The fraud cost nobody measures
Die Betrugskosten, die niemand misst
Every fraud system makes two kinds of mistake. One is expensive, visible and measured obsessively. The other is expensive, invisible and barely measured at all. Guess which one gets optimised.
The asymmetry
A false negative — fraud that got through — produces a chargeback, a loss with a number attached, an entry in a ratio that a card network monitors. It is impossible to ignore.
A false positive — a legitimate customer declined — produces nothing. No entry, no complaint in most cases, no line in a report. The customer tries once more, gives up, and buys elsewhere. The transaction that did not happen leaves no trace in any system designed to notice.
Optimisation follows measurement. A model tuned against a well-measured cost and a poorly-measured one will move toward the measured cost, and the people tuning it will be able to demonstrate improvement the whole way.
What false positives actually cost
Industry estimates consistently put the value of wrongly declined transactions above the value of fraud losses — often several times higher. We would treat any specific multiple with caution, because the underlying figure is inherently an estimate: the whole problem is that these transactions are not observed.
But the direction is not in dispute, and the mechanism is easy to see. Fraud is a small fraction of transactions. Even a modest false-positive rate applied to the legitimate majority produces a larger absolute number than a high catch rate applied to the fraudulent minority.
Then there is the customer effect, which compounds. A customer declined once at a merchant is measurably less likely to return. The loss is not one transaction; it is a relationship, and it is attributed to nothing because nobody logs it.
Who gets declined
This is where it stops being an efficiency question.
Fraud models are trained on historical outcomes and use whatever correlates. Correlates for fraud include shipping to certain countries, using certain issuers, purchasing at unusual hours, using a prepaid card, connecting from a shared IP address, and having no purchase history.
Every one of those is also a description of an ordinary person: someone who works nights, is unbanked and uses prepaid, lives somewhere with poor address data, or is simply a new customer. The model is not discriminating on protected characteristics. It is discriminating on proxies, and the outcome falls unevenly in exactly the way you would expect.
Almost nobody publishes decline rates by customer segment. Some firms measure it internally. The data that would show whether this is a real problem or a theoretical one is held by the parties with the least interest in producing it.
The appeal that does not exist
A declined customer is told the transaction failed. Not why, and usually not by whom — the merchant frequently does not know either, because the decision came from a provider’s model.
There is no appeal. There is no correction mechanism if the model is wrong about you, and no way to find out that it is. A person systematically declined across merchants using the same fraud provider will experience it as the internet not working properly, and will never learn there is a decision behind it.
Where automated decisions produce legal or similarly significant effects, data protection law provides for human review. Whether a declined purchase meets that threshold is arguable. That the argument has barely been tested is itself informative.
Our view
Fraud prevention is necessary and the people building these systems are not villains. But a control optimised against one measured cost and one unmeasured cost will drift, reliably, in the direction of the measurement — and the drift here falls on people who have no idea it is happening and no route to contest it.
The fix is not less fraud prevention. It is measuring the other side: publish decline rates, sample declined transactions for outcome, and give a declined customer somewhere to go. None of that is hard. All of it makes a number visible that is currently comfortable to leave dark.
Sources: published industry research on declined transaction values; GDPR Article 22 on automated individual decision-making; card network documentation on issuer decline reason codes. This article contains opinion, marked as such.
Jedes Betrugssystem macht zwei Arten von Fehlern. Die eine ist teuer, sichtbar und wird zwanghaft gemessen. Die andere ist teuer, unsichtbar und wird kaum gemessen. Raten Sie, welche optimiert wird.
Die Asymmetrie
Ein Falsch-Negativ — durchgelassener Betrug — erzeugt einen Chargeback, einen Verlust mit einer Zahl daran, einen Eintrag in einer Quote, die ein Kartennetzwerk überwacht. Ignorieren lässt sich das nicht.
Ein Falsch-Positiv — ein abgelehnter rechtmäßiger Kunde — erzeugt nichts. Keinen Eintrag, meist keine Beschwerde, keine Zeile in einem Bericht. Der Kunde versucht es noch einmal, gibt auf und kauft woanders. Die Transaktion, die nicht stattfand, hinterlässt in keinem System, das sie bemerken sollte, eine Spur.
Optimierung folgt der Messung. Ein Modell, das gegen eine gut gemessene und eine schlecht gemessene Kostengröße abgewogen wird, bewegt sich auf die gemessene zu — und die Beteiligten können den ganzen Weg über Verbesserung belegen.
Was Falsch-Positive tatsächlich kosten
Branchenschätzungen setzen den Wert fälschlich abgelehnter Transaktionen durchweg über den Betrugsverlusten, oft um ein Mehrfaches. Mit einer konkreten Zahl wären wir vorsichtig, denn die Grundgröße ist naturgemäß eine Schätzung: Das ganze Problem besteht darin, dass diese Transaktionen nicht beobachtet werden.
Die Richtung ist aber unstrittig, und der Mechanismus liegt offen. Betrug ist ein kleiner Bruchteil der Transaktionen. Schon eine mäßige Falsch-Positiv-Quote auf die rechtmäßige Mehrheit angewandt ergibt eine größere absolute Zahl als eine hohe Trefferquote auf die betrügerische Minderheit.
Dazu kommt der Kundeneffekt, und der summiert sich. Wer bei einem Händler einmal abgelehnt wurde, kommt messbar seltener zurück. Der Verlust ist nicht eine Transaktion, sondern eine Beziehung — und er wird niemandem zugeordnet, weil ihn niemand protokolliert.
Wen es trifft
Hier hört es auf, eine Effizienzfrage zu sein.
Betrugsmodelle werden auf historischen Ergebnissen trainiert und nutzen, was korreliert. Zu den Korrelaten gehören Versand in bestimmte Länder, bestimmte kartenausgebende Banken, Käufe zu ungewöhnlichen Zeiten, Prepaid-Karten, Zugriff über geteilte IP-Adressen und fehlende Kaufhistorie.
Jedes davon beschreibt zugleich einen gewöhnlichen Menschen: jemanden, der nachts arbeitet, kein Konto hat und Prepaid nutzt, in einer Gegend mit schlechter Adressdatenlage wohnt — oder schlicht Neukunde ist. Das Modell unterscheidet nicht nach geschützten Merkmalen. Es unterscheidet nach Stellvertretern, und das Ergebnis fällt genau so ungleich aus, wie man es erwarten würde.
Ablehnungsquoten nach Kundengruppe veröffentlicht so gut wie niemand. Manche Unternehmen messen es intern. Die Daten, die zeigen würden, ob das ein reales oder ein theoretisches Problem ist, liegen bei denen mit dem geringsten Interesse, sie zu erzeugen.
Die Beschwerde, die es nicht gibt
Ein abgelehnter Kunde erfährt, dass die Transaktion fehlgeschlagen ist. Nicht warum, und meist auch nicht von wem — häufig weiß der Händler es selbst nicht, weil die Entscheidung aus dem Modell eines Dienstleisters kam.
Es gibt keinen Widerspruch. Es gibt keinen Korrekturweg, falls das Modell sich in Ihnen irrt, und keine Möglichkeit zu erfahren, dass es das tut. Wer systematisch bei Händlern abgelehnt wird, die denselben Betrugsdienstleister nutzen, erlebt das als ein Internet, das nicht richtig funktioniert — und erfährt nie, dass dahinter eine Entscheidung steht.
Wo automatisierte Entscheidungen rechtliche oder ähnlich erhebliche Wirkung entfalten, sieht das Datenschutzrecht menschliche Überprüfung vor. Ob ein abgelehnter Kauf diese Schwelle erreicht, ist streitbar. Dass der Streit kaum je geführt wurde, ist für sich aufschlussreich.
Unsere Einschätzung
Betrugsprävention ist notwendig, und die Leute, die diese Systeme bauen, sind keine Schurken. Aber eine Kontrolle, die gegen eine gemessene und eine ungemessene Kostengröße optimiert wird, driftet verlässlich in Richtung der Messung — und die Drift trifft hier Menschen, die nichts davon ahnen und keinen Weg haben, sie zu bestreiten.
Die Lösung ist nicht weniger Betrugsprävention. Sie ist, die andere Seite zu messen: Ablehnungsquoten veröffentlichen, abgelehnte Transaktionen stichprobenartig auf ihren Ausgang prüfen und abgelehnten Kunden eine Anlaufstelle geben. Nichts davon ist schwer. Alles davon macht eine Zahl sichtbar, die derzeit bequem im Dunkeln liegt.
Quellen: veröffentlichte Branchenuntersuchungen zum Wert abgelehnter Transaktionen; Art. 22 DSGVO zur automatisierten Entscheidung im Einzelfall; Unterlagen der Kartennetzwerke zu Ablehnungsgründen. Dieser Beitrag enthält Meinung, als solche gekennzeichnet.