Vor einigen Jahren nutzte ein Tourist in Mexiko seine Kreditkarte, um an einem Geldautomaten Bargeld abzuheben. Als er nach Hause kam und sich seine Kartenabrechnung ansah, stellte er fest, dass mit der Karte auch mehrere Schmuckstücke gekauft worden waren. Das war merkwürdig: Nicht nur, dass er im Urlaub nichts mit der Karte gekauft hatte, die Transaktion war auch noch fünf Minuten nach der Geldabhebung am Geldautomaten erfolgt – in einem Geschäft am anderen Ende des Landes.

Glücklicherweise kam ein Team seiner Bank nach Prüfung seines Falls zu dem Schluss, dass es höchst unwahrscheinlich sei, dass er den Schmuck selbst gekauft habe – obwohl ihre KI-Tools zur Betrugserkennung den Kauf nicht als verdächtig gekennzeichnet hatten. Daher erstatteten sie ihm den Kaufpreis zurück. Bei weiteren Nachforschungen stellte das Team fest, dass Betrüger wahrscheinlich seine Kreditkarteninformationen aus einem im Geldautomaten versteckten Lesegerät gestohlen und an einen Komplizen an der gegenüberliegenden Küste geschickt hatten.

Die Einfachheit, Geschwindigkeit und Anonymität moderner Zahlungen hat zu Betrugsmaschen wie diesen in einem Ausmaß geführt, mit dem Menschen nicht Schritt halten können. Glücklicherweise ist das auch nicht nötig, da KI-Anwendungen mittlerweile jede Transaktion überwachen und das gesamte Kartennetzwerk auf Angriffe überwachen. Diese KI-Modelle sortieren Daten effizienter, als es ein Mensch könnte.

Mastercard nutzt KI bereits seit Jahren zur Betrugserkennung und sichert damit derzeit jährlich über 159 Milliarden Transaktionen, wodurch Betrugsverluste in Milliardenhöhe verhindert werden. Im vergangenen Jahr hat Mastercard Recorded Future übernommen, das mithilfe von KI täglich Millionen von Datenpunkten analysiert und Muster und Anomalien erkennt, die auf potenzielle Bedrohungen hinweisen.

Doch so sehr Menschen KI brauchen, so sehr braucht KI auch Menschen. Während automatisierte Tools die Routinearbeit erledigen, müssen Entwickler, damit die Ergebnisse nützlich sind, kontinuierlich einen realen Kontext liefern – indem sie neue Arten von Betrug identifizieren, bestimmen, wie dieser verhindert werden kann, ohne das größere Netzwerk zu stören, und die neuen Regeln in den Algorithmus programmieren. Dieser menschliche Input ist es, der die reine KI-Leistung in relevante und praktische Intelligenz umwandelt.

Angesichts der immer leistungsfähigeren KI- und Machine-Learning-Modelle ist die Annahme verlockend, dass man den heutigen Cyberkriminellen allein mit der Technologie zuvorkommen könne, sagt Johan Gerber, Global Head of Security Solutions bei Mastercard. „Aber hinter jeder Warnung, Anomalie oder markierten Transaktion verbirgt sich eine entscheidende, inkrementelle Ebene, die Algorithmen nicht replizieren können: das menschliche Urteilsvermögen. Erst wenn menschliches Urteilsvermögen mit KI kombiniert wird, wird es wirklich effektiv und bleibt verantwortungsvoll.“

Obwohl KI darauf ausgelegt ist, subtile Muster in riesigen Datenmengen zu erkennen, ist sie nicht immer in der Lage, mit Ausreißern umzugehen. Ohne menschliche Aufsicht könnten unerwartete Ereignisse übersehene Bedrohungen, Fehlalarme und andere Verzerrungen auslösen.

„Auch mit diesen leistungsstarken Tools braucht man noch immer Personal“, sagt Vince Haulotte, Director of Market Delivery im Geschäftsbereich Betrugs- und Risikoentscheidungen von Mastercard. „Man muss mit Vorsicht vorgehen und den Kontext berücksichtigen, um sicherzustellen, dass die Reaktion der KI wirksam ist.“

Beispielsweise überwachten KI-Systeme die Kreditkartennutzung des Reisenden während seines Mexiko-Urlaubs. Doch die KI brauchte einen Menschen, der ihr sagte, dass an zwei Transaktionen in schneller Folge an entgegengesetzten Enden des Landes etwas Merkwürdiges war, und sie brauchte einen Menschen, der ihr zeigte, wie sie in Zukunft auf ähnliche Vorfälle achten sollte.

Um zu verhindern, dass dieser spezielle Betrug andere Kunden betraf, erstellte Haulotte, damals ein Programmierer, der an der KI-Plattform von Brighterion arbeitete, eine neue Regel, die geografisch unmögliche Transaktionen kennzeichnen sollte. Brighterion überwacht Kreditkartentransaktionen rund um die Uhr in Echtzeit und bewertet sie anhand ihres Risikos. Wird eine Transaktion als potenziell betrügerisch gekennzeichnet, benachrichtigt das System umgehend die Bank des Kartennutzers. (Jede Bank kann den Score-Schwellenwert für Maßnahmen anpassen, z. B. das Senden einer Warnung oder sogar das Ablehnen der Transaktion.) 

Safety Net, ein weiteres Produkt von Mastercard, nutzt KI, um das gesamte Kartennetzwerk auf Anzeichen von Angriffen zu überwachen. Wenn beispielsweise eine Website innerhalb kurzer Zeit mit Tausenden neuer Konten überflutet wird, kann dies daran liegen, dass Betrüger die Site mit Spam überfluten, um mit Brute-Force-Methoden gültige Kartennummern zu erraten .

Natürlich weiß ein KI-Modell das nicht; es kann die feineren Details menschlichen Verhaltens nicht unbedingt verstehen. Daher kann es auch ein Warnsignal sein, wenn eine erfolgreiche Werbeaktion – oder beispielsweise der Cyber Monday – zu einem sprunghaften Anstieg des Datenverkehrs auf einer Website führt. Beim Erkennen des Unterschieds kommen die Menschen ins Spiel.

„Bei einer solchen Welle echter Transaktionen arbeite ich mit einem Kundenbetreuer zusammen, um zu verstehen, was vor sich geht, und um Vorkehrungen zu treffen, um Fehlalarme zu vermeiden“, sagt Brett Thomson, Leiter der Produktentwicklung bei Safety Net. „Sie müssen der KI eine Richtung vorgeben.“

Da sich die Strategien der Kriminalität ständig weiterentwickeln, ist menschliches Fachwissen auch für die Erkennung neuer Bedrohungen und die Festlegung von Maßnahmen zu deren Bekämpfung unerlässlich. Sobald Betrüger merken, dass ihre Strategien nicht mehr funktionieren, entwickeln sie neue Pläne. Da KI jedoch anhand von Daten aus der Vergangenheit trainiert wird, erkennen Überwachungstools diese neuen Muster nicht immer sofort. Daher liegt es an den menschlichen Entwicklern, die Algorithmen in einem fortlaufenden Katz-und-Maus-Spiel zu aktualisieren und zu trainieren.

„Nachdem wir eine Abschwächung vorgenommen haben, werden sie ihre Strategie ändern. Dann werden wir diese Strategie berücksichtigen und eine neue Abschwächungsmaßnahme hinzufügen“, sagt Thomson. „Es ist ein ständiges Hin und Her, jeder von uns beobachtet, wie der andere auf die nächste Entwicklung reagiert.“

Diese unerbittliche Dynamik stellt sicher, dass Thomson, Haulotte und ihre Kollegen in der gesamten Branche weiterhin wichtige Akteure im Kampf gegen Betrug bleiben.

„Ich bin immer wieder überrascht von der Dreistigkeit und Fantasie der Betrüger“, sagt Haulotte. „Es gibt ständig neue Betrugstrends, deshalb müssen wir ständig neue Lösungen entwickeln, um ihnen immer einen Schritt voraus zu sein. Unsere Arbeit hört nie auf.“