Betrug: Weniger ist mehr

In seinem 1982 erschienenen Buch „Megatrends“ schrieb John Naisbitt: „Wir ertrinken in Informationen, aber es mangelt uns an Wissen.“ Dies ist eines meiner Lieblingszitate, da es meiner Meinung nach den Zustand vieler Dinge im modernen Leben so treffend beschreibt. 

Insbesondere beschreibt es prägnant den Status vieler Betrugs- und Risikomanagementprogramme in Unternehmen. Viele dieser Programme weisen leider eine hohe Anzahl falscher Positivergebnisse und anderer Störungen auf, die ihre Wirksamkeit mindern.

Um zu verstehen, warum Lärm im Betrugs- und Risikomanagement ein solches Problem darstellt, müssen wir zunächst seine Folgen für das Unternehmen verstehen. Dies ist zwar keine vollständige Liste, aber hier sind einige wichtige Punkte:

• Vergeudete Zyklen: Wenn Betrugsbekämpfungsteams einen Workflow rund um eine zentrale Arbeitswarteschlange aufbauen, müssen alle Ereignisse in der Warteschlange priorisiert und überprüft werden. Durch Lärm wird diese Warteschlange mit Elementen gefüllt, die überprüft werden müssen, aber keinen Mehrwert für das Betrugs- und Risikoprogramm darstellen. Mit anderen Worten: Durch Lärm werden die wertvollen Zyklen des Teams verschwendet.

• Verpasste echte Positive: Der Ausdruck „eine Nadel im Heuhaufen finden“ beschreibt gut, was es bedeutet, in der großen Menge an Daten und Ereignissen, mit denen ein typisches Unternehmen konfrontiert wird, nach Betrug zu suchen. In dieser Analogie stellt die Nadel echte Positivergebnisse (Betrugsfälle) dar, während der Heuhaufen falsche Positivergebnisse darstellt, bei denen es sich nicht um Betrug handelt. Je mehr falsch-positive Ergebnisse es gibt, desto schwieriger ist es, die echten positiven Ergebnisse zu finden.

• Erhöhte Infrastrukturkosten: Lärm verursacht auch Infrastrukturkosten. Jedes Protokoll, jede Warnung und jedes Ereignis muss aufbewahrt werden, unabhängig davon, ob es einen Mehrwert für das Betrugs- und Risikoprogramm darstellt. Wenn das Team also eine große Menge an Informationen sammelt, die wenig bis keinen Mehrwert bieten, nutzt es lediglich überflüssige Infrastruktur. Dies ist mit Kosten verbunden, die den Bereichen des Budgets entziehen, in denen eine deutlich höhere Wertschöpfung möglich wäre.

• Verzerrte Messwerte: Falsch-positive Ergebnisse führen häufig zu einer Verfälschung der Messwerte. Bestimmte Kennzahlen, insbesondere jene, die sich auf den prozentualen Anteil der für echte Betrugsfälle aufgewendeten Zeit, das Verhältnis von echten zu falschen Positivmeldungen, das Ereignisvolumen, die Anzahl der behandelten Ereignisse, die Analystenzeit pro Ereignis und andere konzentrieren, werden stark von der Menge des Rauschens beeinflusst. Je niedriger die Rate falsch-positiver Ergebnisse ist, desto genauer und günstiger fallen diese Messwerte aus.

Die Kenntnis einiger Gründe dafür, warum sich Falschmeldungen und Rauschen negativ auf unser Betrugsprogramm auswirken, hilft uns bei der Ausarbeitung eines Plans zur Lösung des Problems. Hier sind einige Vorschläge, die ich im Laufe meiner Karriere hilfreich fand:

• Beginnen Sie mit dem Risiko: Es überrascht nicht, dass alle erfolgreichen Wege mit einem soliden Verständnis für und der Bereitschaft zum Risiko beginnen.  Bewerten Sie die Risiken und Bedrohungen für das Unternehmen, verstehen Sie, welche Auswirkungen sie innerhalb des Unternehmens haben, und informieren Sie sich über die potenziellen Kosten/Verluste, die mit jedem einzelnen verbunden sind.

• Ziele und Prioritäten festlegen: Die Auswahl der zu behandelnden Themen und des Zeitpunkts ist eine der wichtigsten strategischen Entscheidungen, die ein Betrugs- und Risikoteam treffen kann. Priorisieren Sie die im vorherigen Schritt aufgezählten Risiken und Bedrohungen und legen Sie Ziele und Prioritäten fest, die sowohl kurzfristig als auch langfristig angegangen werden.

• Auswirkungen beurteilen: Wenn Sie kritische Anlagen, wichtige Ressourcen und zentrale Datenspeicher erkennen, gewinnen Sie ein klares Bild der möglichen Folgen eines Vorfalls. Indem Sie wissen, wo sich Ihre sensibelsten und bedeutendsten Anlagen, Ressourcen und Daten befinden, können Sie gezielt bauliche Lücken in der Telemetrie schließen.

• Daten und Lücken identifizieren: Verstehen Sie die vorhandene Telemetriesammlung und bewerten Sie, ob jede Datenquelle zum Betrugs- und Risikoprogramm beiträgt. Ist dies nicht der Fall, entstehen durch die Erhebung dieser Daten lediglich zusätzliche Infrastrukturkosten, ohne einen Mehrwert zu schaffen. Identifizieren Sie Lücken in der Telemetrie, die das Team im Dunkeln über potenziellen Betrug lassen, und entwickeln Sie einen Plan zum Schließen dieser Lücken.

• Berücksichtigen Sie Technologie und Lücken: Sehen Sie sich die vorhandene Technologie genau an und prüfen Sie, in welchen Bereichen sie hilfreich ist, z. B. bei der zuverlässigen Betrugserkennung mit einer geringen Anzahl falscher Positivmeldungen, bei der Erfassung wertvoller Telemetriedaten und/oder bei der effizienteren Gestaltung von Prozessen und Arbeitsabläufen. Behalten Sie genau im Auge, wo die Technologie der Betrugsbekämpfungsabteilung eher hilflos gegenübersteht, und wo es Lücken bei der Telemetrie und Erkennung gibt.

• Schluss mit lauten Regeln und Unterschriften: Regeln, Signaturen und andere Erkennungstechniken, die viel Lärm erzeugen, tragen nichts zum Wert des Betrugsprogramms bei. Stattdessen überhäufen sie das Team mit Fehlalarmen und verhindern aktiv die rechtzeitige und genaue Erkennung von Betrugsfällen. Es mag radikal klingen, aber die Abschaffung dieser störenden Erkennungsmechanismen bringt weitaus mehr Vorteile als Nachteile mit sich.

• Implementieren Sie eine strenge Erkennung: Um die Philosophie „Weniger ist mehr“ wirklich zu verinnerlichen, muss man sich darüber im Klaren sein, dass man die Daten eingehend abfragen und Warnmeldungen und Ereignisse mit hoher Wiedergabetreue und Zuverlässigkeit erzeugen muss. Zwar erfordert die Implementierung ausgefeilterer Erkennungsansätze zunächst einen erheblichen Zeitaufwand, zahlt sich aber aus.  Je besser die Alarmierung und Ereignisbehandlung, desto mehr Signale und desto weniger Rauschen gibt es in der Arbeitswarteschlange.

• Konzentrieren Sie sich auf den Prozess: Die qualitativ hochwertigste Arbeitswarteschlange der Welt hilft nichts, wenn es fehlerhafte oder nicht vorhandene Prozesse gibt. Ein erstklassiges Betrugsbekämpfungsteam verfügt über ausgereifte, effiziente und effektive Prozesse, die seine Arbeitsweise leiten und steuern.

• Kontinuierliche Verbesserung: Kein Betrugsbekämpfungsteam ist perfekt und die besten Betrugsbekämpfungsteams sind sich ihrer Schwächen und ihrer Verbesserungsmöglichkeiten durchaus bewusst. Für den langfristigen Erfolg des Betrugsbekämpfungsteams ist es von entscheidender Bedeutung, aus den oben genannten Punkten Lehren zu ziehen und diese zur kontinuierlichen Verbesserung des Betrugsbekämpfungsprogramms zu nutzen.

Die weit verbreitete Annahme, dass mehr Daten, Ereignisse und Warnungen automatisch zu besserer Betrugserkennung führen, ist überholt und irreführend. Wenn Sie sich strategisch auf Risiken konzentrieren und systematisch unnötige Signale reduzieren, optimieren Sie sowohl Ihre Betrugserkennung als auch die Weiterentwicklung Ihrer Betrugsprogramme. Indem Sie das Signal-Rausch-Verhältnis verbessern und die „Weniger ist mehr“-Methodik für die Betrugserkennung anwenden, erkennen Sie mehr Betrugsfälle und schonen gleichzeitig Ihre Ressourcen, indem Sie Fehlalarme deutlich verringern.

Möchten Sie mehr erfahren? Kommen Sie vom 21. bis 22. Juni bei Infosecurity Europe (Stand P20) und unterhalten Sie sich mit Josh .