Betrugsprävention für Shopify-Shops

E-Commerce-Betrug kostet Online-Händler im Jahr 2024 weltweit 48 Milliarden US-Dollar, wobei Shopify-Händler jährlich Hunderte Millionen an betrügerischen Rückbuchungen erleiden. Die Betrugslandschaft entwickelt sich schneller, als den meisten Händlern bewusst ist: Ausgeklügelte Bot-Netzwerke, synthetischer Identitätsbetrug und organisierte Retourenbetrugssysteme zielen speziell auf Shopify-Shops ab, da deren Zahlungsströme vorhersehbar sind.

Dieser Leitfaden bietet ein mehrstufiges Rahmenwerk zur Betrugsprävention: Verständnis der Betrugsarten, Nutzung der integrierten Tools von Shopify, Implementierung der Überprüfung durch Dritte und Aufbau operativer Prozesse, die Betrug erkennen, bevor er ausgeführt wird.

Wichtige Erkenntnisse

• Fraud Protect von Shopify (USA, Kanada) deckt Rückbuchungen für von ihm genehmigte Bestellungen ab – verwenden Sie es, wenn Sie dazu berechtigt sind – Der Betrugsanalyse-Score in Shopify Admin ist ein Ausgangspunkt, keine endgültige Antwort
• CNP-Betrug (Card-not-present) ist die häufigste Art – Geschwindigkeitsprüfungen und AVS/CVV-Abgleich sind unerlässlich
• Rückbuchungsraten über 1 % der Transaktionen lösen eine Überprüfung durch den Prozessor und eine mögliche Kontokündigung aus
• Ausgeführte Bestellungen können nicht zurückgerufen werden – das Betrugsfenster ist die Zeit zwischen Auftragserteilung und Erfüllung
• Retourenbetrug macht 10–15 % der gesamten Betrugsverluste bei Bekleidungs- und Elektronikhändlern aus
• Digitale Güter erfordern die strengsten Betrugskontrollen, da es keine Rückgewinnung physischer Güter gibt
• Eine Nichtübereinstimmung des Address Verification Service (AVS) ist ein starkes Betrugssignal, blockiert aber auch legitime internationale Bestellungen

---

Shopify-Betrugsarten verstehen

Card-not-present (CNP)-Betrug

Die häufigste Form. Ein Betrüger nutzt gestohlene Kreditkartendaten, um eine Bestellung aufzugeben. Der tatsächliche Karteninhaber bestreitet die Belastung, Sie veranlassen eine Rückbuchung an den Kartenaussteller und Sie verlieren sowohl die Waren als auch die Einnahmen.

CNP-Betrugssignale:

• Rechnungs- und Lieferadresse stimmen nicht überein
• Mehrere Bestellungen an dieselbe Adresse von verschiedenen Karten
• Bestellung zu ungewöhnlichen Zeiten im Hauptmarkt des Geschäfts aufgegeben
• Hochwertige Bestellungen von einem neu erstellten Konto
• Expressversand ausgewählt (Betrüger wollen Ware schnell, bevor die Karte storniert wird)

Kontoübernahmebetrug

Ein Betrüger verschafft sich Zugriff auf das bestehende Konto eines Kunden (durch Credential Stuffing aufgrund von Datenschutzverletzungen) und tätigt Bestellungen mit gespeicherten Zahlungsmethoden und Versand an eine neue Adresse.

ATO-Signale:

• Passwort zurücksetzen und sofort eine neue Bestellung aufgeben
• Die Lieferadresse wurde geändert und es folgte sofort eine Bestellung
• Anmeldung von einem neuen Gerät oder IP-Land aus, gefolgt von einer Bestellung

Rückerstattung und Rückgabebetrug

Kunden (oder organisierte Betrügerringe) nutzen Rückgaberichtlinien aus, um Rückerstattungen zu erhalten, während sie Waren behalten, andere Artikel zurücksenden oder sich auf die Nichtlieferung gelieferter Bestellungen berufen.

Freundlicher Betrug (Rückbuchungsmissbrauch)

Ein Kunde tätigt einen rechtmäßigen Kauf, erhält die Ware und bestreitet dann den Vorwurf mit der Begründung, dass die Ware nicht geliefert wurde oder nicht autorisiert war. Schwierig zu beweisen, und Banken stehen in unklaren Fällen oft auf der Seite der Karteninhaber.

Werbemissbrauch

Kunden erstellen mehrere Konten, um Willkommensrabatte, Schwellenwerte für kostenlosen Versand oder Empfehlungsprogramme zu missbrauchen. Weniger finanziell verheerend, aber volumenintensiv und verzerrt die Marketingkennzahlen.

---

Shopifys integrierte Betrugstools

Shopify-Betrugsanalyse

Jede Bestellung in Shopify Admin enthält einen Abschnitt zur Betrugsanalyse mit Indikatoren:

Wichtige Betrugsindikatoren, die Shopify prüft:

• AVS-Ergebnis (Rechnungsadresse stimmt mit Kartendaten überein)
• CVV-Ergebnis (Sicherheitscode-Übereinstimmungen)
• IP-Land stimmt mit Rechnungsland überein
• Alter und Gültigkeit der E-Mail-Domain
• Erkennung der Proxy- oder VPN-Nutzung
• Frühere Rückbuchungen von dieser Karte

Ablesen des Gesamtrisikoniveaus:

• Niedrig: Fahren Sie mit der Erfüllung fort
• Mittel: Überprüfen Sie vor der Erfüllung die spezifischen roten Indikatoren
• Hoch: Erfüllung zurückhalten, Kunden zur Überprüfung kontaktieren oder stornieren

Shopify Protect (ehemals Fraud Protect)

Verfügbar für berechtigte US-amerikanische und kanadische Händler, die Shopify Payments nutzen. Für Bestellungen, die Shopify Protect genehmigt, deckt Shopify Rückbuchungsverluste aus betrügerischen Bestellungen ab. Kosten: variieren je nach Bestellung und werden vor der Ausführung angezeigt. Dadurch wird das Betrugsrisiko für abgedeckte Bestellungen effektiv auf Shopify übertragen.

Voraussetzungen für die Shopify Protect-Abdeckung:

• Die Bestellung muss über Shopify Payments aufgegeben werden
• Die Bestellung muss im Admin-Bereich mit dem Abzeichen „Geschützt“ versehen sein
• Der Händler muss die Anforderungen von Shopify an den Erfüllungszeitpunkt einhalten
• Bestellungen digitaler Waren sind grundsätzlich nicht möglich

Risikoschwellenwerte für Aufträge einrichten:

Konfigurieren Sie unter Shopify Admin > Einstellungen > Zahlungen > Betrugsprävention Folgendes:

• Hochriskante Bestellungen automatisch stornieren (aggressiv, reduziert aber den manuellen Überprüfungsaufwand)
• Senden Sie eine Benachrichtigung für Bestellungen mit mittlerem Risiko zur manuellen Überprüfung

Der richtige Schwellenwert hängt von Ihren Margen und Ihrer Produktkategorie ab. Hochwertige Elektronik: Alle risikoreichen Artikel automatisch stornieren. Kleidung mit geringem Wert: Manuelle Überprüfung für Kleidung mit hohem Risiko, automatische Erfüllung für Kleidung mit mittlerem Risiko.

---

Betrugspräventionstools von Drittanbietern

Für Geschäfte, die einen Umsatz von mehr als 50.000 US-Dollar pro Monat erzielen, bieten spezielle Tools zur Betrugsprävention einen deutlich besseren Schutz als die integrierte Analyse von Shopify.

NoFraud: Bietet innerhalb von Sekunden eine „Fehlgeschlagen/Bestanden“-Entscheidung für jede Bestellung. Für Bestellungen, die mit „Pass“ gekennzeichnet sind, bietet NoFraud eine Rückbuchungsgarantie – sie zahlen die Rückbuchung, wenn sich eine „Pass“-Bestellung als betrügerisch herausstellt. Die Kosten pro Bestellung betragen in der Regel 0,05–0,20 $, je nach Volumen und Kategorie.

Signifyd: Ähnliches Modell wie NoFraud, jedoch mit einer größeren Händlernetzwerkdatenbank. Ihr „Commerce Protection“-Angebot deckt den gesamten Bestelllebenszyklus von der Auftragserteilung bis zum Retourenbetrug ab.

---

Adressverifizierung und Identitätsprüfung

AVS (Adressverifizierungsdienst)

AVS vergleicht die vom Kunden angegebene Rechnungsadresse mit der beim Kartenherausgeber hinterlegten Adresse. Shopify Payments und die meisten Zahlungsabwickler unterstützen AVS.

AVS-Antwortcodes:

Wichtig: Nicht-US-Karten geben bei legitimen Bestellungen oft „U“ (nicht verfügbar) zurück, da internationale Kartenherausgeber nicht am AVS teilnehmen. Wenn Sie ins Ausland versenden, stornieren Sie AVS „U“-Bestellungen nicht automatisch – prüfen Sie dies ganzheitlich.

CVV-Übereinstimmung

Der CVV (Card Verification Value) ist der 3-4-stellige Code auf der Karte. Shopify Payments prüft, ob der angegebene CVV mit dem Kartendatensatz übereinstimmt. Eine CVV-Nichtübereinstimmung sollte immer eine manuelle Überprüfung oder eine automatische Stornierung auslösen.

E-Mail-Bestätigung

Wegwerf-E-Mail-Domänen (guerrillamail.com, mailinator.com usw.) werden fast ausschließlich von Betrügern verwendet. Blockieren Sie Bestellungen von bekanntermaßen verfügbaren E-Mail-Domänen mithilfe einer Validierungsregel. Tools wie Kickbox oder Hunter überprüfen die E-Mail-Zustellbarkeit an der Kasse – eine unzustellbare E-Mail ist ein starkes Betrugssignal.

Verifizierung der Telefonnummer

Fordern Sie bei risikoreichen Bestellungen eine Telefonnummer an und vergewissern Sie sich, dass es sich um eine echte, erreichbare Nummer handelt. Die SMS-Verifizierung während des Bezahlvorgangs (Senden eines Codes an die angegebene Telefonnummer) reduziert den CNP-Betrug drastisch, erhöht aber auch die Zahl der Kaufabbrüche. Für Bestellungen über einem Risikoschwellenwert verwenden, nicht für alle Bestellungen.

---

Erstellen Sie Betrugsregeln für Ihr spezifisches Geschäft

Eine wirksame Betrugsprävention nutzt Regeln, die auf das spezifische Risikoprofil Ihres Shops abgestimmt sind. Allgemeine Regeln blockieren zu viele legitime Kunden; Unzureichende Regeln übersehen Betrug.

Geschwindigkeitsregeln (schnell wiederholten Missbrauch erkennen):

Geografische Regeln:

• Versand von Bestellungen in geografische Gebiete mit hohem Risiko (Speditionen, Rücksendeadressen)
• Bestellungen, bei denen das Rechnungsland deutlich vom Versandland abweicht, ohne dass eine plausible Erklärung vorliegt
• Bestellungen aus Ländern, die Sie normalerweise nicht beliefern

Bestellmerkmalsregeln:

• Erstbestellung, hoher Wert (über 500 $), beschleunigter Versand: immer überprüfen
• Geschenkverpackung ohne Nachricht ausgewählt: Wird manchmal von Betrügern verwendet, die Geschenke an Empfänger verschicken
• Gastkasse (kein Konto) + hoher Wert: höheres Risiko als registrierter Kunde

Implementieren von Regeln in Shopify mit Flow:

Shopify Flow (verfügbar für Basic und höher) kann die Durchsetzung von Betrugsregeln automatisieren:

Trigger: Order created

Condition: Order risk level is HIGH
AND Order total is greater than $200

Action: Tag order with "fraud-review-required"
Action: Send email to [email protected] with order details
Action: Do NOT fulfill (hold fulfillment)

---

Chargeback-Management

Selbst bei hervorragender Betrugsprävention kommt es zu Rückbuchungen. Wie Sie auf Streitigkeiten reagieren, bestimmt, wie viele Sie gewinnen.

Arten von Rückbuchungen:

1. Betrugsrückbuchungen (Ursachencode 10.4, 83): Karteninhaber behauptet unbefugte Nutzung. Ohne 3DS-Authentifizierungsnachweis ist es schwer zu gewinnen.
2. Nichterhalt (Ursachencode 13.1): Der Karteninhaber gibt an, die Ware nicht erhalten zu haben. Gewinnen Sie mit Lieferbestätigung.
3. Erhebliche Abweichung von der Beschreibung (13.3): Der Karteninhaber behauptet, dass die Ware erheblich von der Beschreibung abweicht. Gewinnen Sie, indem Sie eine korrekte Auflistung nachweisen.
4. Freundlicher Betrug (10.4 umstritten, nicht autorisiert): Legitimierter Kunde, der eine echte Belastung bestreitet. Gewinnen Sie mit Kaufhistorie und Kommunikationsaufzeichnungen.

Rückbuchungsstreitigkeiten gewinnen – Beweispaket:

Stellen Sie diese Nachweise für jede Rückbuchungsantwort zusammen:

• Bestellbestätigungs-E-Mail an die Adresse des Kunden gesendet
• Lieferbestätigung mit Sendungsverfolgungsnummer und geliefertem Scan
• Kundenkontoverlauf (falls ein Konto vorhanden ist, auf dem frühere Einkäufe angezeigt werden)
• Kommunikationsverlauf (alle E-Mails und Chatprotokolle, aus denen hervorgeht, dass der Kunde die Bestellung bestätigt hat)
• IP-Adresse der Besteller
• AVS- und CVV-Übereinstimmungsbestätigung
• Fingerabdruckdaten des Geräts (von Shopify oder einem Betrugstool)
• Unterschriebener Liefernachweis (für Bestellungen mit hohem Bestellwert, die eine Unterschrift erfordern)
• Screenshots der Produktbeschreibung mit genauer Darstellung

Antwortfristen für Rückbuchungen:

Visum: 30 Tage ab Benachrichtigung über die Rückbuchung Mastercard: 45 Tage American Express: 20 Tage Entdecken: 30 Tage

Das Versäumen der Antwortfrist bedeutet automatisch den Verlust, unabhängig vom Verdienst.

Verhindern von Friendly Fraud:

1. Verwenden Sie die 3DS2-Authentifizierung für Bestellungen mit hohem Bestellwert (Shopify Payments ermöglicht dies)
2. Für Bestellungen über 150 $ ist eine Unterschrift bei Lieferung erforderlich
3. Kontaktaufnahme mit Kunden vor und nach der Lieferung („Ihre Bestellung wurde versendet“ + „Ihre Bestellung wurde zugestellt“-E-Mails)
4. Reagieren Sie auf alle Kundendienstkontakte – ein Kunde, der Sie kontaktiert, ist weniger wahrscheinlich, dass er eine Rückbuchung einreicht

---

Digitale Güter: Höchste Risikokategorie

Digitale Güter (Softwarelizenzen, herunterladbare Dateien, Geschenkkarten) können nach der Lieferung nicht wiederhergestellt werden und sind das Hauptziel von CNP-Betrug.

Prävention von Betrug mit digitalen Gütern:

1. Verzögerte Lieferung für Bestellungen mit hohem Risiko: Fügen Sie anstelle einer sofortigen Lieferung ein 24-Stunden-Überprüfungsfenster für Bestellungen digitaler Waren über 50 US-Dollar von neuen Konten oder gekennzeichneten Adressen hinzu.

2. Erstkaufmengen begrenzen: Beschränken Sie Erstkäufe von neuen Konten auf 1-2 Einheiten. Betrugsringe kaufen in großen Mengen.

3. Kontoerstellung erforderlich: Beim Bezahlen digitaler Waren durch Gäste besteht ein hohes Risiko. Vor der Lieferung ist die Erstellung eines Kontos mit E-Mail-Bestätigung erforderlich.

4. Begrenzung der IP-Geschwindigkeit: Maximal ein neues Konto pro IP-Adresse pro 24 Stunden.

5. Geräte-Fingerprinting: Verwenden Sie ein Tool, das erkennt, wenn dasselbe Gerät über mehrere Konten oder Bestellungen hinweg verwendet wird.

6. Aktivierungsbasierte Bereitstellung: Für Softwarelizenzen ist vor der Aktivierung eine Geräteregistrierung erforderlich. Dadurch wird der Schaden pro gestohlener Karte begrenzt und Ermittlungsdaten bereitgestellt.

---

Häufig gestellte Fragen

Welche Rückbuchungsrate wird von Zahlungsabwicklern als „hoch“ angesehen?

Die Rückbuchungsüberwachungsprogramme von Visa und Mastercard werden ausgelöst, wenn die Rückbuchungen 1 % der monatlichen Transaktionen überschreiten. Händler über diesem Schwellenwert nehmen an einem „Überwachungsprogramm“ teil, das zusätzliche Gebühren (50–100 US-Dollar pro Rückbuchung) mit sich bringt, Abhilfepläne erfordert und schließlich zur Kontokündigung führt, wenn es nicht innerhalb von 3–6 Monaten behoben wird. Die meisten Acquirer beginnen informell mit einer Rückbuchungsrate von 0,5 %. Versuchen Sie, Ihren Zinssatz unter 0,5 % zu halten, um einen sicheren Puffer aufrechtzuerhalten.

Soll ich risikoreiche Bestellungen annehmen, die von Shopify gemeldet werden?

Dies hängt von Ihrem Produkttyp, Ihrer Marge und Ihrer Risikotoleranz ab. Hochwertige Elektronik- und Digitalgüter mit hohen Betrugsraten rechtfertigen die automatische Stornierung von risikoreichen Bestellungen. Geringerwertige Produkte mit großen Margen können die manuelle Überprüfung von risikoreichen Bestellungen wirtschaftlich machen. Berechnen Sie Ihren erwarteten Betrugsverlust im Vergleich zum erwarteten Umsatz für Bestellungen mit unterschiedlichen Risikostufen. Bei den meisten Händlern werden risikoreiche Bestellungen zu 30–50 % in Rückbuchungen umgewandelt. Das bedeutet, dass die Annahme dieser Bestellungen mathematisch negativ ist, wenn Ihre Marge unter 50 % liegt.

Wie gehe ich mit einem Kunden um, der behauptet, dass seine Bestellung nie eingetroffen ist, die Sendungsverfolgung jedoch zugestellt wird?

Überprüfen Sie zunächst, ob sich der Lieferscan an der richtigen Adresse befindet (vergleichen Sie den Standort des Lieferscans mit der Lieferadresse). Wenn die Sendungsverfolgung zeigt, dass die Sendung an die richtige Adresse geliefert wurde: (1) Bitten Sie den Kunden, sich bei Nachbarn und Haushaltsmitgliedern zu erkundigen – viele Pakete werden von anderen entgegengenommen. (2) Reichen Sie einen Untersuchungsanspruch beim Spediteur ein – Spediteure untersuchen Fälle, in denen „zugestellt, aber nicht empfangen“ wurde. (3) Fordern Sie einen Polizeibericht für den Kunden an – dies schirmt opportunistischen Betrug ab. Bei Bestellungen unter 30 US-Dollar sollten Sie einen Ersatz ohne Untersuchung in Betracht ziehen – der Goodwill-Wert übersteigt oft die Kosten.

Lohnt es sich, 3D Secure (3DS) zu aktivieren? Beeinträchtigt es die Conversion-Raten?

Durch die 3DS-Authentifizierung verlagert sich die Haftung für Rückbuchungen auf den Kartenaussteller für Bestellungen, bei denen die 3DS-Authentifizierung erfolgreich ist. Das moderne 3DS2 verwendet eine risikobasierte Authentifizierung – es hinterfragt risikoreiche Transaktionen nur mit zusätzlicher Verifizierung (OTP, biometrisch). Transaktionen mit geringem Risiko werden nahtlos und ohne Eingreifen des Kunden abgeschlossen. Studien zeigen, dass 3DS2 Betrugsrückbuchungen um 60–80 % reduziert, mit weniger als 2 % Auswirkung auf Abbrüche im Vergleich zu 10–15 % Auswirkung auf Abbrüche beim älteren 3DS1. Aktivieren Sie 3DS2 über die Shopify Payments-Einstellungen – es lohnt sich.

Welche Daten sollte ich für Rückbuchungsstreitigkeiten aufbewahren?

Bewahren Sie Folgendes für jede Bestellung mindestens 18 Monate lang auf: Bestellbestätigungsdetails, IP-Adresse, Gerätefingerabdruck, AVS/CVV-Abgleichsergebnisse, gesamte Kundenkommunikation (E-Mail, Chat, Support-Tickets), Spediteur-Tracking-Verlauf mit allen Scan-Ereignissen und Lieferbestätigung oder Fotobeweis. Die meisten Rückbuchungen aufgrund von Betrugsfällen erfolgen 60 bis 120 Tage nach der Transaktion. Eine 18-monatige Aufbewahrungsfrist deckt die gesamte Dauer der Streitigkeit einschließlich der Einsprüche ab.

---

Nächste Schritte

Der Aufbau und die Aufrechterhaltung eines wirksamen Betrugspräventionssystems für einen Shopify-Shop erfordert eine kontinuierliche Kalibrierung, da sich Betrugsmuster weiterentwickeln, neue Tools auf den Markt kommen und sich Ihr Bestellvolumen und Ihr Produktmix ändern.

Zu den [Shopify-Support- und Wartungsdiensten] (/services/shopify/support-maintenance) von ECOSIRE gehören die Einrichtung von Betrugsprävention, Arbeitsabläufe zur Rückbuchungsverwaltung, Regelkalibrierung basierend auf Ihren spezifischen Produktkategorien und laufende Betrugsüberwachung zum Schutz Ihrer Einnahmen.

Sprechen Sie mit unseren Betrugspräventionsspezialisten über die Absicherung Ihres Shopify-Shops gegen E-Commerce-Betrug.