Die dunkle Seite des E-Commerce – Betrug sorgt für Milliarden-Schäden

Manche Tricks sind simpel: Ein Kunde eines Onlineshops verändert nur die Hausnummer bei der Angabe der Lieferadresse. Der Postbote lässt sich davon nicht irritieren und legt das Paket wie üblich auf der Terrasse ab. Der Kunde behauptet anschließend frech, er habe das Paket überhaupt nicht bekommen – und weigert sich zu zahlen.

Es geht aber auch hochprofessionell: Ein Betrüger kauft sich im Darknet den Zugang zu einem fremden Amazon-Account. Darüber bestellt er Waren bei einem Marktplatzhändler, die er sich an ein Fach in einer Paketstation liefern lässt, das er mit einem gefälschten Personalausweis angemietet hat. Die Waren verkauft er anschließend über Ebay-Kleinanzeigen und streicht den Gewinn ein.

Beiden Betrügern ist jedoch eins gemeinsam: Wenn sie sich nicht ganz dumm anstellen, werden sie wohl nie zur Rechenschaft gezogen. „Viele Onlinehändler bringen Betrug nicht zur Anzeige. Die Chance ist in der Regel zu gering, dass die Täter gefasst werden“, berichtet Andreas Czermak, Geschäftsführer von Infoscore Tracking Solution, einer Tochter des Arvato-Konzerns. Als Sicherheitsdienstleister für Händler und Banken beschäftigt er sich täglich mit solchen Fällen.

Betrugssumme verdreifacht

In der Regel ist ein bestimmtes Ausmaß schon einkalkuliert und wird über den Preis auf alle ehrlichen Kunden umgelegt. „Händler sehen einen gewissen Anteil an Schaden durch Betrug als Teil des normalen Geschäftsrisikos“, sagt Experte Czermak. Dabei summieren sich die Verluste zu gewaltigen Beträgen.

Nach Untersuchungen des globalen Sicherheitsdienstleisters Lexis Nexis haben sich die direkten Verluste durch Betrug im E-Commerce in den vergangenen fünf Jahren verdreifacht – auf 1,8 Prozent des Umsatzes im vergangenen Jahr. Das summiert sich in Deutschland bei einem Volumen des Onlinehandels von 64 Milliarden Euro auf knapp 1,3 Milliarden Euro.

Das deckt sich in etwa mit Berechnungen, die Gebhard Hafer, Logistik-Professor an der Berliner Hochschule BBW, in einer Studie angestellt hat. Darin schätzt er den Betrugsschaden für deutsche Onlinehändler im Jahr 2016 auf 2,4 Milliarden Euro.

Der millionenfache Diebstahl von Kundendaten im Netz liefert den Betrügern stetigen Nachschub an Material für ihre dreisten Raubzüge. Auch deshalb trifft es immer mehr Händler. Bei einer Umfrage der Auskunftei Crifbürgel unter 130 Onlinehändlern gaben 97 Prozent der befragten deutschen Unternehmen an, dass sie schon einmal Opfer eines Betrugs geworden sind. Und 71 Prozent beklagten, dass das Ausmaß des Betrugs in ihrem Shop im vergangenen Jahr angestiegen ist.

Große Onlinehändler haben ganze Abteilungen aufgebaut, um sich gegen diese Attacken zu schützen. Bei der Otto Group leitet Viola Brandt ein Team von 33 Mitarbeitern, das sich um die Enttarnung von Betrügern kümmert.

Seit gut einem Jahr hilft zudem eine über fünf Jahre entwickelte Software, verdächtige Transaktionen zu stoppen. Die zusammen mit der Tochtergesellschaft Risikident entwickelte Lösung filtert Anomalien heraus, etwa gleiche Telefonnummern von unterschiedlichen Adressen oder auffallend viele verschiedene Bestellungen von nur einem Gerät.

„Automatisch wird allerdings nichts zum Betrugsfall erklärt. Da schaut immer noch jemand drauf und versucht, den individuellen Fall zu klären. Wir nutzen das Telefon noch sehr“, sagt Brandt. Kein ehrlicher Kunde solle sich zu Unrecht verdächtigt fühlen. Erst mit dem Einsatz von Künstlicher Intelligenz sei in Zukunft denkbar, die Software eigene Entscheidungen fällen zu lassen.

Dabei ist es das vorrangige Ziel, von Betrügern bestellte Pakete gar nicht erst auszuliefern. „Wir können jetzt automatisiert Sendungen noch in den Auslieferungsdepots stoppen. Vorher mussten wir dort extra anrufen oder eine E-Mail schicken“, berichtet Brandt. Künftig sollen die Pakete auch noch kurz vor der Haustür gestoppt werden.

Bei Zalando wird der Kampf gegen den Onlinebetrug von Robert Deutsch verantwortet. Der Experte hat sich in der Branche einen Namen gemacht, weil auch er sich nicht scheut, Betrüger zur Anzeige zu bringen. Auf Anfragen zu den Methoden der Betrugsabwehr reagiert der Modehändler aber eher einsilbig.

„Aus Sicherheitsgründen“, so eine Sprecherin, wolle man sich zu Häufigkeiten, einzelnen Methoden oder konkreten Fällen nicht äußern. Sie betont jedoch: „Unser eigenes, komplexes Datensicherheitssystem verbessern wir kontinuierlich und investieren viel Zeit und Know-how, um Muster professionellen Betrugs, die sich stetig ändern, noch frühzeitiger zu erkennen.“

Kleine Shops schlechter geschützt

Von einer solchen systematischen Betrugsabwehr können die meisten Onlinehändler nur träumen. „Je kleiner der Onlineshop, desto geringer ist meist der Schutz“, beobachtet Sicherheitsexperte Czermak. „Denn diese Unternehmen haben häufig nicht die personellen Ressourcen und nicht die nötigen finanziellen Mittel, um sich so umfassend wie große Händler gegen Betrug zu schützen.“

Die Otto-Gruppe dagegen analysiert Fälle, in denen sie keine Zahlung erhält, auch nachträglich, um Betrugsmuster zu entdecken. Relativ leicht zu ermitteln sind Gelegenheitsbetrüger, die etwa falsche Vornamen, aber richtige Adressen angeben, um behaupten zu können, ein Paket habe sie nie erreicht. Nicht immer allerdings lässt sich restlos klären, wieso eine Sendung scheinbar spurlos verschwindet – schließlich wollen Anbieter wie Otto und Amazon kulant sein und den Kunden garantieren, dass diese nicht für Fehler oder Betrug anderer zahlen.

Gegen solche einfachen Angriffe immerhin haben die Händler in Deutschland ihren Schutz deutlich verbessert. „Es wird immer schwieriger, einen Händler zu betrügen, weil die Bonitätsprüfung immer besser wird“, sagt Christoph Wenk-Fischer, Hauptgeschäftsführer des Onlinehandelsverbands BEVH. Das Problem sei für die Versender nicht größer als das Problem mit Ladendieben im stationären Einzelhandel.

Das Fatale: Es wird zugleich immer leichter, praktisch ohne Vorkenntnisse zum semiprofessionellen Betrüger zu werden – und damit die einfachen Abwehrhürden der Händler zu umgehen. „Die Betrügerforen im Darknet funktionieren wie normale Onlinemarktplätze, man kann da von Drogen über Waffen bis hin zu gestohlenen Accounts alles kaufen“, erklärt Experte Czermak. „Der Service ist rund, Onlinebetrüger finden hier für jeden Bedarf ein Angebot und auf jede Frage eine Antwort.“ Die Verkäufer werden dort sogar von den Kunden mit Sternen bewertet – denn auch Betrüger wollen ja nicht auf Betrüger hereinfallen.

Der angehende Betrüger braucht zunächst einen Tor-Browser, mit dem er seine Identität im Netz verschleiern kann. Dann kauft er sich im Darknet Zugänge zu gestohlenen Accounts. Auf dem Marktplatz Crimenetwork beispielsweise bekommt man einen Amazon-Account plus Zugang zum E-Mail-Konto des eigentlichen Inhabers schon ab 25 Euro. Dann braucht er noch ein Fach in einer Packstation unter einem gefälschten Namen.

Ein Händler namens „Eye of Horus“ bietet das auf Crimenetwork für 69 Euro, schreibt aber dazu, der Preis sei „ein bisschen verhandelbar“. Für den gefahrlosen Verkauf der geklauten Ware gibt es hier auch Verkäuferkonten unter falschem Namen etwa für Ebay-Kleinanzeigen. Bezahlen kann der Betrüger all das, ohne Spuren zu hinterlassen, mit der Kryptowährung Bitcoin.

So befinden sich beide Seiten praktisch in einem Rüstungswettlauf von immer professionelleren Betrügern und immer ausgefeilteren Abwehrmethoden. „Es ist ein Katz-und-Maus-Spiel zwischen Ermittlern und Betrügern“, so Berater Czermak. Selbst Kriminelle, so seine Beobachtung, setzten mittlerweile Künstliche Intelligenz ein, um sich gegen Enttarnung zu schützen.

Mitarbeit: Georg Weishaupt