Webshop-, E-Commerce- und Payment-Betrug

Account Creation Fraud bezeichnet die absichtliche Erzeugung von Nutzerkonten unter falschen oder missbräuchlich verwendeten Voraussetzungen. Die Konten können später für Gutscheinmissbrauch, gefälschte Bewertungen, Spam, Betrugsangebote oder andere unberechtigte Handlungen eingesetzt werden. Häufig werden Registrierungen automatisiert durchgeführt; ein einzelner Mensch kann aber ebenfalls mehrere Täuschungskonten betreiben.

Mehrere Konten pro Person sind nicht automatisch rechtswidrig. Manche Dienste erlauben getrennte Geschäfts- und Privatkonten oder mehrere Profile eines Unternehmens. Für einen Betrugsvorwurf muss erkennbar sein, welche wirksamen Teilnahmebedingungen oder geschützten Interessen durch welche tatsächliche Handlung verletzt wurden.

Was passiert bei einer massenhaften Kontoerstellung?

Ein Registrierungsprozess legt nach bestimmten Eingaben einen neuen Benutzer an. Je nach Plattform sind dafür eine E-Mail-Adresse, eine Telefonnummer oder weitere Angaben erforderlich. Ein Programm kann solche Vorgänge unter Umständen in schneller Folge auslösen und die neu entstandenen Konten später für weitere Zwecke verwenden.

OWASP ordnet diese Technik unter OAT-019 – Account Creation ein. Die Klassifikation beschreibt das automatisierte Anlegen vieler Konten, die anschließend etwa für Content-Spam, missbräuchliche Bewertungen oder andere Täuschungen verwendet werden können. Sie ist eine technische Systematik und keine gesetzliche Definition von Betrug.

Eine Registrierung allein sagt wenig über die tatsächliche Identität und den späteren Zweck aus. Die Plattform sollte deshalb zwischen angelegtem Konto, bestätigtem Kontaktweg und berechtigter Kundenhandlung unterscheiden.

Welche Formen von Account Creation Fraud kommen vor?

Mehrfachkonten für Neukundenboni

Ein Dienst gewährt beispielsweise Startguthaben für den ersten Kauf. Wird eine Person immer wieder als neuer Kunde registriert, um entgegen den Aktionsbedingungen zusätzliche Boni zu erhalten, kann ein Fall von Promo Abuse entstehen. Eine reguläre Anmeldung mehrerer Menschen aus demselben Haushalt ist davon zu unterscheiden.

Gefälschte Bewertungen

Künstliche Konten können eingesetzt werden, um Produkte oder Unternehmen mit angeblichen Kundenrezensionen zu bewerten. Für die wettbewerbsrechtliche Einordnung sind die Echtheit der behaupteten Erfahrungen und die konkrete geschäftliche Darstellung zu prüfen. Eine negative Bewertung eines echten Kunden ist kein automatischer Angriff.

Spam- und Botprofile

Bei Bot Accounts können neue Nutzerprofile automatisch Nachrichten und Links verbreiten. Die Registrierung kann dann der Vorbereitung eines späteren Spam- oder Phishingvorgangs dienen. Ein transparenter Servicebot mit erlaubter Plattformanbindung ist anders zu beurteilen.

Konten mit gestohlenen Identitätsdaten

Ein Angreifer kann fremde Namen oder Kontaktdaten verwenden, um einen registrierten Nutzer zu imitieren. Daraus können Identitätsmissbrauch und datenschutzrechtliche Probleme folgen. Die bloße Namensgleichheit reicht nicht, um eine fremde Kontoeröffnung nachzuweisen.

Konten für manipulierte Warenbestellungen

Einige Netzwerke erstellen Kundenprofile, um automatisierte Bestellungen oder Reservierungen auszulösen. Solche Vorgänge können Fake Orders oder Inventory Denial betreffen. Die Kontoerstellung und der eigentliche Bestellmissbrauch sind zwei getrennte Vorgänge.

Konten für betrügerische Empfehlungen

In einem Empfehlungsprogramm können künstliche Neukundenprofile den Eindruck einer erfolgreichen Vermittlung erzeugen. Ob eine Prämie dadurch unberechtigt entsteht, hängt von den gültigen Bedingungen und dem tatsächlichen qualifizierenden Vorgang ab.

Account Creation Fraud und Account Takeover unterscheiden

Beim Account Takeover wird ein bereits bestehendes Konto ohne Berechtigung übernommen. Bei Account Creation Fraud wird dagegen ein neues Profil angelegt. Ein Angriff kann beide Wege verbinden, etwa wenn fremde Kontaktdaten für neue Konten verwendet und bestehende Konten zur selben Zeit angegriffen werden.

Die technische Kontrolle ist unterschiedlich: Gegen fremde Kontoübernahmen helfen vor allem Kontosicherheit und Schutz vor gestohlenen Zugangsdaten. Bei massenhafter Registrierung geht es stärker um die Regeln für neue Konten, ihre Bestätigung und spätere Berechtigungen.

Welche Folgen entstehen für Unternehmen?

Eine große Zahl künstlicher Konten kann Kosten für Bestätigungsnachrichten, Testleistungen oder Prämien verursachen. Werden die Konten für Bewertungen eingesetzt, können Produktstatistiken irreführend wirken. Bei einer zusätzlichen Spamkampagne kann auch der Kundendienst belastet werden.

Der finanzielle Schaden folgt jedoch nicht unmittelbar aus der Anzahl der Registrierungen. Viele Konten können vor der Prämienauszahlung gesperrt werden oder nie eine kostenpflichtige Funktion auslösen. Umgekehrt kann ein einzelnes betrügerisch angelegtes Konto einen größeren Schaden verursachen, wenn ihm zu viele Rechte eingeräumt werden.

Fiktives Beispiel eines Registrierungsbonus

Ein App-Anbieter vergibt ein einmaliges Startguthaben. Innerhalb weniger Tage entstehen viele neue Konten, die nach kurzer Zeit das Guthaben einlösen. Die Anmeldungen weisen wiederkehrende technische Merkmale auf.

Das Sicherheitsteam prüft zuerst die tatsächlichen Teilnahmebedingungen. Es untersucht, ob mehrere Menschen aus gemeinsamen Haushalten regulär teilnehmen dürfen. Danach werden die Registrierungen und Prämienbuchungen miteinander verbunden. Ein identischer Internetanschluss beweist keine einheitliche Identität.

Erst wenn die Konten nachweisbar entgegen den Regeln angelegt wurden und die Vorteile unberechtigt beansprucht sind, lässt sich ein konkreter Betrugsverdacht begründen. Eine ungeprüfte Sperrung aller Teilnehmer könnte echte Nutzer treffen.

Wie werden verdächtige Registrierungen erkannt?

OWASP beschreibt die Häufung neuer Konten und ihre spätere Nutzung als technische Ansatzpunkte. Für die Prüfung sollten jedoch verschiedene unabhängige Hinweise kombiniert werden.

• Registrierungsserien: Viele Konten entstehen in auffällig regelmäßigen Abständen.
• Wiederkehrende Daten: Dieselben Kontakt- oder Zahlungsangaben werden unter Umständen gegen die geltenden Regeln mehrfach verwendet.
• Bestätigungsschritte: Neue Profile bleiben unbestätigt, führen aber bereits wirtschaftlich wirksame Handlungen aus.
• Spätere Nutzung: Viele neu angelegte Konten veröffentlichen gleiche Nachrichten oder beanspruchen sofort Boni.
• Automationshinweise: Technische Sitzungen zeigen wiederkehrende unplausible Abläufe.
• Legitime Ursachen: Eine Marketingaktion oder ein offizieller Import kann ebenfalls viele Konten zur selben Zeit erzeugen.

Welche Gegenmaßnahmen helfen bei der Registrierung?

Die Schutzmaßnahmen müssen zum tatsächlichen Missbrauch passen. Für wirtschaftlich wertvolle Prämien kann eine zusätzliche Prüfung vor Auszahlung sinnvoll sein. Ein reiner CAPTCHA-Schutz verhindert nicht jede automatisierte Registrierung und kann manche echten Nutzer beeinträchtigen.

• Registrierungen und nachfolgende wertvolle Kontoaktionen getrennt überwachen.
• Rate Limits und geeignete risikoorientierte Prüfungen für Anmeldeserien einsetzen.
• Wirtschaftliche Vorteile erst nach den tatsächlich vereinbarten Voraussetzungen gewähren.
• Ungewöhnliche Kontennetze anhand mehrerer Merkmale untersuchen.
• Fehlklassifikationen und die Barrierefreiheit der Registrierungsprozesse beachten.
• Bestätigte Vorfälle und ihre Kosten anhand der tatsächlichen Geschäftsdaten dokumentieren.

Welche rechtlichen Fragen entstehen?

Die mehrfache Registrierung ist für sich kein Straftatbestand. Werden dagegen durch vorsätzlich falsche Angaben geldwerte Vorteile erschlichen, kann unter den gesetzlichen Voraussetzungen § 263 StGB betroffen sein. Bei gefälschten Verbraucherbewertungen kommen zusätzliche Verbote nach dem UWG-Anhang in Betracht.

Bei der technischen Kontrolle von IP-Adressen, Kontaktdaten und Geräteinformationen gelten die Anforderungen der DSGVO und gegebenenfalls § 25 TDDDG. Ein Betrugsverdacht rechtfertigt keine unbegrenzte Datenerhebung.

Häufige Fragen zu Account Creation Fraud

Ist jedes Zweitkonto betrügerisch?

Nein. Ob mehrere Konten erlaubt sind, hängt vom Dienst und seiner konkreten Nutzung ab.

Sind alle künstlich angelegten Konten Bots?

Nein. Auch Menschen können mehrere Konten manuell registrieren. Automatisierung und Identitätstäuschung sind getrennt zu betrachten.

Schützt CAPTCHA vollständig vor Fake Accounts?

Nein. Es kann eine Hürde darstellen, ersetzt aber keine Kontrolle späterer Prämien- oder Zahlungsaktionen.

Wo können betroffene Unternehmen Hilfe erhalten?

Bei ungewöhnlichen Registrierungsserien sollten Unternehmen zunächst ihre Kontobedingungen und die tatsächlich beanspruchten Vorteile prüfen. BRANDPROTECTIONNOW begleitet Unternehmen bei der Analyse automatisierter Kontoerstellungen, der Dokumentation möglicher Bonus- und Spamangriffe sowie der Abstimmung technischer Schutzmaßnahmen mit spezialisierten Security-Partnern. Informationen bietet BRANDPROTECTIONNOW zum Schutz vor Bot- und Serverangriffen.

Fachquellen

• OWASP – OAT-019 Account Creation: automatisierte Kontoerstellung und spätere Missbrauchsformen.
• OWASP – Bot Management and Anti-Automation: Schutzmaßnahmen.
• UWG-Anhang: Verbote bestimmter manipulierter Verbraucherbewertungen.

Card Testing bezeichnet den missbräuchlichen Versuch, Zahlungskartendaten durch Anfragen an einen Zahlungsdienst oder ein Online-Formular auf ihre Verwendbarkeit zu prüfen. Bei solchen Angriffen werden oft mehrere Karten oder Zahlungsversuche in kurzer Folge verarbeitet. Das eigentliche Ziel kann darin bestehen, Rückmeldungen über eine mögliche Autorisierung zu erhalten. Für betroffene Shops entsteht dadurch unter Umständen ein Anstieg abgelehnter Zahlungen, zusätzlicher Transaktionskosten oder ungewöhnlicher Belastungen der Zahlungsintegration.

Card Testing gehört zum Umfeld von Carding, ist aber nicht identisch mit einem späteren unberechtigten Einkauf. Ein Kartenprüfversuch kann auch ohne erfolgreiche Warenbestellung stattfinden. Ein einzelner abgelehnter Zahlungsvorgang ist deshalb noch kein Betrugsbeleg: Zahlungen scheitern regelmäßig aus legitimen Gründen.

Warum geraten Zahlungsformulare ins Visier?

Onlineshops und andere digitale Dienste bieten Schnittstellen zur Kartenzahlung. Der Zahlungsanbieter prüft bei einer Zahlungsanforderung bestimmte Angaben und entscheidet nach den jeweiligen Regeln, ob die Transaktion genehmigt oder abgelehnt wird. Diese Rückmeldung ist für den regulären Checkout erforderlich. Sie kann aber missbräuchlich angefragt werden, wenn eine Zahlungsfunktion zu viele unkontrollierte Versuche zulässt.

Betroffen sein können klassische Checkout-Seiten, Spendenformulare, Abonnementdienste oder Funktionen zum Hinterlegen einer Karte für spätere Zahlungen. Die tatsächlichen technischen Abläufe hängen vom Zahlungsdienstleister und der eingebundenen Lösung ab. Nicht jede Website, die eine Kartenzahlung anbietet, besitzt dieselben Angriffsflächen.

Stripe beschreibt Card Testing als ein mögliches Problem offener Zahlungsintegrationen und empfiehlt technische Begrenzungen, die auf das typische Geschäftsmodell angepasst werden. Der Anbieter weist darauf hin, dass mehrere Schutzmaßnahmen kombiniert werden sollten. Ein einzelnes Captcha oder eine IP-Sperre garantiert keine vollständige Abwehr.

Welche Erscheinungsformen von Card Testing gibt es?

Wiederholte Zahlungsablehnungen

Eine auffällige Zahl von Transaktionen wird vom Zahlungsanbieter abgelehnt. Die zugrunde liegenden Bestellungen können ähnlich aussehen oder nur sehr geringe Unterschiede aufweisen. Eine hohe Ablehnungsquote kann allerdings auch durch einen technischen Fehler, unpassende Zahlungsmethoden oder eine fehlerhafte Integration entstehen.

Missbrauch von Kartenspeicherfunktionen

Manche Anwendungen erlauben es Nutzern, eine neue Zahlungskarte in ihrem Konto zu hinterlegen, ohne sofort einen Kauf abzuschließen. Eine solche Funktion muss angemessen geschützt werden, damit sie nicht als unbegrenzter Prüfeingang verwendet wird. Stripe nennt als Gegenmaßnahme unter anderem die Begrenzung, wie viele Karten einem Kundenkonto zugeordnet werden können.

Automatisierte Registrierungen mit Zahlungsversuchen

Bei einer schwach geschützten Registrierung können zahlreiche Benutzerkonten entstehen, die anschließend Zahlungsversuche auslösen. Dies kann mit Account Creation Fraud oder Bot Traffic zusammenhängen. Die Automatisierung allein ist aber noch kein vollständiger Nachweis für den Zweck des Vorgangs.

Wiederkehrende Belastungsversuche an bestimmten Zahlungsstellen

Einzelne Produkte oder Zahlungswege können besonders viele Versuche aufweisen. Der Zusammenhang muss anhand der tatsächlichen Checkout-Konfiguration beurteilt werden. Bestimmte günstige Produkte sind beispielsweise regulär beliebt; aus ihrem Verkaufspreis folgt kein Card-Testing-Verdacht.

Technisch verteilte Zugriffe

Automatisierte Anfragen können aus unterschiedlichen Netzwerkumgebungen stammen. Deshalb sind rein IP-basierte Sperren nicht immer ausreichend. Zugleich können viele rechtmäßige Kunden dieselbe öffentliche IP-Adresse verwenden, beispielsweise über Unternehmensnetze oder Mobilfunkanbieter.

Welche Schäden können für Händler entstehen?

Wiederholte Autorisierungsanfragen können je nach Zahlungsanbieter zu Gebühren oder zusätzlichem Prüfaufwand führen. Bei erfolgreichen unberechtigten Transaktionen sind möglicherweise spätere Rückbuchungen und weitere Kosten betroffen. Welche Beträge tatsächlich anfallen, hängt von den geltenden Verträgen und dem Zahlungsablauf ab.

Viele abgelehnte Zahlungen können zudem in der Buchhaltung und den Zahlungsberichten zu einer ungewöhnlichen Fehlerquote führen. Dadurch fällt es schwerer, normale Kaufabbrüche und technische Probleme zu erkennen. Ein Händler sollte deshalb die Auswirkung auf reale Kunden und auf die Zahlungsintegration getrennt betrachten.

Eine zu strikte Gegenmaßnahme kann selbst wirtschaftliche Folgen haben. Wenn ein Checkout echte Kunden häufig blockiert, sinkt möglicherweise die Zahl rechtmäßiger Bestellungen. Die Filter sollten daher an der tatsächlichen Angriffsfläche und nicht allein an pauschalen Annahmen ausgerichtet werden.

Ein fiktiver Vorfall bei einer Spendenplattform

Eine gemeinnützige Organisation erhält viele ungewöhnliche Zahlungsversuche über ihr Online-Spendenformular. Die meisten werden abgelehnt; einzelne kleinere Beträge erscheinen zunächst erfolgreich. Gleichzeitig steigt die Zahl neu angelegter Benutzerkonten, deren Angaben keine nachvollziehbare Verbindung zu tatsächlichen Spendern haben.

Die Organisation und der Zahlungsdienstleister prüfen die Zeitstempel, Transaktionskennungen, betroffenen Funktionen und vorhandenen technischen Merkmale. Parallel wird untersucht, ob ein Softwareupdate oder eine fehlerhafte Zahlungsweiterleitung dieselben Auffälligkeiten erklären könnte.

Die Prüfung ergibt Hinweise auf automatisierte Versuche, die nicht zu normalen Spendenabläufen passen. Damit kann ein begründeter Card-Testing-Verdacht vorliegen. Die Person hinter der Aktivität ist dadurch noch nicht identifiziert. Ebenso müssen tatsächlich belastete Zahlungen von abgelehnten oder automatisch korrigierten Vorgängen getrennt werden.

Welche Warnsignale sind aussagekräftig?

Besonders auffällig sind Kombinationen aus vielen abgelehnten Zahlungen, ungewöhnlich schnellen Folgeversuchen und wiederkehrenden Konto- oder Gerätemerkmalen. Die Bewertung muss jedoch das übliche Zahlungsverhalten des jeweiligen Shops berücksichtigen. Ein Abonnementdienst mit wiederholten regulären Abbuchungen erzeugt andere Datenmuster als ein einmaliger Onlinekauf.

• Häufung abgelehnter Autorisierungen: Zahlreiche Versuche treten in kurzer Zeit auf und lassen sich keinem regulären Geschäftsereignis zuordnen.
• Wechselnde Kartenzuordnung: Einzelne Konten oder technische Sitzungen versuchen ungewöhnlich viele unterschiedliche Zahlungskarten zu hinterlegen.
• Gleichartige Abläufe: Formulare werden in kurzen, wiederkehrenden Intervallen verarbeitet.
• Ungewöhnliche Kontoerstellungen: Viele neue Accounts werden unmittelbar mit Zahlungsversuchen verbunden.
• Abweichende Geräte- und Netzwerkmerkmale: Mehrere Merkmale ergeben zusammen ein unplausibles Nutzungsmuster.
• Zahlungsanbieterwarnungen: Der Acquirer oder Zahlungsdienstleister weist auf verdächtige Autorisierungsaktivitäten hin.

Kein einzelnes Merkmal beweist eine betrügerische Absicht. Auch fehlerhafte Kundenschnittstellen und Störungen beim Zahlungsanbieter müssen als alternative Ursachen geprüft werden.

Card Testing, Carding und Chargeback Fraud unterscheiden

Carding bezeichnet den unberechtigten Einsatz von Kartendaten allgemein. Card Testing betrifft die Prüfung ihrer möglichen Verwendbarkeit. Bei Chargeback Fraud wird dagegen eine an sich berechtigte Zahlung unter falschen Umständen zurückgefordert.

Diese Begriffe beschreiben unterschiedliche Phasen oder Methoden. Ein Täter kann Card Testing als Vorbereitung für weitere unberechtigte Zahlungen missbrauchen. Daraus folgt aber nicht, dass hinter jedem abgelehnten Zahlungsversuch automatisch ein späterer Carding-Fall steht.

Wie wird ein Card-Testing-Verdacht untersucht?

Zu Beginn müssen die einzelnen Autorisierungen und der genutzte Zahlungskanal feststehen. Der Shop sollte mit dem Zahlungsdienstleister klären, welche Vorgänge tatsächlich genehmigt, welche abgelehnt und welche bereits durch Sicherheitssysteme blockiert wurden. Danach werden Bestell- und Kontodaten mit den technischen Abläufen abgeglichen.

Auch die Integration des Zahlungsformulars ist zu prüfen. Mehrfach ausgelöste Anfragen können etwa durch technische Fehler entstehen. Die Diagnose muss klären, ob die Ereignisse auf realen Nutzerhandlungen, fehlerhaften Systemen oder einem missbräuchlichen automatisierten Ablauf beruhen.

Für einen belastbaren Bericht sind Zeiträume, Transaktionskennungen und verwendete Erkennungsmerkmale nachvollziehbar zu dokumentieren. Vollständige Kartendaten sollten nicht ungeschützt in Analysedateien oder Supportsysteme übernommen werden.

Welche technischen Gegenmaßnahmen helfen?

Stripe empfiehlt, Zahlungsfunktionen mit angepassten Begrenzungen und zusätzlichen Sicherheitsprüfungen abzusichern. Dazu können die Kontrolle von Sitzungen, begrenzte Konto- und Kartenanlage, risikoorientierte Regeln und bei bestimmten Angriffslagen Captcha-Verfahren gehören. Die Maßnahmen müssen zum Ablauf der legitimen Zahlung passen.

• Rate Limits: Zahlungs- und Kartenspeicherfunktionen gegen massenhafte Versuche begrenzen.
• Kontrollierte Sitzungen: Bei geeigneten Prozessen den Zugriff auf kritische Zahlungsfunktionen an eine gültige Sitzung binden.
• Prüfung auffälliger Muster: Wiederkehrende Ablehnungen und ungewöhnliche Kartenwechsel untersuchen.
• Payment-Fraud-Funktionen: Die vom Zahlungsdienstleister angebotenen Schutzmaßnahmen passend konfigurieren.
• Geprüfte Freigabe: Stärkere Sicherheitskontrollen nur dort einsetzen, wo sie nach dem Risiko und den technischen Anforderungen sinnvoll sind.
• Fehlklassifikationen kontrollieren: Echte Nutzer, die mehrfach eine Zahlung versuchen, dürfen nicht ohne nachvollziehbaren Grund dauerhaft ausgeschlossen werden.

Ein Captcha allein kann keinen umfassenden Schutz gewährleisten. Auch einfache IP-Sperren lassen sich nicht ohne Weiteres als Beweis für echte und unechte Nutzer verwenden. Der Schutz erfordert eine Kombination passender Prüfungen und die Auswertung ihrer tatsächlichen Wirkung.

Was müssen Zahlungsanbieter und Händler beachten?

Die Verantwortung für die einzelne Sicherheitsfunktion hängt von der Zahlungsintegration ab. Ein gehosteter Checkout kann bereits Schutzmechanismen des Dienstleisters enthalten, während bei individuell entwickelten API-Abläufen zusätzliche Kontrollen durch den Händler notwendig sein können.

Der Zahlungsdienstleister kann verdächtige Autorisierungen gegebenenfalls erkennen, stoppen oder zusätzliche Maßnahmen verlangen. Für die wirtschaftliche Prüfung sind seine tatsächlichen Gebührenregeln und die bereits blockierten Vorgänge wichtig. Ein großer Teil der technischen Versuche kann abgewehrt worden sein, ohne dass entsprechende Umsätze oder Verluste entstanden sind.

Welche rechtlichen Fragen können betroffen sein?

Der gezielte Missbrauch fremder Kartendaten kann je nach Ablauf Vorschriften wie § 263 StGB oder § 263a StGB betreffen. Eine abgelehnte Zahlung oder ein Test in einer autorisierten Zahlungsumgebung erfüllt diese Tatbestände nicht automatisch.

Bei der technischen Untersuchung müssen die einschlägigen Datenschutz- und Zahlungssicherheitsanforderungen beachtet werden. Die Erfassung zahlungsbezogener Merkmale rechtfertigt nicht automatisch die unbegrenzte Speicherung personenbezogener Daten.

Häufige Fragen zu Card Testing

Ist jeder kleine Zahlungsbetrag ein Kartenprüfversuch?

Nein. Auch kleine Käufe, Testbuchungen und Spenden können legitim sein. Die Einordnung erfordert weitere Informationen.

Kann Card Testing ohne erfolgreiche Bestellung stattfinden?

Ja. Der Prüfversuch kann bereits auf der Autorisierungs- oder Kartenspeicherstufe stattfinden.

Kann eine Captcha-Abfrage alle Card-Testing-Angriffe verhindern?

Nein. Sie kann eine geeignete ergänzende Kontrolle sein, ersetzt jedoch keine abgestimmten Zahlungs- und Sicherheitsregeln.

Wo können betroffene Unternehmen Hilfe erhalten?

Bei einer ungewöhnlichen Zahl von Zahlungsablehnungen sollten Händler ihren Zahlungsdienstleister einbeziehen und die betroffenen Transaktionen sowie die Checkout-Funktion prüfen. BRANDPROTECTIONNOW begleitet Unternehmen bei der Untersuchung automatisierter Zahlungsversuche, der Auswertung auffälliger Bot-Muster und der Abstimmung geeigneter Schutzmaßnahmen mit spezialisierten Security- und Payment-Partnern. Bei weitergehenden Angriffen auf Shop und Server können zusätzliche technische Prüfungen erforderlich werden. Informationen gibt es bei BRANDPROTECTIONNOW zum Schutz vor Bot- und Serverangriffen.

Fachquellen

• Stripe – How do I prevent card testing attacks?: empfohlene technische Kontrollen und deren Grenzen.
• Stripe – Radar Rules: Beispiele für risikobasierte Zahlungsprüfungen.
• § 263 StGB und § 263a StGB: mögliche strafrechtliche Tatbestände.
• BaFin – Zahlungskarten: rechtliche Einordnung von Kartenzahlungen und Missbrauch.

Carding bezeichnet den betrügerischen Einsatz fremder Zahlungskartendaten. Die Informationen werden ohne Berechtigung verwendet, um Zahlungen auszulösen, Karten auf ihre Verwendbarkeit zu prüfen oder unberechtigte Einkäufe vorzunehmen. Der Begriff stammt aus dem Umfeld der Zahlungskartenkriminalität und beschreibt unterschiedliche Vorgänge vom Missbrauch einer einzelnen Kartennummer bis zu wiederholten betrügerischen Transaktionen.

Carding darf nicht mit jeder Rückbuchung einer Kartenzahlung gleichgesetzt werden. Eine rechtmäßige Reklamation, eine technische Ablehnung durch die Bank oder ein Versehen bei der Eingabe der Kartendaten sind keine Belege für eine Straftat. Ebenso ist die Feststellung einer verdächtigen Bestellung noch kein Nachweis, wer die Zahlung ausgelöst hat.

Wie kann Carding im Onlinehandel auftreten?

Onlineshops nehmen Kartenzahlungen über einen Zahlungsdienstleister oder einen Acquirer entgegen. Eine Zahlung muss vom Kartenausgeber autorisiert und anschließend nach den Regeln des Zahlungssystems verarbeitet werden. Angreifer können versuchen, bereits kompromittierte Kartendaten im Bestellprozess einzusetzen, obwohl ihnen die Karte nicht gehört und der Inhaber die Zahlung nicht erlaubt hat.

Die Herkunft solcher Daten kann unterschiedlich sein. Informationen können bei einem Datenvorfall, über Phishing oder durch Skimming offengelegt worden sein. Der Einsatz der Informationen in einem fremden Shop ist ein weiterer Vorgang, der nicht automatisch denselben Täter voraussetzt wie der ursprüngliche Datendiebstahl.

Einige Schutzverfahren verlangen zusätzliche Authentifizierung. Ob eine Transaktion diese Prüfung durchlaufen hat, lässt sich aus dem Zahlungsprotokoll und den Angaben des Zahlungsdienstleisters feststellen. Eine erfolgreiche Autorisierung der Zahlung bedeutet nicht, dass sie in jeder Hinsicht rechtmäßig oder vom tatsächlichen Karteninhaber gewollt war.

Welche Erscheinungsformen werden mit Carding verbunden?

Unberechtigte Bestellungen mit fremden Karten

Eine Karte wird für einen Kauf verwendet, ohne dass der Berechtigte zugestimmt hat. Bei physischen Waren können abweichende Lieferadressen oder wiederkehrende Bestellmuster Hinweise liefern. Solche Merkmale treten aber auch bei zulässigen Geschenksendungen und Bestellungen für Angehörige auf; sie dürfen deshalb nicht automatisch zur Betrugsannahme führen.

Card Testing als gesonderte Methode

Card Testing bezeichnet Versuche, Kartendaten über Zahlungsfunktionen auf ihre Akzeptanz zu prüfen. Dabei können viele kurze Zahlungs- oder Autorisierungsvorgänge auftreten. Ein solcher Testvorgang muss nicht zwangsläufig zu einer abgeschlossenen Warenbestellung führen. Er ist deshalb technisch vom späteren Einkauf mit fremden Kartendaten zu unterscheiden.

Missbrauch digitaler Waren und Gutscheine

Digitale Gutscheine und unmittelbar übertragbare Leistungen können bei unberechtigten Zahlungen betroffen sein. Für Händler entsteht unter Umständen ein Verlust, wenn ein bereits ausgegebener digitaler Wert nach einer Kartenrückbuchung nicht mehr zurückgeholt werden kann. Die betroffene Transaktion muss im Einzelfall überprüft werden.

Zusammenhang mit gestohlenen Kundenkonten

Bei einem Account Takeover kann ein Angreifer bereits gespeicherte Zahlungsmittel oder Rechnungsinformationen eines Kundenkontos missbrauchen. Die Übernahme des Kontos ist dann der Eintrittsweg; Carding beschreibt die anschließende unberechtigte Kartennutzung. Beide Vorgänge können getrennte Gegenmaßnahmen benötigen.

Welche Folgen können für Händler entstehen?

Ein Händler kann Waren ausliefern, während die zugrunde liegende Zahlung später als unautorisiert beanstandet wird. Je nach Kartensystem, Zahlungsablauf und den einschlägigen Regeln können Rückbelastungen und Bearbeitungskosten entstehen. Das Ausmaß hängt vom konkreten Fall ab. Eine Rückbuchung bedeutet nicht in jeder Konstellation, dass der Händler automatisch den gesamten Schaden tragen muss.

Bei wiederholten betrügerischen Versuchen kann der Zahlungsdienstleister zusätzliche Kontrollen verlangen. Auch die interne Bearbeitung von Zahlungsreklamationen verursacht Aufwand. Werden viele Zahlungsversuche über dieselbe Schnittstelle ausgeführt, kann die Datenqualität der Bestell- und Zahlungsberichte beeinträchtigt werden.

Für die Reputation einer Marke ist außerdem relevant, ob Kunden glauben, ihre Kartendaten seien gerade beim betroffenen Händler entwendet worden. Das ist nicht allein aus späteren missbräuchlichen Belastungen abzuleiten. Ein Kartenmissbrauch kann mit einer früheren Datenoffenlegung bei einem anderen Anbieter zusammenhängen.

Ein fiktives Beispiel aus einem Elektronikshop

Ein Shop erhält an einem Wochenende mehrere Bestellungen hochpreisiger Elektronik. Ein Teil der Lieferadressen weicht von den Rechnungsadressen ab. Einige Zahlungen werden zunächst autorisiert. Später meldet der Zahlungsdienstleister, dass mehrere Karteninhaber die Transaktionen als nicht autorisiert beanstandet haben.

Die Händlerprüfung umfasst Bestellungen, Zahlungsreferenzen, bereits ausgeführte Lieferungen und die vorhandenen Authentifizierungsdaten. Auch reguläre Ursachen müssen untersucht werden: Geschenksendungen und Einkäufe für andere Haushaltsmitglieder können ähnliche Adressmuster aufweisen. Erst der Nachweis fehlender Autorisierung und weiterer Umstände stützt einen konkreten Carding-Verdacht.

Der Händler stimmt den Umgang mit den beanstandeten Zahlungen mit seinem Acquirer beziehungsweise Zahlungsdienstleister ab und sichert erforderliche Transaktionsunterlagen. Eine pauschale Veröffentlichung personenbezogener Bestellerdaten wäre ungeeignet und möglicherweise rechtswidrig.

Woran lassen sich mögliche Carding-Muster erkennen?

Das Verhalten einzelner Zahlungen kann auffällig sein. Besonders hilfreich ist ein Abgleich über den konkreten Bestellvorgang, die Zahlungshistorie und bereits bestätigte Reklamationen. Ein einmaliger Fehlversuch bei der Kartenzahlung ist dagegen alltäglich und kein belastbarer Betrugsnachweis.

• Wiederkehrende Ablehnungen: Zahlreiche Zahlungsversuche mit unterschiedlichen Karten unter einem eng verbundenen technischen Muster können Prüfbedarf auslösen.
• Ungewöhnliche Bestellfolgen: Mehrere ähnliche Warenkörbe werden innerhalb kurzer Zeit mit wechselnden Zahlungsdaten bestellt.
• Abweichende Angaben: Rechnungs-, Liefer- und Kontaktdaten weisen erklärungsbedürftige Widersprüche auf.
• Kartenreklamationen: Der Zahlungsanbieter meldet tatsächlich als unautorisiert beanstandete Transaktionen.
• Technische Signale: Geräte- und Nutzungsinformationen können zusätzliche Hinweise liefern, müssen aber datenschutzgerecht und mit Blick auf Fehlklassifikationen ausgewertet werden.
• Geschäftliche Nachweise: Versand, Zustellung, Kundenkommunikation und Retouren liefern Informationen zu den tatsächlich erbrachten Leistungen.

Eine IP-Adresse oder eine bestimmte Region ist allein kein ausreichender Beweis. Viele echte Kunden verwenden gemeinsame Netzwerke, Mobilfunkverbindungen oder VPN-Dienste. Eine zu aggressive Filterung kann rechtmäßige Käufer ausschließen.

Carding, Card Testing und Chargeback Fraud unterscheiden

Carding ist der weitere Begriff für den unberechtigten Einsatz von Kartendaten. Card Testing betrifft gezielt die Prüfung der Verwendbarkeit von Karten über Zahlungsabläufe. Bei Chargeback Fraud versucht dagegen ein Beteiligter, eine legitime Zahlung durch eine unberechtigte Reklamation zurückzuerhalten.

Die Abgrenzung ist wichtig, weil Karteninhaber bei Carding häufig tatsächlich Geschädigte sind. Bei einer absichtlich falschen Reklamation kann dagegen derjenige, der die Zahlung ursprünglich autorisiert hat, selbst die Täuschung betreiben. Ein gewöhnlicher Verbraucherstreit über mangelhafte Ware ist kein solcher Betrug.

Welche Prüfungen helfen bei einem Verdacht?

Ein Unternehmen sollte den betroffenen Zahlungsvorgang eindeutig identifizieren und die Informationen des Zahlungsdienstleisters mit der tatsächlichen Bestellung verbinden. Zu prüfen sind Autorisierungsstatus, gegebenenfalls Ergebnisse zusätzlicher Authentifizierung, Liefernachweise und bereits vorliegende Reklamationen.

Auch die Reihenfolge der Ereignisse ist relevant. Eine Bank kann eine Zahlung zunächst autorisieren und später ein Karteninhaber die Belastung beanstanden. Daraus folgt nicht automatisch ein Fehler des Shops oder der Bank. Die rechtliche und vertragliche Zuordnung hängt von den konkreten Zahlungsregeln ab.

Erforderliche Beweise sollten in sicheren Systemen und mit beschränktem Zugriff gespeichert werden. Sensible vollständige Kartendaten gehören nicht ungeschützt in Supporttickets oder E-Mail-Anhänge.

Wie können Händler das Carding-Risiko reduzieren?

Ein Schutzkonzept verbindet Kontrollen des Zahlungsanbieters mit der Prüfung von Bestellmustern und einer angemessenen Reaktion auf Auffälligkeiten. Dazu können starke Kundenauthentifizierung, risikoorientierte Zahlungsprüfungen und technische Maßnahmen gegen automatisierte Zahlungsversuche gehören.

• Die Sicherheitsfunktionen des Zahlungsdienstleisters entsprechend dem eigenen Geschäftsmodell konfigurieren.
• Bei gehäuften abgelehnten Zahlungsversuchen die Checkout-Schnittstelle auf automatisierten Missbrauch prüfen.
• Für auffällige Bestellungen zusätzliche, verhältnismäßige Kontrollen vor der Auslieferung festlegen.
• Bestell-, Liefer- und Zahlungsbelege nachvollziehbar aufbewahren, soweit dies erforderlich und rechtmäßig ist.
• Bei unautorisierten Zahlungen die vorgesehenen Verfahren des Acquirers und der Kartenorganisation verwenden.
• Die Regeln auf falsche Ablehnungen echter Kunden prüfen und gegebenenfalls anpassen.

Die European Banking Authority und die europäischen Zahlungsregeln sehen für viele elektronische Zahlungen eine starke Kundenauthentifizierung vor, allerdings mit definierten Ausnahmen und besonderen Konstellationen. Es wäre falsch zu behaupten, dass jede digitale Kartenzahlung ausnahmslos denselben Bestätigungsablauf durchlaufen muss.

Welche Rechte haben Karteninhaber bei nicht autorisierten Zahlungen?

Nach § 675u BGB besteht bei nicht autorisierten Zahlungsvorgängen grundsätzlich ein Anspruch gegenüber dem Zahlungsdienstleister auf Erstattung. Weitere gesetzliche Regeln, etwa zur Haftung und zu Sorgfaltspflichten, können den Fall beeinflussen. Die BaFin erläutert die Unterscheidung zwischen unautorisierten Kartenzahlungen und solchen, die Kunden selbst freigegeben haben.

Das Karten-Chargeback ist davon zu unterscheiden. Es handelt sich um ein Verfahren nach den Regeln der Kartenorganisationen und ist nicht für jede Zahlung gleichermaßen verfügbar. Die BaFin weist darauf hin, dass kein allgemeiner gesetzlicher Anspruch auf ein Chargeback-Verfahren besteht. Bei einer strittigen Zahlung muss daher der konkrete Zahlungsweg geprüft werden.

Welche straf- und datenschutzrechtlichen Fragen entstehen?

Der absichtliche Einsatz fremder Kartendaten kann je nach tatsächlichem Ablauf den Betrugstatbestand des § 263 StGB oder unter besonderen Voraussetzungen den Computerbetrug nach § 263a StGB betreffen. Die technischen Details und die gesetzlichen Tatbestandsmerkmale entscheiden über die Einordnung.

Bei der Untersuchung von Zahlungs- und Kundendaten sind die DSGVO sowie einschlägige kartenspezifische Sicherheitsanforderungen zu berücksichtigen. Eine Betrugsvermutung erlaubt keine unbegrenzte Verarbeitung personenbezogener Informationen.

Häufige Fragen zu Carding

Ist jede abgelehnte Kartenzahlung ein Carding-Versuch?

Nein. Ablehnungen können durch Kartenlimits, technische Probleme oder falsch eingegebene Daten entstehen. Ein Betrugsverdacht verlangt zusätzliche Hinweise.

Ist die Kartenautorisierung ein Beweis für eine rechtmäßige Zahlung?

Nein. Die Autorisierung ist ein Vorgang im Zahlungssystem. Ob der berechtigte Karteninhaber die Zahlung vorgenommen hat, kann Gegenstand einer späteren Prüfung sein.

Ist eine Rückbuchung immer Chargeback Fraud?

Nein. Karteninhaber können berechtigte Reklamationen haben. Eine absichtlich falsche Rückforderung ist ein anderer Sachverhalt.

Wo können betroffene Unternehmen Hilfe erhalten?

Bei verdächtigen Kartenzahlungen sollten Händler zunächst den Zahlungsdienstleister beziehungsweise Acquirer einbeziehen und die betreffenden Bestell- und Transaktionsdaten sichern. BRANDPROTECTIONNOW begleitet Unternehmen bei der Analyse auffälliger Zahlungs- und Bot-Muster, der Dokumentation möglicher Betrugsversuche und der Abstimmung geeigneter technischer Gegenmaßnahmen mit spezialisierten Partnern. Falls die Unternehmensidentität für Fake-Shops oder andere täuschende Angebote verwendet wird, können ergänzende Markenschutzmaßnahmen erforderlich sein. Informationen bietet BRANDPROTECTIONNOW zum Schutz vor Bot- und Serverangriffen.

Fachquellen

• BaFin – Zahlungskarten: Haftung, Rückbelastungen und rechtliche Grundlagen.
• Verbraucherzentrale – Kreditkartenbetrug und Kontobetrug: Maßnahmen bei unautorisierten Zahlungen, Stand April 2026.
• Stripe – Card Testing Prevention: Schutzmaßnahmen bei automatisierten Zahlungsversuchen.
• § 675u BGB, § 263 StGB und § 263a StGB: mögliche rechtliche Grundlagen.

Chargeback Fraud bezeichnet den absichtlichen Missbrauch eines Kartenrückbuchungsverfahrens, um eine rechtmäßige Zahlung trotz erhaltener Ware oder Leistung rückgängig zu machen. Der Begriff überschneidet sich mit Friendly Fraud beziehungsweise First-Party Misuse. Gemeint sind insbesondere Fälle, in denen ein Karteninhaber bewusst unzutreffende Angaben zum Kauf macht, um eine Erstattung zu erreichen.

Eine Rückbuchung ist nicht automatisch betrügerisch. Kunden können berechtigte Gründe für eine Reklamation haben, etwa eine nicht autorisierte Zahlung, nicht gelieferte Ware oder fehlerhafte Abrechnung. Auch Erinnerungsfehler oder missverständliche Händlerbezeichnungen führen zu Streitfällen. Für Chargeback Fraud ist deshalb eine absichtliche Täuschung von einem legitimen Verbraucheranspruch und einem normalen Missverständnis zu unterscheiden.

Was ist ein Chargeback und wie funktioniert es?

Bei einem Chargeback beanstandet der Karteninhaber eine Zahlung bei der kartenausgebenden Bank. Je nach Kartenorganisation und Regelwerk kann die Bank ein Rückbelastungsverfahren gegenüber dem Zahlungsdienstleister des Händlers einleiten. Der Händler erhält gegebenenfalls die Möglichkeit, Informationen zum Kauf und zur Leistungserbringung vorzulegen.

Ein Chargeback ist nicht dasselbe wie eine gewöhnliche Erstattung, die der Händler freiwillig über seinen Zahlungsanbieter ausführt. Es ist auch nicht mit der SEPA-Lastschriftrückgabe gleichzusetzen. Die jeweils geltenden Verfahren unterscheiden sich nach Zahlungsinstrument und beteiligten Organisationen.

Das Europäische Verbraucherzentrum erläutert, dass die Kartenorganisationen eigene Regeln für Chargebacks vorsehen. Die BaFin weist darauf hin, dass kein allgemeiner gesetzlicher Anspruch auf das Chargeback-Verfahren besteht. Gesetzliche Erstattungsrechte bei nicht autorisierten Zahlungen sind davon getrennt zu prüfen.

Welche Formen des Missbrauchs können vorkommen?

Falsche Behauptung einer nicht autorisierten Zahlung

Ein Kunde könnte eine tatsächlich selbst ausgeführte Zahlung später bewusst als fremde Nutzung seiner Karte darstellen. Wenn die Angaben vorsätzlich falsch sind und eine unberechtigte Erstattung bezwecken, liegt ein möglicher Chargeback-Fraud-Sachverhalt vor. Ein vergessenes Abonnement oder eine unbekannte Händlerbezeichnung ist dagegen noch keine vorsätzliche Täuschung.

Behauptete Nichtlieferung trotz nachgewiesener Zustellung

Bei physischen Waren kann ein Streit entstehen, wenn der Kunde behauptet, eine Sendung nicht erhalten zu haben. Ein Zustellstatus allein beweist nicht immer, dass die Ware dem richtigen Empfänger übergeben wurde. Ob eine Falschbehauptung vorliegt, muss anhand von Lieferbelegen, Kommunikation und den Umständen der Zustellung bewertet werden.

Missbrauch digitaler Leistungen

Digitale Produkte, Downloads oder Abonnements können genutzt und anschließend beanstandet werden. Für die Prüfung sind geeignete Nachweise über die Bereitstellung und tatsächliche Nutzung hilfreich. Allerdings sind Zugriffslogs allein kein Beweis, dass jede Leistung vertragsgemäß oder ohne Fehler erbracht wurde.

Unberechtigte Qualitätsreklamationen

Ein Käufer könnte bewusst behaupten, die Ware sei mangelhaft oder entspreche nicht der Beschreibung, obwohl dies nicht zutrifft. Eine echte Meinungsverschiedenheit über den Produktzustand oder die vertragliche Leistung ist davon zu unterscheiden. Der Händler darf eine berechtigte Beschwerde nicht allein wegen fehlender Zustimmung als Betrug behandeln.

Missbrauch durch Haushaltsmitglieder

Visa beschreibt auch Fälle, in denen ein Karteninhaber eine Zahlung nicht erkennt, weil ein Familienmitglied eine gespeicherte Karte verwendet hat. Nicht jede solche Situation ist absichtlich betrügerisch. Die Autorisierung und die vertraglichen Regeln müssen jeweils geprüft werden.

Chargeback Fraud und Carding unterscheiden

Bei Carding werden fremde Kartendaten ohne die Berechtigung des Karteninhabers eingesetzt. Der echte Karteninhaber kann die Zahlung anschließend rechtmäßig beanstanden. Chargeback Fraud betrifft dagegen den absichtlichen Missbrauch einer Rückforderung für eine tatsächlich legitime Transaktion.

Die Unterscheidung ist für Händler wesentlich. Eine hohe Zahl von Chargebacks belegt nicht, dass Kunden betrügerisch handeln. Ein Teil kann aus echten Kartenmissbrauchsfällen, fehlerhaften Zahlungsabläufen oder unzureichender Leistung des Händlers entstehen.

Auch Refund Fraud ist gesondert zu betrachten. Dort werden Erstattungsprozesse missbraucht, die nicht zwingend auf einem Karten-Chargeback beruhen.

Welche Folgen kann Chargeback Fraud für Händler haben?

Wird eine berechtigte Zahlung zurückbelastet, kann der Händler den Kaufpreis verlieren. Bei physischen Waren kommt unter Umständen der bereits erfolgte Versand hinzu. Zahlungsdienstleister können je nach Vertrag weitere Gebühren erheben oder bei auffälligen Streitquoten zusätzliche Kontrollen verlangen.

Hinzu kommt der Aufwand für die Zusammenstellung von Bestell- und Leistungsnachweisen. Bei digitalen Produkten kann es schwierig sein, eine Leistung später zurückzunehmen. Für die tatsächliche Schadensberechnung müssen aber auch erfolgreiche Gegenbeweise, abgewiesene Reklamationen und bereits erhaltene Rücksendungen berücksichtigt werden.

Ein automatisches Ablehnen möglichst vieler Reklamationen kann echte Kundenrechte beeinträchtigen und den Ruf des Händlers beschädigen. Auch aus wirtschaftlicher Sicht ist die korrekte Behandlung berechtigter Ansprüche von der Abwehr absichtlich falscher Behauptungen zu trennen.

Ein fiktiver Fall aus einem Onlineshop

Ein Händler verkauft ein technisches Gerät. Die Zahlung wird regulär autorisiert, der Versand erfolgt und das Paket wird nach den verfügbaren Versanddaten zugestellt. Einige Wochen später meldet die Bank des Kunden eine Kartenreklamation mit der Begründung, es sei keine Ware angekommen.

Der Händler prüft Bestellbestätigung, Versandbeleg, die mitgeteilte Lieferadresse und die Kommunikation mit dem Kunden. Anschließend legt er die nach dem Kartenregelwerk zulässigen Nachweise über seinen Zahlungsdienstleister vor. Ob der Kunde bewusst falsche Angaben gemacht hat, ist damit noch nicht zwingend bewiesen. Möglich sind auch Fehlzustellungen oder andere Probleme.

Erst wenn weitere belastbare Tatsachen eine vorsätzliche Täuschung stützen, lässt sich der Fall entsprechend einordnen. Eine einzelne bestrittene Zustellung reicht für eine öffentliche Betrugsbeschuldigung nicht aus.

Welche Warnsignale sind bei Rückbuchungen aussagekräftig?

Händler können aus wiederkehrenden Mustern Hinweise gewinnen, sollten aber jede Reklamation nach den tatsächlichen Umständen behandeln. Insbesondere muss der Beschwerdegrund korrekt erfasst werden. Eine als unautorisiert gemeldete Zahlung ist anders zu prüfen als eine Qualitätsreklamation.

• Wiederholte Streitfälle: Mehrere ähnlich begründete Rückbuchungen treten bei nachvollziehbar verwandten Bestellungen auf.
• Leistungsnachweise: Dokumentierte Auslieferung oder Nutzung steht im Widerspruch zur konkreten Behauptung.
• Kommunikation: Schriftliche Angaben aus Bestellung, Support und Rückbuchung passen nicht zueinander.
• Vertragsbedingungen: Der Kunde konnte Preise, Leistung und Laufzeiten beim Kauf ausreichend erkennen.
• Zahlungsdaten: Autorisierung und Abrechnungsinformationen sind korrekt zugeordnet.
• Alternative Ursachen: Eine unklare Händlerbezeichnung, fehlerhafte Lieferung oder Abonnementverlängerung erklärt die Beanstandung möglicherweise.

Technische Zugriffsdaten können zusätzliche Hinweise bieten, sind aber datenschutzrechtlich und methodisch sorgfältig zu bewerten. Ein Login beweist beispielsweise nicht automatisch, dass jede bestellte digitale Leistung vollständig erbracht wurde.

Wie wird eine strittige Rückbuchung bearbeitet?

Ein Händler sollte zunächst den Grund und die Fristen des Kartenverfahrens prüfen. Anschließend werden alle relevanten Geschäftsunterlagen zusammengeführt. Dazu gehören Rechnungen, Bestätigungen, Lieferinformationen, gegebenenfalls Nutzungsnachweise und dokumentierte Kundengespräche. Die Einreichung erfolgt über den zuständigen Zahlungsdienstleister oder Acquirer.

Visa beschreibt hierfür Verfahren, bei denen geeignete Nachweise zu einer Transaktion vorgelegt werden können. Welche Dokumente im konkreten Fall ausreichen, bestimmt das einschlägige Streitverfahren. Eine allgemeine Garantie auf eine erfolgreiche Abwehr einer Rückbuchung gibt es nicht.

Der Händler muss zudem unterscheiden, ob die Forderung des Kunden möglicherweise berechtigt ist. In solchen Fällen kann eine direkte Klärung, Erstattung oder andere vertragliche Lösung sachgerecht sein. Ein pauschaler Betrugsvorwurf ist ungeeignet.

Wie lassen sich missbräuchliche Rückbuchungen reduzieren?

Ein klarer Kaufprozess und verständliche Rechnungsangaben reduzieren Verwechslungen. Visa empfiehlt unter anderem erkennbare Händlerbezeichnungen auf Kartenabrechnungen, eindeutige Bestellbestätigungen und eine nachvollziehbare Versand- und Rückgabekommunikation. Diese Maßnahmen helfen auch bei nicht betrügerischen Streitfällen.

• Händlerbezeichnungen auf Kartenabrechnungen möglichst eindeutig gestalten.
• Bestellungen, Lieferstatus und Vertragsbedingungen nachvollziehbar dokumentieren.
• Kunden über Abonnements, Verlängerungen und Stornierungswege verständlich informieren.
• Reklamationen zeitnah und sachlich bearbeiten.
• Bei wiederkehrenden auffälligen Fällen geeignete Betrugsprüfungen einsetzen.
• Die Fristen und Nachweisanforderungen des Zahlungsdienstleisters beachten.

Eine riskante Bestellung ist nicht automatisch betrügerisch. Maßnahmen sollten deshalb die berechtigten Interessen von Händler und Kunden berücksichtigen.

Welche rechtlichen Grenzen gelten?

Das absichtliche Erschleichen einer unberechtigten Rückzahlung kann je nach Voraussetzungen unter § 263 StGB fallen. Eine Reklamation ist jedoch zunächst die Ausübung eines möglichen Anspruchs und kein Beweis für eine Täuschung.

Die Rechte bei nicht autorisierten Zahlungsvorgängen nach § 675u BGB sind von den Verfahren und Regeln der Kartenorganisationen zu unterscheiden. Die BaFin erläutert, dass ein Chargeback eine eigenständige kartenspezifische Möglichkeit sein kann. Wer eine Rückbuchung beantragt, ist deshalb nicht automatisch mit einer strafrechtlichen Bewertung konfrontiert.

Häufige Fragen zu Chargeback Fraud

Ist jede Rückbuchung ein Betrug gegen den Händler?

Nein. Viele Rückbuchungen beruhen auf berechtigten oder zumindest klärungsbedürftigen Reklamationen.

Beweist ein Versandstatus eine absichtliche Falschbehauptung des Kunden?

Nein. Er ist ein möglicher Nachweis für die Lieferung, ersetzt aber nicht die Prüfung des konkreten Streitfalls.

Kann eine Zahlung trotz starker Authentifizierung reklamiert werden?

Ja. Authentifizierung und vertragliche Einwendungen gegen eine Leistung sind unterschiedliche Fragen.

Wo können betroffene Unternehmen Hilfe erhalten?

Bei auffälligen Rückbuchungen sollten Händler zunächst die vorliegenden Reklamationsgründe und das Kartenverfahren mit ihrem Zahlungsdienstleister klären. BRANDPROTECTIONNOW begleitet Unternehmen bei der Untersuchung wiederkehrender digitaler Betrugsmuster, der Dokumentation relevanter Transaktions- und Kontodaten und der Abstimmung technischer Schutzmaßnahmen mit Payment- und Security-Partnern. Bei missbräuchlichen Bestellungen über Bots kann zusätzlich der Schutz der Shop-Infrastruktur erforderlich sein. Weitere Informationen: BRANDPROTECTIONNOW zum Schutz vor Bot- und Serverangriffen.

Fachquellen

• Visa – Friendly Fraud und First-Party Misuse: Abgrenzung und Gegenmaßnahmen.
• Visa – Chargebacks: typische Streitgründe und Verfahren.
• Europäisches Verbraucherzentrum – Chargeback: Verbraucherrechte und Kartensysteme.
• BaFin – Zahlungskarten: rechtliche und vertragliche Einordnung von Rückbuchungen.

Coupon Fraud bezeichnet die absichtliche Erschleichung von Rabatten oder anderen Vorteilen durch gefälschte, manipulierte oder unberechtigt verwendete Gutscheine und Rabattcodes. Betroffen sind Online-Shops, Einzelhandel, Lieferdienste und digitale Plattformen. Die missbräuchliche Verwendung kann durch einen einzelnen Käufer entstehen oder durch automatisierte Systeme, die viele Codes prüfen und wiederholt einlösen.

Nicht jede unerwartete Coupon-Einlösung ist betrügerisch. Wenn ein öffentlich beworbener Rabattcode ohne wirksame Einschränkung mehrfach verwendet werden kann, liegt zunächst möglicherweise ein Fehler in der Kampagnenkonfiguration vor. Die Frage, ob ein Nutzer täuscht, gegen wirksame Bedingungen verstößt oder einen ausdrücklich eingeräumten Vorteil rechtmäßig nutzt, muss getrennt beantwortet werden.

Wie werden Coupons im Onlinehandel verwaltet?

Ein Shop kann einen festen Rabattbetrag, einen prozentualen Nachlass oder andere Vorteile an einen Code binden. Der Code wird beim Kauf eingegeben und anhand hinterlegter Bedingungen geprüft. Solche Regeln können eine Laufzeit, bestimmte Produkte, einen Mindestbestellwert oder die Zahl zulässiger Einlösungen betreffen.

Einige Aktionen verwenden für alle Kunden denselben öffentlichen Code. Andere Gutscheine sind ausdrücklich personengebunden, einmalig oder nur für bestimmte Empfänger vorgesehen. Wird die technische Prüfung der Bedingungen unvollständig umgesetzt, können bei der Einlösung unberechtigte Vorteile entstehen.

Für die Betrugsbewertung ist entscheidend, was die Aktion tatsächlich versprochen hat. Ein Unternehmen kann nicht im Nachhinein allein aus wirtschaftlicher Enttäuschung behaupten, jede häufige Einlösung eines offen verfügbaren Rabattcodes sei missbräuchlich.

Welche Formen von Coupon Fraud gibt es?

Systematisches Erraten von Gutscheincodes

Bei leicht vorhersagbaren Codes können automatisierte Programme versuchen, gültige Kombinationen zu finden. Die OWASP-Klassifikation OAT-002 Token Cracking beschreibt ausdrücklich das massenhafte Prüfen von Couponnummern, Rabattcodes oder ähnlichen Vorteilskennungen. Das ist von einem normalen fehlgeschlagenen Eingabeversuch zu unterscheiden.

Unberechtigte Weitergabe personenbezogener Codes

Ein Gutschein für einen bestimmten Kunden kann auf einer Gutscheinwebsite oder in einer öffentlichen Gruppe erscheinen. Eine weitere Nutzung ist nur dann als missbräuchlich einzuordnen, wenn sie gegen wirksame Bedingungen oder andere rechtliche Vorgaben verstößt. Eine allgemeine Empfehlung unter Freunden ist bei frei nutzbaren Rabattaktionen regelmäßig anders zu bewerten.

Mehrfache Einlösung eines Einmalcodes

Wenn ein Shop einen Code trotz vorgesehener Einmaligkeit mehrfach akzeptiert, kann ein technischer Fehler oder eine unzureichende Prüfung vorliegen. Ein Betrugsverdacht wird stärker, wenn zusätzliche Tatsachen zeigen, dass ein Nutzer diese Fehlfunktion absichtlich zur Erschleichung von Vorteilen verwendet.

Manipulation von Kombinationsregeln

Einige Rabatte dürfen nicht mit bestimmten anderen Aktionen verbunden werden. Werden solche Regeln durch fehlerhafte Programmlogik nicht eingehalten, kann ein außergewöhnlich hoher Nachlass entstehen. Ein falsch berechneter Warenkorb ist zunächst ein technischer Befund; eine vorsätzliche Täuschung muss zusätzlich belegt werden.

Gefälschte digitale oder gedruckte Coupons

In manchen Fällen werden Gutscheine nachgeahmt oder ihre Werte verändert. Für Händler ist dann entscheidend, ob die vorgelegte Berechtigung tatsächlich aus dem eigenen System stammt. Ein optisch korrektes Couponbild oder ein nachgedruckter Barcode beweist keine gültige Einlöseberechtigung.

Missbrauch von Empfehlungs- und Neukundenaktionen

Bei Promo Abuse werden häufig ganze Bonusprogramme ausgenutzt, etwa durch mehrere Konten oder gegenseitige Empfehlungen. Coupon Fraud betrifft genauer den Gutschein oder die Rabattberechtigung selbst. Beide Formen können im selben Vorfall auftreten.

Coupon Fraud, Promo Abuse und Gift-Card-Missbrauch unterscheiden

Ein Coupon gewährt gewöhnlich einen Nachlass oder Vorteil unter festgelegten Bedingungen. Ein Geschenkgutschein kann dagegen einen bereits bezahlten Wert repräsentieren. Wer den falschen Coupon verwendet, verursacht nicht zwangsläufig denselben Schaden wie jemand, der ein fremdes Guthaben ausgibt.

Bei Promo Abuse steht die systematische Ausnutzung von Neukunden- oder Empfehlungsmechanismen im Mittelpunkt. Für die Abwehr sind dann die Regeln zur Teilnahmeberechtigung und zum Kundenkonto zentral. Beim reinen Couponangriff kann eine sichere Codegenerierung und Einlöseprüfung den wesentlichen Schwachpunkt betreffen.

Die OWASP-Klassifikation OAT-002 ordnet die automatisierte Suche nach gültigen Gutschein- und Rabattcodes als eigenständige Bedrohung ein. Daraus folgt nicht, dass jeder öffentlich bekannte Gutschein als Geheimnis geschützt werden müsste.

Welche wirtschaftlichen Folgen entstehen?

Unberechtigt gewährte Rabatte können die Handelsspanne verringern. Bei einem Shop kann eine automatisierte Couponwelle außerdem die Auswertung von Marketingkampagnen verfälschen. Ein ursprünglich auf wenige Empfänger begrenztes Angebot erscheint plötzlich als sehr erfolgreiche Verkaufsaktion, obwohl es die erwarteten Kunden nicht erreicht.

Der wirtschaftliche Effekt hängt von den tatsächlichen Verkäufen und Rabattbedingungen ab. Ein hoher Couponumsatz ist nicht automatisch ein Verlust: Öffentliche Gutscheine sollen gerade eine breite Einlösung fördern. Für eine Schadensberechnung muss klar sein, welche Einlösungen unberechtigt waren und welche Vorteile tatsächlich eingeräumt wurden.

Bei zu strikten Schutzmaßnahmen entstehen eigene Risiken. Wenn das System reguläre Codes fälschlich ablehnt, verlieren Kunden möglicherweise Vertrauen oder brechen eine rechtmäßige Bestellung ab.

Ein fiktives Beispiel aus einem Kosmetikshop

Ein Shop vergibt an einzelne Kunden einen Entschuldigungsgutschein, der nach den Aktionsbedingungen nur einmal verwendet werden darf. Bei einer technischen Änderung fällt die vorgesehene Einmalprüfung aus. Kurz darauf erscheinen ungewöhnlich viele Bestellungen mit demselben Code.

Das Marketingteam stellt zuerst die tatsächlichen Bedingungen der Aktion fest. Danach werden Bestellungen, Kundenkonten und Einlösezeitpunkte geprüft. Ein Teil der Vorgänge kann auf eine öffentliche Weitergabe zurückgehen, andere Einlösungen könnten durch fehlende technische Sperren versehentlich erfolgt sein.

Die Analyse darf nicht pauschal alle Käufer als Täter einstufen. Erst wenn nachvollziehbare Tatsachen eine absichtliche Täuschung über die Berechtigung zeigen, lässt sich ein konkreter Betrugsverdacht begründen.

Woran lassen sich auffällige Coupons erkennen?

Die reine Einlösequote liefert wenig Sicherheit. Manche Rabattaktionen erreichen durch legitime Weiterempfehlungen eine ungewöhnlich hohe Reichweite. Aussagekräftiger ist der Abgleich der tatsächlich geltenden Bedingungen mit dem beobachteten Verhalten.

• Codeeingaben: Viele ungültige Varianten werden in kurzer Folge geprüft.
• Einmalberechtigung: Ein ausdrücklich nur einmal gültiger Code erscheint bei mehreren bestätigten Käufen.
• Kundenkonten: Mehrere angeblich unabhängige Teilnehmer verwenden auffällig ähnliche Kontodaten.
• Produktausschlüsse: Codes werden auf Waren angewendet, für die sie nachweislich nicht gelten sollten.
• Kombinationen: Nicht vorgesehene Rabattregeln führen zu einer fehlerhaften Preisberechnung.
• Geschäftliche Grundlage: Liegt eine echte öffentlich zugängliche Aktion vor, die solche Einlösungen erlaubt?

Ein einzelner häufiger Gutschein kann also gerade ein Zeichen einer gut verbreiteten Werbeaktion sein. Der Verdacht setzt die konkrete Abweichung von einer wirksamen Berechtigung voraus.

Wie wird ein Coupon-Fraud-Verdacht untersucht?

Ausgangspunkt sind die gespeicherten Aktionsbedingungen und die technische Umsetzung. Es wird geprüft, ob die Codes als öffentlich, personengebunden oder einmalig angelegt wurden. Danach werden tatsächlich angewendete Rabatte den Bestell- und Kontoereignissen zugeordnet.

Auch Testbestellungen und fehlerhafte Shopkonfigurationen sind als Ursachen zu berücksichtigen. Wenn ein technischer Fehler vorliegt, muss der Fehler behoben werden, unabhängig davon, ob jemand ihn absichtlich genutzt hat. Für einen wirtschaftlichen Anspruch sind darüber hinaus die tatsächlich entstandenen Kosten oder Vorteile zu dokumentieren.

Bei der Untersuchung personenbezogener Konten sind die Datenzugriffe und Aufbewahrungsfristen angemessen zu begrenzen. Ein allgemeiner Verdacht rechtfertigt kein unbegrenztes Profiling aller Gutscheinempfänger.

Welche Gegenmaßnahmen können Coupon Fraud begrenzen?

Die Schutzmaßnahmen richten sich nach der Art der Aktion. Für öffentliche Kampagnencodes können andere Regeln gelten als für persönliche Gutscheine. Wer Einmalcodes vergibt, sollte die Einlösung zuverlässig und auch bei parallelen Bestellungen prüfen.

• Bei persönlichen Coupons ausreichend schwer vorhersagbare Codewerte einsetzen.
• Einmaligkeit, Laufzeit, Kundenbindung und zulässige Produkte serverseitig kontrollieren.
• Parallele Bestellungen so behandeln, dass dieselbe Berechtigung nicht mehrfach verbraucht wird.
• Viele aufeinanderfolgende ungültige Codeversuche risikoorientiert begrenzen.
• Rabattkombinationen anhand tatsächlich vereinbarter Regeln testen.
• Fehlentscheidungen und Probleme regulärer Kunden nach Schutzänderungen auswerten.

Eine allgemein vorgeschriebene Bindung jedes Coupons an eine Person gibt es nicht. Bei einer frei verfügbaren Rabattaktion kann eine solche Bindung sogar dem legitimen Kampagnenziel widersprechen.

Welche rechtlichen Fragen entstehen?

Wird ein Vermögensvorteil durch eine nachweislich vorsätzliche Täuschung erlangt, kann unter den gesetzlichen Voraussetzungen § 263 StGB zu prüfen sein. Auch vertragliche Ansprüche können aus dem konkreten Einlöseverhältnis entstehen.

Ein Shopbetreiber muss die zugesagten Gutscheinbedingungen und die einschlägigen Verbraucherrechte beachten. Ein interner Programmfehler ist nicht automatisch eine Straftat des Kunden. Werden Angebote selbst irreführend dargestellt, können wettbewerbsrechtliche Regelungen relevant werden.

Häufige Fragen zu Coupon Fraud

Ist die Weitergabe eines Rabattcodes automatisch betrügerisch?

Nein. Öffentliche Aktionen sind häufig für eine breite Verbreitung gedacht. Bei persönlichen oder ausdrücklich begrenzten Codes gelten die jeweiligen wirksamen Bedingungen.

Wie können viele ungültige Couponversuche entstehen?

Eine Möglichkeit sind automatisierte Versuche, gültige Codes zu erraten. Auch Tippfehler oder falsch beworbene Aktionen können Fehlversuche erzeugen.

Ist jeder ungewöhnlich hohe Rabatt ein Betrugsfall?

Nein. Fehlerhafte Shopregeln oder erlaubte Rabattkombinationen können denselben Zahlenwert verursachen. Die Ursache muss nachvollzogen werden.

Wo können betroffene Unternehmen Hilfe erhalten?

Bei verdächtigen Gutscheinaktivitäten sollten Händler zunächst die Aktionsbedingungen, die Codeverwaltung und die tatsächlichen Einlösungen prüfen. BRANDPROTECTIONNOW unterstützt Unternehmen bei der Analyse automatisierter Couponversuche und verdächtiger Kundenkonten sowie bei der Abstimmung technischer Schutzmaßnahmen mit spezialisierten Partnern. Sind zusätzlich Fake-Shops oder fremde Gutscheinkampagnen unter der Marke im Umlauf, kann die Untersuchung um digitalen Markenschutz ergänzt werden. Weitere Informationen: BRANDPROTECTIONNOW zum Schutz vor Bot- und Serverangriffen.

Fachquellen

• OWASP – OAT-002 Token Cracking: massenhaftes Erraten von Gutschein- und Rabattcodes.
• OWASP – Bot Management and Anti-Automation: risikoorientierter Schutz gegen automatisierte Versuche.
• Stripe – Account and Promotion Abuse, Juli 2026: Zusammenhänge von Gutscheinen, Mehrfachkonten und Anreizen.
• § 263 StGB: Betrugstatbestand bei nachgewiesener Täuschung.

Fake Orders bezeichnet Bestellungen, die mit falschen Angaben oder unter missbräuchlichen Umständen ausgelöst werden und nicht dem behaupteten regulären Kaufvorgang entsprechen. Betroffen sein können Shops mit automatisierten Bestellabläufen, Abonnements oder reservierbaren Warenbeständen. Die Absicht kann darin bestehen, Händler wirtschaftlich zu schädigen, Lagerbestand vorübergehend zu blockieren oder fremde Zahlungsdaten einzusetzen.

Eine stornierte oder nicht bezahlte Bestellung ist nicht automatisch gefälscht. Kunden dürfen Bestellungen unter den geltenden Bedingungen widerrufen oder einen Kauf abbrechen. Auch Eingabefehler und technische Störungen kommen vor. Für die Bewertung müssen tatsächliche Bestellung, Zahlungsstatus, Identitätsangaben und die vereinbarten Verpflichtungen getrennt erfasst werden.

Wie entstehen Fake Orders in einem Shop?

Ein Online-Shop nimmt über Warenkorb und Checkout Bestellinformationen entgegen. Je nach Zahlungsart wird die Bestellung zunächst reserviert, später bezahlt oder erst nach einer gesonderten Prüfung ausgeführt. Die dabei erzeugten Aufträge können bereits Lagerbestand, Personal oder Logistikprozesse beanspruchen.

Ein missbräuchlicher Akteur kann versuchen, große Mengen Bestellungen mit nicht erreichbaren Kontaktdaten, ungültigen Zahlungen oder anderen falschen Angaben zu erzeugen. Automatisierte Programme erleichtern unter bestimmten Bedingungen die Wiederholung solcher Vorgänge. Die eigentliche Schädigung hängt davon ab, welche Geschäftsprozesse tatsächlich ausgelöst werden.

Die OWASP-Klassifikation OAT-021 Denial of Inventory beschreibt den missbräuchlichen Verbrauch oder die Blockade von Warenbeständen ohne abgeschlossenen Kauf. Daneben behandelt OAT-001 den Missbrauch gestohlener Zahlungskartendaten. Fake Orders können beide Formen berühren, müssen es aber nicht.

Welche Arten gefälschter Bestellungen gibt es?

Reservierungen ohne Kaufabsicht

Ein Warenkorb oder Reservierungssystem kann ein Produkt für eine bestimmte Zeit sperren. Werden solche Reservierungen systematisch ohne echte Kaufabsicht erzeugt, kann verfügbare Ware für andere Kunden vorübergehend blockiert werden. Eine einzelne abgebrochene Bestellung ist jedoch ein normales Element des Onlinehandels.

Bestellungen mit falschen Empfängerdaten

Ein Auftrag kann eine nicht vorhandene Anschrift oder fremde Kontaktdaten enthalten. Dadurch entstehen möglicherweise Rücksendungen und Kosten im Versand. Eine falsche Postleitzahl kann aber auch schlicht ein Tippfehler sein; die absichtliche Täuschung muss anhand weiterer Umstände erkennbar werden.

Missbrauch gestohlener Zahlungsmittel

Bei Carding können unberechtigt erlangte Kartendaten für Bestellungen eingesetzt werden. Ein solcher Auftrag kann äußerlich wie ein normaler Kauf aussehen, obwohl der Karteninhaber ihn nicht autorisiert hat. Eine später erfolgende Kartenreklamation ist deshalb sorgfältig mit dem tatsächlichen Zahlungsablauf zu vergleichen.

Automatisierte Test- und Spamaufträge

Bots können viele Aufträge mit ähnlichen Daten erzeugen. Manche Angriffe dienen dem Test von Zahlungsfunktionen; andere belasten Kundendienst oder Warenwirtschaft. Solche Vorgänge können zu Card Testing oder Bot Traffic gehören. Auch reguläre Softwaretests können vergleichbare Daten erzeugen und müssen klar gekennzeichnet sein.

Manipulierte Bestellungen in Affiliate-Programmen

Ein Partner könnte versuchen, durch künstliche Kaufmeldungen Provisionen zu erhalten. Hier überschneidet sich Fake Orders mit Conversion Fraud. Eine Bestellung, die vor der Abrechnung storniert und als ungültig markiert wurde, darf nicht automatisch als bezahlter Provisionsschaden dargestellt werden.

Böswillige Bestellungen gegen Dritte

Ein Angreifer kann fremde Namen oder Anschriften verwenden, um ungewollte Lieferungen oder Zahlungsforderungen auszulösen. Die konkrete Betroffenheit ist anhand der tatsächlich versendeten Waren und der verwendeten Identitätsdaten festzustellen.

Fake Orders und Denial of Inventory unterscheiden

Fake Orders ist der weitere Begriff für missbräuchliche oder vorgetäuschte Bestellungen. Denial of Inventory bezeichnet einen besonderen technischen Effekt: Waren oder Dienstleistungen sind für echte Käufer nicht verfügbar, weil sie ohne echten Kaufabschluss reserviert oder belegt werden.

Ein Fake Order muss nicht den Bestand blockieren. Umgekehrt kann eine missbräuchliche Reservierung stattfinden, ohne dass eine vollständige Bestellung mit Zahlungsdaten existiert. Für die Abwehr müssen daher die tatsächlichen Bestands- und Checkout-Regeln untersucht werden.

Welche Schäden können für Händler entstehen?

Unberechtigte Bestellungen können Lager- und Versandprozesse beanspruchen. Je nach Versandmodell entstehen Kosten für Verpackung, Transport und Rückführung. Bei reservierten Produkten kann echter Verkauf erschwert werden. Eine konkrete Schadensberechnung benötigt jedoch tatsächliche Belege für Kosten und nicht realisierte Geschäfte.

Auch die Datenqualität leidet, wenn Bestellberichte künstlich erzeugte Aufträge enthalten. Marketingkampagnen können dadurch erfolgreicher erscheinen, als die reale Nachfrage rechtfertigt. Die Zahl der Bestellungen darf nicht mit bestätigten bezahlten und gelieferten Aufträgen gleichgesetzt werden.

Zu aggressive Betrugsfilter können echte Bestellungen blockieren und das Einkaufserlebnis verschlechtern. Eine auffällige Lieferadresse oder eine ungewöhnliche Warenmenge genügt deshalb nicht als Beweis für einen Täter.

Ein fiktiver Vorfall bei einem Möbelshop

Ein Händler bietet eine begrenzte Stückzahl eines beliebten Tisches an. Innerhalb kurzer Zeit werden viele Exemplare reserviert, aber kaum Bestellungen bezahlt. Für mehrere Aufträge liegen gleichförmige Kontaktangaben vor. Nach Ablauf der Reservierungsfristen werden die Waren wieder freigegeben.

Der Shopbetreiber prüft zunächst die Funktionsweise seines Warenkorbs und die tatsächlichen Zahlungsversuche. Eine fehlgeschlagene Zahlungsintegration könnte vergleichbare Reservierungen verursachen. Danach werden die Zeitfolgen und vorhandenen technischen Merkmale der auffälligen Aufträge untersucht.

Ein begründeter Verdacht auf künstliche Reservierungen kann entstehen, wenn mehrere Hinweise zusammenpassen. Die genaue Identität des Handelnden und eine konkrete Absicht, Mitbewerber zu schädigen, folgen daraus noch nicht.

Woran können Händler problematische Bestellmuster erkennen?

Die aussagekräftigsten Indikatoren betreffen die zeitliche Abfolge zwischen Warenkorb, Zahlung und Versand. Ein auffälliger Bestellwert allein ist wenig belastbar, weil echte Käufer häufig größere Mengen oder Geschenksendungen bestellen.

• Hohe Zahl unbezahlter Reservierungen: Einzelne Produkte werden wiederholt blockiert, ohne dass ein Kaufabschluss erfolgt.
• Wiederkehrende Eingabemuster: Mehrere Aufträge enthalten ähnliche Kontaktdaten oder technische Abläufe.
• Ungewöhnliche Zahlungsausfälle: Viele Versuche scheitern in kurzer Zeit und betreffen verwandte Bestellvorgänge.
• Fremde Identitätsangaben: Empfänger melden Aufträge, die sie selbst nie veranlasst haben.
• Verdächtige Logistikfolgen: viele Sendungen gehen wegen nicht existierender Adressen zurück.
• Alternative Erklärungen: Störungen im Checkout oder fehlerhafte Reservierungsregeln können dieselben Muster erzeugen.

Bei der Analyse von IP-Adressen und Geräten muss berücksichtigt werden, dass viele echte Kunden gemeinsam genutzte Netzwerke verwenden. Ein automatischer Ausschluss nach einer Netzwerkadresse kann zu Fehlentscheidungen führen.

Wie werden Fake Orders untersucht?

Die Untersuchung beginnt mit einem Abgleich von Bestellstatus, Zahlungen, Lagerbewegungen und Logistikereignissen. Danach werden verdächtige Aufträge auf mögliche Gemeinsamkeiten geprüft. Bei Zahlungskartenfällen sollte der zuständige Zahlungsdienstleister eingebunden werden.

OWASP empfiehlt für missbräuchliche Automatisierung eine auf die jeweilige Funktion abgestimmte Prüfung. Ein Suchformular, ein Warenkorb und ein Login benötigen unterschiedliche Schutzmaßnahmen. Die technische Beobachtung sollte den tatsächlichen Angriffspunkt erfassen, statt lediglich sämtliche ungewöhnlichen Besucher zu blockieren.

Ein Bericht sollte bestätigte Falschaufträge, offene Verdachtsfälle und echte Kundenbestellungen getrennt dokumentieren. Auch die eventuell erfolgten Rückbuchungen und tatsächlich angefallenen Versandkosten sind einzeln zuzuordnen.

Welche Gegenmaßnahmen begrenzen Bestellmissbrauch?

Ein Shop kann die Reservierungsdauer und die Freigabe unbezahlter Bestände an das Geschäftsmodell anpassen. Bei risikoreichen oder massenhaft wiederholten Vorgängen können geeignete Bestätigungen und Zugriffsbeschränkungen helfen. Ein seriöser Schutz muss echte Käufer weiterhin bestellen lassen.

• Unbezahlte Reservierungen zeitlich angemessen begrenzen.
• Warenbestände erst nach den tatsächlich vorgesehenen Prüfschritten verbindlich blockieren.
• Automatisierte Serien an Checkout- und Reservierungsfunktionen erkennen.
• Versand und Zahlungsstatus vor aufwendigen Logistikschritten prüfen.
• Bei falschen Bestellungen die erforderlichen Beweise sichern.
• Schutzregeln auf unnötig abgewiesene echte Kunden prüfen.

Welche rechtlichen Fragen sind betroffen?

Eine vorsätzlich falsche Bestellung kann je nach tatsächlichem Ablauf vertragliche und strafrechtliche Fragen aufwerfen. Bei einer durch Täuschung erschlichenen Vermögensleistung kann unter den gesetzlichen Voraussetzungen § 263 StGB in Betracht kommen. Wird ein Wettbewerber gezielt behindert, kann in einem konkreten Wettbewerbsverhältnis auch § 4 Nr. 4 UWG zur Prüfung stehen.

Ein einfacher Kaufabbruch oder ein berechtigter Widerruf ist hiervon zu trennen. Für die Untersuchung personenbezogener Bestelldaten gelten die einschlägigen Anforderungen der DSGVO.

Häufige Fragen zu Fake Orders

Ist jede unbezahlte Bestellung ein Betrugsversuch?

Nein. Abgebrochene Käufe, reguläre Stornierungen und Zahlungsprobleme kommen häufig vor.

Können Fake Orders den Warenbestand blockieren?

Ja, wenn das Shopsystem Waren vor einem tatsächlichen Kaufabschluss reserviert. Wie lange das geschieht, hängt von seinen Regeln ab.

Beweisen viele identische Bestellungen den Einsatz eines Bots?

Nein. Technische Fehler oder legitime Sammelbestellungen können ähnliche Muster erzeugen. Es sind weitere Nachweise erforderlich.

Wo können betroffene Unternehmen Hilfe erhalten?

Bei auffälligen Bestellungen sollten Händler zuerst Bestell-, Zahlungs- und Warenwirtschaftsdaten miteinander vergleichen. BRANDPROTECTIONNOW begleitet Unternehmen bei der Untersuchung automatisierter Bestellserien, möglicher Bot-Angriffe und missbräuchlicher Reservierungen. Die Analyse kann mit technischen Schutzmaßnahmen und bei Bedarf mit spezialisierten Security- und Payment-Partnern verbunden werden. Weitere Informationen finden sich bei BRANDPROTECTIONNOW zum Schutz vor Bot- und Serverangriffen.

Fachquellen

• OWASP – Automated Threats to Web Applications: OAT-021 Denial of Inventory und OAT-001 Carding.
• OWASP – Bot Management and Anti-Automation: Schutz von Checkout- und Reservierungsfunktionen.
• § 4 UWG und § 263 StGB: mögliche rechtliche Grundlagen.

Friendly Fraud bezeichnet im Zahlungsverkehr die Beanstandung einer grundsätzlich legitimen Kartenzahlung durch den Karteninhaber oder eine Person aus dessen Haushalt. Der Begriff wird auch als First-Party Misuse verwendet. Darunter können absichtlich falsche Reklamationen fallen, mit denen eine Zahlung zurückgeholt werden soll, obwohl die Ware oder Dienstleistung vertragsgemäß erhalten wurde.

Die Bezeichnung ist allerdings nicht in jedem Einzelfall gleichbedeutend mit vorsätzlichem Betrug. Visa und Verifi zählen auch Missverständnisse dazu, etwa eine unbekannte Händlerbezeichnung auf der Kreditkartenabrechnung oder eine nicht erkannte Zahlung eines Haushaltsmitglieds. Für eine strafrechtliche Bewertung muss daher zwischen Versehen, berechtigter Reklamation und absichtlicher Täuschung unterschieden werden.

Wie entsteht Friendly Fraud im Kartenzahlungsverkehr?

Ein Kunde tätigt eine Zahlung und erhält die bestellte Leistung. Später beanstandet er die Belastung bei seiner kartenausgebenden Bank. Diese kann nach den geltenden Kartenregeln ein Streit- beziehungsweise Rückbelastungsverfahren einleiten. Der Händler wird dann möglicherweise aufgefordert, Bestell- und Leistungsnachweise einzureichen.

Ein solches Verfahren ist grundsätzlich dafür gedacht, Kunden gegen bestimmte Zahlungs- und Leistungsprobleme zu schützen. Es wird missbraucht, wenn ein Beteiligter bewusst eine falsche Behauptung aufstellt, um eine unberechtigte Rückzahlung zu erreichen. Der Unterschied liegt im tatsächlich erfolgten Geschäft und in der Absicht der Reklamation.

Die Bezeichnung „freundlicher Betrug“ ist missverständlich. Sie beschreibt keinen geringen Schaden und ist auch keine Entschuldigung für Täuschung. Umgekehrt darf die Bezeichnung nicht dazu führen, dass jede Verbraucherbeschwerde pauschal als kriminell bewertet wird.

Welche Fälle können als Friendly Fraud auftreten?

Nicht erkannte Händlerbezeichnung

Ein Karteninhaber sieht auf seiner Abrechnung einen Namen, der nicht mit der bekannten Shopbezeichnung übereinstimmt. Er könnte die Zahlung irrtümlich als unberechtigt melden. Das ist nach den Visa-Materialien eine typische Ursache versehentlicher First-Party-Misuse-Fälle, aber noch kein Nachweis für eine Täuschungsabsicht.

Bestellung durch ein Haushaltsmitglied

Eine gespeicherte Zahlungskarte wird innerhalb eines Haushalts verwendet. Der eigentliche Karteninhaber erkennt den Kauf zunächst nicht. Ob die Nutzung tatsächlich autorisiert war, kann von den konkreten Umständen abhängen. Eine solche Konstellation darf nicht automatisch als vorsätzlicher Rückbuchungsbetrug eingestuft werden.

Falsche Behauptung der Nichtlieferung

Ein Kunde könnte angeben, eine Ware nie erhalten zu haben, obwohl er sie tatsächlich entgegengenommen hat. Ob dies bewusst geschah, muss anhand der Lieferumstände, vorhandener Nachweise und weiterer Aussagen geprüft werden. Ein Status „zugestellt“ allein schließt einen echten Zustellfehler nicht vollständig aus.

Streit über genutzte digitale Leistungen

Bei digitalen Abonnements können Leistungen bereits verwendet worden sein, bevor eine Rückbuchung erfolgt. Ein Nutzer könnte den Vertragsabschluss bewusst bestreiten. Ebenso sind echte technische Mängel, unklare Vertragslaufzeiten und fehlerhafte Abrechnungen als alternative Ursachen zu berücksichtigen.

Missbrauch von Rückgabe- und Stornierungsfristen

Ein Kunde kann versuchen, eine vereinbarte Rückgabe- oder Erstattungsregel durch unzutreffende Angaben zu umgehen. Die tatsächlichen Verbraucherschutzrechte bleiben davon unberührt. Eine berechtigte Ausübung des Widerrufsrechts ist kein Friendly Fraud.

Friendly Fraud, Chargeback Fraud und Carding unterscheiden

Chargeback Fraud beschreibt speziell den absichtlichen Missbrauch eines Rückbuchungsverfahrens. Der Ausdruck Friendly Fraud wird in der Branche teilweise weiter gebraucht und umfasst auch Fehler oder Missverständnisse, obwohl das Wort „Fraud“ eine absichtliche Täuschung nahelegt.

Bei Carding werden fremde Zahlungskartendaten ohne Berechtigung verwendet. Der Karteninhaber kann eine solche Zahlung rechtmäßig reklamieren. Für den Händler sind die späteren Rückbuchungen äußerlich ähnlich, die zugrunde liegende Ursache aber verschieden.

Bei Refund Fraud kann wiederum ein Händler- oder Plattformprozess zur Erstattung missbraucht werden, ohne dass ein Karten-Chargeback eingeleitet wird. Deshalb sollte ein Untersuchungsbericht genau benennen, über welchen Zahlungsweg eine Rückforderung stattfand.

Welche Folgen können für Händler entstehen?

Eine unberechtigte Rückbelastung kann zum Verlust des Kaufpreises führen. Ist die Ware bereits geliefert oder eine digitale Leistung erbracht, können zusätzliche Kosten entstehen. Je nach Vertrag erhebt der Zahlungsanbieter möglicherweise Bearbeitungsgebühren. Eine hohe Streitquote kann außerdem weitere Kontrollen auslösen.

Auch legitime Kunden können durch überstrenge Betrugsfilter beeinträchtigt werden. Wer jeden Streitfall pauschal ablehnt oder öffentlich als Betrug bezeichnet, riskiert zusätzliche Beschwerden und rechtliche Konflikte. Die richtige Behandlung berechtigter Reklamationen gehört deshalb zur Abwehr tatsächlicher Missbrauchsfälle.

Eine pauschale Schadensberechnung nach der Zahl aller Chargebacks wäre nicht sachgerecht. Ein Teil der Verfahren kann erfolgreich bestritten werden, andere betreffen tatsächlich mangelhafte Leistungen oder nicht autorisierte Zahlungen.

Ein fiktives Beispiel bei einem Streamingdienst

Ein Streaminganbieter stellt fest, dass ein Kunde mehrere Monate auf digitale Inhalte zugegriffen hat und anschließend eine Kartenreklamation einreicht. Er behauptet, das Abonnement nie abgeschlossen zu haben. Die vorhandenen Daten zeigen eine Anmeldung, eine Bestätigung der Vertragsbedingungen und fortlaufende Nutzung.

Der Anbieter prüft zunächst, ob ein Konto durch Dritte verwendet oder die Vertragsinformationen möglicherweise missverständlich dargestellt wurden. Die Nutzung des Kontos beweist allein nicht zwingend, wer die Zahlung autorisiert hat. Nach dem Vergleich der vorhandenen Daten werden die zulässigen Nachweise im Kartenstreitverfahren eingereicht.

Ob die Reklamation absichtlich falsch war, kann erst nach genauer Prüfung der gesamten Situation beurteilt werden. Ein einzelner Logeintrag genügt dafür nicht.

Welche Warnsignale verdienen eine nähere Prüfung?

Visa nennt wiederkehrende Streitfälle, die nicht zu den vorhandenen Transaktions- und Lieferinformationen passen, als mögliche Hinweise. Dabei sollten auch die konkreten Reklamationsgründe und die Kontohistorie berücksichtigt werden. Einzelne Hinweise können jedoch reguläre Ursachen haben.

• Wiederholte Rückbuchungen: Dieselben oder nachvollziehbar verbundene Konten beanstanden mehrere bereits erbrachte Leistungen.
• Liefernachweise: Die konkrete Reklamationsbegründung passt nicht zu verfügbaren Zustell- oder Empfangsdaten.
• Nutzung digitaler Leistungen: Ein Konto weist tatsächliche Aktivitäten während der beanstandeten Vertragslaufzeit auf.
• Abrechnungsangaben: Unbekannte Händlernamen oder unklare Aboinformationen könnten die Reklamation erklären.
• Kundenkommunikation: Frühere Aussagen und die spätere Rückbuchungsbegründung widersprechen sich in erheblichen Punkten.
• Vertragliche Rechte: Widerruf, Mängelrechte oder andere berechtigte Einwendungen müssen berücksichtigt werden.

Die Bewertung darf nicht allein auf einer technischen Risikoanzeige beruhen. Kunden können legitime Rechte geltend machen, auch wenn ihr Nutzungsverhalten zunächst ungewöhnlich wirkt.

Wie wird ein Streitfall geprüft?

Der Händler sollte den konkreten Grund der Rückbuchung ermitteln und die vorgesehenen Fristen des Zahlungsdienstleisters beachten. Danach werden Bestellbestätigung, vereinbarte Leistungen, Liefer- oder Nutzungsdaten und relevante Kommunikation zusammengeführt. Welche Belege akzeptiert werden, richtet sich nach dem jeweiligen Kartenverfahren.

Visa bietet Verfahren, über die Händler bestimmte Transaktionsinformationen für die Klärung vorlegen können. Die Berechtigung des Kunden zur Reklamation und eine mögliche vorsätzliche Täuschung sind jedoch getrennte Fragen. Nicht jeder verlorene Chargeback ist automatisch ein strafbarer Betrugsfall.

Bei der Dokumentation personenbezogener Nutzungsspuren sind die Anforderungen der DSGVO zu beachten. Eine Analyse darf nicht unbegrenzt Daten sammeln, nur weil ein späterer Streit theoretisch denkbar ist.

Welche Maßnahmen können Friendly Fraud reduzieren?

Eine klare Kommunikation vor und nach dem Kauf hilft, Missverständnisse zu vermeiden. Dazu gehören verständliche Angaben zu Preisen und Abonnements, erkennbare Händlerbezeichnungen auf Kartenabrechnungen sowie nachvollziehbare Bestell- und Lieferbestätigungen.

• Den auf der Kartenabrechnung erscheinenden Händlernamen eindeutig gestalten.
• Bestellungen, Leistungen und Stornierungsbedingungen klar dokumentieren.
• Kunden leicht erreichbare Kontakt- und Reklamationswege anbieten.
• Bei digitalen Leistungen angemessene Nachweise der Bereitstellung und Nutzung vorhalten.
• Bei strittigen Vorgängen den vorgesehenen Weg des Acquirers oder Zahlungsdienstleisters nutzen.
• Interne Betrugsregeln auf die fälschliche Einstufung berechtigter Beschwerden prüfen.

Kein Händler kann durch perfekte Dokumentation jede unberechtigte Reklamation verhindern. Eine nachvollziehbare Beweislage und fairer Kundendienst können aber die Klärung verbessern.

Welche rechtlichen Grenzen gelten?

Wer eine Rückzahlung durch vorsätzlich falsche Angaben erschleicht, kann unter den gesetzlichen Voraussetzungen § 263 StGB erfüllen. Die bloße Reklamation einer Zahlung genügt nicht für diese Bewertung.

Bei nicht autorisierten Zahlungsvorgängen gelten andere Rechte, etwa aus § 675u BGB. Ein Karten-Chargeback ist daneben ein Verfahren nach den jeweiligen Kartenregeln. Ein Streit über eine vertragswidrige Lieferung kann wiederum zivilrechtliche Leistungs- oder Gewährleistungsansprüche betreffen.

Häufige Fragen zu Friendly Fraud

Ist Friendly Fraud immer absichtlicher Betrug?

Nein. Visa und Verifi verwenden den Begriff teilweise auch für versehentliche oder missverstandene Reklamationen. Eine strafbare Täuschung erfordert zusätzliche Voraussetzungen.

Beweist die Nutzung eines Abonnements eine berechtigte Zahlung?

Sie kann ein wichtiges Indiz sein. Ob die Zahlung tatsächlich autorisiert und der Vertrag wirksam zustande gekommen ist, muss gesondert geprüft werden.

Kann ein Händler eine Rückbuchung bestreiten?

Je nach Kartenverfahren kann er geeignete Nachweise einreichen. Das Ergebnis ist nicht garantiert.

Wo können betroffene Unternehmen Hilfe erhalten?

Bei auffälligen Rückbuchungen sollten Händler zunächst die einzelnen Streitgründe und vorhandenen Transaktionsnachweise gemeinsam mit dem Zahlungsdienstleister prüfen. BRANDPROTECTIONNOW begleitet Unternehmen bei der Untersuchung wiederkehrender digitaler Betrugsmuster, der Dokumentation technischer Auffälligkeiten und der Abstimmung geeigneter Schutzmaßnahmen mit Payment- und Security-Partnern. Legitime Kundenrechte und versehentliche Reklamationen werden dabei ausdrücklich von möglichen Täuschungsfällen getrennt. Weitere Informationen bietet BRANDPROTECTIONNOW zum Schutz vor Bot- und Serverangriffen.

Fachquellen

• Visa – Friendly Fraud Explained: First-Party Misuse und typische Irrtümer.
• Visa Verifi – Why Did I Receive a Chargeback?: absichtliche und versehentliche Reklamationen.
• Visa – Chargebacks: Streitgründe und Nachweise.
• § 675u BGB und § 263 StGB: rechtliche Einordnung.

Gift Card Fraud bezeichnet Betrugsversuche, bei denen Geschenk-, Guthaben- oder digitale Wertkarten für unberechtigte Zahlungen, den Diebstahl bestehender Guthaben oder andere Täuschungen eingesetzt werden. Täter können fremde Kartencodes verwenden, Gutscheine mit gestohlenen Zahlungsmitteln erwerben oder Menschen durch falsche Forderungen dazu bringen, einen gültigen Gutschein samt PIN herauszugeben.

Die Verwendung einer Geschenkkarte ist nicht an sich verdächtig. Händler verkaufen Karten als reguläres Geschenk oder vorausbezahltes Guthaben. Ein Betrugsvorwurf verlangt den Nachweis einer unberechtigten Verwendung oder Täuschung. Auch eine ungewöhnliche Kartenentwertung kann durch einen internen Buchungsfehler entstehen und muss zunächst geprüft werden.

Wie funktionieren digitale und physische Geschenkkarten?

Bei einer Guthabenkarte ist der gespeicherte Wert häufig mit einer Kartennummer, einem Barcode oder einem digitalen Code verbunden. Manche Anbieter verlangen bei der Einlösung eine zusätzliche PIN oder ein Kundenkonto. Die genauen Schutzregeln hängen vom Herausgeber und vom eingesetzten Kassensystem ab.

Eine Geschenkkarte kann dadurch einen wirtschaftlich verwertbaren Wert darstellen, ohne dass für jede Einlösung erneut eine klassische Bank- oder Kartenzahlung autorisiert werden muss. Werden die für die Einlösung nötigen Informationen bekannt, können unberechtigte Personen unter bestimmten Bedingungen versuchen, das Guthaben auszugeben.

Für die Untersuchung sind Kartenverkauf, Aktivierung, Guthabenabfrage, Übertragung und Einlösung auseinanderzuhalten. Der bloße Besitz einer Kartennummer beweist nicht, dass ein Geldwert verfügbar oder bereits gestohlen wurde.

Welche Betrugsformen gibt es?

Falsche Zahlungsforderungen per Gutschein

Ein Betrüger kann sich als Behörde, Vorgesetzter oder Kundendienst ausgeben und verlangen, eine angebliche Rechnung durch Geschenkkarten zu begleichen. Nach dem Kauf fordert er die Codes und gegebenenfalls PINs. Die US-Verbraucherschutzbehörde FTC warnte im Januar 2026 ausdrücklich vor Nachrichten, in denen angebliche Chefs ihre Mitarbeiter zum kurzfristigen Kauf und zur Weitergabe von Gutscheincodes bewegen wollen.

Unberechtigter Zugriff auf bestehende Guthaben

Wenn Karten- oder Kontoinformationen offengelegt wurden, kann das gespeicherte Guthaben unter bestimmten Voraussetzungen ohne Zustimmung des Inhabers eingelöst werden. Die technische Ausführung hängt von den Regeln des konkreten Herausgebers ab. Nicht jede unerklärliche Guthabendifferenz beweist einen fremden Zugriff.

Automatisierte Prüfung von Kartencodes

Die OWASP-Klassifikation OAT-002 Token Cracking erfasst massenhaftes Prüfen von Gutschein- und Rabattkennungen. Auch die neuere OWASP-Dokumentation zu Bot Management nennt gift-card enumeration als automatisierten Missbrauch. Die Abwehr betrifft vor allem geeignete Zugriffsbeschränkungen und die Kontrolle von Einlöseversuchen.

Geschenkkartenkauf mit gestohlenen Zahlungsmitteln

Eine Wertkarte kann selbst mit einem unberechtigt verwendeten Zahlungsmittel erworben werden. Dadurch können mehrere Vorgänge entstehen: eine ursprünglich unautorisierte Zahlung und die spätere Einlösung oder Weitergabe des Guthabens. Der Kartenherausgeber muss die tatsächlich betroffenen Transaktionen gesondert beurteilen.

Gefälschte Guthabenseiten

Eine nachgeahmte Website kann vorgeben, den Wert einer Geschenkkarte zu prüfen. Gibt der Nutzer dort Nummer und PIN ein, könnten die Daten bei einem fremden Betreiber landen. Ein solcher Fall überschneidet sich mit Phishing und Brand Impersonation.

Missbrauch interner Erstattungs- und Ausgabeprozesse

Wenn Mitarbeiter oder Dienstleister unberechtigt neue Karten aktivieren oder Wertgutschriften erteilen, kann ein internes Kontrollproblem entstehen. Für die Bewertung sind tatsächliche Berechtigungen, Buchungsdaten und die geltenden Regeln des Unternehmens erforderlich. Ein fehlender Beleg ist zunächst ein Anlass zur Prüfung.

Gift Card Fraud, Coupon Fraud und Loyalty Fraud unterscheiden

Bei Coupon Fraud geht es häufig um Rabatte, die unter bestimmten Bedingungen gewährt werden. Eine Geschenkkarte repräsentiert dagegen oft ein bereits entgeltlich erworbenes Guthaben. Die wirtschaftliche und rechtliche Wirkung kann deshalb anders sein.

Loyalty Fraud betrifft Punkte und Prämien aus Treueprogrammen. Die Systeme können verbunden sein, etwa wenn ein Kunde Punkte in digitale Gutscheine umwandelt. Dann muss nachvollzogen werden, ob das Treuekonto übernommen oder erst der ausgegebene Gutschein unberechtigt verwendet wurde.

Welche Schäden können für Verbraucher und Händler entstehen?

Verbraucher können den Wert einer gekauften Karte verlieren. Bei einer falschen Zahlungsaufforderung kann das Geld bereits weg sein, sobald der Täter die Codes eingelöst oder weitergegeben hat. Die FTC empfiehlt deshalb, den Kartenausgeber nach einem solchen Vorfall unverzüglich zu kontaktieren und Kaufbelege aufzubewahren. Eine Rückerstattung lässt sich nicht garantieren.

Händler können durch gefälschte Aktivierungen, unberechtigte Einlösungen oder Kartenkäufe mit fremden Zahlungsmitteln wirtschaftlich betroffen sein. Welcher Beteiligte einen Verlust trägt, richtet sich nach dem konkreten Zahlungssystem und den anwendbaren Regeln. Eine pauschale Aussage, sämtliche Verluste träfen den Händler, wäre falsch.

Bei gefälschten Marken-Guthabenseiten kann der echte Herausgeber Beschwerden über Angebote erhalten, die er nicht betreibt. Ein solcher Fall betrifft die Markenidentität, belegt aber keinen direkten Angriff auf die offizielle Website.

Ein fiktiver Fall in der Buchhaltung

Eine Mitarbeiterin erhält eine kurze Nachricht, die angeblich vom Geschäftsführer stammt. Sie soll für ein Firmenevent Geschenkkarten kaufen und die Codes sofort als Foto senden. Die Nachricht verwendet eine unbekannte Telefonnummer und verweist auf die angebliche Dringlichkeit einer internen Bestellung.

Die Mitarbeiterin bestätigt die Anweisung über die bereits bekannte Firmentelefonnummer. Der Geschäftsführer hat keinen solchen Auftrag erteilt. Die Nachricht wird dokumentiert und das fremde Profil gegebenenfalls gemeldet. In diesem Fall wurde der Zahlungsbetrug bereits vor dem Kauf erkannt.

Wären die Karten gekauft und Codes verschickt worden, müssten Herausgeber und mögliche Zahlungsanbieter umgehend informiert werden. Der nachweisbare Schaden bestünde dann in den tatsächlich verlorenen Guthaben und weiteren konkret entstandenen Kosten.

Woran lassen sich verdächtige Vorgänge erkennen?

Bei einer gesendeten Zahlungsaufforderung ist der behauptete Absender häufig der wichtigste Prüfpunkt. Bei einem technischen Angriff auf Gutscheinbestände stehen die Aktivierungs- und Einlöseprotokolle im Vordergrund.

• Ungewöhnlicher Zahlungswunsch: Eine angebliche Behörde oder Führungskraft verlangt Gutscheincodes statt einer regulären Zahlungsabwicklung.
• Fremde Guthabenprüfung: Eine unbekannte Website fordert Kartennummer und PIN.
• Wiederkehrende Codeversuche: Viele ungültige Kennungen werden in kurzer Zeit an einer Abfragefunktion getestet.
• Unbekannte Einlösungen: Guthaben wird verbraucht, obwohl der Berechtigte keinen entsprechenden Einkauf vorgenommen hat.
• Fehlende Aktivierungsdaten: Kartentransaktionen stimmen nicht mit dem vorgesehenen Verkaufsvorgang überein.
• Nachgeahmte Markenauftritte: Ein fremder Shop behauptet, offizieller Kartenausgeber oder Support zu sein.

Ein gemeinsamer Internetanschluss oder mehrere Einlösungen kurz nacheinander sind allein kein Betrugsbeweis. Ein großer Händler kann beispielsweise regulär viele Gutscheine während einer saisonalen Aktion verkaufen.

Wie untersucht ein Händler einen Gift-Card-Vorfall?

Ein Kartenherausgeber kann die betroffenen Kennungen, Aktivierungszeitpunkte, Buchungen und Einlöseereignisse überprüfen. Wenn ein Kunde einen Guthabendiebstahl meldet, müssen die tatsächlichen Kontobewegungen und die geltenden Einlösebedingungen rekonstruiert werden.

Bei einem automatisierten Angriff auf öffentliche Guthabenabfragen sind die technische Absicherung und die Zugriffsprotokolle zu prüfen. OWASP empfiehlt für solche Funktionen risikoorientierte Kontrollen, ohne legitime Kunden und autorisierte Dienste unnötig zu blockieren.

Die Untersuchung sollte auch klären, ob die Guthabendifferenz durch einen Systemfehler, eine berechtigte Familiennutzung oder eine andere reguläre Ursache entstanden sein könnte. Eine Täteridentifikation allein anhand einer IP-Adresse ist nicht zuverlässig.

Welche Schutzmaßnahmen helfen?

Händler können Karten- und Einlösesysteme mit geeigneten Berechtigungs- und Zugriffskontrollen absichern. Persönliche PINs und Guthabenabfragen dürfen nicht beliebig vielen unkontrollierten automatisierten Versuchen ausgesetzt sein. Der genaue Schutz hängt von den technischen Abläufen des Programms ab.

• Guthabenabfragen und Einlösefunktionen gegen massenhafte Versuche absichern.
• Aktivierungen, Wertänderungen und Auszahlungen nachvollziehbar dokumentieren.
• Interne Berechtigungen für die Ausgabe und Änderung von Kartenwerten begrenzen.
• Offizielle Guthabenprüfungen und Kundendienstadressen klar benennen.
• Mitarbeiter auf ungewöhnliche Zahlungsanweisungen per Gutschein vorbereiten.
• Bei einem bestätigten Vorfall betroffene Kartennummern und Guthabenbewegungen prüfen.

Eine Rückerstattungspflicht folgt nicht allein aus dem technischen Begriff Gift Card Fraud. Die konkreten Verbraucherrechte, Programmbedingungen und möglichen Haftungsfragen sind zu unterscheiden.

Welche rechtlichen Fragen sind betroffen?

Wer durch bewusst falsche Angaben zum Kauf oder zur Übermittlung von Gutscheincodes veranlasst, kann unter den gesetzlichen Voraussetzungen den Betrugstatbestand nach § 263 StGB erfüllen. Bei unberechtigtem Zugriff auf geschützte Kundendaten können weitere Vorschriften zur Anwendung kommen.

Der Wert einer Geschenkkarte kann auf einem Vertragsverhältnis mit dem Herausgeber beruhen. Fragen zu Einlösefrist, Übertragbarkeit und Ersatz bei Missbrauch lassen sich nicht pauschal für jedes Programm beantworten. Der jeweilige Kaufvertrag und die geltenden gesetzlichen Regeln sind zu prüfen.

Häufige Fragen zu Gift Card Fraud

Ist eine Zahlungsforderung per Geschenkkarte ein Warnsignal?

Ja, besonders bei angeblichen Behördengebühren, Sicherheitszahlungen oder unerwarteten Anweisungen eines Vorgesetzten. Der behauptete Absender sollte über einen bestätigten anderen Kanal überprüft werden.

Kann ein Gutscheinguthaben ohne die physische Karte gestohlen werden?

Bei bestimmten Systemen können Nummer und PIN zur digitalen Einlösung ausreichen. Die tatsächlichen Anforderungen hängen vom Herausgeber ab.

Kann man verlorene Gutscheinwerte immer zurückerhalten?

Nein. Der Herausgeber sollte sofort kontaktiert werden. Ob eine Erstattung möglich ist, hängt vom konkreten Fall ab.

Wo können betroffene Unternehmen Hilfe erhalten?

Bei verdächtigen Gutscheinaktivitäten sollten Händler zuerst Kartenaktivierungen, Einlösungen und die betroffenen technischen Abfragen kontrollieren. BRANDPROTECTIONNOW begleitet Unternehmen bei der Untersuchung automatisierter Codeversuche, gefälschter Marken-Guthabenseiten und damit verbundener digitaler Angriffe. Die Dokumentation kann als Grundlage für technische Gegenmaßnahmen und geeignete Plattformmeldungen dienen. Weitere Informationen finden sich bei BRANDPROTECTIONNOW zum Schutz vor Bot- und Serverangriffen.

Fachquellen

• FTC – Falsche Chef-Anweisungen zum Geschenkkartenkauf, Januar 2026: typische Täuschung und Schutz.
• FTC – Gift Card Scams melden: Kontakt zum Herausgeber und Sicherung von Belegen.
• OWASP – Bot Management and Anti-Automation: Gift-Card-Enumeration und Gegenmaßnahmen.
• OWASP – OAT-002 Token Cracking: massenhaftes Prüfen von Wert- und Couponkennungen.

Inventory Hoarding beschreibt das massenhafte Belegen von Warenbeständen, Buchungsplätzen oder anderen begrenzten Angeboten, ohne dass die betreffenden Produkte tatsächlich erworben werden. Im Onlinehandel kann ein Bot beispielsweise versuchen, viele Artikel in Warenkörben oder Reservierungen zu halten, sodass echte Kunden sie vorübergehend nicht kaufen können. Im Sicherheitskontext gehört dieses Verhalten zur Angriffsklasse Denial of Inventory.

Ein gefüllter Warenkorb ist nicht automatisch eine reservierte Ware. Viele Shops reduzieren ihren verfügbaren Bestand erst beim Kaufabschluss oder nach einem weiteren Schritt. Inventarhortung kann daher nur dort einen entsprechenden Verfügbarkeitseffekt auslösen, wo das System Bestände oder Plätze tatsächlich zeitweise blockiert.

Wie entsteht eine Warenkorbblockade?

Bestimmte Shops reservieren Artikel für eine begrenzte Zeit, damit ein Käufer den Checkout abschließen kann, ohne dass die Ware währenddessen an jemand anderen verkauft wird. Ähnliche Mechanismen existieren bei Konzerttickets, Hotelzimmern, Terminen und zeitlich begrenzten Dienstleistungen.

Ein Angreifer kann versuchen, über viele Konten oder Sitzungen Reservierungen auszulösen und die Plätze nach deren Ablauf erneut zu belegen. Dadurch kann eine Verfügbarkeitssperre für echte Nutzer entstehen. Die konkrete Wirkung hängt von Reservierungsdauer, Lagerlogik und zulässigen Kontingenten ab.

OWASP führt die Methode als OAT-021 – Denial of Inventory. Die Organisation beschreibt dabei den Entzug begrenzter Bestände ohne tatsächlichen Kauf oder verbindlichen Abschluss. Die automatisierte Wiederholung ist eine mögliche Durchführung, aber nicht die einzig denkbare Ursache vorübergehender Blockaden.

Welche Formen von Inventory Hoarding treten auf?

Blockade limitierter Shopartikel

Ein Bot kann viele Warenkörbe mit begehrten Produkten füllen. Wenn der Händler den verfügbaren Bestand in dieser Phase reduziert, kann das Produkt zeitweise als ausverkauft erscheinen. Ohne tatsächliche Reservierungsfunktion hat der Vorgang dagegen nicht dieselbe Wirkung.

Reservierte Tickets und Sitzplätze

Bei Veranstaltungen können Plätze für eine begrenzte Checkout-Zeit gehalten werden. Viele parallele Reservierungen können andere Besucher vorübergehend ausschließen. Auch hier sind Fehlfunktionen oder echte Nachfrage als mögliche Ursachen zu berücksichtigen.

Hotel- und Terminbuchungen

OWASP beschreibt reservierbare Dienstleistungen ausdrücklich als mögliche Ziele. Ein Angreifer könnte versuchen, Zimmer, Tische oder Termine wiederholt zu blockieren, ohne eine endgültige Buchung vorzunehmen. Ein regulärer Buchungsabbruch ist kein Beweis für einen Missbrauch.

Wiederholte Reservierungsverlängerung

Manche Systeme setzen eine Reservierungsfrist bei einer erneuten Aktion zurück. Wird dies massenhaft ausgenutzt, kann ein Bestand länger blockiert bleiben als vom Shop vorgesehen. Die konkrete technische Schwachstelle muss anhand der tatsächlichen Geschäftslogik untersucht werden.

Verknüpfung mit künstlichen Konten

Bei Account Creation Fraud können neue Nutzerprofile die erlaubte Zahl paralleler Reservierungen scheinbar auf mehrere Kunden verteilen. Ein Haushalt oder ein Unternehmen kann jedoch berechtigterweise mehrere echte Konten besitzen. Eine reine Gleichheit der Lieferadresse beweist kein betrügerisches Netzwerk.

Wie unterscheidet sich Inventory Hoarding von Scalping?

Scalping Bots werden häufig eingesetzt, um begehrte Waren oder Tickets tatsächlich zu erwerben und später weiterzuverkaufen. Bei Inventory Hoarding bleibt der Kauf gerade aus. Das primäre Problem ist die blockierte Verfügbarkeit.

Ein tatsächlicher Weiterverkauf kann andere verbraucher- oder vertragsrechtliche Fragen aufwerfen. Der Vorwurf eines Denial-of-Inventory-Angriffs darf daher nicht allein aus einer hohen Bestellzahl abgeleitet werden. Die technische Abfolge von Reservierung, Zahlung und Freigabe ist für diese Einordnung wichtig.

Welche Folgen können für Unternehmen entstehen?

Wenn ein großer Teil des Bestands künstlich gehalten wird, sehen echte Besucher möglicherweise keine kaufbaren Produkte. Das kann zu Kaufabbrüchen und Beschwerden führen. Eine vorübergehende Blockade muss jedoch nicht in jedem Fall zu messbaren Umsatzverlusten führen; später freigegebene Ware kann regulär verkauft werden.

Die Bestands- und Conversionstatistiken können ebenfalls verfälscht sein. Viele begonnene Checkouts wirken auf den ersten Blick wie hohe Nachfrage, obwohl kein entsprechender Verkaufsabschluss stattfindet. Das kann auch ein Zeichen einer schlecht konfigurierten Reservierungsfunktion sein.

Für die Schadensberechnung sind die tatsächlich blockierten Zeiträume, nicht erfüllte Kaufanfragen und gegebenenfalls entstandene Betriebskosten zu untersuchen. Die Anzahl sämtlicher aufgegebener Warenkörbe ist kein finanzieller Schaden.

Ein fiktives Beispiel bei einem Ticketanbieter

Ein Veranstalter verkauft Eintrittskarten für eine kleine Halle. Nach dem Verkaufsstart erscheinen große Teile des Sitzplans als nicht verfügbar, obwohl nur wenige Zahlungen abgeschlossen wurden. Kurz nach Ablauf der Reservierungsfrist tauchen viele Plätze wieder auf und werden unmittelbar erneut blockiert.

Das Technikteam untersucht die Reservierungskennungen, Zeitstempel und zugelassenen Kaufkontingente. Eine Überlastung der Zahlungsintegration oder echte große Nachfrage könnten ebenfalls zu ähnlichen Beobachtungen führen. Erst der wiederholte gezielte Ausschluss ohne nachvollziehbaren Kaufabschluss begründet einen Denial-of-Inventory-Verdacht.

Der Veranstalter korrigiert zunächst die Reservierungslogik und überprüft die technischen Kontrollen. Die Identität einer verantwortlichen Person lässt sich aus anonymisierten Sitzungsdaten nicht ohne Weiteres feststellen.

Woran lässt sich eine künstliche Blockade erkennen?

OWASP nennt den Anstieg reservierter, aber nicht bezahlter Bestände und eine erhöhte Zahl abgebrochener Checkouts als mögliche Signale. Auch Beschwerden über scheinbar ausverkaufte Produkte können einen Zusammenhang zeigen.

• Viele offene Reservierungen: Ein hoher Anteil begrenzter Ware ist belegt, ohne dass entsprechende Zahlungsvorgänge vorliegen.
• Wiederkehrende Sitzungen: Kurz nach Ablauf einer Frist werden dieselben Plätze oder Produkte erneut reserviert.
• Niedrige Abschlussquote: Die Reservierungszahl steigt, während bestätigte Käufe ausbleiben.
• Ungewöhnliche Kontonutzung: Viele verbundene Konten halten ähnliche Kontingente.
• Wiederkehrende Kundenbeschwerden: Käufer berichten von nicht verfügbaren Produkten, die später ohne Verkäufe wieder erscheinen.
• Alternative Ursachen: Zahlungsfehler, echte Nachfrage und falsch gesetzte Reservierungsfristen sind zu prüfen.

Welche Maßnahmen helfen gegen Inventory Hoarding?

Ein Shop sollte zuerst feststellen, zu welchem Zeitpunkt der Bestand tatsächlich gesperrt wird. Die Reservierungsdauer kann am normalen Kaufprozess ausgerichtet werden. Bei besonders knappen Produkten können risikoorientierte Begrenzungen für parallele Reservierungen sinnvoll sein.

• Reservierungszeiten und automatische Freigaben technisch korrekt umsetzen.
• Mehrfachreservierungen derselben knappen Ware anhand geeigneter Signale prüfen.
• Bei hoher Nachfrage Warteschlangen oder verbindlichere Buchungsschritte abwägen.
• Automatisierte Wiederholungen an den betreffenden Funktionen kontrollieren.
• Legitime Nutzer mit längeren Checkouts oder Barrierefreiheitsbedarf berücksichtigen.
• Die Auswirkung von Änderungen auf echte Käufe und Fehlblockierungen messen.

OWASP nennt unter anderem Reservierungslimits und unter bestimmten Geschäftsbedingungen Anzahlungen als mögliche Schutzansätze. Eine Anzahlung kann jedoch wirtschaftliche und rechtliche Folgen haben und passt nicht zu jedem Angebot. Sie darf nicht pauschal als notwendige Pflicht dargestellt werden.

Welche Rechtsfragen können entstehen?

Wird ein Wettbewerber durch eine gezielte künstliche Blockade seines Verkaufsangebots behindert, kann unter den konkreten Voraussetzungen § 4 Nr. 4 UWG zu prüfen sein. Ein technischer Missbrauch ist nicht automatisch eine strafbare Datenveränderung oder ein Betrug. Die zugrunde liegenden Handlungen und möglichen Vermögensfolgen müssen festgestellt werden.

Bei der Auswertung von Konten und technischen Nutzungsmerkmalen sind die DSGVO und gegebenenfalls das TDDDG zu beachten. Eine aggressive Kontensperre darf echte Kaufinteressenten nicht willkürlich ausschließen.

Häufige Fragen zu Inventory Hoarding

Blockiert jeder Warenkorb den Lagerbestand?

Nein. Viele Shops reservieren Ware erst in einem späteren Schritt oder nach einer bestätigten Bestellung.

Ist Inventory Hoarding dasselbe wie Scalping?

Nein. Scalping zielt typischerweise auf den tatsächlichen Erwerb und Weiterverkauf ab. Beim Hoarding werden verfügbare Bestände ohne Kaufabschluss gehalten.

Ist jeder abgebrochene Checkout ein Angriff?

Nein. Normale Kaufabbrüche sind üblich. Zu prüfen ist die tatsächliche systematische Blockade.

Wo können betroffene Unternehmen Hilfe erhalten?

Bei ungewöhnlichen Reservierungsmustern sollten Unternehmen zuerst Warenwirtschaft, Checkout-Regeln und tatsächliche Bezahlvorgänge vergleichen. BRANDPROTECTIONNOW begleitet Unternehmen bei der Untersuchung möglicher Inventory-Hoarding-Angriffe, der Dokumentation automatisierter Reservierungen und der Abstimmung passender Bot-Schutzmaßnahmen mit spezialisierten Security-Partnern. Weitere Informationen: BRANDPROTECTIONNOW zum Schutz vor Bot- und Serverangriffen.

Fachquellen

• OWASP – OAT-021 Denial of Inventory: technische Definition und Abgrenzung zu Scalping.
• OWASP – Automated Threats to Web Applications: Klassifikation.
• OWASP – Bot Management: geeignete Kontrollen.
• § 4 UWG: mögliche gezielte Mitbewerberbehinderung.

Loyalty Fraud bezeichnet die betrügerische Verwendung von Guthaben, Punkten, Prämien oder Konten in Kundenbindungsprogrammen. Betroffen sind etwa Flugmeilen, Hotelpunkte, Einkaufsboni und andere über Kundenkonten verwaltete Vorteile. Täter können versuchen, fremde Konten zu übernehmen, Punkte unberechtigt zu übertragen oder Regeln für deren Vergabe zu manipulieren.

Ein ungewöhnlicher Punktestand ist nicht automatisch ein Betrugshinweis. Gutschriften können aufgrund von Stornierungen zurückgenommen werden, Aktionen können unterschiedliche Bedingungen haben und technische Fehler können einen Kontostand zeitweise falsch darstellen. Für eine belastbare Bewertung muss der tatsächliche Prämienanspruch mit den dokumentierten Kontobewegungen verglichen werden.

Warum stehen Treueprogramme im Fokus von Betrügern?

Gesammelte Punkte können einen wirtschaftlichen Wert besitzen, weil sich damit Waren, Reisen oder andere Leistungen beziehen lassen. Die Kontrolle über ein Kundenkonto kann deshalb auch dann attraktiv sein, wenn dort keine unmittelbar verwendbare Zahlungskarte gespeichert ist. Wie hoch der mögliche Wert ist, hängt von den Einlöseregeln des jeweiligen Programms ab.

Mastercard erläutert in einer Fachveröffentlichung zu Treueprogrammen insbesondere Gefahren durch Account Takeover, unbefugte Punktetransfers und den Missbrauch von Bonusregeln. Einige Angriffe richten sich gegen einen einzelnen Kunden, andere gegen die Verwaltung des Programms oder seine Schnittstellen.

Die Sicherheit eines Bonuskontos muss deshalb zusammen mit den tatsächlichen Möglichkeiten zur Einlösung betrachtet werden. Ein einmaliges Punktesammeln unter einer ordnungsgemäßen Aktion ist anders zu bewerten als der Zugriff auf Guthaben einer fremden Person.

Wie wird Loyalty Fraud technisch oder organisatorisch ausgeführt?

Übernahme bestehender Kundenkonten

Bei einem Account Takeover erlangt ein Dritter die Kontrolle über ein bestehendes Profil. Der Angreifer kann unter bestimmten Bedingungen Punkte einlösen, die hinterlegte E-Mail-Adresse ändern oder weitere Zugriffe veranlassen. Ein späterer unberechtigter Punkteeinsatz muss von der Kontoübernahme als technischem Eintrittsweg getrennt werden.

Credential Stuffing

Wenn ein Kunde dasselbe Passwort bei mehreren Diensten verwendet, können aus einem fremden Datenleck bekannte Zugangsdatenpaare gegen weitere Logins getestet werden. OWASP nennt diese automatisierte Methode Credential Stuffing beziehungsweise OAT-008. Nicht jede wiederholte fehlgeschlagene Anmeldung ist ein solcher Angriff; auch echte Nutzer können Passwörter mehrfach falsch eingeben.

Phishing mit angeblich ablaufenden Punkten

Eine Nachricht behauptet, Bonuspunkte würden sofort verfallen, wenn der Empfänger keine Kontobestätigung vornimmt. Der Link kann zu einer nachgeahmten Anmeldung führen. Die US-Verbraucherschutzbehörde FTC warnte im April 2026 ausdrücklich vor gefälschten Mitteilungen über vermeintlich ablaufende Reward Points. Reale Punkte können jedoch nach den jeweiligen Programmbedingungen tatsächlich eine Frist besitzen.

Unberechtigte Übertragung oder Einlösung

Nach einer Kontoübernahme oder durch missbrauchte Verwaltungsrechte kann unter Umständen eine Prämie ausgegeben oder an ein anderes Konto übertragen werden. Die tatsächlichen Möglichkeiten hängen vom jeweiligen Programm ab. Nicht jedes Treuesystem erlaubt Punktetransfers.

Manipulation von Gutschriften

Ein technischer Fehler oder eine unberechtigte administrative Änderung kann dazu führen, dass Punkte ohne die dafür vorausgesetzte Leistung gutgeschrieben werden. Eine solche Konstellation unterscheidet sich vom Diebstahl fremder bereits erworbener Punkte. Die Prüfung beginnt mit den tatsächlichen Buchungs- und Aktionsbedingungen.

Mehrfachkonten für Willkommensboni

Bei Promo Abuse können mehrere scheinbar unabhängige Konten angelegt werden, um Bonusprämien mehrfach zu erhalten. Dieses Vorgehen kann Loyalty Fraud betreffen, wenn es bewusst gegen wirksame Teilnahmebedingungen verstößt. Eine Person darf nicht allein deshalb verdächtigt werden, weil sie mehrere legitime Geschäfts- oder Familienkonten verwendet.

Loyalty Fraud und Gift Card Fraud unterscheiden

Bei Gift Card Fraud steht der Missbrauch von Geschenk- oder Guthabenkarten im Vordergrund. Die Karten können zuvor gekauft worden sein und einen festen Wert repräsentieren. Loyalty Fraud betrifft dagegen oft Bonuswerte, die im Verlauf einer Kundenbeziehung erworben wurden.

Beide Vorgänge überschneiden sich, wenn Treuepunkte gegen digitale Gutscheine eingelöst und diese anschließend unberechtigt verkauft werden. Für eine Schadensberechnung ist die Herkunft des Werts und der konkrete Einlösezeitpunkt zu dokumentieren. Ein als Bonus ausgegebener Gutschein muss nicht denselben rechtlichen Bedingungen folgen wie eine zuvor entgeltlich erworbene Geschenkkarte.

Was können Kunden und Unternehmen verlieren?

Ein Kunde kann bereits erworbene Punkte oder die Kontrolle über sein Treuekonto verlieren. Das Unternehmen muss einen Vorfall untersuchen und gegebenenfalls nach den geltenden Vertrags- und Haftungsregeln entscheiden, ob Guthaben wiederherzustellen ist. Der genaue Anspruch folgt nicht automatisch aus dem Begriff Loyalty Fraud.

Für die Programmbetreiber können Kosten aus unberechtigten Prämien, Kontowiederherstellung und Kundenkommunikation entstehen. Nachahmungen der offiziellen Anmeldeseite können die Markenreputation beeinträchtigen. Dabei beweist ein Phishing-Link noch nicht, dass das echte Treuesystem kompromittiert wurde.

Die Höhe des Verlusts hängt vom tatsächlich eingelösten Wert, der Möglichkeit einer Rückbuchung und den Programmbedingungen ab. Eine bestimmte Zahl auffälliger Logins lässt keine sichere Schadenshöhe erkennen.

Ein fiktiver Vorfall bei einer Hotelkette

Ein Mitglied eines Hotelbonusprogramms bemerkt, dass sein Punktekonto plötzlich leer ist. In der Historie erscheint eine Prämienbuchung, die es nicht veranlasst hat. Eine frühere Nachricht mit dem Hinweis auf angeblich ablaufende Punkte führte zu einer Anmeldeseite unter einer unbekannten Domain.

Die Hotelkette prüft den Kontozugang, die Prämienbuchung und die vorhandenen Hinweise zur Phishing-Seite. Zunächst bleibt offen, ob die Zugangsdaten tatsächlich über die gefälschte Seite oder auf anderem Weg erlangt wurden. Die bloße zeitliche Nähe beweist keinen vollständigen Angriffspfad.

Die Sicherheitsabteilung sperrt unberechtigte Sitzungen und klärt mit dem betroffenen Mitglied, welche Änderungen an der Kontoanmeldung nötig sind. Der Prämienvorgang wird separat nach den vertraglichen Regeln geprüft.

Woran lässt sich Loyalty Fraud erkennen?

Die aussagekräftigsten Hinweise betreffen Kontoberechtigung und Prämienbewegung. Eine Einlösung außerhalb des gewöhnlichen Kundenverhaltens kann eine Untersuchung auslösen. Sie ist aber nicht allein verdächtig, wenn der Kunde beispielsweise auf einer Reise eine andere Region oder ein neues Gerät verwendet.

• Kontoänderungen: E-Mail-Adresse oder Wiederherstellungsdaten wurden ohne bestätigten Auftrag geändert.
• Unbekannte Einlösungen: Punkte wurden für eine Prämie ausgegeben, die der Kontoinhaber nicht beantragt hat.
• Loginserien: Die Authentifizierung zeigt auffällige Versuche mit bekannten oder wiederholten Kontokennungen.
• Punktetransfers: Mehrere Konten übertragen Guthaben entgegen den vorgesehenen Programmregeln.
• Ungewöhnliche Gutschriften: Eine Prämie entsteht ohne die notwendige Buchung oder sonstige Gegenleistung.
• Nachahmungsnachrichten: Gefälschte E-Mails oder DMs verweisen auf fremde Bonusprogramm-Logins.

Ein hoher Punktestand oder eine seltene besonders wertvolle Prämie ist kein Beweis für Missbrauch. Treueprogramme sind gerade darauf ausgerichtet, attraktive Vorteile bei ausreichender Teilnahme zu gewähren.

Wie wird ein Vorfall untersucht?

Am Anfang stehen die betroffenen Konten, Transaktionskennungen und tatsächlichen Programmbedingungen. Der Betreiber prüft, welche Kontositzungen aktiv waren und ob die Einlösung durch eine berechtigte Handlung ausgelöst wurde. Bei Verdacht auf Credential Stuffing gehören die Loginprotokolle in die Analyse.

Wurde Guthaben auf andere Konten übertragen, muss die gesamte Bewegungskette nachvollziehbar untersucht werden. Dabei ist die datenschutzrechtliche Zulässigkeit der verwendeten Informationen zu beachten. Eine gemeinsame Netzwerkadresse beweist nicht, dass mehrere Konten von derselben Person betrieben werden.

Die Dokumentation trennt bestätigte unberechtigte Änderungen, mögliche technische Eintrittswege und offene Fragen über den Verantwortlichen. Ein Produkt- oder Plattformfehler ist kein ausreichender Nachweis für eine vorsätzliche Manipulation.

Welche Schutzmaßnahmen sind für Bonusprogramme geeignet?

Die Kontosicherung sollte die wirtschaftliche Wirkung einer Einlösung berücksichtigen. Zusätzliche Authentisierung oder eine Bestätigung bei Änderung der Wiederherstellungsdaten können bestimmte Kontoübernahmen erschweren. Die Umsetzung muss zur jeweiligen Plattform und zum Schutzbedarf passen.

• Ungewöhnliche Login- und Kontowiederherstellungsmuster kontrollieren.
• Für besonders werthaltige Einlösungen angemessene Bestätigungs- und Prüfverfahren vorsehen.
• Treuepunkte, Gutschriften und Einlösungen mit nachvollziehbaren Buchungskennungen versehen.
• Automatisierte Kontoangriffe mit abgestimmten Rate Limits und risikoorientierten Kontrollen begrenzen.
• Mitglieder über bestätigte Login-Adressen und echte Kommunikationskanäle informieren.
• Fälschlich beanstandete Einlösungen über eine nachvollziehbare Kundenprüfung klären.

Ein pauschaler Ausschluss bestimmter Länder, Geräte oder Haushalte kann reguläre Kunden treffen. Es ist darum sinnvoll, mehrere technische und geschäftliche Hinweise gemeinsam zu bewerten.

Welche Rechtsfragen können entstehen?

Wird ein fremdes Konto unter den gesetzlichen Voraussetzungen unberechtigt geöffnet oder werden besonders geschützte Daten ausgespäht, kann § 202a StGB betroffen sein. Bei bewusst erschlichenen geldwerten Vorteilen kann im Einzelfall § 263 StGB zur Prüfung stehen.

Ein regulärer Streit über die Gültigkeit oder den Verfall von Punkten ist davon zu unterscheiden. Er kann vor allem vertragliche und verbraucherrechtliche Fragen aufwerfen. Werden personenbezogene Kontoinformationen verarbeitet oder durch einen Vorfall offengelegt, sind die einschlägigen Anforderungen der DSGVO zu beachten.

Häufige Fragen zu Loyalty Fraud

Kann Loyalty Fraud ohne gestohlene Kreditkartendaten stattfinden?

Ja. Bereits erworbene Punkte oder Prämien können ein wirtschaftlich verwertbares Guthaben darstellen, auch ohne dass Kartendaten im Profil gespeichert sind.

Ist jede Nachricht zu ablaufenden Punkten Phishing?

Nein. Einige Programme haben echte Fristen. Die Herkunft der Nachricht sollte unabhängig über die offizielle App oder Website geprüft werden.

Sind mehrere Kundenkonten automatisch betrügerisch?

Nein. Die Teilnahmebedingungen und die tatsächliche Berechtigung sind im Einzelfall zu klären.

Wo können betroffene Unternehmen Hilfe erhalten?

Bei auffälligen Punkteeinlösungen sollten Programmbetreiber die betroffenen Kundenkonten und Buchungsdaten prüfen und unberechtigte Sitzungen sichern. BRANDPROTECTIONNOW begleitet Unternehmen bei der Untersuchung möglicher automatisierter Kontenangriffe, nachgeahmter Bonusprogramm-Logins und auffälliger digitaler Prämienmuster. Je nach Befund werden Maßnahmen zur Kontosicherung und zum Schutz vor weiteren Nachahmungen mit spezialisierten Security-Partnern abgestimmt. Der passende Leistungsbereich ist BRANDPROTECTIONNOW zum Schutz vor Bot- und Serverangriffen.

Fachquellen

• Mastercard – Bekämpfung von Treuebetrug: Einlösungen, Kontenübernahmen und Prävention.
• FTC – Gefälschte Nachrichten zu ablaufenden Punkten, April 2026: Phishing-Muster.
• OWASP – OAT-008 Credential Stuffing: automatisierter Missbrauch wiederverwendeter Zugangsdaten.
• OWASP – Bot Management: Schutz von Konto- und Prämienprozessen.