Neue UK-Regeln: APP-Betrugsopfer sollen entschädigt werden – Auswirkungen auf Betrug?

Das ist etwas, für das sich Verbraucherschutzgruppen seit langem einsetzen – und für das Politiker zunehmend offen sind.

Ich spreche von der Nachricht, dass in Großbritannien noch in diesem Monat strenge neue Regeln zum Schutz – und vor allem zur Entschädigung – der Opfer des so genannten APP-Betrugs eingeführt werden sollen.

Welche Betrugsfälle sind abgedeckt?

APP, die Abkürzung für Authorized Push Payment, beschreibt jeden Betrug, bei dem das Opfer dazu verleitet wird, freiwillig Geld an einen Betrüger zu zahlen. Dieser Oberbegriff kann zahlreiche verschiedene Arten von Betrug abdecken: gefälschte Waren wie Konzertkarten, die zwar bezahlt, aber nie erhalten werden; Liebesbetrug, bei dem die Zielperson Geld leiht, um eine Krise ihrer vermeintlichen neuen Liebe zu überbrücken; Anlagebetrug, bei dem wertlose Aktien im Voraus bezahlt werden; Familienbetrug, bei dem sich ein Betrüger als Verwandter ausgibt, der in Schwierigkeiten steckt und dringend Geld benötigt; Betrug durch Nachahmung, bei dem ein Anruf so aussieht, als käme er von Ihrer Bank und Sie warnt, Geld zu überweisen, um es zu schützen, nur damit es an den Betrüger geht – und viele weitere Varianten.

Allen diesen Fällen ist gemeinsam, dass das Opfer das Geld nicht annimmt, sondern dazu verleitet wird, es freiwillig zu geben – also diese Push-Zahlung zu genehmigen. Und all diese Fälle werden von der neuen Regelung erfasst.

Die neuen Regeln kommen nach Jahren des zunehmenden APP-Betrugs

APP-Betrug ist zu einem immer größeren Problem für Unternehmen, für ihre Aufsichtsbehörden und letztlich auch für die Regierungen geworden. Und das liegt an den ständig steigenden Kosten dieser Betrügereien und an der Zahl der Menschen, die davon betroffen sind, oft auf lebensbedrohliche Weise.

Die neuesten verfügbaren Zahlen von UK Finance zeigen, dass die Zahl der Fälle in Großbritannien im Vergleich zum Vorjahr um 12% gestiegen ist, so dass die Zahl der Opfer im Jahr 2023 bei 232.429 liegt und sich die Verluste auf 459,7 Millionen Pfund belaufen.

Diese riesigen Zahlen machen es immer schwieriger, das Problem zu ignorieren.

Viele Menschen werden ein Opfer persönlich kennen – und jede Woche wird in den Medien über neue, oft sehr prominente Fälle berichtet.

Auch prominente Opfer haben das Profil der APP erhöht

Erst letzte Woche hat die altgediente Nachrichtensprecherin Moira Stuart öffentlich darüber berichtet, wie sie beinahe Opfer eines Betrugs geworden wäre. Dies konnte nur verhindert werden, als sie glücklicherweise tatsächlich eine Filiale ihrer Bank betrat, während sie mit einem Betrüger telefonierte, der vorgab, von dort anzurufen.

Zum Glück konnten die echten Bankangestellten die Fälschungen erkennen und sie wurde gerettet – aber sie schämte sich trotzdem dafür, dass sie beinahe zum Opfer geworden wäre und wollte andere warnen. Fälle wie dieser – und es gab schon viele – haben das Thema auf die Tagesordnung gesetzt.

Was die neuen Regeln besagen – und wie viel sie für APP-Betrug abdecken?

Ab nächster Woche – dem 7. Oktober – müssen britische Banken Betrugsopfern bis zu 85.000 £ ihrer Verluste erstatten. Und sie müssen dies sehr schnell tun – innerhalb von fünf Tagen, nachdem ein glaubwürdiger Antrag gestellt wurde.

Fairerweise muss man sagen, dass die Banken damit nur das verpflichtend machen, was viele bereits freiwillig getan haben. Aber die neuen Regeln, die von der Regulierungsbehörde für den Zahlungsverkehr (PSR) angekündigt und durchgesetzt werden sollen, stellen dennoch eine Formalisierung der Position dar, dass die Banken selbst in der Pflicht sind, diese Betrügereien zu unterbinden, und nicht die einzelnen Kunden.

Wird dies für alle gelten?

Von den mehr als 200.000 Fällen, die im vergangenen Jahr verzeichnet wurden, haben nur 411 Personen mehr als die Obergrenze für Ansprüche im Rahmen der Regelung, nämlich 85.000 £, verloren, was weniger als 0,25 % der jährlichen Opfer entspricht. Die meisten werden also vollständig abgedeckt sein. Es gibt jedoch ein paar Ausnahmen. Jeder, der selbst einen Betrug begangen hat, ist nicht anspruchsberechtigt. Auch diejenigen, die “grob fahrlässig” gehandelt haben, sind nicht anspruchsberechtigt. Die Aufsichtsbehörde wird festlegen, wie und für wen dies gilt.

Was bedeutet das für den Finanzsektor?

Interessanterweise enthielt die Ankündigung auch eine Fußnote: Sobald die Bank oder das Zahlungsunternehmen einem Kunden das Geld zurückerstattet hat, kann sie selbst 50 % ihrer Verluste von dem Finanzinstitut zurückfordern, über das der Betrüger das gestohlene Geld erhalten hat.

Es ist klar, dass alle Finanzinstitute dazu angehalten werden sollen, es Betrügern zu erschweren, Geld auf elektronischem Wege zu erhalten und dann zu verschwinden – so wie es derzeit viele tun. Aber es bahnt sich auch ein interessanter Streit zwischen den Finanzinstituten über die Haftung an und darüber, wo die Grenzen gezogen werden sollen.

Und ganz allgemein sollte es alle dazu ermutigen, genauer als je zuvor zu prüfen, wer ihre Konten nutzt und zu welchem Zweck.

Und was bedeutet das für die Betrugsbekämpfung im Allgemeinen?

Dieser Schritt ist in gewissem Sinne ein Glücksspiel der Regulierungsbehörde. Der PSR hofft ganz offensichtlich, dass die Banken als Reaktion auf die neuen Regeln weiterhin versuchen werden, ihre Kunden für das Risiko von APP zu sensibilisieren und weitere Maßnahmen zu ergreifen, um solche Fälle zu verhindern, bevor sie passieren. So ist es inzwischen Standard, dass Bank-Apps bei der Überweisung von Bargeld Fragen wie “Vertrauen Sie dieser Person” stellen. Und viele Banken verlangen inzwischen sogar, dass die Kunden persönlich mit ihren Betrugsabteilungen sprechen, bevor sie größere Überweisungen genehmigen.

Sie werden nun unter Druck stehen, mehr in dieser Richtung zu tun.

Die Gefahr besteht darin, dass die Kunden, sobald sie erkennen, dass sie für Betrügereien abgesichert sind, nicht mehr, sondern weniger wachsam werden. Wenn sie also ein paar Oasis-Tickets online zum Verkauf sehen und sich nicht sicher sind, ob es sich um ein echtes Angebot oder einen Betrug handelt, werden sie vielleicht darauf wetten und wissen, dass sie entweder die begehrten Tickets oder fünf Tage später eine obligatorische Rückerstattung von ihrer Bank erhalten werden.Erwarten Sie also, dass die Banken mit der Aufsichtsbehörde argumentieren werden, dass ein solches Kundenverhalten auf “grobe Fahrlässigkeit” hinausläuft und daher nicht für Rückerstattungen gedeckt sein sollte. Sie werden nicht wollen, dass blasierte Kunden mit ihrem Geld spielen.

Fehlende Verantwortlichkeit für andere Spieler

Es ist jedoch wichtig zu wissen, dass die Banken nicht die einzigen Unternehmen sind, die in die Kette der Verantwortung verwickelt sind. Es gibt einen eklatanten Mangel an Verantwortlichkeit für Websites, die betrügerische Anzeigen schalten, Internetanbieter und Hosting-Dienste, die Zugang zu Plattformen bieten, und sogar Dating-Apps, die Nutzer nicht verifizieren. Momentan liegt die Verantwortung für den Schutz der Kunden fast ausschließlich bei den Banken, während andere Punkte auf dem Weg dorthin oft übersehen werden. Diese Lücke in der Aufsicht ermöglicht es Betrügern zu gedeihen. Um das Netz enger zu knüpfen, müssen diese Schwachstellen außerhalb des Bankensektors angegangen werden.

Dies könnte ein Wendepunkt für die nukleare Option sein

Aber wenn die Zahl der Betrugsfälle dadurch eher steigt als sinkt – was dann? Nun, dies könnte endlich das Stichwort für die Banken sein, bei Kundentransaktionen die Nummernerkennung einzusetzen. Während es für Betrüger ein Leichtes ist, eine Nummer so zu fälschen, dass es so aussieht, als riefen sie z.B. von einer internationalen Bank an, lässt sich die Technologie zur Nummernerkennung nicht so leicht täuschen – tatsächlich ist es nahezu unmöglich, diese Systeme zu täuschen, wenn sie auf Echtzeit-Telekommunikationsdaten und historischen Daten basieren.

Entscheidend ist, dass die Banken die Identitätsprüfung für ihre “dünn gesäten” Kunden verbessern müssen. Die Überprüfung der Identität von Mobilfunknummern kann dazu beitragen, nicht nur die Nummer, sondern auch die Identität hinter der Nummer und das verwendete Gerät während des gesamten Kundenlebenszyklus zu verifizieren. Die mobile Integrität ist zu Beginn des Lebenszyklus entscheidend, aber auch bei risikoreichen Transaktionen.

Zum Beispiel sollte die Überprüfung bereits bei der Anmeldung beginnen, um die Wahrscheinlichkeit zu verringern, dass Betrüger überhaupt ein Bankkonto erhalten. Dazu sollten die Standard-KYC-Prüfungen mit fortschrittlicheren Prüfungen kombiniert werden, wie z. B. Online-Präsenz-Prüfungen für “dünn besiedelte” Kunden. Beim Geldversand sollten die Banken die Transaktion authentifizieren, indem sie überprüfen, dass die Mobilfunknummer nicht recycelt wurde, dass keine Portierung oder Anrufweiterleitung aktiviert ist und dass kein SIM-Tausch stattfindet.

Neben der Identitätsüberprüfung sollten Banken auch situative Erkenntnisse nutzen. Während Erkenntnisse über das Verhalten helfen können, betrügerische Muster zu erkennen, können situative Erkenntnisse über das mobile Gerät selbst weiteren Schutz bieten. Die Überprüfung des mobilen Verhaltens in Echtzeit – z. B. ob ein Gerät während einer versuchten Transaktion ungewöhnliche Aktivitäten ausführt – könnte dazu beitragen, Betrug schon im Ansatz zu verhindern.

Auch kleinere Banken sollten sich Datenkenntnisse aneignen

Bisher nutzten nur größere Banken routinemäßig Datenerkenntnisse, um APP-Betrug in diesem Ausmaß zu verhindern. Die neue obligatorische maximale Rückzahlung bietet kleineren Banken eine wichtige Gelegenheit, diesem Beispiel zu folgen. Angesichts der steigenden Kosten von Betrug könnte die Investition in solche Präventivmaßnahmen eine kluge finanzielle Entscheidung für Institute aller Größenordnungen sein, zumal die Regeln des PSR die Last des Schutzes direkt auf die Banken legen.

Datenaustausch zwischen Banken ist entscheidend

Die gemeinsame Nutzung von Daten ist ein weiteres Schlüsselelement im Kampf gegen APP-Betrug. Banken können potenziellen Betrug erkennen, indem sie feststellen, ob es sich bei dem Empfängerkonto um ein privates oder ein geschäftliches Konto handelt, ob die mit dem Konto verknüpfte Mobilfunknummer bereits zuvor markiert wurde und ob es in der Vergangenheit verdächtige Aktivitäten gegeben hat. Wenn sich Risikosignale häufen – wie z.B. das Kontoverhalten, ungewöhnliche Transaktionsbeträge und Erkenntnisse über das mobile Gerät – sollte die Transaktion zur weiteren Untersuchung gekennzeichnet werden. Durch den institutsübergreifenden Austausch dieser Daten können die Banken effektiver zusammenarbeiten, um betrügerische Transaktionen schon im Ansatz zu verhindern.

Dies ist eine britische Antwort, aber APP ist ein globales Problem

Das Vereinigte Königreich scheint in dieser Sache der Zeit voraus zu sein. Viele andere Regierungen und Aufsichtsbehörden auf der ganzen Welt werden beobachten, wie es in Großbritannien weitergeht. Wird dieser Schritt das Wachstum des APP-Betrugs aufhalten oder wird er die Kunden nur auf Kosten der Banken schützen – und auf Kosten der britischen Wirtschaft insgesamt? Es steht viel auf dem Spiel. Beobachten Sie diesen Raum.