Das 850-Milliarden-Problem: Scam-Erkennung ist keine Compliance-, sondern eine Architekturfrage

Laut dem aktuellen Bericht der Global Anti-Scam Alliance, GASA (Website) beliefen sich die weltweiten Verluste durch Betrug im Jahr 2024 auf rund 850 Millarden Euro. Banken und Versicherungen stehen dabei gleich doppelt unter Druck: als unmittelbare Angriffsfläche für Betrüger – und als letzte Verteidigungslinie für ihre Kunden.

Die über eine Billion US-Dollar an weltweiten Scam-Verlusten im Jahr 2024 markieren keinen Ausreißer, sondern einen strukturellen Wendepunkt für den Finanzsektor. Die GASA beschreibt eine Bedrohungslage, in der Betrug zunehmend autorisiert, kontextuell plausibel und technisch sauber abläuft. Genau darin liegt die Herausforderung für die IT: Die Transaktion selbst ist oft unauffällig – der Betrug steckt im Verhalten davor. Wer Scam-Prävention also weiterhin über Regelwerke, Blacklists oder isolierte Transaktionsscores betreibt, bekämpft Symptome, nicht Ursachen.

Detection and Modeling: Vom Regelwerk zur lernenden Entscheidungsarchitektur

Moderne Scam-Erkennung ist kein einzelnes Modell, sondern ein mehrstufiges, orchestriertes Modell-Ökosystem. Klassische Fraud-Engines, die auf deterministischen Regeln oder einfachen Klassifikatoren basieren, stoßen deshalb systematisch an ihre Grenzen.

Mehrdimensionale Feature-Räume statt eindimensionaler Scores

Der erste technische Bruch mit der Vergangenheit liegt im Feature Design. Während traditionelle Systeme transaktionszentrierte Merkmale priorisieren (Betrag, Empfänger, Land), müssen Scam-Modelle deutlich breitere Feature-Räume abbilden, darunter:

• Temporale Sequenzen (z. B. ungewöhnliche Beschleunigung von Aktionen)
• Interaktionspfade (Navigation, Abbrüche, Wiederholungen)
• Geräte- und Netzwerkattribute (Device Drift, Emulator-Indikatoren)
• Verhaltensinstabilität gegenüber dem individuellen Kundenbaseline-Profil

Diese Merkmale entstehen nicht aus einzelnen Events, sondern aus Streaming-Kontexten, die IT-seitig persistiert, aggregiert und in Echtzeit verfügbar gemacht werden müssen.

Modell-Typen: Spezialisierung schlägt Universalmodelle

In der Praxis haben sich Ensemble-Ansätze als deutlich robuster erwiesen als monolithische Modelle. Unterschiedliche Modellklassen adressieren unterschiedliche Scam-Signaturen:

• Unsupervised Models (z. B. Isolation Forests, Autoencoder) zur Erkennung unbekannter Muster
• Sequence Models (z. B. LSTM, Transformer-basierte Architekturen) für zeitliche Anomalien
• Supervised Classifier zur präzisen Erkennung bekannter Scam-Typen wie APP oder BEC
• Graph-basierte Modelle zur Identifikation koordinierter Akteursnetzwerke

Die technische Herausforderung liegt weniger im Training als in der Echtzeit-Orchestrierung dieser Modelle innerhalb eines Decisioning-Layers, der Scores konsolidiert, gewichtet und in handlungsrelevante Entscheidungen überführt.

Anomaly and Behavioral Detection: Wenn Abweichung das stärkste Signal ist

Besonders deutlich wird der Paradigmenwechsel im Bereich der Anomalie- und Verhaltensdetektion, den die GASA explizit als Schlüsselfaktor für moderne Scam-Prävention benennt

Der zentrale Fehler vieler Systeme liegt in der Verwendung globaler Schwellenwerte. Scam-Erkennung erfordert hingegen kundenindividuelle Normalitätsmodelle. Technisch bedeutet das:

• Aufbau persistenter Behavioral Profiles pro Kunde
• Dynamische Anpassung dieser Profile über Sliding Windows
• Trennung zwischen stabilen Identitätsmerkmalen und volatilen Kontextmerkmalen

Anomalien sind dabei nicht per se Betrug, sondern Abweichungen von persönlicher Normalität – etwa eine signifikante Änderung im Entscheidungsverhalten, in der Interaktionsgeschwindigkeit oder im Gerätegebrauch.

Ein zunehmend relevanter Baustein ist die Integration von Behavioral Biometrics, etwa:

• Tastenanschlag-Dynamiken
• Maus- und Touch-Interaktionen
• Druck- und Beschleunigungsmuster auf Mobilgeräten

Diese Signale sind schwer zu simulieren, hochgradig individuell und liefern wertvolle Hinweise darauf, ob ein Nutzer selbstbestimmt handelt oder fremdgesteuert wird – ein zentrales Kriterium bei Social-Engineering-Scams.

Echtzeit-Anomalien erfordern Echtzeit-Architekturen

Die GASA-Studie betont, dass Betrug nur dann verhindert werden kann, wenn Entscheidungen während des Zahlungsvorgangs getroffen werden. Daraus ergeben sich klare IT-Anforderungen:

• Stream Processing (z. B. Event Hubs, Kafka-ähnliche Architekturen)
• Stateful Processing für Verhaltenskontexte
• Low-Latency Inference (<100 ms) auch bei komplexen Modellen

Batch-basierte Feature-Berechnung oder nachgelagerte Reviews sind in diesem Szenario nicht nur ineffektiv, sondern kontraproduktiv.

Von Detection zu Intervention: Decisioning als kritische Schicht

Erkennung allein verhindert keinen Scam. Entscheidend ist die Intervention, und diese ist technisch gesehen eine Decisioning-Frage. Moderne Systeme müssen differenzieren können zwischen:

• Hard Stops (Blockieren)
• Soft Interventions (zusätzliche Authentisierung, Warnhinweise)
• Cognitive Friction (bewusste Verzögerung zur Unterbrechung sozialer Manipulation)

Gerade bei autorisierten Zahlungen ist dies essenziell, da der Kunde formal korrekt handelt. Die IT muss daher Mechanismen bereitstellen, die Verhaltensauffälligkeiten in gezielte Reibung übersetzen, ohne die User Experience pauschal zu beschädigen.

Fazit: Scam-Erkennung ist Modellbetrieb, kein Projekt

Die technologische Botschaft der GASA-Studie ist eindeutig: Scam-Prävention ist kein Feature, sondern ein dauerhafter Modellbetrieb. Sie erfordert:

• Echtzeitfähige Datenarchitekturen
• Verhaltenszentrierte Modellierung
• Orchestrierte Entscheidungslogik
• Erklärbarkeit und kontinuierliches Lernen

Für Banken und Versicherungen ist das weniger eine Tool- als eine Architekturentscheidung. Wer Detection weiterhin regelbasiert denkt, wird gegen KI-gestützte, adaptive Scam-Netzwerke verlieren. Wer jedoch Modelle als lebende Systeme begreift, verschiebt den Wettlauf wieder zugunsten der eigenen IT.

Der komplette Report kann hier nach aufwendiger Registrierung (Kontaktdaten, Botcheck, E-Mail-Verifikations-Code) heruntergeladen werden.aj