benutzerdaten aus dem Internet ziehen, sowie Social-Engineering-Betrügereien, die menschliche Schwächen ausnutzen.

Vor der Digitalisierung erforderte Betrug sorgfältige Planung und aufwändiges Ausspionieren von Personen oder Unternehmen. Heute haben Kriminelle dagegen mit Online-Zugängen, virtuellen Marktplätzen, digitalen Geldbörsen und der fortschreitenden Automatisierung nicht nur immer mehr Angriffsmöglichkeiten. Sie besitzen auch ausgefeilte Werkzeuge und Technologien, mit denen sie Unternehmen infiltrieren und die Konten von Privatpersonen übernehmen können. Die dafür erforderlichen Tools sind zudem online leicht verfügbar, wodurch die Einstiegshürden deutlich sinken.

Entsprechend müssen sich Unternehmen deutlich besser vor dieser Gefahr schützen. Dazu dienen folgende fünf Tipps für die Betrugsbekämpfung sowie zum Schutz vor aktuellen Bedrohungen und Exploits, die Cyberkriminelle für Angriffe auf E-Commerce-Anbieter und Finanzdienstleister nutzen.

1. Sicherheitsstrategien abstimmen, ohne das Kundenerlebnis zu beeinträchtigen

Händler und Finanzdienstleister müssen eine bessere Zusammenarbeit zwischen ihren Teams für Security, Kundenidentitäts- und Zugangsmanagement (CIAM), Betrugserkennung und Authentifizierung im gesamten Unternehmen erreichen. Kriminelle können die Schwachstellen ausnutzen, die durch isoliert arbeitende Teams und Sicherheitsstrategien entstanden sind, die sich zu sehr auf CAPTCHA und Multi-Faktor-Authentifizierung (MFA) stützen. Diese Techniken stören die User Experience, oft ohne Berücksichtigung der tatsächlichen Gefahrenstufe eines bestimmten Anmeldeversuchs.

Ein transparenter und durchgängig risikobasierter Authentifizierungsansatz ermöglicht Händlern und Finanzdienstleistern eine bessere Zusammenarbeit zwischen verschiedenen Teams innerhalb ihrer Organisation. Damit lässt sich Betrug flexibel, zuverlässig und reibungsarm erkennen, ohne das Benutzererlebnis zu beeinträchtigen.

2. Transparenz und Einblicke in die gesamte Customer Journey erhalten

Die Strategie für die Betrugsbekämpfung sollte sich auf drei wichtige Bereiche konzentrieren, die oft übersehen werden: 

• 1. Die erste Kontaktaufnahme: Unternehmen sollten die Aktivitäten ihrer Kunden ab dem Moment prüfen, an dem diese ihre Zugangsdaten eingeben oder ein Konto erstellen. Das verbessert die Erkennung clientseitiger Angriffe wie digitales Skimming oder Formjacking. Diese Methoden kommen häufig zum Einsatz, um Anmeldedaten und Karteninformationen während der Einrichtung eines neuen Kontos zu sammeln. Mögliche Folgen sind Kontoübernahmen und Betrug.

• 2. API-Integrationen von Drittanbietern: Zusätzlich zu Web- und Mobilanwendungen müssen Händler und Finanzdienstleister auch den API-Schutz in ihre Sicherheitsstrategien integrieren. APIs sind denselben Angriffen ausgesetzt wie Web-Apps. Dazu gehören Exploits, die zu Datenmissbrauch und Betrug führen. So können unbeabsichtigte Risiken durch Integrationen und Systeme von Drittanbietern entstehen.

• 3. Betrug über neuartige Transaktionen: Viele Händler bieten neue Dienste wie automatische Abbuchungen beim Checkout, Online-Kauf und Abholung im Laden sowie Buy Now, Pay Later (BNPL) an. Sie müssen aber auch die Risiken dieser Transaktionen verstehen und reduzieren sowie diese Erkenntnisse über alle Kanäle hinweg teilen.

3. Neue Betrugsversuche erkennen

Bei einer wichtigen neuen Betrugsmasche erstellen Kriminelle erfundene Identitäten, die ähnlich wie die von echten Kunden aussehen. Anschließend kaufen sie damit Waren, ohne dafür zu bezahlen. Betrüger können zum Beispiel Präventionsmaßnahmen umgehen, indem sie gestohlene Identitätsdaten wiederverwenden, um neue Konten zu eröffnen und eine Sperrung durch eine Verbotsliste zu vermeiden. Dies kann zu Missbrauch von BNPL-Programmen sowie Betrug mit Treuepunkten, Rückerstattungen oder bei der Auszahlung führen.

Unternehmen können sich davor schützen, indem Sie Erkenntnisse aus biometrischen Verhaltensmustern in Kombination mit maschinellem Lernen nutzen. Dies gibt Teams für Sicherheit und Betrugsabwehr Einblicke in gefälschte Konten.

4. Auf die EU-Zahlungsdiensterichtlinie 3 (PSD3) vorbereiten

Sowohl die Gefahren als auch die Zahlungsmethoden und Regulierungen haben sich seit der Einführung der Zahlungsdiensterichtlinie im Jahr 2018 wesentlich verändert. Zur Vorbereitung auf die erweiterten Vorschriften der PSD3 sollten Händler und Banken eine Bestandsaufnahme aller kürzlich eingeführten Dienste, Kanäle und Zahlungsoptionen wie digitale Geldbörsen und Krypto-Zahlungen vornehmen.

Zudem sollten sie proaktiv das gesamte Spektrum der Sicherheits- und Betrugsrisiken vorausschauend analysieren und verwalten, die moderne API-Umgebungen mit sich bringen.

5. Schatten-APIs und JavaScript-Angriffe auf die Lieferkette

Wenn Unternehmen mehr Dienste von Drittanbietern nutzen und die Anzahl der Skripte auf ihrer Website steigt, entstehen neue potenzielle Schwachstellen. Diese können zu clientseitigen Angriffen wie digitales Skimming, Formjacking und Magecart-Angriffen führen. Ein digitaler Skimming-Angriff liegt vor, wenn ein Krimineller ein oder mehrere bösartige Skripte einschleust beziehungsweise ein vorhandenes Skript einer legitimen Seite oder Anwendung manipuliert, um einen Man-in-the-Browser-Angriff auf die Software-Lieferkette durchzuführen. Diese Attacken sind schwer zu erkennen, da Skripte häufig von Dritten aktualisiert werden, oft ohne Sicherheitsprüfung durch das nutzende Unternehmen.

Darüber hinaus konzentrieren sich die neuen Anforderungen des kommenden Payment Card Industry Data Security Standard (PCI DSS) 4.0 auf die Überwachung und Verwaltung browserbasierter JavaScript-Bibliotheken von Drittanbietern. Diese sind in E-Commerce-Websites integriert, um Funktionen wie iFrames für die Zahlungsabwicklung, Chatbots, Werbung, Schaltflächen für Social Sharing und Tracking-Skripts zu ermöglichen. Obwohl PCI DSS 4.0 derzeit als Best Practice gilt, wird er erst 2025 vorgeschrieben. Kriminelle warten aber nicht so lange und Unternehmen sollten das auch nicht!

Sie brauchen bereits heute Einblick in die JavaScript-Bibliotheken, die in ihren Webanwendungen laufen. Unternehmen müssen wissen, welche Daten die Skripte sammeln, um Verstöße gegen Datenschutzbestimmungen wie DSGVO und CCPA zu vermeiden sowie die neuen PCI DSS 4.0-Anforderungen 6.4.3 und 11.6.1 einzuhalten.

Die meisten Unternehmen verfügen derzeit nicht über eine zentrale Kontrolle und Steuerung der Skriptverwaltung. Wenn ein Skript eines Drittanbieters auf ihrer Website eine Schwachstelle aufweist und sie das nicht wissen, können sie diese auch nicht beheben. Kriminellen ist bewusst, dass viele Unternehmen Schwierigkeiten haben, die Menge, den Umfang und die Größe der in Websites eingebetteten Skripte zu verwalten, zu verfolgen und zu sichern. Und sie wissen, wie sie diese Skripte zu ihrem eigenen Vorteil ausnutzen können.

Über den Autor: Stephan Schulz ist Security Solution Architect bei F5.

(ID:49691531)