Prüfungsüberblick und Abgrenzung
Prüfung und Zielgruppe
CAFS steht für Certified Anti-Fraud Specialist, eine Zertifizierung von ACAMS mit Schwerpunkt auf Fraud in Banken und Nichtbank-Finanzinstituten. Die Prüfung behandelt drei Bereiche: Fraud Risk Management, Fraud Detection and Analytics sowie Fraud Investigations. Technologie ist kein zusätzlicher Prüfungsbereich, sondern zieht sich durch alle drei. Dazu gehören unter anderem APP-Fraud sowie First-, Second- und Third-Party-Fraud; der Fokus liegt nicht primär auf Accounting Fraud.
Laut dem geprüften ACAMS-Kandidatenhandbuch umfasst die Prüfung 100 Fragen in 175 Minuten, darunter Single-Choice- und Multiple-Response-Aufgaben. Die angegebene Bestehenspunktzahl beträgt 75; sie wird hier nicht als Prozentwert ausgegeben. Prüfungsmodalitäten und verfügbare Prüfungssprachen können sich ändern. Prüfen Sie diese vor der Anmeldung direkt bei ACAMS. Dieser Leitfaden ist auf Deutsch verfasst; daraus folgt nicht, dass die offizielle Prüfung auf Deutsch angeboten wird.
Die folgende Gewichtung entspricht dem geprüften offiziellen Prüfungsplan. Die Konzepte sind in einer Lernreihenfolge angeordnet und enthalten jeweils eine Erklärung, ein Anwendungsszenario und einen typischen Denkfehler.
- Nutzen Sie Warnsignale als Anlass für eine Prüfung, nicht als Beweis für Fehlverhalten.
- Wählen Sie Kontrollen passend zu Produkt, Kanal, Kundschaft und Bedrohung.
- Bei Untersuchungen zählen gesicherte Belege, nachvollziehbare Entscheidungen und angemessene Eskalation.
Offizielle Informationen finden Sie auf der CAFS-Zertifizierungsseite von ACAMS und im CAFS-Kandidatenhandbuch.
Die drei offiziellen Prüfungsbereiche
| Prüfungsbereich | Themenumfang | Offizielle Gewichtung |
|---|---|---|
| Aufbau eines Programms zum Betrugsrisikomanagement (Building a Fraud Risk Management Program) | Risikobereitschaft und Governance, Risikobewertung, Kontrollen und Richtlinien, Reaktionsplanung, Abhilfe, kontinuierliche Verbesserung und unterstützende Technologie. | 40 % |
| Betrugserkennung und Datenanalyse (Fraud Detection and Analytics) | Betrugstypologien und -indikatoren, APP-Fraud und Account Takeover, Datenaufbereitung, Modelle, Schwellenwerte sowie Fehlalarme und übersehene Fälle. | 30 % |
| Betrugsuntersuchungen (Fraud Investigations) | Triage, Beweissicherung, Fallchronologie, interne und externe Informationen, Befragungen, Berichte, Schadensbegrenzung und Rückführung von Erkenntnissen in Kontrollen. | 30 % |
60 Konzepte für die Prüfung und die Praxis 1–10
1. Governance für das Fraud-Programm
Fraud-Risikomanagement
Governance legt fest, wer Fraud-Risiken verantwortet, wer Kontrollen betreibt und wer ihre Wirksamkeit unabhängig überprüft. Klare Zuständigkeiten verbinden die Geschäftsleitung mit Produktteams, Fraud Operations, Technologie und Kontrollfunktionen. So werden Entscheidungen nicht nur getroffen, sondern auch dokumentiert und eskaliert. Die genaue Organisationsstruktur kann variieren; entscheidend sind eindeutige Verantwortlichkeit und funktionierende Informationswege.
Anwendung: Ein neues Überweisungsprodukt wird von Produktmanagement und Fraud-Team gemeinsam bewertet. Die Geschäftsleitung genehmigt die Risikobehandlung, während eine unabhängige Kontrollfunktion die Umsetzung später prüft.
Typischer Denkfehler: Ein Fraud-Team allein als Eigentümer des gesamten Risikos zu behandeln, greift zu kurz. Die Produktverantwortlichen gestalten die risikobehaftete Aktivität mit und müssen deshalb ebenfalls Verantwortung übernehmen.
2. Fraud-Risikobereitschaft
Fraud-Risikomanagement
Die Risikobereitschaft beschreibt, welche Fraud-Risiken eine Organisation im Rahmen ihrer Ziele bewusst akzeptiert oder begrenzen will. Sie sollte in umsetzbare Leitlinien für Produkte, Kundengruppen und Prozesse übersetzt werden. Eine abstrakte Aussage wie null Toleranz hilft wenig, wenn Teams daraus keine konkreten Entscheidungsgrenzen oder Eskalationswege ableiten können.
Anwendung: Ein Institut akzeptiert für einen neuen Kanal begrenzte Betrugsverluste während einer kontrollierten Einführung, verlangt dafür aber engmaschige Überwachung und klar definierte Abbruchkriterien.
Typischer Denkfehler: Risikobereitschaft ist weder ein Versprechen, jeden Betrug zu verhindern, noch eine Freigabe für beliebige Verluste. Sie muss in nachvollziehbare Steuerungsentscheidungen münden.
3. Fraud-Risikobewertung
Fraud-Risikomanagement
Eine Fraud-Risikobewertung identifiziert mögliche Betrugsszenarien, bewertet ihre Eintrittsbedingungen und Auswirkungen und prüft bestehende Kontrollen. Sie sollte sich auf konkrete Produkte, Abläufe, Kanäle und Kundengruppen beziehen. Die Bewertung ist keine einmalige Checkliste: Änderungen an Betrugsmustern, Technologien oder Geschäftsprozessen können Annahmen entwerten und eine Aktualisierung erfordern.
Anwendung: Vor der Einführung sofortiger P2P-Zahlungen bewertet ein Team, wie Täuschung zur Kundenautorisierung führen kann und welche Präventionsmöglichkeiten vor Ausführung bestehen.
Typischer Denkfehler: Eine allgemeine Unternehmensbewertung ersetzt keine produktbezogene Analyse. Dasselbe Institut kann bei Karten, Überweisungen und digitaler Kontoeröffnung ganz unterschiedliche Betrugsrisiken haben.
4. Inhärentes Risiko und Restrisiko
Fraud-Risikomanagement
Das inhärente Risiko bezeichnet die Gefährdung eines betrachteten Szenarios, bevor die zugehörigen Kontrollen berücksichtigt werden. Das Restrisiko ist die Gefährdung, die nach Berücksichtigung ihrer tatsächlichen Wirksamkeit verbleibt. Eine nur dokumentierte oder unwirksame Kontrolle rechtfertigt keine angenommene Risikominderung. Entstehen durch eine Kontrollmaßnahme zusätzliche Betrugsmöglichkeiten oder andere Risiken, müssen diese gesondert erfasst und in einer aktualisierten Bewertung berücksichtigt werden.
Anwendung: Ein Institut verlangt vor bestimmten Überweisungen eine manuelle Prüfung. Ein Kontrolltest zeigt, dass bei hoher Auslastung viele Vorgänge ohne die vorgesehene Prüfung freigegeben werden. Deshalb darf das Team die ursprünglich erwartete Risikominderung nicht vollständig anrechnen; das Restrisiko bleibt hoch.
Typischer Denkfehler: Das Restrisiko nicht allein deshalb niedriger bewerten, weil eine Kontrolle vorgesehen ist. Entscheidend sind ihre nachgewiesene Wirkung und Abdeckung; zusätzliche Risiken dürfen dabei nicht mit der Wirksamkeit im ursprünglichen Szenario vermischt werden.
5. Szenarioorientierte Risikotaxonomie
Fraud-Risikomanagement
Eine Risikotaxonomie ordnet Betrugsszenarien nach verständlichen Merkmalen, etwa Angriffsweg, betroffener Prozess, beteiligter Akteur und möglicher Schaden. Das erleichtert den Vergleich zwischen Produkten und zeigt, wo Kontrollen fehlen. Eine nützliche Taxonomie bleibt detailliert genug für Entscheidungen, ohne jedes Einzelerlebnis zu einer eigenen, nicht vergleichbaren Risikokategorie zu machen.
Anwendung: Das Team ordnet Fälle nach Kontoübernahme, manipuliertem Zahlungsauftrag und Täuschung zu einer autorisierten Zahlung, statt alle Fälle nur als Zahlungsbetrug zusammenzufassen.
Typischer Denkfehler: Zu grobe Kategorien verschleiern unterschiedliche Kontrollbedarfe; zu kleinteilige Kategorien verhindern Vergleiche. Die Einteilung sollte reale Entscheidungs- und Steuerungszwecke unterstützen.
6. Klare Verantwortlichkeit für Kontrollen
Fraud-Risikomanagement
Für jede wesentliche Kontrolle sollte klar sein, wer sie entwirft, betreibt, überwacht und bei Ausfällen eskaliert. Diese Rollen müssen nicht in einer einzigen Person oder Abteilung liegen. Eine dokumentierte Zuordnung verhindert, dass erkannte Schwächen zwischen Teams liegen bleiben, und erleichtert die Nachverfolgung von Ausnahmen, Änderungen und Abhilfemaßnahmen.
Anwendung: Das Fraud-Team definiert Prüfkriterien, der Zahlungsbetrieb bearbeitet markierte Transaktionen, und eine Kontrollfunktion erhält Berichte zu Ausfällen und überfälligen Maßnahmen.
Typischer Denkfehler: Eine Richtlinie oder ein Kontrollregister zu besitzen heißt nicht, dass die Verantwortung geklärt ist. Es muss erkennbar sein, wer die Kontrolle im Tagesgeschäft tatsächlich ausführt.
7. Produkte über ihren Lebenszyklus steuern
Fraud-Risikomanagement
Fraud-Risiken verändern sich, wenn ein Produkt entworfen, eingeführt, erweitert oder wesentlich angepasst wird. Deshalb sollte die Risikoprüfung in Entscheidungs- und Änderungsprozesse eingebettet sein. Eine frühe Prüfung ermöglicht, Kontrollen in Abläufe einzubauen; spätere Überprüfungen erfassen neue Kundengruppen, Nutzungsmuster und Angriffe, die beim Start noch nicht sichtbar waren.
Anwendung: Bei einer neuen Funktion für Sofortzahlungen bewertet das Team die Risiken vor dem Start und wiederholt die Prüfung, wenn das Produkt für neue Kundensegmente geöffnet wird.
Typischer Denkfehler: Die Freigabe zum Marktstart nicht als dauerhafte Risikofreigabe verstehen. Erweiterungen können Exposition, Transaktionsverhalten und Angriffsflächen wesentlich verändern.
8. Kontrollziele aus dem Risiko ableiten
Fraud-Risikomanagement
Ein Kontrollziel beschreibt, welche unerwünschte Entwicklung verhindert, erkannt oder begrenzt werden soll. Erst danach sollte ein Team eine konkrete Maßnahme auswählen. Diese Reihenfolge verhindert, dass vorhandene Werkzeuge für jedes Problem eingesetzt werden, auch wenn sie dessen Ursache nicht adressieren. Das Kontrollziel erleichtert außerdem die spätere Prüfung, ob die Maßnahme geeignet ist.
Anwendung: Für das Risiko einer Kontoübernahme lautet das Ziel, ungewöhnliche Nutzung vor einer schädlichen Transaktion zu erkennen. Das Team vergleicht daraufhin mehrere Authentifizierungs- und Verhaltenskontrollen.
Typischer Denkfehler: Nicht mit einem bevorzugten Werkzeug beginnen und es nachträglich als Lösung deklarieren. Ohne klares Kontrollziel lässt sich kaum beurteilen, ob die Maßnahme zum Bedrohungsbild passt.
9. Präventive, detektive und korrigierende Kontrollen
Fraud-Risikomanagement
Präventive Kontrollen sollen einen Betrugsversuch erschweren oder verhindern; detektive Kontrollen machen verdächtige Aktivität erkennbar; korrigierende Maßnahmen begrenzen Folgen und beheben Schwächen. Ein wirksames Programm kombiniert diese Funktionen, weil keine einzelne Kontrolle alle Angriffspunkte abdeckt. Welche Kombination angemessen ist, hängt von Geschwindigkeit, Umkehrbarkeit und möglichem Schaden des Vorgangs ab.
Anwendung: Bei einer Zahlung können eine risikobasierte Prüfung vor Ausführung, nachgelagerte Erkennung ungewöhnlicher Muster und ein Verfahren zur schnellen Falleskalation zusammenwirken.
Typischer Denkfehler: Ein Warnsystem allein als vollständige Kontrolle anzusehen. Wenn nach dem Alarm keine rechtzeitige Reaktion möglich ist, begrenzt Erkennung den Schaden möglicherweise nicht.
10. Kontrollen passend dimensionieren
Fraud-Risikomanagement
Eine Kontrolle sollte zur konkreten Exposition passen: zum Produkt, Kanal, Transaktionsablauf, Bedrohungsprofil und möglichen Kundenauswirkungen. Eine Maßnahme kann für einen Kanal sinnvoll und für einen anderen unnötig oder unwirksam sein. Die Dimensionierung verlangt daher eine begründete Abwägung aus Schutzwirkung, Umsetzbarkeit, Kundenerlebnis und verbleibendem Risiko.
Anwendung: Ein Institut vergleicht Kontrollen für ein Sofortüberweisungsprodukt und ein Kartenprodukt. Bei Sofortüberweisungen gewichtet es rechtzeitige Kontrollen vor der Ausführung besonders stark, weil ein späterer Rückruf keine erfolgreiche Rückführung garantiert. Beim Kartenprodukt berücksichtigt es zusätzlich die verfügbaren Reklamations- und Rückbelastungsverfahren, prüft aber deren Voraussetzungen, statt jede Zahlung als rückholbar anzusehen.
Typischer Denkfehler: Eine Kontrolle nicht allein deshalb als angemessen bezeichnen, weil sie bereits für ein anderes Produkt verwendet wird. Ähnliche Oberflächen können unterschiedliche Verlustmechanismen verbergen; auch Möglichkeiten zur Rückabwicklung dürfen nicht pauschal vorausgesetzt werden.
60 Konzepte für die Prüfung und die Praxis 11–20
11. Design- und operative Wirksamkeit
Fraud-Risikomanagement
Designwirksamkeit fragt, ob eine Kontrolle grundsätzlich geeignet ist, ihr Ziel zu erreichen. Operative Wirksamkeit fragt, ob sie im Alltag zuverlässig, rechtzeitig und gemäß ihrer Gestaltung ausgeführt wird. Beides muss betrachtet werden: Eine gut konzipierte Regel kann durch fehlende Daten, manuelle Überlastung oder uneinheitliche Ausführung praktisch wirkungslos bleiben.
Anwendung: Ein Transaktionsmodell markiert passende Risikomuster. Eine Prüfung zeigt jedoch, dass ein benötigtes Datenfeld häufig fehlt und deshalb ein Teil der relevanten Transaktionen nicht bewertet wird.
Typischer Denkfehler: Aus einer überzeugenden Prozessbeschreibung auf wirksamen Betrieb zu schließen. Die tatsächliche Ausführung und ihre Ergebnisse müssen überprüft werden.
12. Richtlinien in Arbeitsabläufe übersetzen
Fraud-Risikomanagement
Richtlinien geben erwartete Grundsätze und Verantwortlichkeiten vor; Arbeitsanweisungen zeigen, wie Mitarbeitende diese im konkreten Fall anwenden. Beides sollte zueinander passen und regelmäßig überprüft werden. Eine Richtlinie hilft wenig, wenn unklar bleibt, wie ein Alarm zu behandeln, eine Ausnahme zu dokumentieren oder ein wiederkehrendes Problem an die zuständige Stelle weiterzugeben ist.
Anwendung: Eine Fraud-Richtlinie verlangt zeitnahe Eskalation schwerwiegender Fälle. Die Arbeitsanweisung legt fest, wie Mitarbeitende den Fall dokumentieren und an welche zuständige Funktion sie ihn übermitteln.
Typischer Denkfehler: Eine veröffentlichte Richtlinie mit tatsächlicher Umsetzung gleichzusetzen. Schulung, klare Verfahren und nachvollziehbare Überwachung sind nötig, damit Vorgaben im Alltag ankommen.
13. Ausnahmen kontrolliert behandeln
Fraud-Risikomanagement
Ausnahmen können aus guten betrieblichen Gründen erforderlich sein, sollten aber sichtbar, begründet, zeitlich überprüfbar und angemessen genehmigt werden. Andernfalls wird aus einer seltenen Abweichung eine dauerhafte Umgehung der Kontrolle. Die Organisation sollte außerdem prüfen, ob wiederkehrende Ausnahmen auf ein ungeeignetes Design oder einen veränderten Prozess hindeuten.
Anwendung: Ein Geschäftskunde bittet um eine vorübergehende Anpassung eines Zahlungsablaufs. Das Team dokumentiert den Zweck, prüft die Risiken und setzt eine Überprüfung der Ausnahme an.
Typischer Denkfehler: Eine genehmigte Ausnahme nicht als risikofrei behandeln. Sie verändert die Kontrollabdeckung und muss deshalb weiterhin überwacht und nachvollziehbar begründet werden.
14. Reaktionsplanung für Fraud-Vorfälle
Fraud-Risikomanagement
Ein Reaktionsplan legt vor einem Vorfall fest, wie relevante Teams Informationen austauschen, Entscheidungen treffen und Aktivitäten priorisieren. Er sollte zu den tatsächlichen Fähigkeiten und Zuständigkeiten der Organisation passen und regelmäßig getestet werden. Ein Plan, der nur den Normalfall beschreibt, hilft wenig, wenn ein Angriff mehrere Prozesse oder zahlreiche Kundinnen und Kunden gleichzeitig betrifft.
Anwendung: Bei einer Serie verdächtiger Kontoübernahmen aktiviert das Institut einen abgestimmten Ablauf für Fraud Operations, Technologie und Kundenservice, statt Entscheidungen in parallelen Chats zu verlieren.
Typischer Denkfehler: Einen schriftlichen Plan mit Einsatzbereitschaft zu verwechseln. Nicht erprobte Kontaktwege und unklare Entscheidungsbefugnisse können die Reaktion im Ernstfall verzögern.
15. Eskalation nach Dringlichkeit und Auswirkung
Fraud-Risikomanagement
Eskalationswege bringen Fälle zu einer Stelle, die über passende Befugnisse oder Fachkenntnisse verfügt. Die Einstufung sollte sowohl mögliche Schäden als auch zeitliche Dringlichkeit berücksichtigen. Kriterien müssen Mitarbeitenden Orientierung geben, ohne eine mechanische Einstufung zu erzwingen, die den besonderen Kontext eines Falls ignoriert.
Anwendung: Ein möglicher laufender Betrug mit unmittelbar bevorstehender Zahlung wird schneller an die zuständige Einsatzstelle gegeben als ein älterer, bereits begrenzter Verdachtsfall.
Typischer Denkfehler: Nur den finanziellen Betrag als Eskalationsmaßstab zu verwenden. Auch die Geschwindigkeit, Zahl der Betroffenen und Möglichkeit weiterer Schäden können entscheidend sein.
16. Technologie als Teil des Kontrollsystems
Fraud-Risikomanagement
Technologie kann Daten zusammenführen, Entscheidungen unterstützen und Fälle priorisieren, ersetzt aber keine klare Prozessverantwortung. Für ein technisches Kontrollmittel müssen Zweck, Datenabhängigkeiten, Zugriffsrechte, Änderungsprozesse und Ausfallverhalten berücksichtigt werden. Die Wahl eines Werkzeugs sollte sich aus dem Risiko und dem Kontrollziel ergeben, nicht allein aus der Verfügbarkeit eines Produkts.
Anwendung: Ein Institut führt eine neue Analyseplattform ein und prüft neben der Erkennungslogik auch Datenzugriff, Schnittstellen, Verantwortlichkeiten und das Vorgehen bei einem Systemausfall.
Typischer Denkfehler: Automatisierung als Beleg für Qualität anzusehen. Ein automatisierter Ablauf kann schlechte Daten oder ungeeignete Regeln schneller und umfassender verbreiten.
17. Abhilfemaßnahmen und Ursachenanalyse
Fraud-Risikomanagement
Abhilfe sollte nicht nur den einzelnen Vorfall bearbeiten, sondern die beitragenden Ursachen erkennen und beheben. Dazu gehören etwa Prozesslücken, ungeeignete Kontrollen, Datenfehler oder unklare Zuständigkeiten. Die Organisation sollte festhalten, wer welche Maßnahme bis wann umsetzt und wie geprüft wird, ob die Änderung das Problem tatsächlich reduziert.
Anwendung: Nach mehreren ähnlichen Fällen stellt ein Team fest, dass relevante Geräteinformationen verspätet an das Erkennungssystem gelangen. Es behebt die Schnittstelle und überprüft danach die Abdeckung.
Typischer Denkfehler: Den Abschluss eines Falls mit der Beseitigung seiner Ursache gleichzusetzen. Eine Rückerstattung oder Kundeninformation verhindert nicht automatisch den nächsten gleichartigen Angriff.
18. Kennzahlen und Frühindikatoren
Fraud-Risikomanagement
Kennzahlen können Verluste, Bearbeitungszeiten, Fallvolumen, Kontrollabdeckung oder Kundenauswirkungen sichtbar machen. Frühindikatoren helfen, Veränderungen zu erkennen, bevor vollständige Verlustdaten vorliegen. Eine einzelne Zahl erklärt jedoch nicht, warum sich ein Ergebnis verändert hat; Kennzahlen brauchen Definitionen, Vergleichskontext und eine Prüfung auf unbeabsichtigte Anreize.
Anwendung: Das Team verfolgt nicht nur Verluste, sondern auch die Zeit bis zur Fallprüfung und den Anteil technisch nicht bewertbarer Transaktionen, um Schwächen früher zu erkennen.
Typischer Denkfehler: Eine sinkende Verlustkennzahl automatisch als Beweis für bessere Kontrollen zu werten. Niedrigere Erfassung, veränderte Geschäftsvolumina oder spätere Daten können dasselbe Bild erzeugen.
19. Kontrolltests und unabhängige Überprüfung
Fraud-Risikomanagement
Kontrolltests prüfen anhand geeigneter Nachweise, ob eine Maßnahme passend gestaltet ist und tatsächlich wie vorgesehen ausgeführt wird. Umfang und Methode sollten zum Kontrolltyp und zur Bedeutung des Risikos passen. Betriebliche Eigenkontrollen liefern wichtige Informationen; eine unabhängige Überprüfung ergänzt sie durch eine Beurteilung, die nicht von den für Gestaltung und Betrieb verantwortlichen Personen selbst vorgenommen wird. Ergebnisse, Einschränkungen und die Nachverfolgung erkannter Mängel müssen nachvollziehbar dokumentiert sein.
Anwendung: Eine Prüffunktion, die weder die Zahlungsfreigabekontrolle gestaltet noch betreibt, untersucht eine begründete Stichprobe markierter Überweisungen. Sie gleicht Zeitstempel, Freigaben und Prüfvermerke mit dem vorgeschriebenen Ablauf ab. Dabei festgestellte Freigaben ohne rechtzeitige Prüfung werden dokumentiert, einer verantwortlichen Stelle zur Abhilfe zugeordnet und später erneut getestet.
Typischer Denkfehler: Die Selbstauskunft des verantwortlichen Teams weder als hinreichenden Wirksamkeitsnachweis noch als unabhängige Prüfung behandeln. Belastbare Tests benötigen geeignete Nachweise; Unabhängigkeit erfordert außerdem eine angemessene Trennung von Kontrollverantwortung und prüfender Beurteilung.
20. Änderungsmanagement für Kontrollen
Fraud-Risikomanagement
Änderungen an Produkt, Datenfluss, Software oder Arbeitsablauf können die Wirkung bestehender Kontrollen beeinflussen. Änderungsmanagement prüft deshalb vor und nach einer Anpassung, welche Risiken neu entstehen oder anders abgedeckt werden. Eine kontrollierte Einführung mit Beobachtung ermöglicht, unerwartete Folgen zu erkennen, bevor sie sich in großem Umfang auswirken.
Anwendung: Vor einem App-Update prüft das Team, ob sich Anmeldesignale oder Transaktionsdaten ändern und ob Detection-Regeln nach dem Start weiterhin passende Informationen erhalten.
Typischer Denkfehler: Eine technische Änderung nur als IT-Thema zu behandeln. Veränderte Daten und Abläufe können zentrale Fraud-Kontrollen direkt beeinträchtigen.
60 Konzepte für die Prüfung und die Praxis 21–30
21. Risiken ausgelagerter Leistungen
Fraud-Risikomanagement
Dienstleister können wichtige Daten, Identitätsprüfungen oder technische Kontrollfunktionen bereitstellen. Dadurch entstehen Abhängigkeiten, die bei der Fraud-Risikobewertung berücksichtigt werden sollten. Das Institut muss verstehen, welche Leistung der Anbieter erbringt, wie Ausfälle oder Qualitätsprobleme erkannt werden und wie Verantwortung und Informationswege bei einem Vorfall geregelt sind.
Anwendung: Ein externer Anbieter liefert Geräteinformationen für die Erkennung von Kontoübernahmen. Das Institut vereinbart nachvollziehbare Leistungsberichte und ein Verfahren für Datenunterbrechungen.
Typischer Denkfehler: Das Fraud-Risiko als vollständig auf den Dienstleister übertragen zu betrachten. Die Organisation bleibt auf ihre eigenen Produkte, Entscheidungen und Reaktionsprozesse angewiesen.
22. Datenschutz und kontrollierter Datenzugriff
Fraud-Risikomanagement
Fraud-Prävention benötigt Informationen, doch Zugriff und Nutzung sollten einem legitimen Zweck folgen und angemessen begrenzt sein. Klare Zugriffsrollen, sichere Verarbeitung und nachvollziehbare Aufbewahrungsentscheidungen helfen, Missbrauch und unnötige Exposition zu reduzieren. Welche rechtlichen Anforderungen gelten, hängt vom jeweiligen Rechtssystem und Kontext ab; eine pauschale Regel für alle Länder gibt es nicht.
Anwendung: Ein Ermittler erhält Zugriff auf die für seinen Fall benötigten Transaktions- und Kontaktdaten, während nicht beteiligte Mitarbeitende keinen unnötigen Einblick erhalten.
Typischer Denkfehler: Mehr Datenzugriff immer für bessere Detection zu halten. Übermäßige oder zweckfremde Datennutzung schafft Risiken und kann Vertrauen sowie zulässige Verarbeitungsgrenzen beeinträchtigen.
23. Kommunikation über Restrisiken
Fraud-Risikomanagement
Entscheidungsträger benötigen eine verständliche Darstellung des verbleibenden Risikos, der Unsicherheit und der getroffenen Maßnahmen. Eine gute Kommunikation benennt Annahmen, mögliche Auswirkungen und offene Punkte, statt nur eine abstrakte Einstufung zu melden. So können Verantwortliche Prioritäten setzen und begründete Entscheidungen über weitere Kontrollen oder akzeptierte Exposition treffen.
Anwendung: Ein Bericht erklärt, dass eine neue Erkennung zwar ungewöhnliche Zahlungsketten sichtbar macht, aber wegen verspäteter Daten nicht alle Fälle vor Ausführung erfasst.
Typischer Denkfehler: Eine Risikofarbe ohne Erläuterung für ausreichend zu halten. Sie vermittelt weder die zugrunde liegenden Annahmen noch den konkreten Handlungsbedarf.
24. Kontinuierliche Verbesserung
Fraud-Risikomanagement
Kontinuierliche Verbesserung verbindet Vorfälle, Untersuchungen, Kontrolltests und neue Bedrohungsinformationen mit Änderungen am Programm. Der Lernkreislauf sollte auswerten, was funktionierte, was fehlte und ob Maßnahmen messbare Folgen haben. Er verhindert, dass dieselben Schwächen in verschiedenen Teams wiederkehren oder ein überholtes Kontrollmodell trotz veränderter Bedrohungen bestehen bleibt.
Anwendung: Nach einer Angriffswelle bündelt das Institut Fallmuster und Bearbeitungserfahrungen, aktualisiert eine Regel und überprüft anschließend, ob sie die neue Variante erfasst.
Typischer Denkfehler: Eine Nachbesprechung ohne Verantwortliche und Folgetermin als Verbesserung zu verbuchen. Erkenntnisse wirken erst, wenn sie in überprüfbare Änderungen münden.
25. Fraud-Typologien unterscheiden
Betrugserkennung und Analytics
Eine Typologie beschreibt, wie ein Betrug abläuft und wer daran beteiligt ist. Sie hilft, Signale und Kontrollmaßnahmen passend auszuwählen. Täterrolle, Angriffsmethode und betroffener Prozess sind dabei getrennte Dimensionen: Eine autorisierte Zahlung kann etwa durch Täuschung ausgelöst werden, während eine Kontoübernahme die Zugangsdaten eines Kunden missbraucht.
Anwendung: Ein Analyst trennt einen Kunden, der selbst täuscht, von einem Kunden, dessen Konto ein externer Täter übernommen hat, bevor er Fälle zusammenfasst.
Typischer Denkfehler: Jede verdächtige Zahlung als dieselbe Betrugsart einzuordnen. Unterschiedliche Täter und Abläufe erzeugen unterschiedliche Erkennungssignale und Schutzbedarfe.
26. APP-Fraud
Betrugserkennung und Analytics
Bei APP-Fraud, also Authorized Push Payment Fraud, wird der Kunde durch Täuschung dazu gebracht, selbst eine Überweisung beziehungsweise eine Zahlung an einen Empfänger auszulösen. Der Kunde autorisiert die Zahlung, irrt aber etwa über den Empfänger oder den Zahlungszweck. Das unterscheidet sich von einer nicht autorisierten Transaktion, die ein Täter beispielsweise nach einer Kontoübernahme auslöst. Erkennung und Reaktion müssen deshalb Zahlungs- und Verhaltensmuster sowie den möglichen Täuschungskontext berücksichtigen.
Anwendung: Ein Kunde überweist Geld an ein neues Konto, nachdem sich ein Betrüger als vertraute Stelle ausgegeben hat. Die eigene Autorisierung schließt eine Täuschung nicht aus.
Typischer Denkfehler: Die Autorisierung mit bewusster Zustimmung zu einem Betrug gleichzusetzen. Eine autorisierte Zahlung kann unter manipulativer Täuschung zustande gekommen sein.
27. Account Takeover
Betrugserkennung und Analytics
Beim Account Takeover übernimmt ein Täter die Kontrolle über ein bestehendes Kundenkonto, etwa durch gestohlene Zugangsdaten oder manipulierte Wiederherstellungsprozesse. Erkennung kann ungewöhnliche Geräte, Sitzungen, Kontaktänderungen oder Transaktionsmuster kombinieren. Einzelne Abweichungen sind nicht automatisch verdächtig; ihr Wert hängt vom Kontext und der üblichen Nutzung des Kontos ab.
Anwendung: Nach einem ungewöhnlichen Anmeldeversuch wird die hinterlegte Kontaktinformation geändert und kurz darauf eine neue Zahlungsempfängerin angelegt. Die Kombination rechtfertigt eine genauere Prüfung.
Typischer Denkfehler: Ein neues Gerät allein als Beweis einer Kontoübernahme zu werten. Kundinnen und Kunden wechseln Geräte; aussagekräftiger ist das Zusammenspiel mehrerer Signale.
28. First-Party-Fraud
Betrugserkennung und Analytics
First-Party-Fraud bezeichnet in diesem Prüfungszusammenhang Betrug, bei dem der eigene Kunde selbst täuschend handelt. Die Beurteilung erfordert belastbare Muster und sorgfältige Prüfung, denn Zahlungsprobleme oder widersprüchliche Angaben können auch harmlose Ursachen haben. Geeignete Erkennung kann Konto-, Transaktions- und Verlaufsdaten verbinden, ohne aus einem einzelnen Verhalten eine Schuldfolgerung abzuleiten.
Anwendung: Ein Kunde bestreitet wiederholt Zahlungen, obwohl mehrere unabhängig geprüfte Hinweise auf seine eigene Nutzung hindeuten. Das Team prüft den Verlauf, bevor es den Fall einordnet.
Typischer Denkfehler: Zahlungsverzug oder eine Reklamation automatisch als First-Party-Fraud zu werten. Finanzielle Schwierigkeiten und berechtigte Streitfälle sind alternative Erklärungen.
29. Second-Party-Fraud
Betrugserkennung und Analytics
Bei Second-Party-Fraud unterstützt der Kunde wissentlich das betrügerische Vorhaben eines anderen, etwa indem er sein Konto für den Empfang und die Weiterleitung betrügerisch erlangter Gelder bereitstellt. Entscheidend ist die bewusste Mitwirkung am Betrug, nicht allein die Kenntnis, dass jemand anderes das Konto nutzt. Die Abgrenzung zu einem getäuschten Kontoinhaber ist häufig erst nach weiteren Untersuchungen möglich. Verhaltensmuster, Kommunikation und Transaktionskontext sind gemeinsam zu prüfen.
Anwendung: Ein Konto empfängt wiederholt Gelder und leitet sie rasch weiter. Das Institut untersucht, ob der Kontoinhaber wissentlich mitwirkt oder selbst getäuscht wurde.
Typischer Denkfehler: Jede Person, deren Konto als Durchlaufkonto erscheint, als freiwillig Beteiligte einzustufen. Täter können Kontoinhaber täuschen oder deren Zugang missbrauchen.
30. Third-Party-Fraud
Betrugserkennung und Analytics
Bei Third-Party-Fraud begeht ein externer Täter Betrug, ohne dass der betroffene Kunde wissentlich mit ihm betrügerisch zusammenwirkt. Beispiele sind die Eröffnung eines Kontos mit gestohlenen Identitätsdaten oder eine Kontoübernahme mit anschließenden unbefugten Zahlungen. Allein die Beteiligung eines externen Täters reicht zur Abgrenzung von Second-Party-Fraud nicht aus. Für die Erkennung sind Zugangsmuster, Täterverhalten und die tatsächliche Rolle des Kunden wichtig; diese Rolle kann zu Beginn noch ungeklärt sein.
Anwendung: Eine Kundin meldet eine Zahlung, die sie nicht kennt, und die Anmeldedaten zeigen einen auffälligen Zugriff. Das Team untersucht zunächst einen möglichen externen Angriff.
Typischer Denkfehler: Die Beteiligung des Kunden allein aus einem finanziellen Vorteil abzuleiten. Der Nutzen oder Geldfluss beweist nicht, wer die Handlung kontrolliert hat.
60 Konzepte für die Prüfung und die Praxis 31–40
31. Verhaltensbaselines
Betrugserkennung und Analytics
Eine Verhaltensbaseline beschreibt typische Nutzung eines Kontos, Segments oder Prozesses und macht relevante Abweichungen erkennbar. Sie sollte Veränderungen berücksichtigen, die durch legitime Lebensumstände oder Produktnutzung entstehen. Eine Baseline ist Vergleichshilfe, kein festes Bild, an das Kundinnen und Kunden dauerhaft gebunden werden dürfen.
Anwendung: Das System bemerkt, dass ein Konto plötzlich Zahlungen an mehrere neue Empfänger sendet. Das Team betrachtet zusätzlich Saison, Kundenhistorie und weitere Sitzungsmerkmale.
Typischer Denkfehler: Jede Abweichung von früherem Verhalten als Betrugssignal mit gleichem Gewicht zu behandeln. Eine ungewöhnliche Nutzung kann legitime Gründe haben.
32. Datenaufbereitung vor der Analyse
Betrugserkennung und Analytics
Vor der Analyse müssen relevante Datenquellen zusammengeführt, Zeitangaben vereinheitlicht und fehlende oder widersprüchliche Werte verstanden werden. Andernfalls kann ein Modell Ereignisse falsch ordnen oder wichtige Zusammenhänge übersehen. Datenaufbereitung ist keine nebensächliche technische Vorstufe, sondern beeinflusst unmittelbar, welche Fälle Detection überhaupt erkennen kann.
Anwendung: Ein Team vereinheitlicht Zeitstempel aus App- und Zahlungssystemen, bevor es prüft, ob eine verdächtige Anmeldung einer Transaktion vorausging.
Typischer Denkfehler: Ein leistungsfähiges Modell als Ersatz für schlechte Datenqualität zu behandeln. Auch ein komplexes Verfahren kann fehlende oder falsch zugeordnete Informationen nicht zuverlässig ausgleichen.
33. Qualität von Fallkennzeichnungen
Betrugserkennung und Analytics
Bei überwachten Lernverfahren dienen Fallkennzeichnungen, auch Labels genannt, als Zielwerte für das Training. Ihre Qualität beeinflusst außerdem die Bewertung der Erkennungsleistung. Unüberwachte Verfahren benötigen beim Training keine solchen Zielwerte; ihre Ergebnisse können jedoch anhand gekennzeichneter Fälle überprüft werden. Bestätigte Betrugsfälle, bestätigte legitime Vorgänge und ungeklärte Fälle müssen nachvollziehbar unterschieden werden. Verzögerte oder uneinheitliche Kennzeichnungen können Training und Auswertungen verzerren.
Anwendung: Vor einer Modellanpassung unterscheidet das Team bestätigte Betrugsfälle von noch offenen Verdachtsfällen, statt beide Gruppen als gleich sichere Trainingsbeispiele zu verwenden.
Typischer Denkfehler: Jeden gemeldeten Verdachtsfall als bestätigten Betrug zu behandeln. Ein Alarm oder eine Kundenbeschwerde ist nicht zwangsläufig ein verifiziertes Ergebnis. Umgekehrt ist ein ungeklärter Fall nicht automatisch ein legitimer Vorgang.
34. Verzerrungen durch Datenleckage
Betrugserkennung und Analytics
Datenleckage bezeichnet in der Modellanalyse die unzulässige Nutzung von Informationen, die eine realistische Leistungsbewertung verfälschen. Eine Form entsteht, wenn Merkmale spätere Fallentscheidungen oder andere Informationen enthalten, die zum tatsächlichen Entscheidungszeitpunkt noch nicht verfügbar waren. Eine weitere Form entsteht durch mangelnde Trennung von Training und Test, etwa wenn derselbe Fall als Duplikat in beiden Datensätzen vorkommt. Zeitbezug, Merkmalsbildung und Datenaufteilung müssen deshalb gemeinsam geprüft werden.
Anwendung: Ein Testmodell nutzt eine spätere Fallentscheidung als Eingabe, um eine frühere Transaktion zu bewerten. Das Team entfernt das Merkmal und prüft die Leistung erneut.
Typischer Denkfehler: Eine sehr gute Testleistung automatisch für echte Erkennungsfähigkeit zu halten. Zukunftsinformationen oder Überschneidungen zwischen Trainings- und Testfällen können eine Leistung vortäuschen, die sich im Betrieb nicht wiederholt.
35. Regelbasierte Erkennung
Betrugserkennung und Analytics
Regeln markieren Fälle, wenn definierte Bedingungen erfüllt sind, und können bei klaren, verständlichen Mustern nützlich sein. Ihre Qualität hängt von passenden Daten, nachvollziehbaren Bedingungen und regelmäßiger Überprüfung ab. Zu starre Regeln reagieren schlecht auf veränderte Verhaltensweisen; zu breite Regeln erzeugen unnötige Prüfungen und verringern die Kapazität für wichtige Fälle.
Anwendung: Eine Regel kennzeichnet rasche Folgeüberweisungen nach einer Änderung des Kontaktdetails. Das Team überprüft, ob die Kombination relevante Fälle erfasst, ohne normale Nutzung pauschal zu blockieren.
Typischer Denkfehler: Eine verständliche Regel automatisch als wirksam anzusehen. Verständlichkeit ist wertvoll, ersetzt aber keine Prüfung von Erkennungsleistung und Nebenwirkungen.
36. Modelle als Entscheidungshilfe
Betrugserkennung und Analytics
Ein Modell verarbeitet Daten, um Fälle zu priorisieren oder ein Risiko einzuschätzen. Sein Ergebnis ist eine Entscheidungshilfe und hängt von Datenbasis, Annahmen, Einsatzkontext und laufender Beobachtung ab. Verantwortliche sollten wissen, wofür das Modell gedacht ist und welche Grenzen es hat, bevor sie seine Ergebnisse in operative Entscheidungen übersetzen.
Anwendung: Ein Modell priorisiert Transaktionen für eine manuelle Prüfung. Analystinnen berücksichtigen zusätzlich den Fallkontext und dokumentieren, wenn die verfügbare Information eine abweichende Entscheidung stützt.
Typischer Denkfehler: Einen Modellwert als feststehende Wahrheit zu behandeln. Ein Score ist eine Schätzung unter bestimmten Bedingungen, kein abschließender Beweis für Betrug.
37. Schwellenwerte bewusst wählen
Betrugserkennung und Analytics
Ein Schwellenwert bestimmt, ab welchem Ergebnis ein Fall etwa geprüft oder mit einer weiteren Maßnahme versehen wird. Eine Änderung beeinflusst üblicherweise sowohl die Zahl der markierten Fälle als auch die Zahl möglicher übersehener Fälle. Die Wahl sollte deshalb anhand des konkreten Ziels, der Bearbeitungskapazität und der erwarteten Kundenauswirkungen geprüft werden.
Anwendung: Nach einer Anpassung analysiert das Team nicht nur, wie viele Alarme entfallen, sondern auch, ob relevante Fälle in den ausgelassenen Fällen häufiger auftreten.
Typischer Denkfehler: Einen Schwellenwert allein zu erhöhen, um Arbeitslast zu senken. Dadurch kann auch die Zahl der nicht erkannten Betrugsfälle steigen.
38. False Positives und False Negatives
Betrugserkennung und Analytics
Ein False Positive ist ein legitimer Vorgang, der fälschlich als verdächtig markiert wird; ein False Negative ist ein relevanter Betrugsfall, den das Verfahren nicht erkennt. Beide Fehler haben unterschiedliche Folgen. Die richtige Abwägung hängt von der möglichen Schadenshöhe, der verfügbaren Prüfungskapazität und den Auswirkungen auf Kundinnen und Kunden ab.
Anwendung: Ein neues Gerät erzeugt bei langjährigen Kundinnen zahlreiche Fehlalarme. Das Team prüft zugleich, ob eine breitere Toleranz echte Kontoübernahmen unbemerkt lassen könnte.
Typischer Denkfehler: Eine geringere Alarmzahl automatisch für bessere Erkennung zu halten. Sie kann ebenso bedeuten, dass mehr echte Fälle nicht mehr markiert werden.
39. Präzision und Erfassungsgrad
Betrugserkennung und Analytics
Präzision, auch Precision genannt, beschreibt den Anteil tatsächlicher Betrugsfälle unter allen als positiv markierten Fällen. Der Erfassungsgrad, auch Recall genannt, beschreibt den Anteil erkannter Betrugsfälle unter allen tatsächlichen Betrugsfällen im betrachteten Bewertungsdatensatz. Beide Kennzahlen benötigen verlässliche Fallkennzeichnungen und können sich bei einer Schwellenwertänderung gegensätzlich verändern. Im laufenden Betrieb begrenzen ungeklärte und noch unbekannte Fälle die Aussagekraft der Messung. Zusätzlich sind Schadenshöhe und betriebliche Auswirkungen zu berücksichtigen.
Anwendung: In einem zuverlässig gekennzeichneten Testdatensatz erzeugt ein Verfahren 100 Alarme, darunter 20 tatsächliche Betrugsfälle. Insgesamt enthält der Datensatz 40 Betrugsfälle. Die Präzision beträgt damit 20 %, der Erfassungsgrad 50 %.
Typischer Denkfehler: Nur eine der beiden Kennzahlen zu optimieren. Hohe Präzision ist wenig hilfreich, wenn viele relevante Fälle durch das Netz fallen.
40. Segmentierung statt pauschaler Anpassung
Betrugserkennung und Analytics
Segmentierung unterscheidet Gruppen oder Vorgänge, deren Risikoprofile und normale Nutzung wesentlich voneinander abweichen. So kann eine Kontrolle gezielter reagieren, statt alle Fälle einer pauschalen Regel zu unterwerfen. Segmente müssen nachvollziehbar und ausreichend belastbar sein; willkürliche oder zu kleine Gruppen können instabile Ergebnisse und ungerechte Auswirkungen erzeugen.
Anwendung: Das Team bildet für private Einzelüberweisungen und betriebliche Sammelzahlungen getrennte Segmente. Es ermittelt je Segment typische Zahlungshäufigkeiten und Empfängerzahlen, kalibriert passende Schwellenwerte und prüft anhand verlässlich gekennzeichneter Fälle sowohl Fehlalarme als auch übersehene Betrugsfälle.
Typischer Denkfehler: Segmentierung als automatische Lösung jeder Fehlalarmproblematik anzusehen. Ungeeignete Gruppierungen können Risiken verdecken oder unnötig komplexe Entscheidungen erzeugen.
60 Konzepte für die Prüfung und die Praxis 41–50
41. Zusätzliche Prüfschritte risikogerecht abstufen
Betrugserkennung und Analytics
Zusätzliche Authentifizierungen, Rückfragen oder Bearbeitungsverzögerungen können verdächtige Vorgänge prüfen und Betrug erschweren, belasten aber auch legitime Kundinnen und Kunden. Eine abgestufte Reaktion richtet Art und Umfang des Eingriffs nach den verfügbaren Signalen, dem möglichen Schaden und der vermuteten Betrugsart. Entscheidend ist nicht die Anzahl der Hürden, sondern ihre Schutzwirkung im konkreten Fall.
Anwendung: Die Regeln einer Bank sehen bei einem Gerätewechsel ohne weitere Auffälligkeiten zunächst verstärkte Beobachtung vor. Kommen eine ungewöhnliche Anmeldung und eine Zahlung an einen neuen Empfänger hinzu, prüft das zuständige Team den Vorgang über einen vertrauenswürdigen Kontaktweg, der von der verdächtigen Sitzung unabhängig ist.
Typischer Denkfehler: Jede zusätzliche Hürde als gleich wirksam anzusehen. Stärkere Authentifizierung kann eine Kontoübernahme erschweren, verhindert aber nicht zuverlässig eine Zahlung, die der echte Kunde unter Täuschung selbst veranlasst. Unpassende Prüfungen verursachen Belastung, ohne das relevante Risiko ausreichend zu senken.
42. Laufende Überwachung und Modellveränderung
Betrugserkennung und Analytics
Betrugsmuster, Kundennutzung und Datenflüsse können sich mit der Zeit ändern. Laufende Überwachung prüft deshalb, ob Eingabedaten, Erkennungsleistung und Nebenwirkungen noch zu den ursprünglichen Annahmen passen. Veränderungen sollten untersucht werden, statt automatisch als gewöhnliche Schwankung oder als Anlass für eine ungezielte Modelländerung behandelt zu werden.
Anwendung: Nach einer Änderung im Anmeldeprozess sinkt die Zahl verfügbarer Gerätesignale. Das Team untersucht die Auswirkung, bevor es die dadurch veränderten Alarme anders bewertet.
Typischer Denkfehler: Ein einmal eingeführtes Modell als dauerhaft gültig anzusehen. Geänderte Daten oder Angriffe können die frühere Leistung und Risikoeinschätzung entwerten.
43. Triage und Fallpriorisierung
Fraud-Untersuchungen
Triage ordnet eingehende Hinweise nach Dringlichkeit, möglichem Schaden, Betroffenheit und erforderlichem Fachwissen. Sie bestimmt, welcher Fall zuerst bearbeitet und wer einbezogen werden sollte; sie entscheidet nicht automatisch, ob Betrug vorliegt. Ein gutes Verfahren ermöglicht Neubewertung, wenn neue Informationen den Umfang oder die Dringlichkeit eines Falls verändern.
Anwendung: Ein möglicher laufender Angriff mit unmittelbar anstehender Zahlung wird früh geprüft, während ein älterer Fall ohne erkennbare fortgesetzte Aktivität regulär eingeordnet wird.
Typischer Denkfehler: Die erste Priorisierung als endgültiges Urteil über die Schwere eines Falls zu verstehen. Neue Hinweise können eine andere Bearbeitungsreihenfolge rechtfertigen.
44. Beweise frühzeitig sichern
Fraud-Untersuchungen
Beweissicherung erhält relevante Informationen in einem nachvollziehbaren Zustand, bevor sie überschrieben, verändert oder schwerer auffindbar werden. Dazu können Transaktionsdetails, Sitzungsprotokolle und Fallkommunikation gehören. Welche Daten gesichert werden dürfen und wie lange sie verfügbar sind, hängt vom jeweiligen Kontext ab; Untersuchungsteams sollten dafür mit zuständigen Datenschutz- und Technikfunktionen arbeiten.
Anwendung: Nach einem Hinweis auf eine Kontoübernahme sichert das Team die verfügbaren Anmelde- und Transaktionsdaten, bevor geplante Systembereinigungen ältere Protokolle entfernen.
Typischer Denkfehler: Erst nach Abschluss der Gespräche an technische Belege zu denken. Flüchtige Daten können verschwinden, bevor die Untersuchung ihre Bedeutung erkennt.
45. Beweismittelkette und Integrität dokumentieren
Fraud-Untersuchungen
Eine nachvollziehbare Beweismittelkette hält Herkunft, Erfassungszeitpunkt, verantwortliche Personen, Bearbeitungsschritte und Übergaben eines Belegs fest. Geeignete Integritätskontrollen, etwa geschützte Originaldateien, Zugriffsprotokolle und gegebenenfalls kryptografische Prüfsummen, ergänzen diese Dokumentation. So lassen sich Übertragungen und mögliche Veränderungen beurteilen. Das Verfahren richtet sich nach dem Verwendungszweck und den anwendbaren Anforderungen; es beweist für sich allein weder die Richtigkeit des Inhalts noch die rechtliche Verwertbarkeit.
Anwendung: Ein Analyst exportiert relevante Anmeldeprotokolle, dokumentiert Quellsystem, Auswahlkriterien und Erfassungszeitpunkt und legt die Originaldatei geschützt ab. Für die Analyse erstellt er eine getrennte Arbeitskopie. Bei einer Weitergabe werden Zeitpunkt, Empfänger und die verwendete Integritätsprüfung festgehalten.
Typischer Denkfehler: Eine Herkunftsangabe oder eine Prüfsumme allein als vollständigen Integritätsnachweis zu behandeln. Dokumentation, technische Schutzmaßnahmen und kontrollierte Übergaben müssen zusammenpassen; auch ein unveränderter Beleg kann inhaltlich unvollständig oder fehlerhaft sein.
46. Eine belastbare Fallchronologie erstellen
Fraud-Untersuchungen
Eine Fallchronologie ordnet Ereignisse mit ihren Zeitpunkten und Quellen so, dass der Untersuchungsverlauf verständlich wird. Sie hilft, widersprüchliche Angaben, zeitliche Lücken und mögliche Ursache-Wirkungs-Beziehungen zu erkennen. Bei unterschiedlichen Zeitzonen oder Systemuhren sollten Zeitangaben kenntlich gemacht und nicht stillschweigend als exakt vergleichbar behandelt werden.
Anwendung: Das Team ordnet Anmeldung, Kontaktänderung und Zahlung aus verschiedenen Systemen und notiert die Quelle sowie die Zeitzone der jeweiligen Zeitangabe.
Typischer Denkfehler: Eine Chronologie mit einer bereits bewiesenen Kausalkette zu verwechseln. Dass ein Ereignis vor einem anderen stattfand, beweist nicht automatisch, dass es dieses ausgelöst hat.
47. Hypothesen prüfen statt bestätigen
Fraud-Untersuchungen
Eine Untersuchung beginnt oft mit mehreren plausiblen Erklärungen. Ermittlerinnen und Ermittler sollten gezielt Informationen suchen, die diese Hypothesen stützen oder widerlegen, statt nur bestätigende Hinweise zu sammeln. Diese Disziplin reduziert vorschnelle Schlussfolgerungen und macht sichtbar, welche offenen Fragen für eine belastbare Fallbewertung noch beantwortet werden müssen.
Anwendung: Bei einer ungewöhnlichen Zahlung prüft das Team sowohl eine mögliche Kontoübernahme als auch eine vom Kunden selbst veranlasste, aber getäuschte Zahlung.
Typischer Denkfehler: Die zuerst vermutete Erklärung als bewiesen zu behandeln und nur noch passende Hinweise zu sammeln. Widersprechende Informationen gehören ebenfalls in die Bewertung.
48. Interne Daten sinnvoll verbinden
Fraud-Untersuchungen
Interne Informationen können Transaktionen, Anmeldungen, Kundenkontakte, frühere Fälle und Kontrollentscheidungen umfassen. Ihre Verbindung hilft, den Vorgang im Institutskontext zu verstehen. Ermittler sollten dabei Quelle, Aussagekraft und mögliche Lücken jeder Information prüfen; ein Systemeintrag dokumentiert eine Beobachtung, aber nicht zwingend die gesamte Erklärung des Geschehens.
Anwendung: Ein Team vergleicht Zahlungsdaten mit Anmeldeereignissen und früheren Kontaktaufnahmen, um zu prüfen, ob ein neuer Vorfall mit einem bekannten Muster zusammenhängt.
Typischer Denkfehler: Mehrere interne Einträge als voneinander unabhängige Bestätigung zu zählen, wenn sie tatsächlich aus derselben ursprünglichen Quelle gespeist werden.
49. Externe Informationen richtig einordnen
Fraud-Untersuchungen
Externe Warnhinweise, öffentliche Informationen oder Angaben anderer Beteiligter können den Kontext einer Untersuchung erweitern. Ihre Herkunft, Aktualität und Verlässlichkeit müssen jedoch geprüft werden. Solche Informationen können eine interne Prüfung anstoßen oder eine Hypothese stützen, ersetzen aber nicht automatisch Belege zum konkreten Vorgang und zur jeweiligen Kundenbeziehung.
Anwendung: Ein Branchenhinweis beschreibt eine ähnliche Betrugsmasche. Das Team nutzt ihn, um mögliche Fragen für den eigenen Fall abzuleiten und vergleicht ihn mit den internen Transaktionsdaten.
Typischer Denkfehler: Eine externe Warnung ohne weiteren Abgleich als Beweis gegen eine bestimmte Person zu behandeln. Ähnliche Muster belegen keine Beteiligung am konkreten Fall.
50. Personenbezogene Daten im Untersuchungsfall gezielt begrenzen
Fraud-Untersuchungen
Bei einer Untersuchung ist für jede Datenerhebung, Auswertung und Weitergabe zu prüfen, welche Informationen für den konkreten Zweck erforderlich und zulässig sind. Geschützte Originalbelege und Arbeits- oder Berichtsauszüge können unterschiedliche Zugriffskreise benötigen. Datenminimierung bedeutet nicht, relevante Belege zu verfälschen oder vorschnell zu löschen, sondern unnötige Nutzung und Offenlegung zu vermeiden. Rechtsgrundlagen, Aufbewahrung und mögliche Sicherungsanforderungen sind nach dem jeweiligen Rechtsraum und Fall zu klären.
Anwendung: Ein rechtmäßig gesicherter Transaktionsauszug enthält neben fallrelevanten Zahlungen auch zahlreiche unbeteiligte Personen. Das Team schützt den vollständigen Originalbeleg im vorgesehenen Beweisbereich und erstellt für eine interne Fachentscheidung einen gekennzeichneten Auszug mit den erforderlichen Informationen. Auswahl und Herkunft bleiben nachvollziehbar.
Typischer Denkfehler: Den vollständigen Datenbestand an alle Beteiligten weiterzugeben oder unter Berufung auf Datenminimierung relevante Originalbelege zu entfernen. Eine sachgerechte Untersuchung verbindet begrenzte Offenlegung mit nachvollziehbarer und zulässiger Beweissicherung.
60 Konzepte für die Prüfung und die Praxis 51–60
51. Befragungen vorbereiten und dokumentieren
Fraud-Untersuchungen
Eine vorbereitete Befragung verfolgt klar erkennbare Informationsziele, berücksichtigt den Fallkontext und dokumentiert Antworten sachlich. Offene Fragen können zunächst Raum für eine eigene Darstellung lassen; gezielte Nachfragen klären anschließend Unstimmigkeiten. Befragende sollten zwischen wörtlicher Aussage, eigener Beobachtung und späterer Interpretation unterscheiden.
Anwendung: Vor einem Gespräch ordnet die Ermittlerin bekannte Zeitpunkte und offene Fragen, bittet den Kunden um eine zusammenhängende Darstellung und hält anschließend Aussagen und Quellen getrennt fest.
Typischer Denkfehler: Eine Befragung mit einer Anklage oder vorgefertigten Schlussfolgerung zu beginnen. Das kann Informationen verzerren und eine faire Klärung erschweren.
52. Kundenkontakt sicher planen
Fraud-Untersuchungen
Kundenkontakt kann Sachverhalte klären und weitere Schäden verhindern. Das zuständige Team sollte den Zweck, die Verantwortung und einen ausreichend verifizierten Kontaktweg festlegen und prüfen, ob ein Täter die Kommunikation beeinflussen könnte. Bei akuter Gefahr dürfen dringliche, zulässige Schutzmaßnahmen nicht unnötig auf eine vollständige Beweissicherung warten. Kontaktaufnahme, Schadensbegrenzung und Sicherung flüchtiger Daten können parallel erfolgen; die Reihenfolge richtet sich nach Dringlichkeit und Fallrisiken.
Anwendung: Bei einer Bank steht eine möglicherweise betrügerische Zahlung unmittelbar bevor; zugleich wurde die hinterlegte Telefonnummer kürzlich geändert. Das Untersuchungsteam stimmt zulässige Sofortmaßnahmen mit dem Zahlungsverkehr ab und versucht den Kunden über einen unabhängig verifizierten Kontaktweg zu erreichen. Die Technikfunktion sichert parallel die relevanten Sitzungs- und Änderungsprotokolle.
Typischer Denkfehler: Immer zuerst sämtliche Belege sichern zu wollen oder sofort den zuletzt angegebenen Kontaktweg zu verwenden. Beides kann bei einem laufenden Angriff schaden. Schutzbedarf, Verlässlichkeit des Kommunikationswegs und Beweissicherung müssen gemeinsam beurteilt werden.
53. Vulnerabilität und individuelle Umstände berücksichtigen
Fraud-Untersuchungen
Individuelle Umstände können beeinflussen, wie ein Kunde einen Betrug erlebt, welche Unterstützung hilfreich ist und wie Kommunikation gestaltet werden sollte. Ein möglicher Unterstützungsbedarf ist weder ein Beweis für Täuschung noch eine automatische Fallentscheidung. Teams sollten relevante Hinweise sensibel behandeln und zuständige Fachstellen nach den geltenden Verfahren einbeziehen.
Anwendung: Eine Kundin berichtet, dass sie unter starkem Druck zu einer Zahlung gebracht wurde. Das Team prüft den Betrugsverdacht und passt zugleich die weitere Kommunikation an ihren Unterstützungsbedarf an.
Typischer Denkfehler: Vulnerabilität als bloßes Merkmal zur Risikoklassifizierung zu verwenden. Sie kann vielmehr für Schutz, Kommunikation und eine sachgerechte Bearbeitung wichtig sein.
54. Ermittlungsergebnisse klar berichten
Fraud-Untersuchungen
Ein Fallbericht sollte Auftrag, geprüfte Informationen, wesentliche Feststellungen, Unsicherheiten und begründete nächste Schritte verständlich darstellen. Er trennt bestätigte Tatsachen von Schlussfolgerungen und offenen Fragen. So können Entscheidungsträger die Qualität der Bewertung beurteilen, ohne den gesamten Ermittlungsprozess selbst rekonstruieren zu müssen.
Anwendung: Der Abschlussbericht nennt die bestätigten Transaktionen, dokumentiert widersprüchliche Angaben und erklärt, warum die verfügbare Evidenz eine bestimmte Einordnung stützt, aber eine andere offenlässt.
Typischer Denkfehler: Vermutungen in der Sprache wie gesicherte Tatsachen darzustellen. Ein Bericht muss erkennen lassen, was belegt und was interpretiert wurde.
55. Interne Eskalation und externe Meldungen unterscheiden
Fraud-Untersuchungen
Eine interne Falleskalation bringt Untersuchungsergebnisse zu einer Stelle mit passenden Entscheidungsbefugnissen oder Fachkenntnissen. Sie ist nicht mit einer externen Meldung gleichzusetzen. Ob eine Meldung oder Offenlegung an eine Behörde oder andere externe Stelle erforderlich oder zulässig ist, hängt von Jurisdiktion, Sachverhalt und Rolle des Instituts ab. Das Untersuchungsteam übermittelt nachvollziehbare Feststellungen und Unsicherheiten; die zuständige Funktion prüft die anwendbaren Anforderungen, Fristen und Übermittlungswege.
Anwendung: Eine Bankuntersuchung ergibt Hinweise auf mehrere betrügerisch genutzte Konten. Das Team dokumentiert bestätigte Vorgänge, Verbindungen und offene Fragen und übergibt die Ergebnisse an die zuständige Rechts- oder Compliance-Funktion. Diese beurteilt mögliche externe Pflichten und den zulässigen Umfang einer Weitergabe. Die interne Übergabe selbst ist noch keine externe Meldung.
Typischer Denkfehler: Jeden internen Betrugsverdacht automatisch als extern meldepflichtig anzusehen oder eine interne Eskalation bereits für die Erfüllung einer externen Pflicht zu halten. Umgekehrt darf eine noch offene Untersuchung nicht pauschal als Grund dienen, anwendbare Meldefristen unbeachtet zu lassen.
56. Schadensbegrenzung und Rückholung von Geldern
Fraud-Untersuchungen
Schadensbegrenzung soll weitere Auswirkungen eines Vorfalls verhindern oder reduzieren. Zur möglichen Rückholung bereits übertragener Gelder können koordinierte Rückrufanfragen und die Zusammenarbeit mit beteiligten Instituten gehören. Die Erfolgsaussichten hängen unter anderem von Zeit, Zahlungsweg, Verfügbarkeit der Gelder und anwendbaren Regeln ab. Eine Rückrufanfrage, eine tatsächliche Rückholung und eine mögliche Erstattung an den Kunden sind unterschiedliche Vorgänge und müssen getrennt beurteilt werden.
Anwendung: Nach einer bereits ausgeführten Überweisung meldet ein Kunde nachvollziehbare Hinweise auf einen Scam. Der genutzte Zahlungsweg sieht Rückrufanfragen vor. Das Untersuchungsteam veranlasst deshalb zeitnah über den zuständigen Zahlungsverkehr eine Anfrage an das Empfängerinstitut auf einem authentifizierten Institutionskanal. Es dokumentiert Anfrage und Rückmeldung und setzt die Untersuchung unabhängig vom Rückholungserfolg fort.
Typischer Denkfehler: Eine versandte Rückrufanfrage mit einer erfolgreichen Rückholung oder einem feststehenden Erstattungsanspruch gleichzusetzen. Die Anfrage garantiert weder die Verfügbarkeit der Gelder noch deren Rückgabe und ersetzt keine Prüfung weiterer Schutzmaßnahmen.
57. Zusammenarbeit über Funktionen hinweg
Fraud-Untersuchungen
Fraud-Fälle können Wissen aus Betrieb, Technologie, Kundenservice, Risiko und weiteren Funktionen erfordern. Zusammenarbeit verbessert den Kontext, wenn Rollen, Informationsbedarf und Entscheidungswege klar sind. Eine zentrale Fallverantwortung hilft, widersprüchliche Anfragen, doppelte Arbeit und unkontrollierte Weitergabe sensibler Informationen zu vermeiden.
Anwendung: Bei einer möglichen Kontoübernahme koordiniert eine Fallverantwortliche die technischen Erkenntnisse, Kundenkontakte und operativen Maßnahmen über die beteiligten Teams hinweg.
Typischer Denkfehler: Viele Beteiligte automatisch für bessere Untersuchungsergebnisse zu halten. Ohne Koordination entstehen leicht Informationslücken und unklare Verantwortlichkeiten.
58. Fallabschluss nachvollziehbar begründen
Fraud-Untersuchungen
Ein Fall sollte abgeschlossen werden, wenn die vorgesehenen Untersuchungsfragen bearbeitet, Entscheidungen dokumentiert und erforderliche Folgeaufgaben zugeordnet sind. Der Abschluss muss nicht bedeuten, dass jede Unsicherheit beseitigt wurde. Er sollte erklären, was bekannt ist, was offenbleibt und unter welchen Umständen eine Wiederaufnahme oder weitere Prüfung sinnvoll wäre.
Anwendung: Ein Fall wird geschlossen, nachdem die verfügbaren Daten ausgewertet und Maßnahmen zugewiesen wurden. Der Bericht vermerkt, welche Information noch fehlt und wann eine erneute Prüfung erfolgen könnte.
Typischer Denkfehler: Fallabschluss mit endgültiger Gewissheit gleichzusetzen. Eine sorgfältige Untersuchung kann begründet offenlassen, was die verfügbaren Informationen nicht klären.
59. Untersuchungserkenntnisse in Kontrollen zurückführen
Fraud-Untersuchungen
Untersuchungen zeigen, welche Signale, Prozesslücken oder Reaktionsschritte im konkreten Fall wichtig waren. Werden diese Erkenntnisse systematisch ausgewertet, können sie Risikobewertungen, Regeln, Schulungen und Reaktionspläne verbessern. Der Rückschluss muss jedoch vorsichtig erfolgen: Ein einzelner Fall kann eine neue Hypothese begründen, aber nicht automatisch die Wirksamkeit einer Änderung beweisen.
Anwendung: Nach einer Reihe ähnlicher Fälle schlägt das Team ein zusätzliches Signal vor, testet dessen Nutzen und überprüft die Auswirkungen, bevor es breit eingesetzt wird.
Typischer Denkfehler: Aus einem auffälligen Einzelfall sofort eine allgemeine Kontrollregel abzuleiten. Vor der Umsetzung sind Wiederholbarkeit, Nebenwirkungen und Datenqualität zu prüfen.
60. Vorläufige Entscheidungen bei unvollständigen Belegen
Fraud-Untersuchungen
Eine Untersuchung muss mitunter eine Schutzentscheidung treffen, bevor sich der Sachverhalt abschließend klären lässt. Dafür werden Handlungsalternativen, mögliche Schäden, Kundenbelastung und die vorhandenen Befugnisse gegeneinander abgewogen. Soweit geeignet, wird eine begrenzte und überprüfbare Maßnahme gewählt statt einer endgültigen Schlussfolgerung. Die Entscheidung dokumentiert die Unsicherheit sowie die Informationen, Verantwortlichkeiten und Zeitpunkte für ihre Neubewertung.
Anwendung: Eine Bank prüft eine mögliche Kontoübernahme. Eine Zahlung an einen neuen Empfänger steht noch aus, die Kundin ist vorerst nicht erreichbar, und die verfügbaren Protokolle liefern auffällige, aber nicht eindeutige Hinweise. Innerhalb seiner rechtlich zulässigen und intern freigegebenen Befugnisse veranlasst das zuständige Team eine befristete zusätzliche Zahlungsprüfung statt einer endgültigen Kontoschließung. Es legt fest, wer die Maßnahme überprüft und welche neuen Informationen oder welcher Prüfungstermin über das weitere Vorgehen entscheiden.
Typischer Denkfehler: Unsicherheit entweder als Beweis für Betrug oder als Grund für uneingeschränktes Abwarten zu behandeln. Eine vorläufige Maßnahme benötigt eine begründete Schadensabwägung und eine konkrete Neubewertung; sie darf nicht ohne weitere Prüfung zu einer dauerhaften Entscheidung werden.
Sechs Schritte für einen strukturierten Lernplan
Offizielle Quellen und Prüfungsstand
Grundlage sind die CAFS-Zertifizierungsseite von ACAMS und das ACAMS-Kandidatenhandbuch unter https://www.acams.org/en/certifications/cafs-certification und https://www.acams.org/en/media/document/37704. Prüfungsaufbau und Gewichtung wurden anhand des bereitgestellten offiziellen Anbieter-Dossiers mit Stand 11. Oktober 2026 wiedergegeben. Prüfen Sie Anmeldedetails, Prüfungsmodalitäten und verfügbare Prüfungssprachen stets bei ACAMS. Dieser Leitfaden ist unabhängiges Lernmaterial und kein offizielles ACAMS-Prüfungsprodukt.