Wie man einen Konkurrenten ruinieren kann? Zahlungsbetrug mit gestohlenen Kreditkarten

• Eine Betrugsmasche, bei der beim Zahlungsabwickler eines Konkurrenzunternehmens wiederholt Zahlungen mit gestohlenen Kreditkarten ausgelöst werden, trifft tatsächlich kleine SaaS-Anbieter
• Trotz 10 Jahren Geschäftsbeziehung mit PayPal und 7 Jahren mit Stripe sowie einem Gesamtumsatz von über 500.000 US-Dollar wurde das Konto ohne vorherige Benachrichtigung eingeschränkt
• Große Zahlungsplattformen erzielen Umsätze in Milliardenhöhe, verfügen aber dennoch nicht über tatsächlich erreichbares Support-Personal
• Als Solo-SaaS-Entwickler wird es immer schwieriger, unter diesen Bedingungen die Stabilität des Geschäfts zu sichern
• Auch auf Hacker News und Reddit wird häufig Kritik an Zahlungsplattformen geäußert, was das Plattformabhängigkeitsrisiko kleiner Unternehmen verdeutlicht

---

Angriffsmethode auf Konkurrenten mit gestohlenen Kreditkarten

• Dabei werden beim Zahlungsabwickler eines Konkurrenzunternehmens mit gestohlenen Kreditkarten wiederholt Zahlungen ausgelöst und so dem Betrüger Geld verschafft
• Dadurch sammeln sich im Zahlungskonto des betroffenen Unternehmens Einträge zu Betrug (fraud) an, was letztlich zur Einschränkung des Kontos führt

Konkrete Schadenslage

• Es bestand eine Geschäftsbeziehung von 10 Jahren mit PayPal und 7 Jahren mit Stripe, bei einem kombinierten Gesamtumsatz von über 500.000 US-Dollar über beide Plattformen hinweg
• Trotzdem hat die Plattform das Konto ohne vorherige Kontaktaufnahme eingeschränkt
• Der Angriff läuft derzeit noch und beeinträchtigt den Geschäftsbetrieb erheblich

Fehlender Kundensupport großer Zahlungsplattformen

• Obwohl es sich um Großunternehmen mit Umsätzen in Milliardenhöhe handelt, fehlt es an tatsächlich verfügbarem Support-Personal
• Auf Hacker News und Reddit wird regelmäßig Kritik an solchen Plattformen laut

Instabilität für Solo-SaaS-Unternehmer

• Als Solo-SaaS-Builder wird es immer schwieriger, die geschäftliche Stabilität (job security) aufrechtzuerhalten
• Es besteht eine strukturelle Verwundbarkeit, bei der langjährige Geschäftsbeziehungen durch einseitige Entscheidungen der Plattform von einem Moment auf den anderen beendet werden können

[GN⁺]

Hacker-News-Kommentare

• Es beunruhigt mich immer, dass es keine Möglichkeit gibt, solchen Plattformen auszuweichen. Unsere derzeit betriebene Bäckerei wurde plötzlich auf Google Maps gesperrt, und da das der wichtigste Weg ist, über den die Leute uns finden, ist das ein schwerer Schlag.
  Vor 7 Tagen erhielten wir plötzlich die Mitteilung, dass „das Konto gesperrt wurde, weil es nicht den Unternehmensrichtlinien entspricht“, und das Einzige, was wir zuletzt geändert hatten, waren die Öffnungszeiten. Obwohl der Eintrag zwei Jahre lang ohne Probleme online war, sagt man uns nicht, was das Problem ist, sondern nur, wir sollten es beheben und dann die Wiederherstellung beantragen.
  Es soll bis zu zwei Wochen dauern, aber 7 Tage sind bereits vergangen, und wenn der Antrag abgelehnt wird, bleibt uns nichts anderes übrig, als den Eintrag zu löschen. Dann verschwinden auch die Bewertungen, die wir über zwei Jahre aufgebaut haben.
  Am Tag vor der Sperrung erzählte mir ein Mitarbeiter, dass koreanische Touristen gekommen seien und behauptet hätten, wir seien ein Fake-Laden; offenbar konnten wir sie wegen der Sprachbarriere nicht davon überzeugen, dass dies der echte Standort ist. Oder sie suchten vielleicht ohnehin nach einem ganz anderen Ort. Sehr wahrscheinlich haben sie eine negative Bewertung hinterlassen und den Standort als Fake gemeldet.
  Am Ende sind also zwei Jahre, eine Bewertung von 4,9 und über 100 positive Rezensionen aus einem Grund weg, den wir nicht kennen — ob wegen eines verwirrten Touristen, der Änderung der Öffnungszeiten oder einer automatischen Spam-Prüfung. Ich hoffe, das nächste EU-Gesetz befasst sich eher mit solchen Problemen als mit Datenschutz; für kleine Unternehmen ist das ein ebenso großes Problem.

  • Der Blumenladen meiner Frau verlor ebenfalls den Zugriff auf Facebook-Werbung, und die Art, wie sie mit Kunden kommunizieren kann, wurde dauerhaft eingeschränkt, weil ein Bot ihn fälschlicherweise wegen Handels mit exotischen Tieren gesperrt hatte.
    Das fragliche „exotische Tier“ war Aphelandra Squarrosa, also eine Pflanze mit zebraartig gemusterten Blättern. Es gibt keine Möglichkeit, diese Sanktion rückgängig zu machen, und keine Möglichkeit, eine manuelle Prüfung durch einen Menschen zu erzwingen; das beeinträchtigt weiterhin ihre Fähigkeit, mit ihrer Kundenbasis zu kommunizieren.
  • Ich halte dieses Problem für viel größer als Datenschutz. Datenschutz lässt sich bis zu einem gewissen Grad vermeiden, indem Nutzer einen Dienst nicht verwenden; so etwas kann dagegen durch ein einziges fehlerhaftes Warnsystem eines Datenriesen ein ganzes Geschäft zerstören.
    Es sollte illegal sein, dass Plattformen wie Google Einträge ohne Nachweis entfernen, und wenn sie sie entfernen, ohne es belegen zu können, sollten sie rechtlich verpflichtet sein, den entstandenen Schaden zu ersetzen. Nur dann werden sie das ernst nehmen.
  • In Deutschland kann man gegen Google eine einstweilige Verfügung beantragen; das ist in der Regel wirksam und mit Kosten von einigen Hundert Euro vergleichsweise günstig.
    Es wäre gut, mit einem Anwalt zu sprechen, und in den meisten EU-Ländern gibt es wahrscheinlich ähnliche Verfahren. Allerdings muss man den Antrag möglicherweise sowohl gegen den Sitz von Google Europe in Dublin/Irland als auch gegen die nationale Google-Niederlassung stellen.
  • Selbst wenn man nicht auf Google Maps gelistet werden möchte, erstellt Google manchmal einfach Fake-Einträge. Mir ist das als Kunde passiert: Der Take-out-Link führte tatsächlich nicht zu einer Website, die mit dem Restaurant zusammenarbeitete.
    Ich habe auch gesehen, dass ein Restaurant mit ähnlichem Namen die URL eines anderen Orts gekapert hatte. Es ist seltsam, dass Google solche Informationen ohne Verifizierung durch den Betreiber veröffentlicht; der Schaden ist groß, und es scheint ein gutes Umfeld für Betrüger zu schaffen.
  • Umgekehrt ist mir als Google-Maps-Rezensent auch schon passiert, dass eine negative Bewertung, die ich für ein Restaurant abgegeben hatte, ohne besonderen Grund gelöscht wurde. Vermutlich hatte der Betreiber sie als „Fake“ gemeldet.
    Es war eine lange, sorgfältig geschriebene Bewertung, die sogar positive Punkte und Empfehlungen enthielt, aber sie verschwand komplett, was mich wirklich wütend gemacht hat. Noch schlimmer ist, dass das Restaurant trotz ziemlich mäßiger Qualität bei 4,5 Sternen bleibt und alle aktuellen niedrig bewerteten Rezensionen vermuten, dass diese Punktzahl künstlich ist.

• Man könnte böswillige Wettbewerber verantwortlich machen, aber das eigentliche Problem ist, dass Kreditkarten kein geeignetes Werkzeug sind, um im Internet an Unbekannte zu zahlen.
  Bei jeder Kreditkartentransaktion gibt man der Gegenseite im Grunde Informationen, mit denen sie in meinem Namen bei beliebigen Händlern beliebig große Transaktionen erzeugen kann – das ergibt keinen Sinn.
  In letzter Zeit wird Apple Pay auf Websites häufiger genutzt. Wenn es sich wie das übliche Apple Pay verhält, ist es technisch sicherer, weil es sich um einen kryptografisch sicheren und überprüfbaren Austausch eines Einmal-Tokens handelt. Auch wenn ich es nicht mag, Apple noch mehr Macht zu geben.
  PayPal mag auch nicht jeder, aber immerhin gibt man dort nicht die Kreditkartennummer selbst weiter. Allerdings scheint PayPal ebenfalls sehr viele Händler auszusperren.
  Auch aus Verbrauchersicht sind Kreditkarten nicht gut. Mir wurde schon die Karte gesperrt, weil ich innerhalb derselben Stadt unterwegs war und bei einem Händler, den ich sonst nicht nutze, etwa 20 Dollar ausgegeben habe; und auch wegen einer monatlichen Zahlung von 5 Dollar für einen Webservice, die ich bereits zwei Monate in Folge bestätigt hatte.

  • Bei einer normalen Kreditkartentransaktion gibt man Unbekannten keine Informationen, mit denen sie in meinem Namen bei anderen Händlern Transaktionen durchführen können. Tatsächlich stellt man die Kartendaten dem Payment Service Provider (PSP) zur Verfügung, mit dem der Händler einen Vertrag hat, und der PSP gibt ein Token zurück, mit dem dieser Händler nur Zahlungsanforderungen an sein vorab genehmigtes Acquirer-Konto senden kann.
    Der Händler kann mit diesem Token nichts anderes anfangen. Wenn die Token-Datenbank des Händlers geleakt wird, wäre das peinlich, aber der Schaden ist begrenzt. Wenn die Kartennummern-Datenbank des PSP kompromittiert wird, wäre das für Karteninhaber unangenehm, aber für den PSP wäre es ein Vorfall, der wegen eines Verstoßes gegen PCI DSS https://en.wikipedia.org/wiki/Payment_Card_Industry_Data_Sec... existenzbedrohend wäre.
    Kurz gesagt: Normale Kartenzahlungen sind im Kern genauso sicher wie Apple Pay. Der Unterschied ist, dass man auf der einen Seite einer großen Tech-Marke vertraut, die seit 2014 Payments als Nebengeschäft betreibt, und auf der anderen Seite Anbietern wie Adyen, Braintree, WePay oder Worldline, die man vielleicht weniger kennt, die aber schon viel länger sichere Zahlungsabwicklung als Kerngeschäft betreiben.
  • Bei Skype passiert mir das fast jedes Mal, wenn abgebucht wird. Ich nutze sowohl die Bank als auch Skype seit über zehn Jahren, und die Zahlung ist so regelmäßig wie ein Uhrwerk; trotzdem kann der Kundensupport nichts tun, selbst wenn ich mich mehr als die Hälfte der Zeit beschwere.
    Deshalb muss ich jedes Mal daran denken, wenn ich Begriffe wie „KI-gestützte Betrugserkennung“ oder erst recht „KI-gestützte Sicherheit“ höre. Hätte ich keine andere Kreditkarte, müsste ich wohl ständig mit der Angst leben, bei irgendeiner Transaktion zufällig abgelehnt zu werden. Meine Bank hat zehn Jahre Historie und tut trotzdem so, als kenne sie den Zahlungszyklus nicht.
    Offensichtlich verkauft sie meine Daten nur an den Meistbietenden, nutzt sie aber nicht, um mir zu helfen. Ähnlich ist, dass selbst die exakte Teilstring-Suche in Gmail so miserabel ist wie die Google-Websuche. Unternehmen, die behauptet haben, sie würden uns indexieren und aus hochauflösenden Konsumentenmodellen „Wert“ schaffen, betreiben jede Menge Überwachung und scheitern trotzdem an den Grundlagen.
    Dass Privatsphäre ruiniert wird, habe ich als Teil der Moderne fast schon erwartet; was mich heute mehr überrascht, ist, dass wir dafür nicht einmal winzige Bequemlichkeiten zurückbekommen.
  • Schade, dass dieses Problem beim Übergang zu kontaktlosem Bezahlen nicht gelöst wurde. Auch NFC-Zahlungen stecken weiterhin in einer Struktur fest, in der Kunden die Zahlung nicht selbst erstellen können und einem Zahlungsterminal, das der Händler ihnen hinhält, geheime Informationen anvertrauen müssen.
    Die Richtung der Transaktion hätte umgekehrt sein müssen. Der Händler sollte nur die Zahlungsdetails übermitteln, und das Smartphone des Kunden sollte sie prüfen und die Zahlung starten. Dass das immer noch nicht der Standard ist, ergibt keinen Sinn; noch seltsamer ist, dass Online-Zahlungen diesen Wechsel nicht schon längst vollzogen haben.
  • Ich stimme zu, dass das gesamte System überarbeitet werden muss, aber wenn man heute an Unbekannte zahlt, sind Kreditkarten eines der besten Werkzeuge. Das Geld, das man per Kreditkarte ausgibt, ist nicht das Geld auf dem eigenen Girokonto, und es gibt Betrugsschutz dazu.
    Bei einer verdächtigen Transaktion würde ich eher eine Kreditkarte verwenden als etwas, das mit dem Girokonto verbunden ist. Wenn die Kartennummer am Ende gestohlen wird, ist das lästig, aber NFC-Zahlungen und Ähnliches lösen dieses Problem schrittweise.
    Viele Leute verstehen Kreditkarten falsch. Wenn man jeden Monat den vollen Betrag ausgleicht, bekommt man meist auch Rewards und schafft einen großen Schutzschild zwischen den eigenen Finanzen und Betrug. Natürlich warte ich darauf, dass ein sichereres Kreditkartensystem weite Verbreitung findet.
  • Der Grund, warum wir immer noch Kreditkarten verwenden, ist, dass große Netzwerke wie Mastercard und Visa sowie Issuer- und Acquirer-Banken enorme Summen für Werbung und Lobbyarbeit ausgeben.
    Selbst dort, wo Zahlungsgebühren gedeckelt sind, etwa in der EU, liegt die Obergrenze für Kreditkartengebühren höher als die Gebühren für Debitkarten oder SEPA. Damit haben alle in der Zahlungskette einen klaren Anreiz, Kreditkartennutzung zu fördern. Issuer-Banken verdienen außerdem viel Geld mit Zinsen, daher ist ihr Anreiz, Kreditkartennutzung zu fördern, noch größer.

• Da es hier keine Informationen darüber gibt, welche Aktivitäten tatsächlich stattgefunden haben, konzentriere ich mich auf das Verhalten des Diensteanbieters.
  In einer Zeit, in der kostenpflichtige Service-Unternehmen rasant zunehmen, deren „Kundensupport“ nur darin besteht, zu hoffen, dass ein Problem in sozialen Medien Aufmerksamkeit bekommt, sollte man darüber nachdenken, wie man gesetzlich eine Alternative zu „der Computer hat Nein gesagt, also erstelle ein neues Konto und hoffe, nie wieder erwischt zu werden“ erzwingen kann. Das scheint ein Bereich zu sein, den Verbraucherschutzbehörden aktiv angehen sollten.
  Die australische Verbraucherschutzbehörde setzt Rechte bei solchen Problemen ziemlich aktiv durch. Ich frage mich, ob es in den USA keine vergleichbare Behörde gibt oder ob sie von den Unternehmen vereinnahmt wurde, die sie eigentlich regulieren soll.
  Solche Unternehmen erzielen große Gewinne, ignorieren aber Support- und Kommunikationsprozesse, die normale Unternehmen haben müssten, mit der Begründung, dies sei „wegen der Größe unmöglich“. Aus Sicht der Verbraucherabhilfe sollte eine solche Antwort nicht akzeptiert werden.

  • Zahlungsdienstleister sind nahezu natürliche Monopole und sollten daher wie öffentliche Versorgungsunternehmen reguliert werden; ihnen sollte es untersagt sein, Dienste ohne berechtigten Grund zu verweigern.
    Leider scheint die Regierung Mittel, mit denen sie die Existenzgrundlage unliebsamer Personen ohne lästige rechtsstaatliche Verfahren zerstören kann, ziemlich zu mögen.
  • Wir brauchen einen kurzen, prägnanten neuen Begriff, um zu beschreiben, was Diensteanbieter hier tun.
    Man könnte sagen, dass man einfach bestehende Rechtskonzepte durchsetzen müsse, aber damit die Presse die Aufmerksamkeit von Politikern bekommt, braucht es ein kurzes, konkretes Wort für ein bestimmtes Phänomen.
    So wie swatting, phishing, slamming, gaslighting oder boofing Begriffe sind, die jeder kennt, die sich leicht in Artikel packen lassen und auch suchmaschinenfreundlich sind: Ich frage mich, wie man dieses Verhalten des 21. Jahrhunderts nennen sollte, damit man Blogs und Artikel darüber schreiben und Politiker zum Handeln auffordern kann.
  • In den USA gibt es solche Behörden ebenfalls, aber sie sind noch relativ neu und stoßen sowohl in der Politik als auch bei Unternehmen auf viel Widerstand.
    Vielleicht funktionieren sie in 20 bis 30 Jahren, wenn diverse Klagen und Regeln geklärt sind, aber im Moment wirken sie noch wie in der Kleinkindphase, in der alle ausprobieren, ob sie das Baby umstoßen können.
  • Auch die Durchsetzung ist ein großes Problem. Viele, vielleicht sogar alle dieser Verhaltensweisen könnten bereits nach bestehendem Recht verfolgt werden. Das Kartellrecht auf Bundesebene und verschiedene Gesetze der Bundesstaaten machen ein solches Verhalten auf dem Papier rechtswidrig.
    Das Problem ist, dass es wirklich schwierig ist, gegen große Unternehmen vorzugehen. Selbst wenn man als Verbraucher wegen falscher Werbung zur Wasserdichtigkeit eines Handys Abhilfe bekommen will, können die Rechtskosten Hunderttausende Dollar betragen.
    Ohne ausreichende finanzielle Mittel ist es für Einzelpersonen nahezu unmöglich, ein Unternehmen zur Verantwortung zu ziehen, und die Behörden, die das durchsetzen sollten, setzen das Recht nicht durch oder können es nicht.
  • Auch die australische Regierung hat Probleme nach Art der Unternehmenskultur, bei der man ständig neue Konten erstellen soll. Der Unterschied ist nur, dass es dort Callcenter und Supportmitarbeiter gibt.
    Wenn ständige Unannehmlichkeiten und technisches Rauschen durch Dinge wie biometrische IDs einfacher und interessanter zu lösen sind, frage ich mich, ob es überhaupt einen Anreiz gibt, diese Probleme zu beheben.
    Ehrlich gesagt kann die australische Regierung Unternehmen zwar kontrollieren, spielt am Ende aber dasselbe Spiel und kümmert sich langfristig nicht besonders darum, wer dagegen ist.

• Wenn man unethisch handeln will, gibt es eine Menge, was man tun kann.
  Menschen direkt ins Visier zu nehmen, kann wirksam sein. Wenn man dem Ehepartner einen anonymen Brief mit dem Verdacht auf eine Affäre schickt, kann das Geschäftsreisen von Führungskräften verhindern und erheblichen privaten Stress verursachen; es kostet nur das Porto. In Ländern wie Schweden, wo Adressen und Informationen zum Zusammenleben öffentlich sind, ist das besonders einfach.
  Man könnte auch rassistische Fälschungen im Zusammenhang mit einem Unternehmen oder Produkt erstellen und Hunderte Bot-Konten kaufen, die jede Erwähnung des Unternehmens oder Produkts damit verfolgen.
  Ich bin in einer Branche, in der der Wettbewerb nicht besonders hart ist, und ich bin auch keine bekannte Person, aber beides ist mir schon passiert.

• Ich hoffe aufrichtig, dass solche Angriffe populärer werden.
  Dann könnte genug Druck entstehen, damit Regulierungsbehörden etwas gegen die Finanzparasiten unternehmen, die wir „Zahlungsdienstleister“ nennen. Ein Zahlungssystem, das sich nicht wie ein öffentliches Versorgungsunternehmen verhält, ist kaputt und muss repariert werden.
  Es ist wirklich bitter, dass derzeit im Grunde nur Kryptowährungen als digitales Zahlungssystem annähernd wie ein öffentliches Versorgungsunternehmen funktionieren.
  Das ist keine vollständige Lösung, aber wenn man Kunden erlaubt, auf andere Weise zu bezahlen, etwa mit Kryptowährungen oder Banküberweisungen, kann das manche Probleme abmildern. Die Pornoindustrie und andere legale Unternehmen machen das, wenn sie am Ende in genau diese Lage geraten.
  Wenn Kunden das Produkt stark genug wollen, werden einige diese Zahlungsarten lernen, und Betreiber müssen vielleicht lernen, mit genau diesem Teil der Kunden zu überleben.

  • Das brasilianische Zahlungssystem Pix ist faktisch ziemlich nah an einem öffentlichen Versorgungsunternehmen, und nicht der Empfänger, sondern der Zahler autorisiert die Zahlung. Es hat sehr wenig Reibung und wird von allen genutzt, braucht aber eine Internetverbindung.
    Ich hatte das Gefühl, dass Algorand in der Position war, eine solche Rolle zu übernehmen, aber dafür hätten alle Komponenten stimmen müssen. Eine Transaktionsgebühr von 0,001 ALGO reduziert sinnlose Transaktionen, ermöglicht aber dennoch Transaktionen über 0,1 ALGO; wenn Stablecoins oder digitale Zentralbankwährungen stärker aktiv würden, könnte es diese ebenfalls unterstützen.
    Transaktionen können in Millisekunden abgeschlossen werden, und auch mittelgroße Teilnehmer können leicht zur Aufrechterhaltung des gesamten Netzwerks beitragen. Trotzdem hat es keine traction bekommen, vermutlich weil es kein gutes HODL-Objekt war.
  • Ich bin mir nicht sicher, warum das traurig sein soll. Auf HN bezeichnet man sich oft als libertär, pro Dezentralisierung und gegen Unternehmens-Oligopole, sagt aber bis zum letzten Atemzug: „Kryptowährungen sind nutzlos.“
    Künstliche Intelligenz brauchte fast 70 Jahre, um sich zu etablieren, aber Kryptowährungen sind nach 10 Jahren bereits in mehrere Bereiche vorgedrungen und sind eine frühe Technologie mit dem Potenzial, große Probleme zu lösen.
    Ich sehe das als einen Fall, in dem die „falschen oder dummen“ Leute zusammen mit Betrügern zuerst eingestiegen sind und es für kluge Leute dadurch kontaminiert wirken ließen. Trotzdem sollten wir in der Lage sein, das Gute vom Schlechten zu unterscheiden.
    Es überrascht mich, wie oft hier die Fähigkeit fehlt, dieses Thema vorsichtig zu diskutieren. Gespräche, die wirklich interessant sein könnten, werden wegen Lagerdenken immer wieder verdrängt.

• Als ich bei einer mittelgroßen Medienagentur in Frankreich arbeitete, passierte mit einem Google-AdWords-Konto etwas Ähnliches, und mit direktem Support von Google bekam die Rechtsabteilung das Konto nach etwa zwei Wochen zurück.
  Im Wesentlichen schrieben sie wohl ein paar anwaltliche Schreiben und ließen durchblicken, dass „unsere Rechtsvertretung gern bereit ist, dieses unglückliche Problem im Büro von Google France zu besprechen“, woraufhin Google das Konto einfach wiederherstellte.
  Die Anwaltskosten lagen bei etwa 2.500 bis 5.000 Euro, also nicht gerade billig, aber weit weniger als das Geld, das wir verloren. Ich frage mich, ob US-basierte Betreiber diese Option nicht haben. Solche Horrorgeschichten wie im Original habe ich schon oft gesehen, aber nur selten, dass jemand einen ähnlichen Weg verfolgt hat.

  • Für US-basierte Betreiber ist das natürlich ebenfalls eine mögliche Option. Manche wählen sie nur aus verschiedenen Gründen nicht, etwa wegen der Finanzen, aus Prinzip oder wegen des nötigen Aufwands.
  • Das ist möglich. Man sieht es daran, dass in solchen Geschichten fast nie „und dann habe ich mit einem Anwalt gesprochen“ vorkommt.

• Man sollte nicht dem Irrtum erliegen, dass Zahlen wie „10 Jahre Geschäftsbeziehung mit PayPal, 7 Jahre mit Stripe“ wichtig wären. Wir leben nicht mehr in einer Zeit wie 1973, in der man Bankangestellten die Hand schüttelte.
  Die einzige Zahl, die zählt, ist der Dollarbetrag, der wegen deines Geschäfts über Stripe oder PayPal läuft.

  • Außerdem sind 500.000 Dollar absolut keine Größenordnung, um die sich Stripe kümmern würde. Stripe bekommt davon nur einen Teil.

• Ich habe das selbst erlebt. Es kann ein Konkurrent sein, oder ein Betrüger, der mit einem Haufen nutzloser Kreditkartennummern, die er gestohlen oder in einem Forum gekauft hat, ausprobieren will, was er umsonst bekommen kann.
  Wenn dein Marketing auf dem Radar solcher Gruppen landet, geben sie Informationen über Dienste untereinander weiter. Händler müssen eigene Betrugsprüfverfahren entwickeln oder jemanden dafür bezahlen.
  Ich will nicht dem Opfer die Schuld geben, aber aufgrund der Branchenstruktur liegt die Verantwortung für das Erkennen und Bearbeiten von Betrug vor allem beim Händler. Objektiv betrachtet ist das vielleicht nicht nur eine schlechte Entscheidung. Händler haben mehrere Möglichkeiten, herauszufinden und zu blockieren, wer so etwas macht.
  Als dieses Problem bei meinem ersten Startup auftrat, haben wir es von 5.000 Fällen pro Monat auf 50 pro Monat reduziert, und ich verabscheue diese Art von Kriminalität wirklich. Aber Kreditkarten-Intermediäre externalisieren das Risiko auf die Händler und haben dann wenig Interesse an schrittweisen Tool-Innovationen für Händler.
  Frustrierend war, dass es keine Drittpartei gab, bei der man betrügerische Anfragen samt Vertrauenswert melden oder mit Verdachtsaufzeichnungen anderer Händler abgleichen konnte. Ein paar Jahre später habe ich, glaube ich, so einen Dienst gesehen, kann ihn jetzt aber nicht mehr finden.
  Wenn ich jetzt danach suche, gibt es eine gut zusammengestellte Liste mit Tipps zur Betrugsprävention für Händler, die mir damals niemand genannt hat und die ich selbst herausfinden musste; sie war ziemlich erfolgreich: https://support.authorize.net/knowledgebase/Knowledgearticle...
  Viel Glück. Diese Leute sind hartnäckig. In meinem Fall kamen die meisten aus armen Ländern, und für sie ist ein Dollar Betrug deutlich mehr Zeitaufwand wert als für uns. Sie werden immer wiederkommen, bis man sie vollständig blockiert.

  • Mich würde interessieren, welche Gegenmaßnahmen gegen solche Angriffe am erfolgreichsten waren.

• Ich habe gehört, dass ziemlich viele Shopify-Sites die automatische Kreditkartenverarbeitung für neue Bestellungen deaktivieren. So kann ein echter Mensch die Bestellung prüfen, bevor sie an Anbieter wie Stripe weitergereicht wird.
  Betrügerische Bestellungen lassen sich meist schon an der Lieferadresse recht leicht erkennen, und man bekommt schnell ein Gefühl dafür. Es ist nicht so schwierig wie das Geschlechtsbestimmen von Küken.
  Vielleicht ist das zugespitzte Fazit ja, dass der beste Weg, sein Geschäft zu ruinieren, die Automatisierung von Kreditkartenzahlungen ist.

  • Über die Lieferadresse kann man einige Betrugsbestellungen erkennen. Man sucht die Adresse und prüft, ob es sich um einen Paketweiterleitungsdienst handelt oder um ein offensichtlich leerstehendes Haus, zu dem auf MLS Fotos leerer Zimmer stehen. Bei solchen Lieferadressen ist die Betrugsquote ziemlich hoch.
    Wenn du mit AVS allerdings meinst, dass Lieferadresse und Rechnungsadresse der Karte nicht übereinstimmen, ist es schwieriger. Besonders im B2B-Bereich kommt es häufig vor, dass Geschäftsinhaber mit einer Kreditkarte bezahlen, die mit ihrer Privatadresse verknüpft ist, und an den Geschäftssitz liefern lassen.
  • Oder diese Zahlungsabwickler müssten vielleicht KI trainieren, um die Muster zu erkennen, von denen du sprichst.