Softwarebasiertes Risikomanagement und Betrugsprävention im E-Commerce – Situation, Nutzen, Lösungsansätze

Sichere oder unsichere Zahlungsarten – eine Frage des Blickwinkels

Grundsätzlich kann man im E-Commerce sichere und unsichere Zahlungsarten unterscheiden. Die Frage dabei ist allerdings, aus wessen Sicht die Betrachtung erfolgt. Während eine Zahlungsart für den Online-Händler sicher ist, wenn er sein Geld für die gelieferte Ware auf jeden Fall erhält, ist das aus Endkundensicht völlig anders zu sehen. Aus dessen Blickwinkel ist eine Zahlungsart sicher, wenn er bei vorab getätigter Bezahlung sicher zu seiner Ware kommt, ggf. bei Widerruf des Kaufvertrages sein Geld sicher zurückerstattet bekommt und wenn die Übermittlung von Kreditkarten- oder Bankdaten kein Potenzial für Missbrauch durch Dritte bietet.

Der Großteil der E-Commerce-Kunden bevorzugt daher nach wie vor die klassische Rechnung als Zahlungsart. Unabhängig von den bisherigen Erfahrungen mit einem Shop-Betreiber hat der Endkunde damit keinerlei Risiko, weil erst nach Erhalt und Prüfung der Ware bezahlt wird. Der Online-Händler dagegen geht ein hohes Risiko ein, wenn er ohne weitere Prüfungen an „Unbekannt“ versendet. Im Zweifel droht der Totalverlust der Forderung, sei es wegen Zahlungsunfähigkeit des belieferten Kunden, wegen Betrugs oder gegebenenfalls auch schadhafter Rücksendung der Ware. Auch die Bezahlung per Lastschrift ist für den Online-Händler durchaus mit Gefahren behaftet, denn der Kunde kann bis zu acht Wochen nach Kontobelastung Widerspruch einlegen. Etwas besser sieht es dagegen im Fall der Bezahlung per Kreditkarte aus. Ein Widerspruch ist hier nur gegen den Nachweis möglich, dass die Belastung der Kreditkarte unberechtigt oder fehlerhaft erfolgte. Für den zahlenden Kunden stellt die Übermittlung der Kreditkarten- oder Bankdaten häufig ein nicht unerhebliches Risiko dar. Deshalb sollten diese Daten immer nur über eine verschlüsselte https-Verbindung übertragen und besonderer Wert auf die Seriosität des Online-Händlers gelegt werden, die dieser u. a. durch Qualitätssiegel wie Trusted Shops oder TÜV belegen kann. Bei Bezahlung per Vorkasse ändern sich die Vorzeichen. Der Endkunde trägt das gesamte Risiko, falls vom Online-Händler nicht geliefert wird, weil dieser z. B. Betrugsabsichten gehegt oder in der Zwischenzeit Insolvenz beantragt hat. Sämtliche weitere im E-Commerce verfügbare Zahlungsarten (E-Payment, M-Payment) sollten also stets im Einzelfall auf das vorhandene Risikopotenzial geprüft werden. Im Rahmen dieses Artikels werden die Zahlungsarten (sicher oder unsicher) immer aus Sicht des Online-Händlers und nicht aus Sicht der Endkunden betrachtet.

Risikomanagement „by Vorkasse“

Eine Vielzahl von Online-Händlern setzt aufgrund der eben beschriebenen Rahmenbedingungen nach wie vor auf ein Risikomanagement „by Vorkasse“. Sämtliche Schwierigkeiten mit zahlungsunwilligen beziehungsweise zahlungsunfähigen Kunden und Betrügern, so die weitverbreitete Meinung, könnte man damit in den Griff bekommen. Schließlich gibt es keinerlei Zahlungsausfälle, wenn der Kunde vorab sein Geld überwiesen hat. Das ist natürlich richtig und bis zu einem gewissen Grad auch nachvollziehbar.

Diese strenge Risikoaversion hat aber auch ihre negativen Seiten. Man investiert Monat für Monat eine Menge in den professionellen Aufbau des eigenen Online-Shops, nimmt Geld in die Hand, um bei Google gut gelistet zu werden, oder investiert eine stattliche Summe in diverse Marketingkampagnen, um dann potenzielle Neukunden in letzter Sekunde doch noch zu verlieren, weil ein Großteil den Bestellprozess aufgrund mangelnder Alternativen beim Bezahlen nicht abschließt. Eine aktuelle Studie von ibi Research Regensburg belegt, dass die als „unsicher“ eingestufte Zahlungsart „Rechnung“ als beliebteste Zahlungsart in Deutschland gilt (http://einfach.st/ecleidf). Ein professionelles, softwarebasiertes Risikomanagement hilft dabei, dieses Thema in den Griff zu bekommen, denn für den nachhaltigen Erfolg im E-Commerce wird eine kunden- und produktspezifische Herangehensweise an das Thema immer wichtiger.

Nutzen eines professionellen Risikomanagements

Der Aufbau und Einsatz eines professionellen Risikomanagementsystems bringt somit eine ganze Reihe von Vorteilen. Aufgrund der Komplexität des Themas ist diese Aufgabe aber nur durch den Einsatz einer intelligenten Software, die die verschiedensten Szenarien optimal miteinander kombiniert, zu lösen. So kann dann die Gefahr des Forderungsausfalls auf ein Minimum beschränkt werden, indem anhand des Ergebnisses einer mehrstufigen Prüfung jeweils nur kundenindividuelle Zahlungsarten zur Verfügung gestellt werden. Der kaufwillige Kunde merkt selbst während des Online-Check-outs von dieser Real-Time-Abfrage und Klassifizierung nichts.

Bei positivem Prüfergebnis können dann auch weitere, häufig „unsichere Zahlungsarten“ wie Rechnung oder Lastschrift einem größeren Kundenkreis angeboten werden. Kaufabbrüche beim Check-out werden so um bis zu 80 % reduziert und der Umsatz wird entsprechend signifikant gesteigert. Investitionen in den Shop und in Marketingkampagnen entfalten dann auch ihre volle Wirksamkeit. Kostenpflichtige Abfragen bei Auskunfteien können ferner durch ein intelligentes, situationsbedingtes und zeitpunktbezogenes Regelwerk auf ein Minimum reduziert werden. Bezahlt wird nur noch für die Beurteilung der kritischen oder sehr kritischen Transaktionen, die nicht durch andere Prüfverfahren bereits geklärt werden können. Ein dynamisch konfigurierbares Regelwerk ermöglicht es, Einstellungen komplett individuell vorzunehmen.

Auch Erfahrungen aus der Vergangenheit können zu einer sukzessiven Verbesserung und Feinjustierung genutzt werden, bis das optimale Verhältnis aus Detaillierungsgrad und Risiko erreicht ist. Umfangreiche Reporting- und Monitoringfunktionen ermöglichen hierfür die detaillierte Auswertung vergangener Bestellprozesse. Auffällige „Verhaltensmuster“ werden sichtbar gemacht und können als wichtige Entscheidungshilfe zur weiteren Optimierung des Regelwerks und zugehöriger Prüfalgorithmen genutzt werden.

Moderne Risikomanagementsysteme enthalten darüber hinaus bereits im Standard eine ganze Reihe möglicher Prüfungen wie z. B. den Abgleich von Adressdaten, eine Blacklist-Prüfung für Kundendaten, Bankdaten oder IPs bzw. die Kontrolle offener Posten etc., die einen kurzfristigen Start ermöglichen und zunächst unabhängig von einer Anbindung an Auskunfteien machen. Sämtliche Funktionen sollten ferner auf Erweiterbarkeit und Anpassbarkeit ausgelegt sein. Hierdurch wird sichergestellt, dass die Beurteilung von Kunden genauso individuell erfolgt wie der Marktauftritt, das Produktportfolio oder das Pricing.

Lösungsansätze für den Einsatz einer Risikomanagementlösung

Kunden sind so individuell wie Unternehmen. Der Einsatz starrer Regeln, Prüfungen und Aktionen zur Beurteilung des jeweiligen Risikos ist deshalb nicht zielführend. Deshalb sollte immer anhand bestimmter Ereignisse (Events) festlegt werden, ob und wann Prüfungen in welcher Reihenfolge ausgeführt werden. Hierfür bieten sich diverse Ereignisse im Online-Check-out-Prozess, wie z. B. „Rechnungsadresse speichern“ oder „Versandart wählen“, an.

Flexible Regeln, Bedingungen und Aktionen

Die Konfiguration und Steuerung des Risikomanagementsystems basiert dabei normalerweise auf einem Regelwerk, das durch den Shop-Betreiber oder Administrator modifiziert und im laufenden Betrieb stetig optimiert werden kann. Alle Regeln folgen dabei grundsätzlich einem sehr einfachen Grundschema: Eingangsbedingung -> Prüfung(en) -> Aktion(en).

Die Eingangsbedingungen werden durch einfache Abfragen bestimmter Werte aus dem vorhandenen Kontext des Geschäftsprozesses formuliert. Abzufragende Werte können z. B. Warenkorbwerte, Adressdaten, Kundengruppe(n), Risikogruppe(n), Kundentyp (Gast, Neukunde, Bestandskunde) und vorangegangene Prüfungsergebnisse sein. Für den Fall, dass die Eingangsbedingung an einem spezifischen Ereignis zur Laufzeit zutrifft, wird nun definiert, welche Risikoprüfungen in welcher Reihenfolge durchlaufen werden sollen („Prüfungskaskade“). Hier ein Beispiel, wie eine Prüfungskaskade während des Bestellprozesses aussehen könnte: „Wenn Rechnungs- und Lieferanschrift korrekt sind, wenn der aktuelle Warenkorbwert kleiner als 80,- Euro ist, wenn der Kunde schon mehr als zwei bezahlte Bestellungen hat und wenn er aktuell nicht auf der Blacklist steht, dann setze ihn auf die Whitelist und erlaube ab sofort auch unsichere Zahlungsarten wie Rechnung und Lastschrift.“

Für jede Prüfung können eine oder mehrere Eingangsbedingungen vor Durchführung der Prüfung und eine oder mehrere Aktionen nach Durchführung einer Einzelprüfung konfiguriert werden. Häufig werden Prüfungskaskaden nicht bis zum Ende durchlaufen, es sei denn, der Anreicherungs-Modus ist aktiviert.

Als Aktionen werden Prüfentscheidungen bezeichnet, die nach Abschluss einer oder mehrerer Prüfungen in der Prüfungskaskade durchgeführt werden sollen. Solche Aktionen können z. B. sein: Einschränkung erlaubter Zahlungsarten, Bestellstatus ändern, Kunden klassifizieren, E-Mail versenden, Adresskorrekturverhalten konfigurieren oder Kunden für Blacklist-Eintrag vorschlagen. Tabelle 1 fasst die Erfolgsfaktoren einer Risikomanagementsoftware im E-Commerce kurz zusammen.

Payment-Service-Provider und Auskunfteien

Payment-Service-Provider bieten Dienstleistungen rund um das Thema Bezahlen und ermöglichen es Online-Händlern, eine Vielzahl von Zahlungsarten gebündelt über eine einzige Schnittstelle anzubieten. Für diese Dienstleistung fallen dann im Gegenzug Servicegebühren an. Der Umfang der angebotenen Zahlungsarten variiert dabei je nach Payment-Service-Provider. In der Regel werden aber alle relevanten klassischen Zahlungsarten und neuere, insbesondere durch den E-Commerce aufstrebende Zahlungsarten, unterstützt. Die Zusammenarbeit bietet für Online-Händler die Chance, mit überschaubarem Aufwand das Thema „Bezahlen im E-Commerce“ in den Griff zu bekommen, da regelmäßig nur eine Schnittstelle gepflegt und gewartet werden muss und neue Zahlungsarten automatisch und ohne großen Extra-Aufwand integriert werden können. Die nachfolgende Tabelle listet einige führende Payment-Service-Provider in alphabetischer Reihenfolge auf und erhebt dabei keinen Anspruch auf Vollständigkeit – insbesondere, da die Grenzen zwischen einem Payment-Gateway, das ursprünglich nur eine Zahlungsart offeriert, einem Payment-Provider mit mehreren Zahlungsarten und einem echten Payment-Service-Provider, der sehr viele Zahlungsarten und weitere Dienstleistungen und Funktionalitäten anbietet, immer mehr verschwimmen.

Auskunfteien sind privatwirtschaftlich geführte Unternehmen, die Informationen über Unternehmen und Privatpersonen sammeln, aufbereiten und entgeltlich Dritten, die ein berechtigtes Interesse (z. B. im Rahmen geplanter Kauf- oder Leasingverträge) haben, zur Verfügung stellen. Dabei sind die Auflagen des Bundesdatenschutzgesetzes zu berücksichtigen. Durch das rechtzeitige Einholen von Adress- und Bonitätsinformationen erhält der Online-Händler neutrale und wichtige Informationen zur Risikobewertung eines Kaufinteressenten. Seriösen Kunden können so problemlos auch unsichere Zahlungsarten angeboten werden, während Wackelkandidaten und schwarze Schafe nur gegen Vorkasse o. ä. beliefert werden. Tabelle 3 listet einige der führenden Auskunfteien in Deutschland auf.

Factoring als alternative Form der Risikoabsicherung

Beim Factoring kauft eine Factoringgesellschaft (Factor) Geldforderungen, im E-Commerce typischerweise aus Warenlieferungen eines Online-Händlers. Der Factor trägt damit das Risiko des Forderungsausfalls und übernimmt deshalb häufig auch weitere angrenzende Dienstleistungen wie Mahnwesen, Inkassoverfahren etc. Der Online-Händler erhöht hierdurch seine Liquidität und kann sich ferner auf seine Kernkompetenzen konzentrieren. Andererseits kostet diese Dienstleistung eine Servicegebühr (ca. 1-3 %) und Factoringgesellschaften akzeptieren im B2C-Factoring in der Regel nur vorab risikogeprüfte Kunden.

Abhängigkeit vom Warenkorbwert und der Produktgruppe

Das Risikomanagement wird außer von der Risikobereitschaft des Unternehmers in erheblichem Maße vom (durchschnittlichen) Warenkorbwert beeinflusst. Eine normale 20-Euro-Bestellung muss deshalb nicht zwangsläufig durch eine umfangreiche Anfrage an eine Auskunftei „abgesichert“ werden. Andererseits ist dies bei höheren Warenkorbwerten absolut ratsam. Vergleicht man die Kosten einer Bonitätsauskunft von ca. einem Euro mit dem Risiko des Totalverlusts einer Forderung bei einer 500-Euro-Bestellung, sollte hier auf jeden Fall detailliert geprüft werden, wenn der Kunde nicht bereits durch interne Prüfungen auf einer Whitelist geführt und somit als unkritisch beurteilt wird. Interessant ist ferner, dass es bei bestimmten Produktgruppen (z. B. Elektronik) nachgewiesenermaßen deutlich höhere Forderungsausfälle gibt als bei anderen Produktgruppen (z. B. Bücher). Um das Risikomanagement auf all diese Gegebenheiten anpassen und nachhaltig optimieren zu können, bedarf es einer sehr flexiblen Softwarelösung mit den eingangs beschriebenen Regeln, Bedingungen und Aktionen.

Rechenbeispiel 

Das nachfolgende Rechenbeispiel veranschaulicht in sehr grober Form die übergeordneten Alternativen, zwischen denen ein E-Commerce-Betreiber wählen kann. Grundsätzlich stellt sich die Frage, ob überhaupt eine Form des Risikomanagements betrieben werden soll oder nicht. Falls nein, welche Zahlungsarten sollten den Kunden angeboten werden? Nur sichere (1) oder auch unsichere (2) Zahlungsarten? Sofern die Entscheidung für ein aktives Risikomanagement fällt, besteht die Wahlmöglichkeit u. a. zwischen Factoring (3) und einer eigenen, softwarebasierten Risikomanagementlösung (4).

noorisk – die Risikomanagementlösung für den E-Commerce

noorisk (derzeit als Magento-Extension verfügbar) baut auf einem Kern auf, der wesentliche Algorithmen und Regeln beinhaltet, um diverse Risikoprüfungen im E-Commerce zu konfigurieren und durchzuführen. Sämtliche Prüfungen sind dabei als Plug-ins ausgelegt und damit ständig erweiterbar. Regeln für die diversen Prüfungen können selbst festgelegt werden und ermöglichen so eine sehr kundenindividuelle Anpassung. Basierend darauf führt noorisk dann festgelegte Aktionen wie z. B. die Einschränkung oder Ausweitung der verfügbaren Zahlungsarten aus.

noorisk Basic ist der ideale Einstieg in das Thema Risikomanagement für Shop-Betreiber, die weder eine externe Anbindung an Auskunfteien oder Payment-Service-Provider haben noch zeitnah planen. noorisk Basic besteht aus dem noorisk Kern, sowie zwei Plug-ins für interne Prüfungen (Offene Posten, Filterlisten). So können einfache oder komplexe Prüfungskaskaden aufgebaut und eine kundenindividuelle Logik hinterlegt werden. noorisk Standard erweitert noorisk Basic um ein Plug-in für die externe Anbindung an Auskunfteien oder Payment-Service-Provider (Bürgel, Boniversum oder Payone). Durch die Anbindung und Einbeziehung auch externer Informationen (Adresschecks, Bonitätsprüfungen) werden Leistungsfähigkeit und Zuverlässigkeit weiter erhöht.

Mit dem Plug-in „Offene Posten“ wird eine interne Prüfung durchgeführt, die die Gesamtsumme unbezahlter bzw. unterbezahlter Bestellungen eines Kunden ermittelt. Die Prüfung erfolgt, je nach Einstellung, automatisch im Check-out oder manuell durch den Aufruf aus dem Admin-Bereich. Mit dem Plug-in „Filterlisten“ werden eigene Filterlisten wie Kunden (Black-/White-/Greylist), IP (Black-/Whitelist), Kreditkarten (Blacklist) oder Bankdaten (Blacklist) und zugehörige Risikoprüfungen erstellt. Der Abgleich dient dann u. a. zur Ermittlung eines Risiko-Scores. Das Plug-in „Boniversum“ führt Bonitätsprüfungen mittels des „Bonima-Scores“ von Boniversum durch. Durch eine detaillierte Prognose der Wahrscheinlichkeit, ob ein Endkunde seine Rechnung bezahlt oder nicht, werden Forderungsausfälle weitestgehend reduziert, indem u. a. eine präzise Steuerung der angebotenen Zahlungsarten erfolgt. Das Plug-in „Bürgel“ ermöglicht die Integration von Bürgel ConCheck/RiskCheck Prüfungen in noorisk. Nachdem zunächst Bürgel Accountdaten, Produkttypen für ConCheck/RiskCheck sowie Betriebsmodus (Test/Live) festgelegt sind, werden diese Einstellungen standardmäßig in die einzelnen Prüfungen übernommen. Das Plug-in „Payone“ nutzt die Informationen aus Payone Adresscheck und Payone Infoscore und ermöglicht damit ebenfalls eine Bonitätsprüfung in noorisk.

Die Ergebnisse dieser Prüfungen werden auf ein Risk-Ergebnis normiert, wobei Ergebnisse von Einzelprüfungen gewichtet werden können. Hierdurch ist dann auch die Kombination der Ergebnisse mit allen anderen Prüfungen möglich. noorisk wird ständig um sinnvolle Plug-ins für weitere Prüfungen, aber auch um Analysewerkzeuge und Dashboards erweitert.