Betrug im Zahlungsverkehr nimmt in Geschwindigkeit und Komplexität zu

Das Vorweihnachtsgeschäft mit dem Black Friday, also die umsatzstärkste Phase des Jahres, stellt Zahlungsdienstleister, Banken und Händler erneut vor erhebliche Belastungen. Während das Transaktionsvolumen rund um Black Friday deutlich ansteigt, wächst auch der Druck durch zunehmend professionalisierte Betrugsgruppen. Neue Daten aus dem europäischen Zahlungsverkehr zeigen zwar, dass die starke Kundenauthentifizierung (SCA) das Kartenbetrugsrisiko innerhalb des Europäischen Wirtschaftsraums substanziell reduziert hat, gleichzeitig jedoch verlagern sich kriminelle Aktivitäten systematisch auf jene Bereiche des Zahlungsökosystems, die weniger stark reguliert oder technisch schlechter geschützt sind.

Während der Einzelhandel den umsatzstärksten Zeitraum des Jahres vorbereitet, steigt das Betrugsrisiko im Zahlungsverkehr rasant an. Die jüngsten Daten von Zentralbanken und die Ergebnisse der aktuellen Identitätsbetrugsstudie „The Battle in the Dark“ von Signicat zeigen eine zunehmend aggressive Bedrohungslage. Zwar wurde das Kartenbetrugsrisiko im Europäischen Wirtschaftsraum durch die starke Kundenauthentifizierung (SCA) deutlich reduziert, doch verlagern sich kriminelle Aktivitäten inzwischen gezielt auf andere Segmente des Zahlungssektors. Die Europäische Zentralbank und die Europäische Bankenaufsicht berichten, dass Betrug mit den wichtigsten Zahlungsinstrumenten im EWR allein im ersten Halbjahr 2023 Schäden von rund 2,0 Milliarden Euro verursacht hat. Diese Zahl verdeutlicht, wie weit sich Angreifer bereits von klassischen Kartenzahlungen wegbewegt haben, denn SCA wirkt innerhalb des EWR weiterhin stabil. Der Erfolg der Regulierung macht jedoch auch sichtbar, wohin sich Angriffe verlagern: hin zu Identitätsmissbrauch, Onboarding-Manipulationen und zu jenen Zahlungswegen, die entweder weniger streng reguliert oder technisch leichter zu kompromittieren sind.

Die von Signicat und Red Goat Cyber Security durchgeführte Studie zeichnet ein detailliertes Bild dieser Verschiebung. Branchenverantwortliche berichten übereinstimmend, dass rund jeder fünfte digitale Onboarding-Vorgang betrügerisch ist. Der finanzielle Schaden zeigt sich nicht nur im unmittelbaren Verlust: Unternehmen schätzen, dass insgesamt 22 Prozent ihres Jahresumsatzes entweder durch direkten Identitätsbetrug oder durch die Kosten der Betrugsprävention belastet sind. Parallel geben 59 Prozent der Befragten an, im letzten Jahr einen Anstieg erfolgreicher Identitätsbetrugsversuche beobachtet zu haben, während 74 Prozent dennoch davon ausgehen, dass sie den Kampf gegen den Betrug gewinnen. Die Differenz zwischen Realität und Selbstwahrnehmung wird zusätzlich dadurch verschärft, dass lediglich 45 Prozent der Organisationen die tatsächlichen Gesamtkosten von Identitätsbetrug messen. Die dadurch entstehenden Blindflecken erschweren eine realistische Risikoabschätzung und begünstigen Fehleinschätzungen über die Resilienz gegen Betrugsversuche.

Echtzeit-Transaktionen als systemischer Belastungstest

Sofortzahlungen, mobile Wallets und BNPL-Verfahren haben die Bezahlprozesse erheblich beschleunigt. Entscheidungen, die früher Minuten dauerten, müssen heute innerhalb weniger Sekunden getroffen werden. Am Black Friday schrumpfen diese Zeitfenster durch extreme Transaktionslast zusätzlich. Gleichzeitig wächst die Komplexität, weil Angreifer mit KI-gestützten Werkzeugen arbeiten. Viele Zahlungsdienstleister berichten, dass Betrugsversuche in quantitativer wie qualitativer Hinsicht deutlich zunahmen. 67 Prozent der befragten Unternehmen verzeichneten im letzten Jahr mehr Betrugsversuche, und 54 Prozent meldeten eine Zunahme erfolgreicher Betrugsvorfälle. Bemerkenswert ist zudem, dass Angreifer etwa 40 Prozent ihrer Aktivitäten inzwischen auf die Transaktionsphase verlagern, was bedeutet, dass nicht mehr primär das Onboarding, sondern die Zahlungsauslösung selbst das Angriffsziel darstellt. Parallel dazu prognostiziert Juniper Research, dass die weltweiten Verluste durch E-Commerce-Betrug bis 2029 auf 107 Milliarden US-Dollar steigen könnten – ein Anstieg um 141 Prozent im Vergleich zu 2024. Der Zahlungsverkehr steuert damit in ein Umfeld, in dem die Kombination aus Geschwindigkeit, Volumen und professioneller Angriffsautomation systemische Risiken verstärkt.

Die Studie beschreibt detailliert, welche Angriffsmuster im Jahr 2025 dominieren. Am weitesten verbreitet ist die Kontoübernahme, von der 36 Prozent der identitätsbezogenen Angriffe betroffen sind. Unmittelbar danach folgen professionell gefälschte Ausweisdokumente, die 35 Prozent der Fälle ausmachen, sowie Social-Engineering-Angriffe, die zu 32 Prozent beobachtet werden. Bei der voraussichtlichen Zunahme der Angriffe stehen Dokumentenfälschungen mit 33 Prozent an erster Stelle und Social Engineering mit 29 Prozent an zweiter. Auch in den Kostenstrukturen bilden diese beiden Kategorien den gravierendsten Schaden ab. Sowohl Dokumentenfälschungen als auch Social-Engineering-Angriffe verursachen jeweils 31 Prozent der höchsten Behebungskosten. Diese Entwicklung zeigt, dass die Komplexität identitätsbezogener Angriffe zunimmt und dass sich Betrug immer stärker in schwer skalierbare Kontrollbereiche verlagert.

Elektronische Identitäten als Risiko und Sicherheitsarchitektur

Zunehmend stehen auch digitale Identitäten im Mittelpunkt der Betrugslandschaft. 48 Prozent der Unternehmen beobachten Kontoübernahmen, bei denen elektronische Identitätsnachweise eine Rolle spielen. Zusätzlich berichten 40 Prozent, dass Identitätsdiebstahl oder -klonen rund um elektronische Identitäten zunimmt. Etwa ein Drittel aller heutigen Betrugsversuche richtet sich bereits direkt gegen Identitätstechnologien, was zeigt, dass die Sicherheit digitaler Identitätsinfrastrukturen für die Stabilität des Zahlungsverkehrs essenziell wird. Da viele Zahlungs- und Bankprozesse inzwischen von elektronischen Identitäten abhängen, erhöht sich die technische und organisatorische Verwundbarkeit. Diese Dynamik macht deutlich, warum digitale Identitäten zunehmend nicht nur ein Sicherheitsanker, sondern auch ein attraktives Einfallstor für Angreifer sind.

Der Einsatz künstlicher Intelligenz verschärft die Bedrohungslage weiter. Deepfake-Methoden, synthetische Identitäten und automatisiertes Social Engineering sind längst keine Spezialtechniken mehr, sondern werden standardisiert genutzt. Laut Studie setzen 73 Prozent der Unternehmen bereits selbst KI ein, um Betrug zu erkennen oder zu verhindern, während 71 Prozent davon ausgehen, dass Angreifer KI systematisch gegen sie einsetzen. Das führt zu einem kontinuierlichen Wettrüsten, in dem Kontrollmechanismen und Angriffsstrategien sich innerhalb kürzester Zeit gegenseitig überholen. 80 Prozent der befragten Unternehmen berichten, dass Angreifer ihr Vorgehen ändern, sobald sie gestoppt werden – häufig durch den Wechsel auf andere Kanäle, Partner oder Systeme, in denen die Erkennungswahrscheinlichkeit geringer ist. Diese Dynamik zeigt, wie volatil die Bedrohungslage geworden ist und warum rein regelbasierte Systeme zunehmend an Wirksamkeit verlieren.

Viele Unternehmen investieren in Tools und gehen davon aus, dass alles unter Kontrolle ist, verfügen aber über nur begrenzte Messinstrumente für den Betrug. Die fortschrittlichsten Betrugsteams behandeln Identitätsdaten als strategische Grundlage für Analysen. Sie kennen ihre Schwachstellen und können die Kompromisse, die sie eingehen, klar benennen.“

Pinar Alpay, CPO bei Signicat

Ökonomische Folgen und systemische Risiken

Identitäts- und Zahlungsbetrug belastet Unternehmen weit über einzelne Vorfälle hinaus. Die durchschnittliche Belastung beträgt im Zahlungs- und Fintech-Sektor inzwischen mehr als 16 Prozent des Jahresumsatzes, und branchenübergreifend steigt der Wert auf 22 Prozent. Zusätzlich zeigt die Studie, dass 32 Prozent der Unternehmen Schwächen bei Partnern und Dienstleistern als signifikantes Betrugsrisiko betrachten. Die Abhängigkeit von Acquirern, PSPs, BNPL-Anbietern, Outsourcing-Dienstleistern und externen Identitätsanbietern schafft ein eng vernetztes System, dessen Gesamtresilienz durch den schwächsten Punkt bestimmt wird. Angesichts der stark steigenden Transaktionsvolumina im Weihnachtsgeschäft können bereits heute bestehende strukturelle Schwächen besonders leicht eskalieren.

Mit der eIDAS-2.0-Verordnung hat die EU einen verbindlichen Rahmen für die Einführung der EUDI-Wallet geschaffen, die bis 2027 in jedem Mitgliedstaat bereitstehen muss. Diese Wallet soll die grenzüberschreitende Nutzung verifizierter Identitäten und Attribute ermöglichen und könnte langfristig zu einem zentralen Baustein für Zahlungsprozesse werden – insbesondere in Bezug auf KYC-, AML- und PSD2-Anforderungen. Bis zur breiten Akzeptanz wird jedoch noch Zeit vergehen, weshalb Unternehmen ihre Systeme bereits heute schrittweise auf die spätere Nutzung vorbereiten sollten. Die Möglichkeit, künftig hochverifizierte Identitätsattribute bereits zu Beginn der Kundenbeziehung einzubinden, könnte einen erheblichen Vorteil bei der Betrugsprävention darstellen. Gleichzeitig können sich Zahlungsdienstleister nicht darauf verlassen, dass Wallets kurzfristig Abhilfe schaffen, da Betrugsgruppen ihre Methoden stetig weiterentwickeln und bereits heute zunehmend digitale Identitätsinfrastrukturen angreifen.

EUDI-Wallets können Zahlungsdienstleistern und Händlern vom ersten Tag der Kundenbeziehung an Zugang zu Identitäts- und Attributdaten mit hoher Sicherheit verschaffen – ein enormer Vorteil für die Betrugsprävention. Gleichzeitig wird es jedoch mehrere Jahre dauern, bis Wallets breit eingeführt und angenommen sind.“

Esther Makaay, VP of Digital Identity bei Signicat

In Wettrennen gegen die Betrugsszenarien

Der bevorstehende Black Friday macht die bestehende Bedrohungslage besonders sichtbar. Zahlungs- und Fintech-Anbieter sollten zunächst eine breite Analyse durchführen, in welchen Phasen der Customer Journey identitätsbezogener Betrug bereits heute zu Umsatzverlusten oder Reibung führt und welche Kundensegmente oder Partner besondere Risiken darstellen. Auf dieser Grundlage empfiehlt es sich, Dokumenten- und Identitätsprüfungen zu modernisieren, risikoreichere Abläufe zu priorisieren und sicherzustellen, dass aussagekräftige Identitätssignale in Echtzeit in die Transaktionsrisikosteuerung einfließen. Parallel sollten Unternehmen ihre Prozesse so gestalten, dass sie in Zukunft als EUDI-Wallet-Relying-Party fungieren können, um frühzeitig von sicherheitsstarken Identitätsmethoden zu profitieren.

In Verbindung mit der wachsenden Geschwindigkeit des Zahlungsverkehrs, der zunehmenden Professionalisierung betrügerischer Akteure und den steigenden Kosten zeigt sich, dass die Stabilität des Zahlungsökosystems heute in hohem Maße von der Qualität der Identitäts- und Betrugsstrategie abhängt. Gerade jetzt gilt daher, dass Unternehmen nur dann widerstandsfähig bleiben, wenn sie ihre Kontrollen konsequent modernisieren und identitätsbasierte Risiken nicht mehr als Randthema, sondern als zentrales Element ihrer Zahlungsprozesse begreifen.tw