6 Lesezeit 
Wir haben uns mit Ilona Balsiukaitė, Fraud Manager bei ConnectPay, zusammengesetzt, um über die Feinheiten und vielfältigen Formen von Betrug zu sprechen, mit denen Fintechs tagtäglich zu kämpfen haben. In diesem weitreichenden Gespräch beleuchten wir die wichtigsten Arten betrügerischen Verhaltens, die Vorgehensweisen der Fintech-Unternehmen bei deren Bekämpfung und deren Schwachstellen sowie die seit langem bestehenden Probleme im Bereich der Aufklärung und was von der PSD3 und anderen kurz- bis mittelfristigen zukünftigen Entwicklungen zu erwarten ist.
Was sind die häufigsten Betrugsarten, auf die Fintech-Unternehmen achten sollten? Wie könnten sie dagegen vorgehen?
Es gibt viele verschiedene Arten von Betrug, wie beispielsweise die unbefugte Nutzung einer Marke, der Versuch, deren Ruf zu schädigen, die Missbrauch der Website für unzulässige Zwecke oder der Diebstahl von Geldern. Die Einzelheiten sind hier sehr vielfältig. Ein bekanntes Beispiel ist der CEO-Betrug, bei dem sich ein Betrüger die Identität des betreffenden Geschäftsführers aneignet. Darüber hinaus kann es Fälle von gefälschten Rechnungen und der Übernahme der Kommunikation geben, bei denen sich ein Betrüger in den Zahlungsvorgang an einen Dienstleister einschaltet und die Gelder auf sein eigenes Konto umleitet.
Selbst wenn Betrug über Banken stattfindet, können Fintechs manchmal darin verwickelt sein, sofern sie zu irgendeinem Zeitpunkt auf Umwegen an den betreffenden Transaktionen beteiligt waren. Im Wesentlichen kann es vorkommen, dass ein Fintech-Unternehmen nur einen Teil der Transaktion sieht und dadurch unwissentlich zum Komplizen eines Betrugs wird. Daher ist es von entscheidender Bedeutung, über ein robustes Protokoll zu verfügen, das darauf ausgelegt ist, die Aufnahme von Geldkurieren zu verhindern.
Die derzeit häufigsten Betrugsformen sind Phishing und vor allem Smishing (SMS-Phishing), von denen vor allem Banken und andere Finanzinstitute betroffen sind. Fintechs hingegen werden aufgrund ihrer geringeren Marktpräsenz etwas seltener ins Visier genommen. Größere Fintechs sind jedoch ebenfalls stark betroffen.
Zudem gibt es Fälle, in denen Kunden selbst zu Betrügern werden, was eine ziemliche Herausforderung darstellt. Es ist ziemlich schwierig, die Absichten eines Kunden während eines Antragsverfahrens zu erkennen und einzuschätzen. Manchmal entpuppt sich ein völlig normaler Kunde ohne Anzeichen von Betrug als Krimineller. Es gibt auch Fälle, in denen Betrüger absichtlich Konten bei Fintech-Unternehmen eröffnen, in der Erwartung, dass die Kontoeröffnung dort im Vergleich zu traditionellen Banken einfacher ist. Um dies zu verhindern und zu bewältigen, sind strenge KYC-Maßnahmen und eine kontinuierliche Überwachung des Kundenverhaltens erforderlich.
Was betrogene Kunden angeht, lassen sich die meisten der dabei angewandten Methoden – genau wie bei den ersten beiden Kategorien – dem Social Engineering zuordnen. So beobachten wir beispielsweise zunehmend, dass Betrüger Deepfakes und KI im weiteren Sinne geschickt einsetzen; dabei handelt es sich jedoch lediglich um neue Werkzeuge, die im Rahmen derselben bewährten Strategie zum Einsatz kommen – nämlich Menschen davon zu überzeugen, freiwillig eine Transaktion durchzuführen. Aus Sicht der Fintech-Branche ist es sehr schwierig zu erkennen, welche Transaktionen authentisch sind und welche unter dem Einfluss eines Betrügers getätigt wurden.
In letzter Zeit wird viel über Betrug gesprochen, und daher könnte man meinen, dass die meisten Menschen verstehen, wie er funktioniert – dass es mittlerweile zum Allgemeinwissen gehört. Doch das ist einfach nicht der Fall. Alte Strategien sind nach wie vor wirksam, weil die Menschen in Bezug auf betrügerisches Verhalten immer noch recht naiv sind. Und sobald ihr Vertrauen einmal missbraucht wurde, ist das konkrete Mittel, das ein Betrüger einsetzt, von rein untergeordneter Bedeutung.
Aus diesem Grund sollte die Verantwortung hierfür nicht nur bei den Fintech-Unternehmen liegen, sondern generell bei allen Finanzinstituten. Wir brauchen mehr Aufklärung für unsere Kunden, und diese Aufklärung sollte klarer sein – beispielsweise indem den Menschen wirklich deutlich gemacht wird, dass die Weitergabe sensibler Daten im Internet genau dasselbe ist, als würde man einem Fremden den Hausschlüssel geben.
Erzählen Sie uns doch ein wenig über die neuesten Tricks, die von den versierteren Betrügern angewendet werden.
Nun, mittlerweile gibt es so etwas wie „Fraud GPT“. Basierend auf einer aufgemotzten Version des Originals ermöglicht es Betrügern, Informationen über das Darknet frei auszutauschen. Und dies wiederum ist Teil eines umfassenderen Phänomens, das wir als „Fraud-as-a-Service“ bezeichnen könnten. So seltsam es auch klingen mag: Betrüger haben inzwischen ihre eigene diffuse Quasi-Community aufgebaut, in der wertvolle Ziel-Daten und Vorgehensweisen gegen Geld gehandelt werden.
Dies ist eine durchaus besorgniserregende Entwicklung, die es Betrügern ermöglicht, gemeinsam zu agieren. Selbstverständlich unterliegen sie weder der DSGVO noch anderen Rechtsvorschriften, die den Datenaustausch regeln sollen. Denjenigen jedoch, deren Aufgabe es ist, gegen solches Verhalten vorzugehen, sind durch die Einhaltung gesetzlicher Vorschriften bis zu einem gewissen Grad die Hände gebunden.
Glücklicherweise könnte diese „regulatorische Hochphase“, die ein derart weit verbreitetes kriminelles Verhalten ermöglicht hat, nun ihrem Ende entgegengehen. Die bevorstehende PSD3 enthält einen Abschnitt zur Förderung des Austauschs von Daten und Know-how zwischen Unternehmen und Institutionen zum Zwecke der Betrugsbekämpfung und -prävention. Sie sieht sogar einen Mechanismus vor, der einen reibungslosen, sicheren und datenschutzkonformen Ablauf dieses Datenaustauschs gewährleisten soll.
Sollte das Bildungswesen an demografische und andere Kohorten angepasst werden oder sollte es für alle einheitlich sein?
Ich denke, das sollte unterschiedlich sein. In unserem Fall hängt es weniger von den Altersgruppen ab als vielmehr davon, ob es sich um Firmen- oder Privatkunden handelt.
Betrug ist zudem bis zu einem gewissen Grad mit einem Stigma behaftet, da sich die Betroffenen oft schämen, auf diese Weise getäuscht worden zu sein. Ihnen ist nicht immer klar, dass Betrug jeden betreffen kann – er hat nichts mit Intelligenz zu tun. Um ihn zu bekämpfen, müssen wir Wege finden, mit den Menschen zu kommunizieren, ohne dass es sich wie sinnloser Spam oder wie Informationen anfühlt, die sie angeblich bereits haben.
Wie sollten Fintech-Unternehmen mit der heiklen Frage der Abgrenzung von Zuständigkeiten umgehen, wenn ein Kunde betrogen wurde?
Das Erste und Naheliegendste ist: Ziehen Sie keine voreiligen Schlüsse. Bei Betrugsfällen ist es wichtig, sich zu überlegen, ob Sie wirklich alles in Ihrer Macht Stehende getan haben, um den Kunden zu schützen, und so viele Informationen wie möglich zu sammeln. So können Sie dem Kunden detailliert erklären, wie es dazu gekommen ist, und davon profitiert Ihr Unternehmen langfristig, da Sie Einblicke in die Vorgehensweise von Betrügern gewinnen – und erkennen, wo Ihre eigenen Schwachstellen liegen könnten.
Mit diesen Informationen sollten Sie alles in Ihrer Macht Stehende tun, um sicherzustellen, dass der Kunde das verlorene Geld zurückerhält. Zeit ist hier entscheidend. Wenn Sie schnell handeln, sind die Erfolgsaussichten deutlich größer. Beispielsweise könnten die Gelder noch auf dem Weg zwischen verschiedenen Banken sein und somit daran gehindert werden, auf das Konto des Betrügers eingezahlt zu werden. Wenn Sie eine Woche oder einen Monat warten, ist dieses Geld wahrscheinlich bereits ausgegeben worden.
