E-Commerce Sicherheit 2026: KI-Betrug, Deepfakes und neue Regeln fordern Händler heraus

Abstract. KI-gestützte Angriffe, synthetische Identitäten und der sogenannte „Friendly Fraud“ verändern das Bedrohungsbild im deutschen und globalen Online-Handel grundlegend. Bis 2030 prognostiziert Juniper Research jährliche Betrugsschäden von 131 Milliarden Euro. Gleichzeitig traten im März 2026 in den USA neue Nacha-Regulierungen in Kraft. Das E-Commerce Institut Köln ordnet die aktuellen Entwicklungen ein und zeigt, welche Schutzstrategien 2026 wirken.

Important Facts

• +450 % Wachstum bei automatisiertem „Agentic Traffic“ im Jahr 2025 – KI-Systeme führen Logins, Zahlungen und Bestellungen vollautomatisch durch (LexisNexis Risk Solutions).
• 11 % aller Betrugsfälle gehen auf synthetische Identitäten zurück, die KI aus echten und erfundenen Daten zusammensetzt.
• +216 % mehr Angriffe auf die Login-Phase – Kontoübernahmen sind einer der häufigsten Einstiegspunkte.
• 64 % der Händler verzeichnen steigenden „Friendly Fraud“: Kunden bestreiten gültige Transaktionen, um Ware zu behalten.
• 3,2 % des gesamten E-Commerce-Umsatzes gehen durch Zahlungsbetrug verloren (MRC 2026).
• Betrugsschäden steigen von 56 Mrd. Euro (2025) auf prognostizierte 131 Mrd. Euro bis 2030 (Juniper Research).
• Seit 20. März 2026 gelten in den USA neue Nacha-Regeln für Betrugsüberwachung bei Zahlungsdienstleistern.
• Jeder durch Betrug verlorene Euro kostet Händler tatsächlich rund zwei Euro – inklusive Versand, Rückbuchungsgebühren und Warenbestand.

Bedrohungslage im Überblick

Bedrohungstyp	Wachstum / Anteil	Quelle
Automatisierter „Agentic Traffic“	+450 % (Jan–Dez 2025)	LexisNexis Risk Solutions
Angriffe auf Login-Phase	+216 %	LexisNexis Risk Solutions
Synthetische Identitäten (KI-generiert)	11 % aller Betrugsfälle	LexisNexis Risk Solutions
First-Party-Missbrauch („Friendly Fraud“)	64 % der Händler betroffen	Merchant Risk Council (MRC)
Zahlungsbetrug-Verlustquote	3,2 % des E-Commerce-Umsatzes	MRC 2026
Betrugsschäden 2025 → 2030	56 Mrd. € → 131 Mrd. €	Juniper Research

Tabelle: LexisNexis Risk Solutions, MRC, Juniper Research 2026 – eigene Darstellung E-Commerce Institut Köln

KI als Waffe: Deepfakes, synthetische Identitäten und automatisierte Angriffe

Die größte technologische Veränderung im E-Commerce-Betrug ist die Industrialisierung der Täuschung. Kriminelle nutzen generative KI, um synthetische Identitäten zu erschaffen, die echte und erfundene Daten mischen und so Standardprüfungen umgehen. Diese Entwicklung schafft ein strukturell neues Risikoniveau.

Besonders alarmierend: Der sogenannte „Agentic Traffic“ – automatisierte KI-Systeme, die komplexe Aufgaben wie Zahlungen oder Logins ausführen – stieg 2025 um 450 Prozent. Gleichzeitig nimmt der „All-Green-Betrug“ zu: Legitime Nutzer werden dabei manipuliert, betrügerische Überweisungen selbst zu autorisieren.

Agentic Traffic – automatisierte Systeme, die komplexe Aufgaben wie Kreditkartenzahlungen oder Logins ausführen – legte zwischen Januar und Dezember 2025 um 450 Prozent zu.

— LexisNexis Risk Solutions, Fraud Report 2026

Friendly Fraud: Wenn der eigene Kunde zum Täter wird

Neben externen Angriffen entwickelt sich der „Täter im Inneren“ zur größten Gefahr für die Profitabilität von Händlern. 64 Prozent der Händler verzeichnen einen stetigen Anstieg von First-Party-Missbrauch: Kunden bestreiten gültige Transaktionen, um Erstattungen zu erhalten, während sie die Ware behalten.

Die Methoden werden immer ausgefeilter: Beim sogenannten „Stein-im-Karton“-Betrug wird ein wertloses Objekt mit ähnlichem Gewicht zurückgeschickt. Bei der Adressmanipulation werden Retourenetiketten so verändert, dass eine Sendung als zurückgegeben gilt – obwohl sie nie beim Händler ankommt.

Neue Regulierung: Nacha-Regeln seit März 2026

Die Aufsichtsbehörden reagieren mit schärferen Auflagen. In den USA trat am 20. März 2026 die erste Phase neuer Nacha-Regeln in Kraft: Der bisherige Standard der „kommerziellen Angemessenheit“ wurde durch die Pflicht zu dokumentierten, risikobasierten Prozessen ersetzt. Ziel ist es, Betrug „stromaufwärts“ zu erkennen – also einzugreifen, bevor eine betrügerische Transaktion abgeschlossen wird. Im Juni 2026 folgt die zweite Phase für alle verbleibenden Auftraggeber.

Für den europäischen Markt erhöht der Digital Services Act (DSA) den Druck auf Plattformen, Betrugsschutz und Datenschutz gleichzeitig zu erfüllen – ein Balanceakt, der technologische Agilität erfordert.

Erfolgreiche Schutzstrategien 2026

• Verhaltensbiometrie: Analyse von Tippgeschwindigkeit, Mausbewegungen und Navigationsmuster zur Unterscheidung zwischen Mensch, Bot oder Schadsoftware.
• Lebendigkeitserkennung: Anti-Spoofing-Lösungen bei der Kontoerstellung verhindern Deepfakes und synthetische Identitäten.
• Verbunddaten: Austausch von Betrugsmustern zwischen Banken und Händlern wird zum Standard.
• Agentische KI-Abwehr: Eigene KI-Modelle lernen kontinuierlich aus neuen Betrugsmustern und lösen Alarme in Sekundenschnelle.
• Risikobasierte Authentifizierung: Abweichungen vom normalen Nutzerprofil lösen hohe Sicherheitsmaßnahmen (z.B. Biometrie) aus.

Wissenschaftliche Einordnung

Die Forschung von Julian Thiers und dem Team unter der Leitung von Prof. Dr. Richard C. Geibel am E-Commerce Institut Köln bewertet die aktuelle Betrugswelle als strukturelle Eskalation, nicht als zyklisches Phänomen. Das KI-Wettrüsten zwischen Angreifern und Abwehrsystemen wird den Sektor dauerhaft verändern: Während globale E-Commerce-Umsätze bis Ende 2026 auf rund 7,38 Billionen Euro steigen, frisst die Betrugsprävention einen wachsenden Anteil der Händlergewinne.

Der entscheidende Wettbewerbsvorteil liegt künftig bei Händlern, die unsichtbare, verhaltensbasierte Verifikation nahtlos in ihre Customer Journey integrieren – ohne zusätzliche Reibung im Checkout-Prozess. Compliance wird damit vom Backend-Thema zum zentralen Erfolgsfaktor.

Häufig gestellte Fragen (FAQ)

Frage: Was ist „Friendly Fraud“ im E-Commerce?

Antwort: Beim Friendly Fraud betrügen legitime Kunden ihren Händler: Sie bestreiten gültige Transaktionen gegenüber ihrer Bank, um Erstattungen zu erhalten, während sie die bestellte Ware behalten. 64 % der Händler verzeichnen 2026 einen Anstieg dieser Betrugsform (MRC).

Frage: Was sind synthetische Identitäten?

Antwort: Synthetische Identitäten werden von kriminellen KI-Systemen erstellt, indem echte und erfundene Persönendaten kombiniert werden. Sie umgehen klassische Prüfverfahren und machen bereits 11 % aller Betrugsfälle aus (LexisNexis 2026).

Frage: Was sind die Nacha-Regeln und wen betreffen sie?

Antwort: Die neuen Nacha-Regeln (Phase 1: 20. März 2026, Phase 2: Juni 2026) verpflichten US-amerikanische Unternehmen und Zahlungsdienstleister, die ACH-Transaktionen abwickeln, zu dokumentierten, risikobasierten Betrugsüberwachungssystemen. Sie ersetzen den bisherigen Standard der „kommerziellen Angemessenheit“.

Frage: Wie hoch sind die Betrugsschäden im E-Commerce bis 2030?

Antwort: Laut Juniper Research steigen die Betrugsschäden von 56 Milliarden Euro (2025) auf 131 Milliarden Euro bis 2030. Allein der Betrug mit physischen Waren soll auf 10 Milliarden Euro jährlich anwachsen.

Frage: Was ist risikobasierte Authentifizierung?

Antwort: Bei der risikobasierten Authentifizierung werden aufwändige Sicherheitsmaßnahmen (z.B. biometrische Prüfungen) nur dann ausgelöst, wenn eine Transaktion vom normalen Verhaltensprofil eines Kunden abweicht. So wird Sicherheit maximiert, ohne harmlose Kaufprozesse zu verlangsamen.