Unser Kampf gegen automatisierten Betrug
Wenn Sie digitale Produkte auf Shopify verkaufen, kennen Sie dieses Gefühl wahrscheinlich bereits: Eine Bestellbenachrichtigung erscheint, und statt des üblichen kleinen Glücksgefühls sinkt Ihnen der Magen. Ist das ein echter Kunde oder wieder eine betrügerische Bestellung?
Das war bei CraftedCharts den größten Teil des März und April dieses Jahres unsere Realität. Auf dem Höhepunkt verzeichneten wir fast 380 betrügerische Bestellungen in einem einzigen Monat, von denen 13 zu vollständigen Rückbuchungen wurden. Wir möchten Ihnen genau zeigen, was passiert ist, was wir ausprobiert haben, was nicht funktioniert hat und was letztendlich geholfen hat – falls Sie gerade dasselbe durchmachen.
Wie die betrügerischen Bestellungen begannen
Wir bemerkten ein Muster: Über unseren Shop gingen eindeutig betrügerische Bestellungen ein. Kartendaten, die nicht mit der Rechnungsadresse übereinstimmten. Bestellungen, die innerhalb weniger Minuten direkt hintereinander aufgegeben wurden. Kunden, die nach dem „Kauf“ nicht eine einzige E-Mail geöffnet hatten. Das Ganze eskalierte so weit, dass wir täglich mehrere betrügerische Bestellungen erhielten.
Wir taten alles, was der Shopify-Support vorgeschlagen hatte. Betrugsfilter, jede empfohlene Einstellung – einfach alles. Nichts davon machte einen wirklichen Unterschied. Der Support bestätigte das Problem, sagte, man werde ein internes Team einschalten, und dann … herrschte Stille. Tage vergingen ohne Rückmeldung.
Die Behelfslösungen, die nicht wirklich funktionierten
Da von Shopify selbst keine Hilfe kam, probierten wir die naheliegenden Lösungen aus:
-
Manuelle Bestellprüfung. Wir aktivierten diese Option, damit nichts versendet (oder in unserem Fall zugestellt) wurde, ohne dass wir es persönlich geprüft hatten. Das stoppte zwar den Schaden, bedeutete aber, dass wir jeden einzelnen Tag auf unbestimmte Zeit Bestellungen prüfen und freigeben mussten.
-
Internationale Bestellungen blockieren. Das ist eine häufige Empfehlung von Shopify, für einen Shop mit digitalen Produkten aber im Grunde nutzlos. Die Einstellung betrifft nur den Versand, digitale Waren werden jedoch nicht versendet.
-
Jedes Produkt als „Versand erforderlich“ kennzeichnen. Dieser Trick wird in Shopify-Community-Foren ständig als Behelfslösung genannt, um die Sperrung internationaler Bestellungen auch auf digitale Produkte anzuwenden. Wir zogen ihn in Betracht und lehnten ihn ab. Bei Hunderten von Produkten in unserem Katalog ergab es keinen Sinn, alles neu zu kennzeichnen, nur um ein Betrugsproblem notdürftig zu beheben, das Shopify selbst lösen sollte. Das sollte nicht die Antwort sein müssen.
Wir suchten auch außerhalb von Shopify nach Hilfe. Wir kontaktierten mehrere Freelancer auf Upwork, um herauszufinden, ob jemand mit Erfahrung in Betrugsprävention oder Shopify-Sicherheit eine geeignete Lösung für uns einrichten konnte. Keiner von ihnen konnte unser konkretes Problem tatsächlich lösen. Entweder verstanden sie das spezifische Problem von Betrug bei digitalen Produkten und durch Tor/VPN verursachtem Bot-Traffic nicht oder schlugen dieselben allgemeinen Einstellungen vor, die wir bereits selbst ausprobiert hatten. Auch dieser Weg erwies sich als Sackgasse.
Am meisten frustrierte uns ehrlich gesagt, dass Shopify Bestellungen akzeptierte, bei denen die Rechnungsadresse offensichtlich nicht mit der Karte übereinstimmte: falsche Postleitzahl, unvollständige Felder, Angaben, die eindeutig nicht zusammenpassten. Wenn eine solche grundlegende Abweichung für das eigene System von Shopify kein Warnsignal ist, ist das ein echtes Problem – und keines, das ein einzelner Shopbetreiber selbst ausgleichen sollte.
Die Entscheidung für eine App zur Betrugsprävention
Wir wollten wirklich keine weiteren monatlichen Kosten auf uns nehmen, nur um etwas zu beheben, das eigentlich Aufgabe von Shopify sein sollte. Doch die manuelle Bestellprüfung war nicht nachhaltig, und der Betrug nahm nicht ab. Also fassten wir uns ein Herz und begannen, spezielle Apps zur Betrugsprävention zu testen. (Falls Sie wissen möchten, was unser gesamter Shopify-App-Stack kostet – nicht nur die Betrugsprävention –, haben wir alles in unserem Artikel Vor- und Nachteile von Shopify aufgeschlüsselt.)
Erster Versuch: Blockify
Wir installierten Blockify und nutzten die Funktion zur Länderblockierung, wobei wir zunächst alle Länder außer den USA sperrten. Das sah vielversprechend aus; die Analysen zeigten, dass innerhalb der ersten Stunde einige Besucher blockiert worden waren.
Trotzdem ging anschließend eine Bestellung ein. Bei genauerer Prüfung stellten wir fest, dass der Besucher Tor verwendet hatte, um seine IP-Adresse zu verbergen und zu wechseln. Eine einfache Länder- oder IP-Sperre würde also nicht ausreichen. Blockify bot uns daraufhin ein Upgrade auf die Enterprise-Stufe für etwa 125 $ pro Jahr an, um Tor erkennen zu können.
Wir starteten einen Test der höheren Stufe, aber der Zeitpunkt war ungünstig: Genau als wir Hilfe benötigten, war der Support über das Wochenende nicht erreichbar. Noch schlimmer war, dass wir feststellten, dass die Besucheranalysen während des Tests keine echten Daten anzeigten, da wir eine Teststufe nutzten. Wir konnten also nicht überprüfen, ob das Tool funktionierte, bevor wir uns zu einem ganzen Jahr verpflichten sollten. Wir kündigten, statt das Risiko einzugehen, für etwas zu bezahlen, dessen Wirksamkeit wir nicht bestätigen konnten.
Zweiter Versuch: eine andere App
Wir wechselten zu einer anderen App zur Betrugsblockierung, die wir im Rahmen einer 7-tägigen kostenlosen Testphase zu einem niedrigeren Preis als Blockifys Enterprise-Tarif testeten. Diese App zeigte von Anfang an echte, verlässliche Analysen: tatsächlich blockierte Länder, tatsächliche VPN-/Proxy-Erkennungen und echte Besucherprotokolle, die wir selbst prüfen konnten. Wir stellten sie so ein, dass sämtlicher Traffic außerhalb der USA blockiert wurde, und erlaubten anschließend Kanada ausdrücklich wieder, da wir kanadischen Kunden den Kauf ermöglichen wollten.
Diese App entdeckte außerdem etwas, das im Dashboard von Blockify nie eindeutig angezeigt worden war: den Unterschied zwischen legitimen US-Besuchern, die ein VPN nutzten, und betrügerischem Traffic. Wir akzeptierten, dass möglicherweise eine kleine Zahl echter US-Kunden mit VPN blockiert würde, und entschieden, dass dieser Kompromiss es wert war.
Die eine Änderung, die das Problem tatsächlich behob
Hier liegt unserer Meinung nach der wichtigste Punkt für alle, die mit demselben Problem zu kämpfen haben: Die größte Verbesserung kam weder durch die Länderblockierung noch durch die VPN-Erkennung. Sie kam durch einen Vorschlag, den weder der Shopify-Support noch Blockify jemals erwähnt hatten: Für den Abschluss des Bezahlvorgangs ein Kundenkonto vorauszusetzen.
Für einen Shop mit digitalen Produkten ist das ohnehin sinnvoll: Ein Kundenkonto ermöglicht es Käufern, ihre Dateien später über die Bestellhistorie erneut herunterzuladen. Aus demselben Grund können Kunden, die beispielsweise unseren Businessplan für Immobilienunternehmen kaufen, jederzeit zurückkehren und ihre Datei erneut abrufen, ohne alte E-Mails durchsuchen zu müssen. Es stellte sich jedoch heraus, dass diese Einstellung zugleich die wirksamste Maßnahme gegen Betrug war, die wir eingeführt hatten. Der automatisierte Prozess, der die betrügerischen Bestellungen aufgab, war offenbar nicht darauf ausgelegt, einen Schritt zur Kontoerstellung zu bewältigen. Nachdem wir diese Einstellung aktiviert hatten, gingen die betrügerischen Bestellungen nahezu vollständig zurück.
Zusammen mit der Bot-Blockierung und der VPN-/Proxy-Erkennung der neuen App sank die Zahl der betrügerischen Bestellungen von mehreren pro Tag auf eine kleine Handvoll innerhalb einer ganzen Woche und schließlich auf mehrere aufeinanderfolgende Tage ganz ohne betrügerische Bestellung.
Was wir anderen Shopify-Shopbetreibern raten würden
Wenn Sie digitale Produkte verkaufen und mit demselben Problem zu tun haben, würden wir aufgrund unserer eigenen Erfahrungen zuerst Folgendes tun:
-
Ein Kundenkonto für den Abschluss des Bezahlvorgangs voraussetzen. Das allein kann einen großen Teil des automatisierten Betrugs herausfiltern und ist kostenlos.
-
Eine spezielle App zur Betrugs- und Bot-Blockierung hinzufügen, die echte, überprüfbare Analysen bietet – nicht nur Länderblockierung, sondern ausdrücklich auch VPN- und Proxy-/Bot-Erkennung, da ausgefeilter Betrugstraffic einfache IP- oder Länderblockierungen umgeht.
-
„Digitale Produkte als versandpflichtig kennzeichnen“ nicht als Hauptlösung verwenden. Das ist eine Behelfslösung für eine Lücke, die Shopify schließen sollte, keine echte langfristige Lösung – insbesondere bei einem großen Katalog.
-
Den Shopify-Support weiter drängen, aber nicht auf ihn warten. Wir sind weiterhin der Ansicht, dass es eine echte Lücke auf Seiten von Shopify ist, wenn Bestellungen mit eindeutig nicht übereinstimmenden Rechnungsadressen und Kartendaten akzeptiert werden. Wir haben das Problem gemeldet. Wir sind nicht davon überzeugt, dass es in absehbarer Zeit behoben wird, und haben deshalb nicht darauf gewartet.
Wo wir heute stehen
Wir behalten die Situation weiterhin im Auge, denn Betrugstraffic findet einen oft wieder, sobald man die Wachsamkeit nachlässt. Doch die Kombination aus der Kontopflicht und einer richtig funktionierenden App zur Blockierung von Bots und VPNs hat uns etwas gegeben, das wir im März und April nicht hatten: die Möglichkeit, unseren Shop zu betreiben, ohne ihn mehrmals täglich kontrollieren zu müssen.
Wir werden diesen Beitrag aktualisieren, falls sich etwas ändert. Vorerst ist dies jedoch die Einrichtung, die bei uns tatsächlich funktioniert hat.
