Chargebacks mit IP-Erkennung reduzieren

Jeder Händler erlebt den Chargeback auf dieselbe Weise. Eine Karte geht durch, die Bestellung wird versandt, und vierzig Tage später wird das Geld samt einer Gebühr wieder von Ihrem Konto abgezogen, manchmal mit einer Gebühr, die höher ist als der Verkauf. Passiert das oft genug, streiten Sie nicht mehr über einzelne Bestellungen. Dann streiten Sie mit Visa und Mastercard darüber, ob Sie überhaupt weiter Kartenzahlungen abwickeln dürfen.

Die meisten Ratschläge gegen Chargebacks behandeln den Streitfall als das eigentliche Ereignis. Das ist er nicht. Der Streitfall ist die Rechnung für eine Entscheidung, die Sie bereits getroffen haben: den Moment, in dem Sie eine Transaktion autorisiert haben, die Sie hätten prüfen sollen, oder an einen Kunden versandt haben, dessen Bestellung Sie nie gut genug dokumentiert haben, um sie zu verteidigen. IP-Erkennung ist kein Weg, im Nachhinein besser zu argumentieren. Sie ist ein Weg, die Entscheidung an die beiden Stellen zurückzuverlegen, an denen sie noch zu Ihren Gunsten ausgehen kann: die Autorisierung und die Belege.

Ein Chargeback sind eigentlich zwei verschiedene Probleme

Bevor es um Werkzeuge geht, sollte die Einteilung stimmen, denn die beiden Arten von Chargebacks verlangen gegensätzliche Antworten.

Echter Betrug ist ein Fremder, der eine gestohlene Karte benutzt. Die Kartennummer eines anderen, Ihr Shop, Waren an eine Ablageadresse. Das ist der Chargeback, den Sie verhindern wollen, denn jeder, der durchkommt, bedeutet verlorene Ware plus eine Gebühr plus einen Minuspunkt in Ihrer Quote. IP-Erkennung bekämpft ihn an der Eingangstür, bevor Sie versenden, indem sie das Netz der Bestellung als IP-Fraud-Score mit den Bändern allow, review, step_up und block liest.

Friendly Fraud (auch First-Party-Missbrauch genannt) ist Ihr tatsächlicher Kunde, der eine Zahlung anficht, die er tatsächlich getätigt hat. Er hat das Abo vergessen, ein Familienmitglied hat bestellt, oder er hat schlicht gelernt, dass „Das erkenne ich nicht“ das Geld zurückholt. Nach Visas eigener Rechnung macht diese Art von First-Party-Missbrauch bis zu 75 % aller Chargebacks aus. Am Checkout können Sie ihn nicht verhindern, denn die Transaktion war legitim. Sie gewinnen ihn hinterher, mit Belegen, und die IP-Adresse ist ein ausdrücklich genannter Teil dieser Belege.

Ein Feld, zwei Aufgaben: Es filtert den echten Betrug heraus, bevor er zum Streitfall wird, und es hilft Ihnen, den Friendly Fraud umzukehren, nachdem er einer geworden ist. Deshalb ist es der beste Ausgangspunkt.

Warum die Quote jetzt existenziell ist

Dass Chargebacks keine normalen Geschäftskosten mehr sind, sondern zur Überlebensfrage wurden, liegt daran, dass die Kartennetzwerke ihre Überwachungsprogramme neu geschrieben haben, und beide neuen Fassungen zielen direkt auf Online-Bestellungen.

Visa hat seine beiden alten Programme (das Visa Dispute Monitoring Program und das Visa Fraud Monitoring Program) mit Wirkung zum April 2025 zu einem einzigen Visa Acquirer Monitoring Program (VAMP) zusammengelegt. Lesen Sie die Mechanik in Visas eigenem VAMP-Factsheet nach, denn zwei Details verändern, wie Sie über das Problem nachdenken sollten:

• Nur Transaktionen ohne Kartenvorlage zählen. Die VAMP-Quote wird aus Card-not-present-Aktivität gebildet. Die Chargebacks, die Ihr Händlerkonto bedrohen, sind per Definition die Online-Bestellungen: genau die Bestellungen, bei denen Ihnen die IP-Adresse des Kunden zur Verfügung steht.
• Betrug und Streitfälle werden zusammen gezählt, und oft doppelt. Die Quote kombiniert TC40-Betrugsmeldungen und TC15-Streitfälle über abgerechnete Transaktionen. Weil eine als Betrug gemeldete Transaktion meist auch zum Streitfall wird, kann eine einzige schlechte Bestellung zweimal in Ihrer Quote landen. Wer sie einmal verhindert, entfernt beide.
• Die Latte sinkt. Der Schwellenwert „Excessive“ für Händler startete bei 2,2 % und sinkt ab April 2026 in den USA, Kanada und der EU auf 1,5 %. Die Untergrenze rückt auf Sie zu.

Mastercard fährt die parallele Schiene. Sein Excessive Chargeback Program stuft einen Händler bei einer Quote von 1,5 % und 100 bis 299 Chargebacks im Monat als Excessive Chargeback Merchant (ECM) ein und bei 3,0 % und 300 oder mehr als High Excessive Chargeback Merchant (HECM). Die Strafgebühren steigen, je länger Sie über der Grenze bleiben, und das Endergebnis für einen Händler, der sich nicht erholt, ist die MATCH-Liste, faktisch ein fünfjähriger Ausschluss von der Kartenabwicklung.

Die Erkenntnis ist nicht die genaue Zahl (prüfen Sie das bei Ihrem eigenen Acquirer, denn Regionen und Einführungstermine unterscheiden sich). Es ist die Richtung. Die Netzwerke haben entschieden, dass Ihre Card-not-present-Chargeback-Quote eine Compliance-Kennzahl ist, der Schwellenwert sinkt, und der Traffic, den sie misst, ist genau der Traffic, den eine IP-Abfrage lesen kann.

Wo IP-Erkennung in den Lebenszyklus eines Chargebacks passt

Eine Card-not-present-Bestellung passiert drei Stellen, an denen die IP entscheidend ist, innerhalb eines breiteren mehrschichtigen Stacks zur Zahlungsbetrugserkennung aus Geräte-, Aussteller- und Prüfungschecks. Chargebacks zu reduzieren heißt, alle drei zu nutzen, nicht nur die erste.

Die meisten Händler nutzen immer nur die erste Stelle, und selbst die nur grob. Die sich gegenseitig verstärkenden Gewinne liegen darin, mit der IP zu entscheiden, wer eine 3DS-Challenge sieht, und sie erfasst zu haben, damit Sie die Streitfälle gewinnen, die ins Representment gehen. Wir behandeln zuerst die vordere Stelle, denn dort liegen die Signale mit der höchsten Zuverlässigkeit und den wenigsten Fehlalarmen.

Die IP-Signale, die einen Chargeback vorhersagen

Das sollten Sie aus der Adresse hinter einer Bestellung lesen, grob geordnet nach dem Signal-Rausch-Verhältnis für Card-not-present-Zahlungen.

Beachten Sie die Richtung der letzten beiden Zeilen. Ein Scoring-Modell, das nur Punkte addiert, zermürbt Ihr legitimes mobiles Publikum mit Fehlablehnungen, und eine Fehlablehnung am Checkout ist kein gesperrter Login. Sie ist ein zahlender Kunde, den Sie abgewiesen haben. Ein Modell, das auch abzieht (einen Privatkunden-ISP als Grund für Nachsicht behandelt und CGNAT-Bereiche deckelt), verhindert, dass Chargeback-Prävention unbemerkt zur Umsatzprävention wird. Diese Balance entsteht aus den Gründen, die einen Risikoscore senken, und sie zählt am Checkout mehr als fast überall sonst.

Entscheidend ist: Die IP ist ein Indiz, kein Urteil. Sperren Sie die Adresse nicht. Eine öffentliche IP wird von vielen Menschen geteilt, die nichts miteinander zu tun haben, eine harte Sperre löscht also echte Kunden zusammen mit dem Betrug. Bewerten Sie sie, gewichten Sie sie gegen die anderen Signale und handeln Sie nach dem Gesamtbild. Wir legen das ausführlich dar in anonymisierten Traffic erkennen, ohne echte Kunden zu sperren, und es ist dieselbe Disziplin, die einen klugen Checkout-Filter von einem plumpen unterscheidet, wie in Betrug durch KI-Shopping-Agents und Bots am Checkout per IP stoppen.

Alles mit einem Aufruf lesen

Konkret ist das eine Abfrage zur IP, die die Bestellung aufgegeben hat, bevor Sie entscheiden, ob Sie sie genehmigen, herausfordern oder prüfen.

Die Felder, auf die es bei einer Card-not-present-Bestellung ankommt, verteilen sich auf vier Gruppen der Antwort:

detection_methods ist das Feld, das aus einer Blackbox eine Entscheidung macht, die Sie verteidigen können. Wenn eine Bestellung herausgefordert oder angehalten wird, können Sie den Grund benennen (Hosting-ASN, VPN-Verschleierung, abweichendes Rechnungsland, diese Woche in zwei Feeds gelistet), statt mit den Schultern über einen Score zu zucken. Und country_code ist das Feld, das Sie mit der Rechnungsadresse der Karte abgleichen: Eine Karte mit Rechnungsadresse in Deutschland, die aus einem Hosting-Netz in einem anderen Land zahlt, ist die älteste CNP-Geschichte überhaupt.

Sie können die Scoring-Ausgabe für jede Adresse mit dem kostenlosen IP-Fraud-Score-Check ausprobieren, bevor Sie ihn einbauen, und dieselbe Abfrage ist als wiederverwendbarer Baustein dokumentiert in Echtzeit-IP-Betrugserkennung in Ihre App einbauen.

Eine Hosting-IP erhält allow, ein verifiziertes VPN erhält block

Die beiden Signale oben in der Tabelle verhalten sich im Score sehr unterschiedlich: Eine bloße Hosting-Adresse kommt mit allow zurück, ein VPN-Server mit Protokollnachweis mit block. Hier sind beide, gekürzt aus echten Abfragen vom 26. Oktober 2026 (die Ergebnisse ändern sich, wenn sich Bereiche verschieben). Zuerst 45.33.32.156, die Hosting-Adresse aus dem Aufruf oben (der öffentliche Testhost von Nmap, scanme.nmap.org):

Dann 185.213.155.73, ein Mullvad-VPN-Server in Frankfurt:

Bei der Hosting-IP griff eine Methode, datacenter_ip, und sie erhielt 10 Punkte: Der allgemeine Score wertet eine Herkunft aus dem Rechenzentrum für sich genommen nicht als Betrug, die Checkout-Regel dafür müssen Sie also selbst ergänzen. Beim VPN griffen vier: Es steht auf der eigenen veröffentlichten Serverliste von Mullvad (die auch den Anbieter nennt), diese Liste weist es als WireGuard-Server aus, das Protokoll in einem Hosting-Netz fügt datacenter_with_vpn_proxy hinzu, und es hat keinen Reverse-DNS-Namen. Es erhielt 100 Punkte. Nicht jedes VPN bekommt einen Namen: Ein Server, der nur durch unseren eigenen Protokoll-Probe gefunden wurde, kommt mit vpn_provider "none" zurück, verlassen Sie sich also nicht darauf. Weil auch echte Käufer VPNs nutzen, behandeln Sie dieses block am Checkout als „an 3-D Secure oder die Prüfung weiterleiten“, sofern nicht ein zweites Signal zustimmt, etwa ein Rechnungsland, das von geo.country_code abweicht.

3-D Secure ohne Reibungsverluste

An der zweiten Stelle hört Chargeback-Reduzierung auf, rein defensiv zu sein.

Wenn eine Card-not-present-Transaktion über EMV 3-D Secure authentifiziert wird, geht die Haftung für einen späteren Betrugs-Chargeback in der Regel vom Händler auf den Kartenaussteller über. Das ist der stärkste Hebel, den Sie gegen Chargebacks durch echten Betrug haben: Eine authentifizierte Bestellung, die sich später als Betrug herausstellt, ist in der Regel nicht Ihr Verlust.

Warum also nicht jede Bestellung durch 3DS schicken? Weil eine Challenge Reibung ist, und Reibung bedeutet abgebrochene Warenkörbe. Erzwingen Sie die zusätzliche Authentifizierung bei jedem Käufer, verlieren Sie durch Kaufabbrüche mehr Umsatz, als Sie je durch Betrug verloren haben.

Genau diesen Zielkonflikt löst ein IP-Risikoscore. Statt alle oder niemanden herauszufordern, fordern Sie nach Risiko heraus:

• Niedriger Score (Privatkunden-ISP, saubere Historie, passendes Land): reibungslos passieren lassen. Der Großteil Ihres Traffics liegt hier.
• Erhöhter Score (abweichendes Land, dünne Signale) oder ein VPN, gegen das sonst nichts spricht: an eine 3DS-Challenge weiterleiten. Ein verifiziertes VPN landet für sich allein schon im Block-Band, das ist also eine bewusste Übersteuerung. Sie erhalten die Haftungsverlagerung genau bei den Bestellungen, bei denen Sie sie wollen.
• Hoher Score (ein verifiziertes VPN oder ein Tor-Exit-Node, bei dem ein zweites Signal zustimmt, etwa ein abweichendes Land): ablehnen oder zur Prüfung anhalten; verschwenden Sie den 3DS-Versuch nicht an offensichtliche Infrastruktur.

Der IP-Score entscheidet, wer die Challenge sieht. So sichern Sie sich den Haftungsschutz von 3DS für den riskanten Anteil und lassen Ihre saubere Mehrheit unberührt. Es ist dasselbe Denken pro Aktion, das wir in Ab welchem IP-Fraud-Score sollten Sie sperren? darlegen, hier speziell auf den Checkout-Schritt angewandt.

Den Friendly-Fraud-Streitfall gewinnen

Die dritte Stelle ist die, an der die meisten Händler völlig unbewaffnet dastehen, und hier liegen tatsächlich bis zu drei Viertel aller Chargebacks.

Wenn ein echter Kunde einen Kauf anficht, den er wirklich getätigt hat, hätten Sie das am Checkout nicht verhindern können, denn die Bestellung war legitim. Was Sie können: beweisen, dass er es war. Visa hat genau dafür einen Standard geschaffen: Compelling Evidence 3.0, gültig seit April 2023, mit dem ein Händler einen Betrugsstreitfall ohne Kartenvorlage (Visa Reason Code 10.4) umkehren kann, indem er einen historischen Fußabdruck mit dem Karteninhaber nachweist.

Lesen Sie die Anforderung genau, denn die IP-Adresse steht ausdrücklich darin:

• Sie legen zwei frühere, nicht angefochtene Transaktionen mit denselben Zugangsdaten vor, die zwischen 120 und 365 Tagen alt sind.
• Diese Transaktionen müssen Kerndatenelemente mit der angefochtenen Bestellung teilen. Die Elemente, die Visa nennt, sind IP-Adresse, Geräte-ID/Fingerprint, Benutzer-ID und Lieferadresse.
• Mindestens zwei Elemente müssen über alle drei Transaktionen übereinstimmen, und mindestens eines davon muss die IP-Adresse oder die Geräte-ID/der Fingerprint sein.
• Erfüllt der Beleg die Anforderungen, geht die Haftung auf den Aussteller über, und Sie behalten das Geld.

Die IP-Adresse ist hier kein nettes Extra. Sie ist eines der beiden Ankerelemente, die Visa als Beweis akzeptiert, dass die Person, die die Zahlung anficht, dieselbe ist, die seit Monaten bei Ihnen kauft. Aber hier ist der Teil, der Händler unbemerkt um gewinnbare Streitfälle bringt: Sie können diesen Beleg nur einreichen, wenn Sie die IP überhaupt bei jeder Bestellung erfasst und lange genug gespeichert haben, um ein volles Jahr zurückgreifen zu können.

Das stellt die Abfrage vor der Autorisierung in ein ganz neues Licht. Die IP, die Sie am Checkout erfassen, ist nicht nur ein Betrugssignal für die heutige Bestellung. Sie ist das Rohmaterial, um in einem Jahr einen Friendly-Fraud-Streitfall zu gewinnen. Erfassen Sie sie bei jeder Transaktion, speichern Sie sie in der Historie des Kunden, und Compelling Evidence 3.0 wird von einer Regel, die Sie nicht nutzen können, zu einem Chargeback, den Sie umkehren können.

Diese Woche loslegen

• Erfassen Sie die IP bei jeder Bestellung. Speichern Sie sie mit Zeitstempel zur Transaktion und zum Kunden und bewahren Sie sie mindestens 18 Monate auf, damit sie für eine Einreichung nach Compelling Evidence 3.0 verfügbar ist. Was Sie nicht erfasst haben, können Sie weder bewerten noch verteidigen.
• Bewerten statt sperren. Schicken Sie jede Checkout-IP durch eine Abfrage und speichern Sie den Score mit der Bestellung, damit Sie Streitfälle nach Risikoband aufschlüsseln und anhand echter Ergebnisse nachjustieren können.
• Beginnen Sie mit der Rechenzentrums-Untergrenze. Eine hosting-ASN oder connection_type: "datacenter" in einem Checkout für Endkunden ist ein Signal mit hoher Zuverlässigkeit und wenigen Fehlalarmen. Der allgemeine Score bewertet eine bloße Hosting-IP mit allow, schreiben Sie das also als eigene Checkout-Regel auf detection.is_hosting, statt darauf zu warten, dass der Score es erfasst.
• Prüfen Sie die Länderübereinstimmung. Vergleichen Sie geo.country_code mit dem Rechnungsland der Karte. Eine Abweichung zusammen mit einem beliebigen Verschleierungs-Flag ist ein starker Grund für eine zusätzliche Authentifizierung.
• Leiten Sie 3DS nach Score weiter, nicht standardmäßig. Schicken Sie den riskanten Anteil für die Haftungsverlagerung in die Challenge; lassen Sie die saubere Mehrheit reibungslos passieren.
• Schützen Sie echte Kunden. Behandeln Sie CGNAT sowie Privatkunden- und Mobilfunk-ISPs als entlastend. Die Schutzplanke gegen Fehlablehnungen ist das, was das Ganze profitabel hält.

Der Chargeback hat Ihnen bereits gesagt, woher er kam, und zwar zweimal: bei der Bestellung und beim Streitfall. Sie zu reduzieren heißt vor allem, in beiden Momenten zuzuhören statt in keinem.

Häufig gestellte Fragen

Wie reduziert IP-Erkennung Chargebacks?

An zwei Stellen. Vor dem Verkauf markiert eine IP-Abfrage zur Bestellung die riskantesten Transaktionen (eine Hosting- bzw. Rechenzentrumsverbindung, ein anonymisierendes VPN oder ein Tor-Exit-Node, ein Rechnungsland, das nicht zum Land des Netzes passt, oder eine Adresse, die bereits in Threat-Feeds steht), sodass Sie sie an 3-D Secure oder die manuelle Prüfung weiterleiten können, statt in einen garantierten Streitfall hinein zu versenden. Nach dem Verkauf, wenn ein echter Kunde einen Friendly-Fraud-Chargeback zu einem Kauf einreicht, den er tatsächlich getätigt hat, ist die IP-Adresse eines der ausdrücklich genannten 'Kerndatenelemente' in Visas Compelling Evidence 3.0, sodass eine erfasste, übereinstimmende IP Ihnen hilft, das Representment zu gewinnen. Dasselbe Feld senkt sowohl den Betrug, der zum Chargeback wird, als auch den Friendly Fraud, den Sie umkehren können.

Ab welcher Chargeback-Quote bekommt ein Händler Probleme?

Im Visa Acquirer Monitoring Program (VAMP), das im April 2025 die alten Programme VDMP und VFMP ersetzt hat, gilt ein Händler zum Start ab einer Quote von 2,2 % als 'Excessive', ab April 2026 in den USA, Kanada und der EU bereits ab 1,5 %. Entscheidend: Nur Transaktionen ohne Kartenvorlage (online) zählen für diese Quote. Das Excessive Chargeback Program von Mastercard stuft einen Händler bei einer Quote von 1,5 % und 100 bis 299 Chargebacks als Excessive Chargeback Merchant ein und bei 3,0 % und 300 oder mehr als High Excessive Chargeback Merchant. Anhaltende Überschreitungen führen zu steigenden Strafgebühren und letztlich zur MATCH-Liste, die ein Unternehmen für fünf Jahre von der Kartenabwicklung ausschließen kann.

Kann man einen Chargeback verhindern, indem man einfach riskante IP-Adressen sperrt?

Nein. Sperren ist das falsche Werkzeug und kostet mehr, als es spart. Eine öffentliche IP wird über Carrier-Grade NAT routinemäßig von vielen Menschen geteilt, und viele legitime Käufer nutzen ein VPN, eine harte Sperre auf eine Adresse oder einen Bereich löscht also echte Kunden zusammen mit dem Betrug. Die IP ist ein Indiz, kein Urteil: Bewerten Sie sie als einen gewichteten Faktor, leiten Sie nur die wirklich riskanten Bestellungen an eine zusätzliche Authentifizierung oder Prüfung weiter und behalten Sie harte Sperren für eindeutige Infrastruktur vor, etwa eine Rechenzentrumsadresse in einem Checkout für Endkunden.

Beseitigt 3-D Secure Chargebacks?

Es verlagert die Haftung, statt Streitfälle zu beseitigen. Wenn eine Card-not-present-Transaktion über EMV 3-D Secure authentifiziert wird, geht die Haftung für einen späteren Betrugs-Chargeback in der Regel vom Händler auf den Kartenaussteller über. Das Problem: Wer jeden Kunden mit einer 3DS-Abfrage konfrontiert, erzeugt Reibung und verliert Umsatz. Ein IP-Risikoscore erlaubt es Ihnen, 3DS gezielt einzusetzen: Schicken Sie die riskanten Bestellungen durch die Challenge und lassen Sie die sauberen reibungslos passieren. So erhalten Sie den Haftungsschutz, ohne Ihre guten Kunden zu belasten.

Wie wird die IP-Adresse als Chargeback-Beleg verwendet?

Visas Compelling Evidence 3.0, gültig seit April 2023, erlaubt es einem Händler, einen Betrugsstreitfall ohne Kartenvorlage (Reason Code 10.4) anzufechten, indem er einen 'historischen Fußabdruck' vorlegt: zwei frühere, nicht angefochtene Transaktionen mit denselben Zugangsdaten, 120 bis 365 Tage alt, die Kerndatenelemente mit der angefochtenen Bestellung teilen. Die IP-Adresse ist eines dieser Kernelemente, und mindestens eine der beiden geforderten Übereinstimmungen muss die IP-Adresse oder die Geräte-ID bzw. der Geräte-Fingerprint sein. Erfüllt der Beleg die Anforderungen, geht die Haftung auf den Aussteller über. Das funktioniert nur, wenn Sie die IP überhaupt bei jeder Bestellung erfasst und gespeichert haben.

Welche IP-Signale sagen einen Chargeback voraus?

Die aussagekräftigsten Felder sind der Verbindungstyp und der ASN-Typ (ein Checkout aus einem Hosting- oder Rechenzentrumsnetz ist kein normaler Käufer), Anonymisierungs-Flags (VPN, öffentlicher Proxy, Tor), eine Abweichung zwischen dem Land des Netzes und dem Rechnungsland sowie Einträge in Threat-Feeds, gewichtet nach Aktualität. Carrier-Grade NAT und ein gewöhnlicher Privatkunden-ISP wirken in die andere Richtung: Sie sind Gründe, nachsichtiger zu sein, nicht strenger. Ein guter Risikoscore fasst all das zu einer erklärbaren Zahl zusammen, mit genau den Signalen, die ausgelöst haben, sodass sich eine abgelehnte oder herausgeforderte Bestellung begründen lässt, statt geraten zu werden.