Betrug: Weniger ist mehr

Joshua Goldfarb

In seinem 1982 erschienenen Buch „Megatrends“ schrieb John Naisbitt: „Wir ertrinken in Informationen, aber dürsten nach Wissen.“ Dies ist eines meiner Lieblingszitate, da es meiner Meinung nach den Zustand vieler Dinge im modernen Leben so treffend beschreibt.

Insbesondere beschreibt es prägnant den Zustand vieler Programme zur Betrugsbekämpfung und zum Risikomanagement in Unternehmen. Leider leiden viele dieser Programme unter einer hohen Zahl falsch positiver Ergebnisse und anderem „Rauschen“, was ihre Wirksamkeit beeinträchtigt.

Um zu verstehen, warum Störsignale bei der Betrugsbekämpfung und im Risikomanagement ein so großes Problem darstellen, müssen wir zunächst ihre Folgen für das Unternehmen betrachten. Die folgende Liste erhebt zwar keinen Anspruch auf Vollständigkeit, nennt aber einige der wichtigsten Auswirkungen:

• Verschwendete Arbeitszeit: Wenn Betrugsbekämpfungsteams einen Workflow rund um eine zentrale Arbeitswarteschlange aufbauen, müssen alle darin enthaltenen Vorgänge priorisiert und überprüft werden. Durch irrelevante Meldungen füllt sich diese Warteschlange mit Einträgen, die zwar überprüft werden müssen, aber keinen Mehrwert für das Betrugs- und Risikomanagement bieten. Mit anderen Worten: Solche Meldungen verschwenden die kostbare Arbeitszeit des Teams.
• Übersehene tatsächlich positive Fälle: Die Redewendung „die Nadel im Heuhaufen finden“ beschreibt treffend, wie es ist, in der großen Menge an Daten und Ereignissen, mit denen ein typisches Unternehmen konfrontiert ist, nach Betrugsfällen zu suchen. In diesem Vergleich steht die Nadel für tatsächlich positive Fälle (Betrugsfälle), während der Heuhaufen für falsch positive Fälle steht, bei denen kein Betrug vorliegt. Je mehr falsch positive Fälle es gibt, desto schwieriger ist es, die tatsächlich positiven Fälle zu finden.
• Höhere Infrastrukturkosten: Auch die Datenflut verursacht Infrastrukturkosten. Jedes Protokoll, jede Warnmeldung und jedes Ereignis muss gespeichert werden – unabhängig davon, ob es einen Mehrwert für das Betrugs- und Risikomanagement bietet. Wenn das Team also große Mengen an Informationen erfasst, die kaum oder gar keinen Nutzen bringen, beansprucht es lediglich unnötig Infrastrukturressourcen. Die dadurch entstehenden Kosten binden Budget, das in anderen Bereichen einen deutlich größeren Mehrwert schaffen könnte.
• Verzerrte Kennzahlen: Fehlalarme führen häufig zu verzerrten Kennzahlen. Bestimmte Kennzahlen – insbesondere der prozentuale Zeitaufwand für tatsächliche Betrugsfälle, das Verhältnis von richtig-positiven zu falsch-positiven Ergebnissen, das Ereignisvolumen, die Anzahl der bearbeiteten Ereignisse, der Zeitaufwand der Analysten pro Ereignis und weitere – werden stark durch das Ausmaß des Datenrauschens beeinflusst. Je niedriger die Fehlalarmquote ist, desto genauer und positiver fallen diese Kennzahlen aus.

Wenn wir einige der Gründe kennen, warum sich Fehlalarme und Störsignale negativ auf unser Betrugsbekämpfungsprogramm auswirken, können wir einen Plan zur Lösung des Problems entwickeln. Hier sind einige Vorschläge, die sich im Laufe meiner Karriere als hilfreich erwiesen haben:

• Beginnen Sie mit den Risiken: Es überrascht nicht, dass jeder erfolgreiche Weg mit einem fundierten Verständnis der Risiken und einem klaren Bekenntnis zum Risikomanagement beginnt. Bewerten Sie die Risiken und Bedrohungen für das Unternehmen, ermitteln Sie, welche Bereiche des Unternehmens davon betroffen sind, und bestimmen Sie die jeweils damit verbundenen potenziellen Kosten bzw. Verluste.
• Ziele und Prioritäten festlegen: Die Entscheidung, welche Themen wann angegangen werden sollen, gehört zu den wichtigsten strategischen Entscheidungen, die ein Betrugspräventions- und Risikoteam treffen kann. Priorisieren Sie die im vorherigen Schritt aufgeführten Risiken und Bedrohungen und legen Sie Ziele und Prioritäten fest, die sowohl kurz- als auch langfristig angegangen werden sollen.
• Auswirkungen bewerten: Die Identifizierung kritischer Assets, wichtiger Ressourcen und bedeutender Datenspeicher hilft dem Team unter anderem, die potenziellen Auswirkungen eines Vorfalls zu verstehen. Wenn das Team weiß, wo sich die sensibelsten und wichtigsten Assets, Ressourcen und Daten befinden, kann es sich gezielt auf Bereiche konzentrieren, in denen Lücken bei der Telemetrie bestehen.
• Daten und Lücken identifizieren: Machen Sie sich mit der bestehenden Erfassung von Telemetriedaten vertraut und prüfen Sie, ob die einzelnen Datenquellen zum Betrugs- und Risikoprogramm beitragen. Ist dies nicht der Fall, verursacht ihre Erfassung lediglich zusätzliche Infrastrukturkosten, ohne einen Mehrwert zu bieten. Identifizieren Sie Lücken in den Telemetriedaten, durch die dem Team potenzielle Betrugsfälle entgehen könnten, und entwickeln Sie einen Plan, um diese Lücken zu schließen.
• Technologie und Lücken berücksichtigen: Prüfen Sie die vorhandenen Technologien genau und untersuchen Sie, wo sie hilfreich sind, etwa bei der zuverlässigen Betrugserkennung mit einer geringen Anzahl falsch positiver Ergebnisse, bei der Erfassung wertvoller Telemetriedaten und/oder bei der effizienteren Gestaltung von Prozessen und Arbeitsabläufen. Achten Sie genau darauf, wo die Technologie das Betrugsteam eher behindert als unterstützt und wo Lücken bei Telemetrie und Erkennung bestehen.
• Verwerfen Sie störanfällige Regeln und Signaturen: Regeln, Signaturen und andere Erkennungstechniken, die eine große Menge an Fehlalarmen erzeugen, bieten keinen Mehrwert für das Betrugsbekämpfungsprogramm. Stattdessen überhäufen sie das Team mit falsch-positiven Ergebnissen und behindern aktiv die zeitnahe und präzise Erkennung von Betrugsfällen. Das mag radikal klingen, doch die Vorteile, diese störanfälligen Erkennungsmechanismen zu verwerfen, überwiegen die Nachteile bei Weitem.
• Implementieren Sie eine präzise Erkennung: Wer die Philosophie „Weniger ist mehr“ wirklich verinnerlicht, muss verstehen, dass die Daten gezielt analysiert werden müssen, um präzise und zuverlässige Warnmeldungen und Ereignisse zu erzeugen. Die Implementierung ausgefeilterer Erkennungsansätze erfordert zwar zunächst einen erheblichen Zeitaufwand, zahlt sich jedoch deutlich aus. Je besser die Warnmeldungen und Ereignisse, desto mehr relevante Signale und desto weniger Störsignale enthält die Arbeitswarteschlange.
• Prozesse in den Mittelpunkt stellen: Selbst die beste Arbeitswarteschlange der Welt hilft nicht, wenn Prozesse mangelhaft sind oder ganz fehlen. Ein erstklassiges Betrugsbekämpfungsteam verfügt über ausgereifte, effiziente und wirksame Prozesse, die seine Arbeitsweise anleiten und regeln.
• Kontinuierlich verbessern: Kein Betrugsbekämpfungsteam ist perfekt. Die besten Teams sind sich ihrer Schwächen und Verbesserungspotenziale sehr bewusst. Die Erkenntnisse aus den oben genannten Punkten zu nutzen, um das Betrugsbekämpfungsprogramm kontinuierlich zu verbessern, ist für den langfristigen Erfolg des Teams von entscheidender Bedeutung.

Die weitverbreitete Annahme, dass mehr Daten, mehr Ereignisse und mehr Warnmeldungen zu einer besseren Betrugserkennung führen, ist überholt und irreführend. Durch eine strategische Fokussierung auf Risiken und einen methodischen Ansatz zur Reduzierung von Störsignalen können Unternehmen sowohl ihre Betrugserkennung optimieren als auch den Reifegrad ihrer Betrugsbekämpfungsprogramme erhöhen. Ein besseres Signal-Rausch-Verhältnis und die Anwendung des Prinzips „Weniger ist mehr“ bei der Betrugserkennung können Unternehmen dabei helfen, mehr Betrugsfälle aufzudecken und zugleich deutlich weniger Ressourcen für Fehlalarme aufzuwenden.

Möchten Sie mehr erfahren? Besuchen Sie Josh vom 21. bis 22. Juni auf der Infosecurity Europe und sprechen Sie mit ihm (Stand P20).

Über den Autor

Joshua Goldfarb

Weitere Blogbeiträge von Joshua Goldfarb