Betrugssignale und Transaktions-Scoring

1) Warum Scoring und wie es die Monetarisierung beeinflusst

• ↑ Approval Rate ohne Chardgeback-Wachstum
• ↓ Kosten für SCA/Challenges und Sapport,
• LTV- ↑ durch nachhaltige COF/MIT-Zahlungen,
• Einhaltung der PSD2-TRA (Transaction Risk Analysis) bei Anbietern/Banken.

2) Signalkarte (was zu sammeln)

2. 1 Geräte-/Sitzungsidentifikation

Device fingerprint (canvas/webgl/audio, user-agent, fonts, timezone, languages).
Cookie/LocalStorage/SDK-ID, nachhaltige Kennungen (privacy-safe).
Emulatoren/root/jailbreak, proxy/VPN/datacenter-IP, TOR.

2. 2 Geo und Netzwerk

IP-Geo vs BIN-Land vs Abrechnungsland, Netzwerklatenz/RTT, ASN/Provider.
IP/Geo-Wechselfrequenz, Zeitzonen „springen“, bekannte „giftige“ Subnetze.

2. 3 Zahlungsattribute

BIN: Schema, Land, Bank, Debit/Credit/Prepaid, Commercial/Personal.
MCC 7995, Betrag/Währung, Häufigkeit der Versuche nach Token/Karte/Gerät/Konto.
3DS-Geschichte (frictionless/challenge), AVS/CVV-Normalisierung, Netzwerk-Token (VTS/MDES/NSPK).

2. 4 Verhalten und Bio-Verhalten

Geschwindigkeit/Rhythmus der Eingabe, Copypast, Reihenfolge der Felder, CVV/Index-Fehler.
„Bot“ -Muster (kopflose, automatische Klicks), abnormale Zyklen.

2. 5 Konto und Verknüpfungsgraph

Alter des Kontos, von KYC bestanden, Verknüpfung mit Geräten/Zahlungen.
Graph: geteilte Geräte/IP/Karten zwischen Konten, Cluster von Multiaccounts.
Einzahlungs-/Auszahlungshistorie, Spielverhalten, Retouren/Dispute.

2. 6 Externe Quellen

IP/Device/BIN Blacklists, Verhaltenssignale von Betrugsbekämpfungsdiensten, Risikoregionen/Zeitfenster.

3) Fichester und Datenqualität

Feature Store: einheitliche Definitionen, Versionierung, TTL/Zeitfenster (1h/24h/7d/30d).
Online-/Offline-Parität: die gleichen Transformationen in Echtzeit und Training.
Datenkontrolle: Schema-Validierung, „not null“, Bereiche, Anti-Download (Leakage).
Labeling: Tagging Chargeback, bestätigte Betrug, freundliche Betrug, legit mit Daten; Verwenden Sie die „verzögerte Wahrheit“ (label delay).

4) Scoring-Ansätze

4. 1 Regeln (Policy Engine)

Schnell und selbsterklärend: geo mismatch + velocity → 3DS.
Nachteile: Steifheit, viel false positives.

4. 2 ML-Modelle

GBDT (XGBoost/LightGBM/CatBoost) ist ein Standard für tabellarische Daten; starke Interpretierbarkeit (SHAP).
Graphenmodelle (GraphSAGE/GAT) - für Geräte-/IP/Karten-Verbindungen.
Neuronale Netze (TabNet/MLP) - wenn es viele Nichtlinearitäten/Wechselwirkungen gibt.
Ensembles: GBDT + Graphic Embedding (node2vec) + Regeln.

4. 3 Anomalisten

Isolation Forest/LOF/AE für neue Märkte/schwache Geschichte; wird als Signal und nicht als endgültiges Urteil verwendet.

5) Schwellenwertstrategie und SCA/3DS

• 'score ≤ T1' → approve (in eEA: TRA-exempt bei PSP/Bank, falls verfügbar)
• 'T1
• 'score> T2' → decline/alternative Anfrage (A2A/wallet)

Kalibrierung: Setzen Sie T1/T2 auf CBR% und AR% Ziele unter Berücksichtigung der Kosten der Herausforderung und des Chargeback-Risikos. Verwenden Sie in PSD2-Zonen TRA bei Partnern, bei denen die Betrugsrate des Anbieters

6) Online-Entscheidungsarchitektur

1. Pre-Auth-Schritt: Sammeln von Device/Geo/Velocity → Scoring für ≤ 50-150 ms.
2. Lösung: approve/3DS/decline/alternatives Routing (PSP-B, andere Methode).
3. 3DS-Integration: Wenn Soft-Decline eine Wiederholung mit SCA →, ohne die Karte erneut einzugeben.
4. Logging: Wir speichern 'score', Top-Fici (SHAP top-k), die getroffene Aktion und das Ergebnis der Autorisierung.
5. Feedback Loop: Charjbeki/Dispute → Labels im Fichester.

7) Spezifische Fichi (Cheat-Blatt)

• Versuche nach Gerät/IP/Token/Account/Email eindeutige Karten/BIN/Emittenten pro Gerät Fehlerquote' 05/ 14/54/51/91/96 '

• IP_country ≠ BIN_country; distance(user_profile_geo, IP_geo)
• ASN-Kategorie (Mob/Resident/Datacenter), Proxy/Dozentenflagge

• time_to_fill_form, focus switches, paste_rate, typo_rate
• „Nachtfenster“ nach lokaler Kontozeit

• neue BIN/Bank für Konto, Prepaid/Debit, erste COF-Transaktion
• 3DS_method_done, vergangene Challenge Outcome, AVS/CVV Normalisierung

• degree (device), triangles, shared IP mit Chargeback-Clustern embedding_score (Nähe zu Betrug-Clustern)

8) Erklärbarkeit und Kontrolle der Voreingenommenheit

SHAP/Feature-Importance für T1/T2-Boundary-Lösungen.
Regeln „Sicherheitsnetz“ über ML: z.B. 'CVV = N' ⇒ challenge/decline unabhängig von low scoring.
Fairness-Richtlinien: Verwenden Sie keine verbotenen Attribute; Prüfung der indirekten Diskriminierung.

9) Experimente und Kalibrierung

A/B-Tests: Grundregel gegen ML; ML-on vs ML-off; verschiedene T1/T2.
Metriken: AR, CBR%, 3DS Rate, Challenge Erfolg%, Kosten/genehmigt.
Profit-weighted ROC: Optimieren Sie nicht die AUC im Vakuum, sondern die Wirtschaftlichkeit (loss matrix: FP = lost turnover, FN = chargeback-loss + fees).

10) Überwachung und Drift

Daten-Drift (PSI/KL) nach Schlüssel-Fics; Ziel drift (charjbeki).
Alertas: Wachstum von „score> T2“ im BIN-Cluster/Land; Anstieg '05' nach 3DS.
Regelmäßige Umschulung (wöchentlich/monatlich) mit Safe-Deploy (Shadow → Canary → Full).
Kalibriersteuerung (Brier score, Zuverlässigkeitskurven).

11) Beziehung zu Routing und PSP

Scoring beeinflusst Smart-Routing: Für Edge-Scors senden Sie an die PSP mit der besten AR pro BIN/Emittent.
Bei ACS/Emittenten-Degradation ('91/96' Spitze) vorübergehend T1 erhöhen (mehr frictionless mit niedrigem Risiko) oder auf PSP-B umleiten.

12) Prozesse und „Governance“

Modellkarte: Besitzer, Version, Release-Datum, Ziel-KPIs, Risiken.

Change-Control: RFC für neue Regeln/Schwellenwerte, Aufzeichnung der A/B-Ergebnisse

TRA-Dockingpaket für PSD2: Beschreibung der Methodik, der Betrugsmetriken und der Häufigkeit der Verfahren.

13) Anti-Muster

Mischen Sie Offline- und Online-Spiele ohne Kontrolle über Verzögerungen → Lecks/falsche Gewinne.
Machen Sie eine „total decline“ in Spitzenzeiten - tötet AR und LTV.
Verlassen Sie sich nur auf Regeln oder nur auf ML.
SCA-soft Signale ignorieren und 3DS bei Bedarf nicht initiieren.
PAN/PII ohne Maske protokollieren - Verstoß gegen PCI/DSGVO.

14) Checkliste Umsetzung

• Fichester mit Online-/Offline-Parität und Validierung von Schemata.
• Normalisierung der AVS/CVV/3DS, BIN-Service, Device-Fingerprinting.
• Modell GBDT + rules-safety-net + (optional) graph-embedding.
• Die Schwellenwertkalibrierung T1/T2 unter AR/CBR/Cost; SCA/TRA-Politik.
• Online-Scoring-Service ≤150 ms, SLA/alert.
• A/B-Infrastruktur und Wirtschaftsmetrik (gewinngewichtet).
• Drift Monitoring, regelmäßige Umschulung, Release Log.
• PCI/DSGVO-Richtlinien: PAN-safe, PII-Minimierung, erklärbare Entscheidungsprotokolle.

15) Zusammenfassung

Eine starke Anti-Fraud in iGaming ist eine Kombination aus: Rich Signals (Device/Geo/BIN/Behavior/Graph), Steady Fichester, ML + Regelensemble, einer klaren Schwellwertstrategie unter SCA/TRA und einer Bedienungsdisziplin (A/B, Drift, Erklärbarkeit). So halten Sie die Conversion, reduzieren die Charjbacks und machen das Einkommen vorhersehbar.