Betrug im E-Commerce: typische Risiken und wie Händler vorbeugen
m Online-Handel entscheidet nicht nur Ihr Sortiment über den Erfolg – sondern auch, wie gut Sie Betrug erkennen, verhindern und professionell managen. Denn Fraud kostet nicht „nur“ Geld: Er bindet Zeit, erhöht Chargeback-Risiken, belastet Teams und kann das Vertrauen Ihrer Kundschaft nachhaltig beschädigen. Studien und Aufsichtsberichte zeigen klar: Betrug findet überproportional häufig in Remote- und Online-Kontexten statt.
Dieser Beitrag zeigt Ihnen die häufigsten Betrugsarten, typische Warnsignale in Bestellungen und Zahlungen sowie praxisnahe Maßnahmen, mit denen Sie Ihr Risiko deutlich senken – und warum ein starker Payment-Partner wie GH Payment dabei ein entscheidender Baustein ist.
Warum Betrug im E-Commerce ein wachsendes Problem ist
Der E-Commerce in Deutschland ist wieder auf Wachstumskurs: Der bevh berichtet für 2024 einen Brutto-Umsatz mit Waren von 80,6 Mrd. Euro (nach 79,7 Mrd. Euro 2023) – und verweist zugleich auf weiteres Wachstumspotenzial. Mehr Transaktionen bedeuten jedoch auch: mehr „Angriffsfläche“ – für automatisierte Angriffe (Bots), gestohlene Zahlungsdaten, missbrauchte Kundenkonten und organisierte Betrugsmuster.
Wie stark das Problem Händler bereits trifft, zeigen aktuelle Umfragen. CRIF berichtet, dass in Deutschland 95% der Online-Shops bereits mit Betrug oder Betrugsversuchen konfrontiert waren – und nennt als wiederkehrende Muster u. a. Identitätsdiebstahl, falsche Adressdaten, gestohlene Zahlungsdaten und Account Takeover.
Auch der Blick auf Aufsichts- und Marktdaten macht deutlich, warum Online-Händler besonders wachsam sein müssen: Im gemeinsamen EBA/ECB-Bericht wird für den EWR berichtet, dass sich Zahlungsbetrug 2024 auf rund EUR 4,2 Mrd. belief. Besonders wichtig für E-Commerce: Remote Card Payment Fraud machte 2024 „around 83% of all card fraud“ aus, obwohl remote initiierte Kartenzahlungen nur einen deutlich kleineren Anteil am gesamten Karten-Transaktionsvolumen hatten.
Zudem passen Täter ihre Methoden kontinuierlich an: Der EBA/ECB-Report beschreibt u. a., dass Betrüger bei Kartenbetrug häufig selbst die Zahlungsanweisung auslösen – etwa unter Nutzung gestohlener Credentials bei Remote Card Fraud. Parallel steigt der Druck durch Erwartungshaltungen: Eine PwC-Studie berichtet, dass bereits jede:r dritte Deutsche Opfer eines Betrugs oder Betrugsversuchs bei Online-Zahlungen war – was Sicherheitsanforderungen und Vertrauensbedarf zusätzlich erhöht.
Je früher Sie Ihren Checkout absichern, desto günstiger wird Prävention.
Die häufigsten Betrugsarten im E-Commerce
Damit Sie schnell einordnen können, wo die größten Risiken liegen, starten wir snippet-optimiert – und gehen danach in die Tiefe.
Die häufigsten Betrugsarten im E-Commerce auf einen Blick
Im Online-Handel begegnen Händler besonders häufig diesen Betrugsmustern:
- Kreditkartenbetrug / gestohlene Zahlungsdaten (Card-not-present)
-
Card Testing (Carding):
Bots testen massenhaft Karten auf „Gültigkeit“ - Identitätsdiebstahl / Fake-Identitäten (z. B. falsche Namen/Adressen)
-
Account Takeover (ATO):
Kundenkonto wird übernommen und missbraucht - Friendly Fraud / First-Party Misuse (Chargebacks trotz legitimer Bestellung)
- Eingehungsbetrug / Fake-Bestellungen (z. B. Bestellung „auf Rechnung“, ohne Zahlungsabsicht)
Im Folgenden finden Sie zu jeder Betrugsart: typische Abläufe, Warnsignale und passende Gegenmaßnahmen.
Kreditkartenbetrug und gestohlene Zahlungsdaten
Beim klassischen Kreditkartenbetrug im E-Commerce nutzen Täter gestohlene Kartendaten (Card-not-present). Der EBA/ECB-Bericht zeigt, dass Betrug mit Kartenzahlungen im EWR stark auf Remote-Transaktionen konzentriert ist. CRIF nennt „gestohlene Zahlungsdaten (z. B. Kreditkarten)“ als häufige Ursache von Betrugsfällen in Online-Shops.
-
Woran Sie es oft erkennen (Praxis):
Ungewöhnlich hohe Warenkörbe, abweichende Lieferadresse, Bestellungen kurz nach Kontoerstellung, viele fehlgeschlagene Zahlversuche oder auffällige Häufungen aus bestimmten Regionen können Hinweise sein. (Wichtig: Ein einzelnes Signal ist selten beweisend – entscheidend ist die Kombination.) - Was hilft: Ein wirksamer Standardhebel im Kartenbereich ist starke Kundenauthentifizierung (SCA) und deren Umsetzung über 3D Secure (EMV 3DS): EMVCo beschreibt EMV 3DS als Verfahren zur „seamless authentication“ zur Verhinderung von Card-not-present Fraud und zur Erhöhung der Sicherheit von E-Commerce-Zahlungen. Visa betont zudem, dass 3-D Secure als führender Industriestandard die Anwendung von SCA (PSD2) für Issuer, Acquirer und Händler unterstützt.
Card Testing: Wenn Bots Ihren Checkout als „Prüfservice“ missbrauchen
Card Testing (auch „carding“/„card checking“) ist besonders tückisch, weil es nicht primär um Ihre Ware geht – sondern darum, ob gestohlene Kartendaten „funktionieren“. WooCommerce beschreibt Card Testing als Betrug, bei dem Angreifer viele gestohlene Kartendaten nutzen und typischerweise viele Low-Value-Käufe versuchen, um gültige Karten zu identifizieren.
-
Warum das für Händler teuer wird:
Selbst wenn Bestellungen fehlschlagen, können Transaktionsgebühren, Disputes/Chargebacks und Reputationsschäden folgen – WooCommerce weist explizit auf erhöhte Gebühren, Disputes und möglichen Reputationsschaden hin. -
Schnelles Erkennungsmerkmal:
Ein typisches Signal ist ein sprunghafter Anstieg an fehlgeschlagenen Bestellungen/Failed-Status in kurzer Zeit, oft mit vielen „declined“-Hinweisen im System. -
Was hilft:
Bot-Schutz (z. B. CAPTCHA/Turnstile), Rate-Limits und eine Payment-Integration, die auffällige Muster erkennt, sind hier besonders wirksam. WooCommerce empfiehlt u. a. CAPTCHA-Mechanismen und zusätzliche Anti-Fraud-Regeln/Extensions als Maßnahmen gegen automatisierte Angriffe.
Identitätsdiebstahl und Fake-Identitäten
Bei Identitätsbetrug gibt sich der Käufer als eine andere reale Person aus oder arbeitet mit stark manipulierten Kundendaten. CRIF nennt Identitätsdiebstahl als „Nummer 1“ in der Umfrage: 76% der befragten E-Commerce-Unternehmen waren damit konfrontiert, zusätzlich berichten 74% über falsche Namen/Adressangaben.
-
Was daran gefährlich ist:
Identitätsbetrug führt oft zu Lieferausfällen, teuren Nachforschungen (Versand/Logistik) und – je nach Zahlart – zu Rückbuchungen oder Ausfällen. -
Was hilft:
Abhängig von Risiko, Warengruppe und Zahlart: Adress- und Plausibilitätschecks, Teil- oder Step-up-Verifikation bei Neukunden/hohen Warenkörben, konsistente Versandregeln (z. B. keine Expresslieferung an neue Adresse beim Erstkauf) – und die Fähigkeit, diese Regeln sauber im Checkout umzusetzen, ohne ehrliche Kunden zu vergraulen.
Friendly Fraud: Chargebacks als „Betrugswerkzeug“ (First-Party Misuse)
Friendly Fraud (auch „First-Party Misuse“) meint: Der Karteninhaber hat tatsächlich bestellt – bestreitet später aber die Transaktion oder nutzt den Chargeback-Prozess missbräuchlich.
Dass dieses Thema zunimmt, stützen internationale Merchant-Daten: Im Verifi/Visa Acceptance Solutions Report heißt es, mehr als 6 von 10 Händlern berichten über einen Anstieg von First-Party Misuse im letzten Jahr. Der Report betont außerdem, dass Händler bei fraud-codierten Chargebacks/Disputes teils sehr niedrige Erfolgsquoten (unter 20%) melden.
-
Warum das so schwer zu stoppen ist:
Friendly Fraud passiert häufig „nach“ der erfolgreichen Zahlung – klassische Payment-Checks (CVV, teilweise auch 2FA) helfen hier nur begrenzt, weil der Käufer „legitim“ wirken kann. -
Was hilft:
Saubere Belege und „Compelling Evidence“-Fähigkeit (Liefernachweise, Kommunikation, Device-/Session-Daten), klare Produkt- und Retourenkommunikation sowie ein strukturiertes Chargeback-Handling.
Account Takeover: Wenn Kundenkonten gekapert werden
Beim Account Takeover (ATO) übernehmen Täter ein echtes Kundenkonto (z. B. über Credential Stuffing), ändern Adressen, lösen Bestellungen aus oder nutzen gespeicherte Zahlungsarten.
OWASP beschreibt Credential Stuffing als automatisierte Verwendung gestohlener Username/Passwort-Paare in Login-Formularen, um Konten zu kompromittieren – insbesondere weil viele Nutzer Credentials wiederverwenden. CRIF nennt Account Takeover explizit als häufige Betrugsform und berichtet, dass 41% der befragten Shops ATO als häufige Betrugsursache sehen.
-
Was hilft:
Multi-Faktor-Authentifizierung dort, wo möglich, sowie „Step-up“-Mechanismen bei Risikoaktionen (Passwort ändern, neue Lieferadresse, hohe Warenkörbe). OWASP betont MFA als besonders wirksame Verteidigung gegen Passwortangriffe (inkl. Credential Stuffing) und verweist auf Microsoft-Analysen, nach denen MFA sehr viele Kontoübernahmen verhindern könnte.
Eingehungsbetrug und Fake-Bestellungen
Eingehungsbetrug bedeutet: Es wird bestellt, obwohl der Käufer bereits weiß, dass er nicht zahlen kann oder will – klassisch relevant bei Rechnungskauf oder bestimmten Liefermodellen. CRIF nennt „Eingehungsbetrug“ als verbreitet und beziffert ihn in der Umfrage auf 53% der Händler.
-
Was hilft:
Zahlarten-Strategie nach Risiko (z. B. Rechnungskauf nur mit Risikoprüfung), klare Schwellenwerte, Lieferregeln und – zentral – ein Checkout, der diese Regeln robust umsetzt und dokumentiert.
Wissen, welche Betrugsart bei Ihnen am wahrscheinlichsten ist, spart sofort Geld.
Welche Folgen Betrug für Händler hat
Betrug ist selten ein „Einmal-Schaden“. In der Praxis addieren sich mehrere Kostenblöcke – und genau das macht Fraud so gefährlich für KMU und wachsende Shops.
-
Direkte finanzielle Verluste:
Ware, Versand, Rückabwicklung, Gebühren. CRIF berichtet, dass mehr als ein Viertel der befragten Unternehmen jährlich über 100.000 Euro durch betrügerische Aktivitäten verliert; außerdem werden teils sehr hohe Einzelschäden beschrieben. -
Chargebacks und Dispute-Kosten:
Neben dem eigentlichen Umsatzverlust entsteht operativer Aufwand. Im Verifi-Report berichten Händler zudem von teils sehr niedrigen Win-Rates bei fraud-codierten Chargebacks/Disputes (unter 20%). Selbst wenn Sie organisatorisch gut sind, kann der Prozess inhärent asymmetrisch sein – und zwingt Sie, Belege, Logs und Nachweise sauber vorzuhalten. -
„True Cost of Fraud“:
Der Schaden ist größer als der Warenkorb. LexisNexis zeigt in der True Cost of Fraud Study, dass Händler im Durchschnitt $4.60 pro $1 Fraud-Verlust aufwenden (inkl. Nebenkosten) – ein Hinweis darauf, wie stark sich Fraud über operative, technische und prozessuale Kosten potenziert. -
Reputationsschäden und Vertrauensverlust:
Security ist Markenwahrnehmung. Die SCHUFA/IFH-Studie betont, dass Betrugsschäden über den finanziellen Aspekt hinausgehen und Vertrauen als „Währung“ schwer wieder aufzubauen ist. -
Operative Belastung:
Eskalationen im Support, Logistik-Nachforschungen, interne Prüfungen, Sperrlisten, Tools, Abstimmungen mit Zahlungsdienstleistern – Fraud zieht Ressourcen aus Wachstumsthemen ab.
Wenn Fraud einmal „eingezogen“ ist, wird er selten von allein weniger.
Wie Händler Betrug erkennen können
Viele Betrugsfälle lassen sich nicht über ein einzelnes „rotes Flag“ erkennen, sondern über Muster. Entscheidend ist, dass Sie Daten zusammenführen (Checkout, Payment, Kundenkonto, Versand) und in klare Entscheidungen übersetzen: freigeben, prüfen, ablehnen, Step-up.
Auffällige Bestellmuster
Card-Testing-Wellen zeigen sich häufig als plötzlich stark steigende Zahl fehlgeschlagener Orders in kurzer Zeit. WooCommerce nennt hier explizit den „large increase“ an Bestellungen im Status Failed als typisches Signal, oft mit vielen declined-Hinweisen.
Weitere Muster aus der Praxis: viele Bestellungen mit sehr kleinen Warenkörben (Testing), viele Varianten derselben Bestellung (z. B. gleiche IP/Device, wechselnde Karten), oder ungewöhnliche Kaufgeschwindigkeiten.
Ungewöhnliche Zahlungs- und Kontodaten
Auffällige Konstellationen können sein: sehr viele Zahlungsversuche pro Session, stark abweichende Länder-/Region-Signale oder inkonsistente Daten. Der EBA/ECB-Report weist zudem darauf hin, dass Fraud stark in remote Szenarien konzentriert ist und Betrüger häufig stolen credentials einsetzen.
Geografische Auffälligkeiten
Ein häufiger Handelskonflikt: international verkaufen wollen – aber cross-border Risiko steigt. Im EBA/ECB-Report werden grenzüberschreitende Muster als relevant beschrieben; Remote- und Cross-border-Konstellationen sind besonders anfällig.
Account Takeover früh erkennen
Credential Stuffing ist automatisiert und skaliert: OWASP beschreibt Credential Stuffing als automatisierte Nutzung gestohlener Credentials, um Accounts zu kompromittieren. Praktische ATO-Signale sind: viele fehlgeschlagene Logins, ungewöhnliche Login-Länder, Login von neuem Gerät und direkt danach Kontoänderungen (Adresse, E-Mail, Passwort).
OWASP empfiehlt außerdem MFA/Step-up insbesondere bei erhöhtem Risiko (neues Gerät, ungewöhnliches Land, auffällige IP).
Risikobewertung als System, nicht als Bauchgefühl
Je schneller Ihr Shop wächst, desto weniger „skalierbar“ ist reine manuelle Prüfung. Die Kunst ist, Regeln und Risk-Scores so zu definieren, dass Sie nicht unnötig Conversion verlieren – aber Risiko wirksam drücken. Diese Balance ist auch in Studien zur Payment- und Fraud-Praxis ein wiederkehrendes Thema.
Erkennen ist der halbe Schutz – aber nur, wenn Sie daraus klare Aktionen ableiten.
Maßnahmen zur Betrugsprävention
Die wirksamste Betrugsprävention ist mehrstufig: Sie kombinieren Payment-Sicherheit, Checkout-Härtung, Account-Schutz und klare operative Prozesse. Ziel ist nicht „100% Betrugsfreiheit“ (unrealistisch), sondern ein robustes System, das Betrug teuer und schwierig macht – und gleichzeitig Ihre Conversion schützt.
Moderne Payment-Lösungen als Sicherheitsfundament
Im Kartenbereich ist eine zentrale Säule SCA (Strong Customer Authentication) und deren technische Umsetzung im E-Commerce über 3D Secure (EMV 3DS). EMVCo beschreibt EMV 3DS als Methode, die eine reibungsarme („seamless“) Authentifizierung ermöglicht, um CNP-Fraud zu verhindern und E-Commerce-Zahlungen sicherer zu machen. Visa ordnet 3-D Secure als führenden Standard ein, der es Issuern, Acquirern und Händlern erlaubt, SCA-Anforderungen gemäß PSD2 umzusetzen.
Wichtig für die strategische Einordnung: Der EBA/ECB-Report bestätigt, dass die gesetzliche SCA-Anforderung zur Reduktion von Fraud beigetragen hat – wobei Betrüger sich weiter anpassen.
3D Secure und Authentifizierung richtig einsetzen
-
Warum 3D Secure wirkt:
Durch zusätzliche Authentifizierungsschritte sinkt typischerweise das Risiko nicht autorisierter Kartenzahlungen. Gleichzeitig ist 3DS 2.x so weiterentwickelt, dass ein Teil der Transaktionen „frictionless“ laufen kann (ohne Challenge), wenn genug Daten für die Risikoprüfung beim Issuer vorliegen. -
Haftungs- und Chargeback-Effekt (mit Augenmaß):
Viele Händler interessieren sich für den sogenannten „Liability Shift“. Dokumentationen aus dem Payment-Umfeld beschreiben, dass bei erfolgreich authentifizierten 3DS2-Transaktionen die Haftung für bestimmte fraud-related chargebacks vom Merchant zum Issuer „shiften“ kann – abhängig von Scheme-Regeln und Transaktionskontext. Wichtig: Das ist kein Allheilmittel gegen Friendly Fraud/First-Party Misuse, weil der Karteninhaber hier oft „legitim“ ist.
Fraud-Detection-Systeme und Regelwerke
Neben Authentifizierung braucht es Fraud Detection, die typische Muster erkennt: Velocity-Checks, Device- und Verhalten-Signale, Listen (Allow-/Deny), E-Mail-/Domain-Checks und Versand-Regeln.
Gerade gegen Card Testing sind Bot- und Automations-Bremsen entscheidend. WooCommerce empfiehlt u. a. CAPTCHA/Turnstile sowie Anti-Fraud-Regelmechaniken, um automatisierte Angriffe zu erschweren.
Monitoring und Analyse: Entscheidend für kontinuierliche Anpassung
Fraud ist dynamisch. Der EBA/ECB-Report beschreibt, dass Fraudster auch auf Bereiche zielen können, in denen SCA nicht angewendet wird oder nicht greift (z. B. außerhalb des EWR), und dass Angriffe teils „infrastructure“-orientiert stattfinden (statt Personen zu täuschen).
Praktische Konsequenz: Sie brauchen Monitoring (Dashboards, Alarme) und einen klaren Prozess, was bei Auffälligkeiten passiert (z. B. temporäre Limits, strengere Regeln, Payment Provider kontaktieren).
Sichere Checkout-Prozesse
Ein sicherer Checkout ist nicht nur „Checkout-Design“, sondern Regel-Design:
Ein praxiserprobtes Setup umfasst häufig:
- Step-up bei Risiko (z. B. neue Lieferadresse + hoher Warenkorb + Expressversand).
- Begrenzung von Gast-Checkout oder stärkere Checks bei Gastbestellungen, wenn Card Testing auffällt.
- Saubere Dokumentation und Belege, um Disputes/Chargebacks professionell beantworten zu können (besonders bei First-Party Misuse).
Kurz-Checkliste: Betrug im E-Commerce verhindern
Wenn Sie nur 10 Minuten haben, starten Sie hier:
- 3D Secure (EMV 3DS) aktivieren und korrekt integrieren, um SCA sauber abzubilden.
- Velocity/Rate-Limits im Checkout: Zahlversuche und fehlgeschlagene Transaktionen begrenzen.
- Bot-Schutz (z. B. CAPTCHA/Turnstile) besonders auf Zahlungs-/Checkout-Seiten.
- ATO-Schutz: MFA/Step-up für Risikoaktionen im Kundenkonto (Adresse, Passwort, E-Mail).
- Chargeback-Prozess definieren: Welche Nachweise sammeln Sie standardmäßig?
- Monitoring aufsetzen: Alerts bei „Failed“-Spikes, ungewöhnlichen Regionen, neuen Mustern.
Betrugsprävention ist am wirksamsten, wenn Payment und Shop zusammenspielen.
Warum ein starker Payment-Partner entscheidend ist
Viele Fraud-Probleme entstehen nicht, weil Händler „zu wenig wollen“, sondern weil am Ende Zuständigkeiten, Technik und Prozesskette nicht sauber zusammenpassen. Genau hier macht ein starker Payment-Partner den Unterschied.
Technische Sicherheit und verlässliche Zahlungsabwicklung
Händler brauchen Zahlungsprozesse, die stabil laufen – besonders in Peak-Phasen (Sales, Kampagnen, Black Friday). Gleichzeitig müssen Sicherheitsmechanismen wie 3D Secure/SCA sauber funktionieren, da Issuer Transaktionen sonst ablehnen können.
Integrierte Schutzmechanismen und Support im Ernstfall
Wenn Card Testing oder ATO passiert, zählt Geschwindigkeit: Patterns erkennen, Regeln anziehen, Kommunikation mit Payment Provider, Dispute-Handling. WooCommerce empfiehlt im Angriff u. a. schnelle Überprüfung/Refund verdächtiger Transaktionen und die Kontaktaufnahme mit dem Payment Provider, um Schutzmaßnahmen zu erhöhen.
GH Payment: sicherer, zuverlässiger Payment-Partner für Händler
GH Payment positioniert sich als Anbieter für POS-, E-Commerce- und Kassensysteme und betont „sichere, effiziente und benutzerfreundliche Bezahloptionen“ sowie persönliche Beratung und Support. Für Online-Händler ist besonders relevant, dass GH Payment Online-Bezahllösungen und Shop-Integrationen hervorhebt – mit dem Ziel, zusätzliche Umsätze zu generieren, ohne Payment-Komplexität zu Ihrem Bremsklotz werden zu lassen.
Ein guter Payment-Partner ist Ihr Sicherheitsmultiplikator.
FAQ zu Betrug im E-Commerce
Wie kann ich Betrug im E-Commerce verhindern, ohne Conversion zu verlieren?
Setzen Sie auf risikobasierte Maßnahmen: Für unauffällige Bestellungen möglichst frictionless, bei Auffälligkeiten Step-up (z. B. zusätzliche Verifikation). Moderne Standards wie EMV 3DS sind genau dafür ausgelegt (Frictionless vs. Challenge). Zusätzlich helfen Monitoring und klare Regeln gegen Bot-Spitzen.
Muss ich als kleiner Welche Betrugsart trifft Online-Shops in Deutschland am häufigsten?
CRIF nennt in einer Umfrage Identitätsdiebstahl als häufigste Praxis (76%), gefolgt von falschen Namens-/Adressangaben (74%). Zusätzlich werden Account Takeover und gestohlene Zahlungsdaten als häufige Muster beschrieben.
Was ist Card Testing – und woran erkenne ich es schnell?
Card Testing ist, wenn Täter viele gestohlene Karten automatisiert mit kleinen Zahlversuchen testen, um gültige Karten zu identifizieren. WooCommerce nennt als typisches Signal einen plötzlichen Anstieg an fehlgeschlagenen Bestellungen (Failed) in kurzer Zeit.
Hilft 3D Secure auch gegen Friendly Fraud?
3D Secure (EMV 3DS) stärkt vor allem die Authentifizierung und kann bei bestimmten Fraud-Chargebacks relevante Effekte haben – Friendly Fraud/First-Party Misuse ist aber häufig ein anderes Problem: Der Käufer ist ja der legitime Karteninhaber und nutzt den Dispute-Prozess missbräuchlich. Gegen Friendly Fraud helfen häufig bessere Belege, klare Kommunikation, starke Post-Purchase-Prozesse und strukturiertes Dispute-Management.
Warum ist Fraud im Online-Bereich überproportional hoch?
Aufsichtsdaten zeigen für den EWR, dass Remote Card Fraud 2024 rund 83% des Kartenbetrugs ausmachte, obwohl remote Kartenzahlungen nur einen deutlich kleineren Anteil am gesamten Kartenvolumen hatten. Remote-Zahlungen bieten Betrügern mehr Ansatzpunkte (Datenmissbrauch, Automation, Distanz, Identitäts- und Kontoangriffe).