Christian Maiwald: „Es ist ein endloses Spiel.“

00:00:14: Ganze – fürmo'.

00:00:15: neunzig Prozent aller Online-Händler waren im vergangenen Jahr von Betrugsversuchen betrunken.

00:00:21: Diese erschreckende Zahl berichtet eine aktuelle Studie von GRIFF, einem Unternehmen das sich auf Credit Risk Management

00:00:27: spezialisiert

00:00:28: hat.

00:00:28: Darüber und über weitere Ergebnisse der Studie sowie die aktuelle Fraudlage in eCommerce haben wir mit Christian Maywald, Director Says Digital bei GRIF gesprochen.

00:00:39: Los geht's!

00:00:46: Ihr ja herausgefunden, dass ninety-fünf Prozent der befragten Händler, wir hatten es im Intro eben gerade gehört.

00:00:51: Ja in vergangenen Jahr von Betrug oder Betrugsversuchen betroffen waren.

00:00:55: ist das für dich eigentlich eine Alarmzahl?

00:00:57: Oder ist das längst im Onlinehändel sowas wie der Normalzustand?

00:01:02: Es ist ein Stück weit beides natürlich.

00:01:04: Ich meine, ninety fünf Prozent klingt auf der einen Seite wahnsinnig alarmierend wenn man sich überlegt hundertmöglichen Bestellversuchen.

00:01:13: Ja, da sind schon mal von Betrug betroffen gewesen.

00:01:18: Wahnsinnig alarmierend!

00:01:19: Auf der anderen Seite denke ich mir die anderen fünf Prozent haben es einfach nicht gemerkt weil ich vertrete die steile These das tatsächlich jeder online Shop mit einer gewissen Größe schon einmal offen von einem Betrugsversuch wurde.

00:01:33: Daher so eine Mischung aus Alarmierend und Realität.

00:01:36: Ich glaube Wer sich dafür entscheidet, den online Handel heute zu betreiben und da auch zu expandieren.

00:01:42: Da muss man sich definitiv dagegen schützen.

00:01:44: Das heißt, dass man mit dem Thema leben muss?

00:01:47: Ist es ein großes Thema in den Unternehmen?

00:01:48: Wahrscheinlich schon.

00:01:51: Es ist ein sehr großes Thema und inzwischen wird's nicht mehr bagatellisiert.

00:01:55: Es kommt natürlich ein Stück weit auf die Quoten an, die ich am Ende habe aber es wird immer mehr ein Thema weil es eben schnell zur Reputationsschäden führen kann.

00:02:06: Ja, wenn ich am Ende irgendwie vielleicht Null Komma Eins Prozent durch Betrug ausbuchen muss.

00:02:10: Das ist dann in Ordnung, ja?

00:02:12: Wenn es dann irgendwie doch bei Daten verloren gehen, wenn die Ausfälle deutlich größer werden, kann's natürlich auch schnell so Reputationsschäden führen.

00:02:21: Ja noch mal eine weitere Zahl mehr als ein Viertel der Unternehmen verliert jährlich über hunderttausend Euro durchbetrug.

00:02:27: das ist auch ne echt ordentliche Summe kann man so sagen.

00:02:29: Tendenz auch steigend.

00:02:31: Aber wann wird Fraub denn für einen Nikomers Anbieter zum Ärgernis?

00:02:35: Und wann wird es zur echten Bedrohung zum Beispiel für solche Dinge wie Marge oder auch die Existenz?

00:02:40: Also alarmierend ist tatsächlich, wir führen diese Studie schon seit zwei tausendsechzehn durch.

00:02:45: Also seit nunmehr zehn Jahren und es ist leider tatsächlich eine Treppe einfach zu sehen also mit vom Jahr zu Jahr mehr und die Unternehmen sagen nicht naja jetzt geht's irgendwie wieder zurück und wir haben alles im Griff.

00:02:57: natürlich tut man das dagegen aber es ist tatsächlich so dass es von von Jahr zu Einhunderttausend Euro, ich meine je nach Unterlehmensgröße kann das auch schnell in Existenz bedroht werden.

00:03:08: Weil es sind natürlich die Unternehmen, die über einhundertausend Euro Betrug haben.

00:03:12: Natürlich irgendwie Keyplayer in der Branche nichtsdestotrotz.

00:03:17: Ich würde mal so auf deine Frage konkret antworten dass es wenn's auf die Marge geht und auf den Ausfall geht.

00:03:24: Die einen Prozentmarke sollte man auf jeden Fall unterschreiten.

00:03:27: also wenn man irgendwie ab Ende des Jahres über ein Prozent durch Betrugs ausbuchen muss da kann er schon alarmierend werden.

00:03:34: Wenn ich jetzt eine Marble von sechs durch siebzig Prozent habe, dann kann man das vielleicht verschmerzen.

00:03:38: aber da fallen mir die wenigsten Player auf den Markt ein, die mit so einer Marge agieren dürfen.

00:03:44: Wenn wir ein bisschen auf die Methoden schauen mit den Betrüger, so vorgehen klassische Betrugsmaschen.

00:03:49: Die gehen ja ein Stück weit, sieht man auch in eurer Studie zurück.

00:03:52: dafür taucht sowas wie Account Takeover.

00:03:54: Kannst vielleicht mal erklären was das ist für die, die es nicht wissen.

00:03:57: Neu Aufbahn mit immerhin ein forty-fünf Prozent ist schon eine ganze Menge und der Warenbetrug steigt auf.

00:04:02: Was steckt dann hinter dieser Verlagerung zu diesen technisch raffinierteren Methoden

00:04:06: heute?

00:04:07: Ja, die Technik ist halt heutzutage ein Stück weit wesentlich einfach zugänglicher.

00:04:12: Während vor einigen Jahren man schon so ein bisschen IT und Technik Skills benötigt hat sich vielleicht mal irgendwie in Skript zu schreiben oder Zugänge zu kommen gibt es natürlich nicht nur positive KI-Modelle, die unseren Arbeitsalltag erleichtern.

00:04:27: und was man nicht vergessen darf auch für die Betrüger ist das etwas Unternehmerisches.

00:04:31: also da das sind ja... Ja, es gibt auch Einzelfälle die mal eben denken.

00:04:35: Ich versuche eine Online-Shop auszuhebeln aber da stecken ja stellenweise wirklich ganze Banden und sie sehen sich selbst als Unternehmen dahinter.

00:04:44: Und das heißt, die versuchen natürlich auch KI Modelle zu entwickeln, zu trainieren... ... den es eben erleichtert, wesentlich leichter an solche Zugänge zu kommen.

00:04:53: Und was bedeutet der Account Takeover?

00:04:55: Also ich nehme mir jetzt als Betrüger wirklich konkret einen Benutzer-Account von dir Rainer.

00:05:02: Ich nehm ja dein Amazon Account und ändere dann mal Schlangtilieferadresse.

00:05:07: Ich bestelle aber über deine hinterlegte Rechnungsmethode... ...und das heißt da muss man sich daneben schützen, dass dann das Unternehmen an der Stelle merkt okay!

00:05:16: Da hat Eila den Account übernommen und die gibt sich nur als sehrjenige aus.

00:05:20: Was macht ein Unternehmen gegen diese Bedrohung?

00:05:25: Es gibt natürlich die Methodiken, die sind fast grenzenlos.

00:05:30: Es geht natürlich los mit Datenbasierten Modellen, mit Risikoscoring aber heutzutage ab einer gewissen Unternehmensgröße sollte man auch das Device nicht mehr außer Acht lassen.

00:05:40: Das heißt ich sollte auch prüfen... welchem Device wird dann bestellt.

00:05:44: Wer ist derjenige, der dahinter steckt?

00:05:46: Wie schnell bewegt er sich mit dem Maus oder mit der Tastatur und das wäre beispielsweise ein sehr auffälliger Indikator wenn man plötzlich sieht okay für die Eingabe die ging super schnell da könnte vielleicht auch im Bord dahinterstecken weil es ist auch gerne mal eine beliebte Methode weil man einfach sehr viel Masse in kurzer Zeit abfedern kann.

00:06:05: also ein klassisches Beispiel so einen Sneaker Release, neuer Sneaker kommt raus.

00:06:10: Da geht es dann gar nicht um den Betrug.

00:06:12: ich übernehme einen Account sondern ich möchte diesen Sneaker eher für sehr viel Geld resellen da kannst du ja gerne mal auch in die vier und fünfstelligen Werte gehen und einfach mit Bobnow entwickelt der möglichst viele Sneaker abgreift wenn wohl oder neue Releases denen eben für sehrviel Geld weiterverkauft.

00:06:30: Ja spannend!

00:06:32: Stichwort Deepfakes und synthetische Identitäten.

00:06:35: Auch ein großes Thema auch vor dem Hintergrund von KI, wie verändert denn jetzt generative KI?

00:06:40: Du hattest eben gerade davon gesprochen.

00:06:41: Jetzt gibt es auch eigene Modelle entwickelt sogar schon um solche Dinge zu tun.

00:06:45: Also endlich erinnert mich an diese alten Zeiten White Hat Coding und Black Hat Codding als gibt's offensichtlich auch White Hat und Black hat KI.

00:06:54: Und wie verändert dann das so das Handwerk der Betrug?

00:06:55: ja ganz konkret was ist heute schon möglich dass wir zwei Jahren vielleicht noch gar nicht so ging?

00:07:00: Also wenn man ein paar Jahre zurückgeht, dann wurden glaube ich auch gerne manuell noch irgendwelche Dokumente gefälscht oder mit einer mittelguten Software das man relativ gut erkannt hat.

00:07:11: Heutzutage ist es eben deutlich leichter.

00:07:14: Ich gebe mal ein Beispiel die Fishing Nails.

00:07:16: Die sind heute viel besser als vor zwei Jahren und nochmal viel besser wie vor fünf Jahren.

00:07:21: also du hast vermutlich auch immer wieder eine bekommen und man muss da schon genauer hinschauen dass man wirklich erkennt Das war jetzt nicht PayPal, das war jetzt ein Fake.

00:07:32: Oder das war ja jetzt nicht Personio aus der Nachricht geschickt hat sondern es war eine Fishingversuch um an meine Daten zu kommen.

00:07:39: und das ist wirklich so das Hauptphänomen was sich sehr stark verbessert hat also die Dokumentenfälschung und die Fishingmails die viel besser als früher sind wo man selbst als Person die seit über fünfzehn Jahren in der Branche arbeitet.

00:07:57: Sehr, sehr genau hinschauen muss das man da nicht darauf einfüttern.

00:07:59: Ich finde das Thema ist natürlich für jeden relevant.

00:08:01: wir haben alle eine oder mehrere Mailpost-Fächern und da kommt natürlich jeden Tag sowas an.

00:08:06: Was macht denn diese Fishingmails heute so viel besser als früher?

00:08:09: ganz konkret?

00:08:10: Und wie erkenne ich den?

00:08:11: also vielleicht ein bisschen Praxis Diebdive?

00:08:13: Wie erkenn ich dann als Nutzer im Zweifel dass die Mail nicht von meinem Provider kommt oder nicht vom Telefonanbieter?

00:08:20: Also vor einigen Jahren war das noch super leicht erkennbar, weil da meistens auch noch irgendwelche Typos drin waren.

00:08:25: Das waren Dinge falsch geschrieben, Buchstaben verdreht oder spätestens beim Entpressum hat man dann schon gewusst naja das ist jetzt wirklich fake und in der Regel weiß ich ja wie das Unternehmen kommuniziert mit denen ich meine Payments beispielsweise abwickel oder mein Online Account bei Versandhändler habe.

00:08:45: Und man sollte wirklich sehr, sehr genau prüfen und speziell das ist so der größte Warnhinweis, den ich mitgeben möchte auf links zu klicken.

00:08:54: Dann kann es schon zu spät sein auf dem Link zu klickern und es werden Daten vom Rechner ausgelesen.

00:08:59: also da wirklich ganz genau hinzuschauen Ist das Unternehmen richtig geschrieben?

00:09:03: Sind die Datensauer?

00:09:04: Stimmt die Farbe des Logos?

00:09:06: Ist im Impressum alles richtig dargestellt?

00:09:08: und erst dann wenn man sich sicher ist auf einen link zu klicking wirklich auch niemals irgendwelche Zahlungsdaten zu übermitteln, weil das funktioniert heutzutage anders und nicht überall.

00:09:20: einen separatenden Aufruf per E-Mail.

00:09:22: Ja also was glaube ich auch ein ganz guter Indikator ist die Absender Mail Adresse.

00:09:25: Also wenn du dir tatsächliche Absender mail adresse aufklärst, also im cheat file altem treu zweifel trotzdem die richtige mail adresse drinnen klartext aber dahinter verbirgt sich etwas ganz anderes

00:09:35: Absolut.

00:09:35: Und je kryptischer das Ganze natürlich wird, desto auffälliger ist es.

00:09:38: Na, da steht dann vielleicht nochmal service at unternehmend.de sage ich jetzt mal.

00:09:43: aber wenn man dann weiter in den Klartext schaut und mir das Kryptisch war und dann kann man sich schon sehr sicher sein dass

00:09:52: wenn jetzt denn die ja sagen wir mal die was vorhin als Unternehmen bezeichnet trotzdem diese Betrüger aufrüsten so stark mit KI und mit verschiedenen technischen Methoden ... nun habt ihr in der Studie herausgefunden, ... ... zweiundvierzig Prozent der Händlersetzen KI oder ... ... Machine Learning ein.

00:10:07: Aber zweiundneunzig prüfen noch weiter vielfach manuell.

00:10:11: Sieht so ein bisschen danach aus als wenn die Abwehr technologisch hinter dem... ... Hinter der Bedrohung hinterher hängt?

00:10:15: Ist das so?

00:10:16: und wenn ja fehlt da das Vertrauen, fehlt das Budget ... ... oder vielleicht das Know-how?

00:10:19: was sind die Gründe?

00:10:21: Ja ich glaube generell ist es immer noch ein gesundes Misstrauen gegenüber gewissen KI Technologien, dass man einfach sagt Ist das jetzt wirklich richtig?

00:10:31: Das heißt, Unternehmen einzusetzen.

00:10:33: Je größer das Unternehmen wird, desto komplexer werden auch noch Freigaberrichtlinien, wo gewisse Daten hin

00:10:39: etc.,

00:10:40: und es wird noch sehr stark auf manuelle Themen einfach abgesetzt.

00:10:44: Aber was ich an der Stelle wirklich betonen kann für mich ist es kein Entweder oder sondern für mich die Kombination aus Mensch und Maschine sage ich jetzt einfach mal an der Stelle weil einfach auch der Mensch eine Erfahrung hat.

00:10:57: Wenn ich ein Fraudmanager im Unternehmen habe, der schon über Jahre stellenweise Jahrzehnte Fraudfälle bearbeitet.

00:11:04: Der sieht einfach noch andere Dinge als die KI oder das Advanced Analytics Modell was gewisse Dinge prognostiziert und also für mich ist es kein.

00:11:13: wir müssen jetzt alles ersetzen und dürfen nichts mehr manuell prüfen sondern eher nutze die KI richtig um das richtig zu priorisieren.

00:11:23: Okay, also auch hier sozusagen wie in anderen Bereichen auch die Kombination von menschlicher Expertise und künstlicher Intelligenzmachter sozusagen.

00:11:32: Absolut!

00:11:33: Ja, dann kostet ja auch jede zusätzliche Prüfhürde, die man einbaut, egal ob technisch oder nicht unter Umständen-Conversions.

00:11:40: Ein wichtiger Faktor auf gerade für E-Commerce Unternehmen.

00:11:43: entschärft diesen Zielkonflikt eigentlich zwischen scharfer Betrugsprüfung und reibungslosen Checkout?

00:11:49: Oder wird es dadurch eher noch verschärft?

00:11:52: Es spielen natürlich verschiedene Komponenten mit rein.

00:11:56: Im deutschen E-Commerce speziell auch noch das Thema Regulatorik, also was darf ich überhaupt wann einsetzen?

00:12:02: Wann darf ich welche Technik nutzen?

00:12:05: Das positive ist in unserer Rechtsprechung dass gegen Betrug relativ früh schon Maßnahmen ergriffen werden dürfen.

00:12:12: beim Thema Bonität darf ich ja wirklich erst aktiv werden wenn ein berechtigtes Interesse vorliegt und wenn ein kreditorisches Risiko vorliegen ... dagegen, wenn ich mich versuche gegen Betrug zu schützen.

00:12:23: Darf ich auch früher schon früher als im Checkout-Prozess agieren?

00:12:27: Das Thema mit dem Device was ich angesprochen habe das Schöne ist... ...das findet komplett frictionless Start der Endkunde bekommt es gar nicht mehr mit so dass es überhaupt keinen conversion Abbruch an der Stelle gibt.

00:12:39: also Sie Sorge muss man nicht haben Auch wenn es um Geschwindigkeit geht.

00:12:43: Also da geht es um Millisekunden das merkt der Konsument gar

00:12:46: nicht.

00:12:49: Das Budget ist trotzdem immer ein limitierender Faktor, auch gerade bei solchen Entwicklungen.

00:12:53: Also sich zu schützen kostet natürlich Aufwand und Zeit und Geld.

00:12:58: Wenn jetzt Händler mit einem begrenzten Budget uns heute zuhören oder in diesem Format zuhört, welche KI- oder datengeschützten Maßnahmen sollte man vielleicht trotzdem zuerst

00:13:08: unbedingt angehen?

00:13:10: In der Tat, gerade in der heutigen Budgetknappenzeit, wer dir die Investition genauer hinterfragt... Aber nehmen wir das Beispiel vorhin wieder mit den einhunderttausend Euro.

00:13:20: Das heißt, wenn ich einhundertausend Euro Betrug habe dann bekomme ich das auch nicht durch meinen Kasselunternehmen reingeholt weil diese Person gibt es gar nicht.

00:13:27: D. h. Diese einhundredtausende Euro muss ich ausbuchen d. h., ich kann theoretisch alles unter einhundertausenden Euro erst mal investieren und habe demnach eine positive Rechnung.

00:13:38: was ist die eine Komponente?

00:13:41: Es wird jetzt vielleicht bisschen Überraschungen die Antwort aber Ich möchte ja auf den Mensch wieder hinaus, und zwar auf ein Mensch der mit den Daten umgekannt.

00:13:49: Der weiß was er tut, der weiß wie er ein datenbasiertes Scoring anwendet und der weiß wir dazu die KI anwendete in Kombination mit dem eigenen Daten, die ich jetzt unternehmen habe.

00:14:00: Also es ist gar nicht das eine Scoring, die eine KI-Technologie sondern wirklich der einer Experte der weiß via diese unterschiedlichen Methodiken tatsächlich anwendeten.

00:14:13: Der große rote Faden heute in unserem Austausch KI sitzt auf beiden Seiten des Tisches, bei den Anbietern wie auch bei denenjenigen die sie bedrohen.

00:14:21: Was ist deine Einschätzung?

00:14:22: Wie liegt denn in drei Jahren so vorn oder kann man das überhaupt sagen?

00:14:24: Die Trüger oder die Verteidiger?

00:14:26: und wer?

00:14:26: was wird vielleicht das Rennen entscheiden?

00:14:28: Ja ich glaube es ist noch kein Endspiel her und im Dreijahr ist das Finale.

00:14:33: Es ist ein endloses Spiel her und wir haben immer die Analogie mit dem Jäger und dem Gejagten.

00:14:40: Das wird auch in drei Jahren noch so sein.

00:14:43: Der Fordster ist der Gejagte, der hat immer erst mal einen kleinen Vorsprung, weil er immer wieder neue Dinge probiert.

00:14:50: Wir sind ihm auf die Schläche gekommen und das Unternehmen ist ihm auf den Schlichen gekommen, egal ob der Mensch oder die Technologie oder ein KI-Modell aber dann hatte er ja schon wieder das nächste.

00:14:59: Er ist sehr schlauer, er macht weiter... Die Technologien werden schlauere.

00:15:03: deswegen bin ich leider auch davon überzeugt wenn wir unsere Studie nächstes Jahr anschauen und jetzt zwei Jahre anschauen Auch wieder das Ergebnis sei in meinen Betrug hat zugenommen.

00:15:14: Umso wichtiger ist es aber eben etwas dagegen zu tun, weil wenn ich das nicht mache dann wird die Prozentsaal nochmal deutlich über Ausschlagen kamen.

00:15:23: Das Spiel Jäger und Gejagder das jetzt auch weiterhin gehen

00:15:27: Ja, es sind mehr mehrchenhafte Abschlusshase und Ego bleiben also im Spiegel auf jeden Fall.

00:15:32: Und auch ein guter Appell zum Schluss auf jeden fall dranbleiben an dem Thema und nicht nicht sagen wir mal auf jedenfall ernst nehmen.

00:15:38: Vielen Dank für den heutigen Austausch.

00:15:39: war sehr schön und auch die vielen Praxis-Tipps auch für Nutzer usw hat mir sehr viel Spaß gemacht.

00:15:43: Danke dass du dabei warst Christian.

00:15:45: Sehr gerne, hat Spaß gemacht.

00:15:46: Dreiler bis dahin was gut ciao.