Payment Fraud Prevention: Wie Händler Kartenbetrug verhindern

Kartenbetrug klingt nach Großkriminalität. In der Realität trifft er ganz gewöhnliche Händler — meistens nicht mit physisch gestohlenen Karten am Tresen, sondern mit fremden Kartendaten in einem Online-Checkout. Der Unterschied zwischen diesen beiden Szenarien entscheidet darüber, welcher Schutz wirklich nötig ist.

POS vs. Online: Zwei grundverschiedene Risikolagen

Das stationäre Kartenterminal ist das sicherste Glied in der Zahlungskette — nicht durch Zufall, sondern durch drei Jahrzehnte technischer Entwicklung.

Am POS-Terminal muss eine physische Karte präsent sein. Der EMV-Chip erzeugt bei jeder Transaktion einen einmaligen Kryptografiewert, der nicht reproduzierbar ist. NFC-Zahlungen (Apple Pay, Google Pay, Kontaktlos) sind durch das Smartphone zusätzlich tokenisiert — die tatsächliche Kartennummer verlässt das Gerät nie. Dazu kommt die PIN-Eingabe ab 50 € (EU-Pflicht) oder sporadisch darunter. Wer am Terminal betrügen will, braucht die physische Karte und die PIN — eine hohe Hürde.

Online ist das Bild ein anderes. CNP-Transaktionen (Card Not Present) kommen ohne Karte aus: Kartennummer, Ablaufdatum und CVV reichen für eine Autorisierung. Diese Daten werden in Datenlecks (Database Breaches), Phishing-Mails und Skimming-Angriffen massenhaft erbeutet. Das Betrugsrisiko ist online 6–8× höher als stationär — eine Zahl, die sich in den Chargeback-Statistiken der großen Kartennetzwerke widerspiegelt.

Die Konsequenz für Händler: Wer ausschließlich stationär kassiert und einen zertifizierten Anbieter wie SumUp, Zettle oder Flatpay nutzt, braucht kein eigenes Fraud-Tool — das Terminal und der Acquirer übernehmen den Schutz. Wer Online-Zahlungen akzeptiert, steht in der Pflicht.

Die technischen Schutzschichten im Online-Checkout

Bevor Shopify und Mollie ins Bild kommen, lohnt ein Blick auf die Bausteine, aus denen jede Fraud-Prevention-Lösung besteht:

3D Secure (3DS / 3DS2) ist der bekannteste Mechanismus: Der Karteninhaber bestätigt die Zahlung per SMS-Code oder Banking-App. Seit PSD2 ist starke Kundenauthentifizierung (SCA) in der EU für die meisten Online-Transaktionen Pflicht. 3DS schützt, fügt aber Reibung hinzu — und jede zusätzliche Reibung kostet Conversion. Dynamic 3DS löst das: Risikoarme Transaktionen werden freigestellt, nur verdächtige erhalten das 3DS-Popup.

AVS (Address Verification System) gleicht die Rechnungsadresse des Käufers mit der bei der Bank hinterlegten Adresse ab — einfach, aber wirksam gegen „einfachen” Daten-Missbrauch.

CVV-Prüfung bestätigt, dass der Käufer die physische Karte hat (oder eine vollständige Datenkopie). Händler dürfen den CVV nicht speichern — er dient nur zur Validierung.

Velocity Checks erkennen ungewöhnliche Muster: Zehn Bestellungen in zehn Minuten mit leicht variierten Lieferadressen auf eine Kartennummer sind ein klares Signal.

Machine Learning-Scoring kombiniert Hunderte dieser Signale zu einem Risikowert. Trainiert auf Milliarden von Transaktionen, erkennt ein gutes Modell Betrugsmuster, die Regelwerken entgehen.

Was Shopify bietet — und für wen

Shopify ist der einzige der gängigen Anbieter, der Fraud Prevention vollständig in die Plattform integriert hat — kostenlos für alle Händler.

Shopify Fraud Analysis läuft automatisch bei jeder Bestellung. Das System bewertet AVS, CVV, IP-Adresse, Lieferadresse, Gerätefingerprint und Kaufmuster und ordnet die Bestellung einem Risikolevel zu (niedrig / mittel / hoch). Händler sehen das Ergebnis direkt im Order-Dashboard und können manuell eingreifen, bevor sie den Versand auslösen. Das Modell ist auf Transaktionsdaten aus dem gesamten Shopify-Netzwerk trainiert — ein erheblicher Vorteil gegenüber Eigenentwicklungen.

Shopify Protect geht einen Schritt weiter: Für qualifizierte Shop Pay-Bestellungen übernimmt Shopify den Chargeback-Betrag selbst — der Händler verliert weder das Geld noch die Ware. Das Programm ist kostenlos, gilt aber ausschließlich für Bestellungen, die über Shop Pay bezahlt wurden, und nur für Betrugs-Chargebacks (nicht für „Ware nicht erhalten”-Disputes). Mehr zur Chargeback-Logik im Ratgeber zu Rückbuchungen.

Shopify Flow erlaubt benutzerdefinierte Automatisierungen: Bestellungen mit Hochrisiko-Score automatisch in „Prüfen” verschieben, Kunden auf einer internen Sperrliste flaggen, Bestellungen unter einer bestimmten Risikoschwelle automatisch genehmigen.

POS vs. Online bei Shopify: Shopify POS ist für den stationären Verkauf konzipiert — die Terminal-Transaktionen laufen über Shopify Payments und sind durch die üblichen POS-Schutzschichten (Chip, PIN, NFC) abgesichert. Die Fraud-Analysis greift vorwiegend im Online-Checkout. Wer ein hybrider Händler ist (Laden + Online-Shop), profitiert davon, dass beide Kanäle im selben Dashboard zusammenlaufen — und Risikohinweise kanalübergreifend sichtbar sind.

Was Mollie bietet — und was es kostet

Mollie trennt zwischen Basis-Schutz und dem kostenpflichtigen Erweiterungsprodukt.

Inklusive bei jedem Mollie-Konto: Ein Basis-Betrugsscreening, das jede Transaktion auf bekannte Signale prüft. Damit werden die offensichtlichsten Angriffsversuche abgefangen. 3DS wird standardmäßig für Kartentransaktionen angewendet.

Mollie Acceptance & Risk (kostenpflichtiges Upgrade): Das erweiterte Produkt bietet Dynamic 3D Secure — risikoarme Transaktionen werden ohne 3DS-Popup durchgelassen, verdächtige werden gesondert geprüft. Dazu kommen konfigurierbare Risk Controls im Dashboard (Händler können Schwellenwerte selbst anpassen), individuelle Sperrlisten, Performance-Analytics und ein dediziertes ML-Modell. Der Preis für das Upgrade wird individuell vereinbart — öffentliche Listenpreise gibt es nicht.

Der entscheidende Anwendungsfall für Mollie: Händler, die Mollie als Online-PSP in Shopware oder WooCommerce betreiben und ein relevantes Kreditkartenvolumen haben. Für sie ist die Frage nicht „Fraud Prevention ja oder nein”, sondern „Basis reicht oder brauche ich Dynamic 3DS?” — Dynamic 3DS kann die Conversion messbar verbessern, weil es die Kaufunterbrechung für sichere Transaktionen entfernt.

Für stationäre Zahlungen über das Mollie Tap Terminal gilt dasselbe wie für andere POS-Lösungen: Der Schutz liegt im Protokoll, kein Zusatz-Tool nötig.

Wann lohnt ein kostenpflichtiges Fraud-Tool?

Für die meisten kleinen Händler mit unter 50 Online-Transaktionen pro Tag reicht der eingebettete Schutz des jeweiligen Anbieters. Ab einem gewissen Volumen oder in bestimmten Branchen ändert sich die Rechnung:

Szenario	Empfehlung
Nur stationär (SumUp, Zettle, Flatpay)	Kein Zusatz-Tool nötig
Online-Shop, wenig Volumen	Shopify Fraud Analysis / Mollie Basis
Online-Shop, mittleres Volumen	Shopify Flow + Protect; Mollie Acceptance & Risk
Hochwertiges Sortiment (Elektronik, Schmuck)	Dediziertes Fraud-Tool (z. B. Signifyd, Kount)
Digitale Güter, sofortige Lieferung	3DS Pflicht; kein Chargeback-Schutz möglich

Branchen mit erhöhtem Risiko sind Elektronik, Reisen, digitale Güter und Luxusartikel — hier amortisiert sich ein Upgrade schnell.

Was beim Chargeback passiert, wenn Betrug trotzdem durchgeht

Ist ein Betrugsversuch erfolgreich und der echte Karteninhaber fechtet die Transaktion an, läuft ein Chargeback-Verfahren an. Der Händler verliert zunächst den Transaktionsbetrag — und zahlt zusätzlich eine Chargeback-Gebühr (typischerweise 10–25 €). Eine abgelehnte Kartenzahlung ist aus Händlerperspektive keine Katastrophe; ein nicht erkannter Betrug, der erst im Nachhinein als Chargeback auftaucht, ist es.

Kein Fraud-Tool schützt zu 100 %. Wer ein Risikoniveau unter 0,1 % Betrugsrate hält, bewegt sich im Normbereich der Kartennetzwerke. Wer diesen Schwellenwert dauerhaft überschreitet, riskiert erhöhte Chargeback-Gebühren oder — im Extremfall — die Kündigung des Akzeptanzvertrags.

Mehr zum Sicherheitsstandard, den alle Zahlungsdienstleister einhalten müssen: PCI-DSS für Händler erklärt.

---

→ Chargeback (Rückbuchung): Was passiert, wenn Kunden eine Zahlung anfechten?
→ Kartenzahlung abgelehnt: Warum das passiert und wie man richtig reagiert
→ PCI-DSS: Was Händler wirklich tun müssen
→ Shopify im Detail
→ Mollie im Detail