Visa Compelling Evidence 3.0 für Shopify-Händler: Wie man sich qualifiziert, erstellt und einreicht

Wenn eine Visa-10.4-Anfechtung eingeht, prüfen Sie zunächst die CE-3.0-Berechtigung, bevor Sie weitere Schritte unternehmen

Eine Visa 10.4-Rückbuchung – „Betrug / Umgebung ohne Karte“ – erscheint im Shopify-Adminbereich unter „Zahlungen“ → „Streitfälle“. Der Karteninhaber behauptet, die Transaktion nicht autorisiert zu haben. Ihre Standardantwort sind Autorisierungssignale: AVS-Übereinstimmung, CVV-Übereinstimmung, Lieferbestätigung. Diese Vorgehensweise funktioniert manchmal. CE 3.0 funktioniert besser – aber nur, wenn Sie die Voraussetzungen erfüllen.

CE 3.0 ist ein Visa-Streitfall-Framework, mit dem Händler einer 10.4-Streitigkeit entgegenwirken können, indem sie nachweisen, dass die strittige Transaktion Geräte-, Konto- und Verhaltensmerkmale mit früheren, unbestrittenen Transaktionen desselben Karteninhabers teilt. Wenn dies zutrifft, wird die Haftung wieder auf den Aussteller verlagert. Wenn es nicht zutrifft – weil die Transaktionshistorie dünn ist, die Übereinstimmungssignale schwach sind oder die Einreichung fehlerhaft ist –, haben Sie Ihr Antwortfenster verschwendet und nichts Nützliches eingereicht.

Prüfen Sie zuerst die Berechtigung. Erst dann erstellen Sie die Einreichung.

Die Anforderung an qualifizierte Transaktionen – und wo die meisten Händler scheitern

CE 3.0 verlangt mindestens zwei frühere, unbestrittene Transaktionen desselben Karteninhabers, die bestimmte Übereinstimmungsmerkmale mit der strittigen Transaktion aufweisen. Der aktuell veröffentlichte Standard von Visa legt folgende Schwellenwerte fest:

• Die früheren Transaktionen müssen innerhalb von 120 Tagen vor dem Datum der strittigen Transaktion stattgefunden haben (bestätigen Sie das genaue Zeitfenster bei Ihrem Acquirer – einige Abwickler wenden strengere interne Fristen an).
• Die früheren Transaktionen müssen unbestritten sein – keine Rückbuchungen, keine Rückforderungsanträge, keine Flaggen des Emittenten bei diesen Bestellungen.
• Mindestens zwei der folgenden Elemente müssen zwischen den früheren Transaktionen und der beanstandeten Transaktion übereinstimmen: Geräte-ID, IP-Adresse, Lieferadresse, E-Mail-Adresse oder Konto/Login.

Die Übereinstimmungsanforderung ist der Punkt, an dem CE 3.0 in der Praxis versagt. Eine Bestellung als Gast hat keinen Konto-Login. Ein Kunde, der ein VPN verwendet hat, hat eine inkonsistente IP-Adresse. Ein Kunde, der an eine neue Adresse liefern ließ, bricht die Versandübereinstimmung. Sie benötigen zwei eindeutige Übereinstimmungen – nicht nur eine starke.

Ein Händler verkaufte ein Hautpflege-Set im Wert von 310 $. Die strittige Bestellung war eine Gastbestellung, die an eine Hoteladresse versandt und von einer mobilen IP-Adresse aus aufgegeben wurde, die mit keiner früheren Sitzung übereinstimmte. Der Kunde hatte zwei frühere Bestellungen – beide unbestritten, beide mit übereinstimmender E-Mail-Adresse. Die E-Mail-Adresse allein ist ein Signal. CE 3.0 erfordert zwei. Der Händler reichte den Antrag trotzdem ein. Der Emittent lehnte das CE 3.0-Framework ab und behandelte die Antwort als Standard-Betrugswiderlegung – wofür sie nicht ausgelegt war. Sie haben verloren.

Gast-Checkout ist ein strukturelles CE 3.0-Risiko. Wenn Ihr Shop ein hohes Gast-Checkout-Volumen verzeichnet, wird Ihre CE 3.0-Zulassungsquote niedrig sein. Das ist kein Einreichungsproblem – es ist ein Problem bei der Kundenakquise im Vorfeld.

Schritt 1: Rufen Sie den Bestelldatensatz ab und führen Sie die Eignungsprüfung durch

Navigieren Sie in Shopify Admin zu Bestellungen → [strittige Bestellung]. Bevor Sie die Antwort auf die Beanstandung bearbeiten, benötigen Sie die folgenden Felder:

• E-Mail-Adresse des Kunden – handelt es sich um ein registriertes Konto oder einen Gast?
• Lieferadresse
• IP-Adresse beim Checkout – sichtbar im Abschnitt „Betrugsanalyse“ der Bestellung, wenn Shopify Fraud Protect aktiv ist; andernfalls aus Ihrem Analytics-Stack oder den Server-Logs abrufen
• Geräte-Fingerabdruck – wird in der Standard-Shopify-Admin-Oberfläche nicht nativ angezeigt; erfordert ein Betrugsbekämpfungstool eines Drittanbieters oder Ihre eigene Sitzungsprotokollierung
• Bestell-Tags oder Kundenhinweise, die auf frühere Kaufhistorien hinweisen

Rufen Sie dann die bisherige Bestellhistorie des Kunden ab. Öffnen Sie in der Shopify-Admin-Oberfläche das Kundenprofil, das mit der E-Mail-Adresse der beanstandeten Bestellung verknüpft ist. Sehen Sie sich alle Bestellungen der letzten 120 Tage an. Notieren Sie für jede Bestellung: Wurde sie beanstandet? Stimmt die IP-Adresse, das Gerät, die Lieferadresse oder die E-Mail-Adresse mit der aktuellen Bestellung überein?

Wenn Sie zwei oder mehr unbestrittene frühere Bestellungen mit zwei oder mehr übereinstimmenden Merkmalen finden, sind Sie berechtigt. Wenn Sie nur eine Übereinstimmung finden, die früheren Bestellungen spärlich sind oder der Kunde ein Gast ohne vorheriges Konto war, sind Sie nicht berechtigt. Fahren Sie stattdessen mit einer Standard-Betrugsreaktion fort.

Schritt 2: Stellen Sie das CE 3.0-Beweismaterial zusammen

CE 3.0-Beweismaterial ist kein narratives Dokument. Es handelt sich um eine strukturierte Datenübermittlung, die die Kontinuität von Mustern nachweist. Visa und Ihr Acquirer erwarten bestimmte Elemente – keine PDF-Datei mit Screenshots und einem Anschreiben.

Stellen Sie das Paket in dieser Reihenfolge zusammen:

1. Transaktionsvergleichstabelle. Nebeneinander: strittige Transaktion vs. jede qualifizierte vorherige Transaktion. Spalten: Transaktionsdatum, Betrag, E-Mail, IP-Adresse, Geräte-ID (falls verfügbar), Lieferadresse, Rechnungsadresse, Status der Beanstandung. Dies ist der Kern der Einreichung.
2. Dokumentation der IP-Adresse. Wenn die IP-Adressen übereinstimmen, dokumentieren Sie die IP-Adresse für beide Transaktionen und fügen Sie Geolokalisierungsdaten bei. Wenn die IP-Adressen nicht übereinstimmen, Sie sich aber auf andere Signale stützen, fügen Sie die IP-Adresse nicht bei – dies schwächt die Einreichung.
3. Geräte-Fingerabdruckdaten. Wenn Ihr Betrugsbekämpfungstool Geräte-IDs erfasst (Kount, Signifyd, Sift oder ähnliche), exportieren Sie die Bestätigung der Geräteübereinstimmung. Eine Übereinstimmung der Geräte-ID ist das stärkste einzelne CE 3.0-Signal – stärker als die E-Mail-Adresse, stärker als die IP-Adresse allein.
4. Bestätigung der Lieferadresse. Wenn die Lieferadresse über alle Transaktionen hinweg übereinstimmt, fügen Sie die Adressfelder ausdrücklich bei. Eine Lieferbestätigung des Transportunternehmens für die früheren Bestellungen ist eine nützliche Ergänzung, aber nicht erforderlich.
5. Kontoerstellung und Anmeldeverlauf. Wenn der Kunde ein Shopify-Konto hat, exportieren Sie das Datum der Kontoerstellung und die Zeitstempel der Anmeldungen. Ein Anmeldevorgang kurz vor dem Datum der strittigen Bestellung stärkt das Argument der Kontinuität des Kontos.
6. Ihre Rückerstattungs- und Betrugsrichtlinie. Fügen Sie eine Kopie der Richtlinie bei, der der Kunde beim Bezahlvorgang zugestimmt hat. Dies ist ein sekundärer Beweis – er erfüllt zwar nicht die Anforderungen des CE 3.0-Rahmens, unterstützt aber die gesamte Reaktion.

Füllen Sie das Paket nicht mit Lieferbestätigungen, AVS-Abgleichdaten oder CVV-Ergebnissen auf. Diese gehören in eine Standard-Betrugsantwort. CE 3.0 ist ein Argument der Verhaltenskontinuität – das Hinzufügen von Autorisierungssignalen verwässert die Argumentation und signalisiert dem Emittenten, dass Sie sich im CE 3.0-Fall nicht sicher sind.

Entscheidungspunkt: CE 3.0-Einreichung oder Standard-Betrugsreaktion?

Dies ist die Weggabelung, die Ihre Reaktionsstrategie bestimmt. Treffen Sie Ihre Wahl, bevor Sie auch nur ein Wort der Gegendarstellung verfassen.

Weg A: Einreichung unter CE 3.0
Verwenden Sie dies, wenn: zwei oder mehr unbestrittene frühere Transaktionen innerhalb von 120 Tagen vorliegen, zwei oder mehr Signale eindeutig übereinstimmen und der Kunde über ein Konto oder eine konsistente E-Mail-Historie verfügt. CE 3.0 verlagert die Haftung auf den Emittenten, falls akzeptiert. Die Erfolgsquote bei qualifizierten CE 3.0-Einreichungen ist deutlich höher als bei Standard-Betrugswidersprüchen – erkundigen Sie sich jedoch bei Ihrem Acquirer nach den aktuellen Richtwerten, da Visa die Akzeptanzkriterien seit der Einführung im April 2023 aktualisiert hat.

Weg B: Standard-Betrugsreaktion
Verwenden Sie dies, wenn: der Kunde ein Gast ist, die Transaktionshistorie dünn oder nicht vorhanden ist, die übereinstimmenden Signale schwach sind (ein Signal, nicht zwei) oder eine frühere Transaktion dieses Kunden selbst angefochten wurde. Ein fehlgeschlagener CE 3.0-Versuch führt nicht automatisch zum Verlust der Anfechtung – aber er verschwendet Platz in Ihrer Antwort und signalisiert einen schwachen Fall. Erstellen Sie stattdessen eine Standardantwort auf der Grundlage von Autorisierungssignalen, Lieferbestätigungen und Verhaltensindikatoren für Betrug.

Die Folge der Wahl von Weg A ohne Qualifizierung: Der Emittent lehnt das CE 3.0-Framework ab, behandelt Ihre Einreichung als Standard-Widerlegung und bewertet sie anhand des falschen Beweismodells. Sie haben CE 3.0-Daten eingereicht, wo Autorisierungsdaten benötigt wurden. Das ist ein struktureller Verlust.

Die Konsequenz der Wahl von Weg B, wenn Sie für CE 3.0 qualifiziert waren: Sie bestreiten eine 10.4-Anfechtung mit schwächeren Mitteln, als Ihnen zur Verfügung standen. Sie können zwar immer noch gewinnen – aber Sie haben Ihr bestes Argument ungenutzt gelassen.

Schritt 3: Verfassen Sie die Antwort

CE 3.0-Einreichungen erfordern weiterhin eine schriftliche Begründung. Halten Sie diese kurz und strukturiert – nicht überzeugend. Der Aussteller hakt Kästchen ab, er liest keinen Aufsatz.

Beispiel für eine Begründung (an Ihre Transaktionsdetails anpassen):

Diese Antwort wird gemäß Visa Compelling Evidence 3.0 eingereicht. Die strittige Transaktion (Bestellnummer [XXXX], [Datum], [Betrag]) weist zwei oder mehr identifizierende Elemente mit früheren, unbestrittenen Transaktionen desselben Karteninhabers auf. Konkret: [E-Mail-Adresse] und [IP-Adresse / Geräte-ID / Lieferadresse – listen Sie die beiden übereinstimmenden Merkmale auf] stimmen bei der strittigen Transaktion und den qualifizierten früheren Transaktionen vom [Datum 1] und [Datum 2] überein. Beide früheren Transaktionen wurden ohne Beanstandung abgewickelt. Die Transaktionsvergleichstabelle ist beigefügt. Wir beantragen, dass die Haftung gemäß den CE 3.0-Richtlinien auf den Emittenten übertragen wird.

Fügen Sie keine Entschuldigungen, Kundendienstformulierungen oder Erläuterungen zu Ihrem Unternehmen hinzu. Der Text ist eine Rahmenerklärung, keine Antwort auf eine Kundenbeschwerde.

Schritt 4: Über den richtigen Kanal einreichen – und den Eingang bestätigen

In Shopify Payments werden Antworten auf Streitfälle über „Payments“ → „Disputes“ → [Streitfall] → „Submit Response“ eingereicht. Shopify leitet die Antwort an Stripe (den zugrunde liegenden Zahlungsabwickler für Shopify Payments) weiter, der sie an Visa weiterleitet.

Wenn Sie ein Gateway eines Drittanbieters nutzen – Braintree, Adyen, PayPal, Authorize.net – erfordern CE 3.0-Einreichungen möglicherweise eine direkte Einreichung beim Acquirer statt eines Uploads über die Plattform. Klären Sie den Einreichungsweg vor Ablauf der Frist mit Ihrem Zahlungsabwickler ab. Einige Acquirer haben spezifische CE 3.0-Einreichungsvorlagen; die Verwendung eines nicht standardmäßigen Formats kann dazu führen, dass die Rahmenerklärung aus verfahrenstechnischen und nicht aus beweisrechtlichen Gründen abgelehnt wird.

Protokollieren Sie nach der Einreichung intern: Einreichungsdatum, Streitfall-ID, angegebenes CE 3.0-Framework, verwendete Abgleichsignale, angeführte vorherige Transaktions-IDs. Sie benötigen diese Angaben, falls der Streitfall in ein Schiedsverfahren eskaliert.

Vorlage für interne Notizen: CE 3.0 eingereicht am [Datum]. Streitfall-ID [X]. Qualifizierende Transaktionen: Bestellung Nr. [A] ([Datum]) und Bestellung Nr. [B] ([Datum]). Übereinstimmungssignale: E-Mail + Geräte-ID. Antwort eingereicht über [Shopify Payments / Acquirer-Portal]. Frist war [Datum]. Ergebnis steht noch aus.

Wo CE 3.0 operativ versagt – nicht in Bezug auf die Beweisführung

Die meisten CE 3.0-Fehler sind keine Beweismängel. Es handelt sich um Fehler bei der Datenerfassung, die Wochen oder Monate vor Einreichung der Streitigkeit aufgetreten sind.

Kein Geräte-Fingerprinting. Die native Betrugsanalyse von Shopify erfasst zwar einige Signale, doch für den Geräte-ID-Abgleich auf dem von CE 3.0 geforderten Niveau ist in der Regel ein Drittanbieter-Tool erforderlich. Händler ohne Kount, Signifyd oder ein gleichwertiges Tool verlassen sich allein auf IP-Adresse und E-Mail – zwei Signale, die leichter anzufechten sind.

Dominanz von Gast-Checkouts. Ein Shop mit 70 % Gast-Checkouts weist strukturell eine niedrige CE 3.0-Berechtigungsrate auf. Die Lösung liegt im Vorfeld: Aufforderung zur Kontoerstellung nach dem Kauf, Verknüpfung von Gastbestellungen mit Konten über E-Mail-Abgleich und Erfassung von Sitzungsdaten beim Checkout unabhängig vom Kontostatus.

IP-Daten werden nicht gespeichert. Shopify zeigt IP-Adressen auf Bestellungsebene im Betrugsanalyse-Panel an, doch die Speicherung und Exportierbarkeit variieren. Wenn Ihr Analysesystem Sitzungs-IPs nicht separat protokolliert, verlieren Sie möglicherweise den Zugriff auf die Daten, bevor das Streitfallfenster geöffnet wird – insbesondere bei älteren Bestellungen nahe der 120-Tage-Grenze.

Frühere Bestellstreitigkeiten verfälschen die Datenbasis. Ein Kunde mit zwei früheren Bestellungen – eine unbestritten, eine zuvor angefochten – hinterlässt Ihnen nur eine qualifizierte Transaktion. CE 3.0 erfordert zwei. Überprüfen Sie die vollständige Streitfallhistorie des Kunden, bevor Sie die Berechtigung bestätigen.

Friendly Fraud sieht operativ oft sauberer aus als echter Betrug – und CE 3.0 wurde genau für dieses Szenario entwickelt. Ein Stammkunde, der eine dritte Bestellung mit der Behauptung der Nichtautorisierung beanstandet, während die ersten beiden Bestellungen ohne Beanstandung durchgingen: Das ist der Zielfall von CE 3.0. Das Rahmenwerk existiert, weil Emittenten sich systematisch auf die Seite von Karteninhabern stellten, die eine saubere Vorgeschichte bei demselben Händler hatten. CE 3.0 lässt diese Vorgeschichte zählen.

Bereiten Sie Ihren Shop vor der nächsten Anfechtung auf CE 3.0 vor

Die Berechtigung für CE 3.0 wird auf Bestellungsebene festgelegt, nicht auf Ebene der Anfechtung. Wenn die Rückbuchung eintrifft, sind die Daten entweder vorhanden oder nicht.

Führen Sie diese Überprüfungen jetzt in Shopify Admin durch:

• Betrugsanalyse aktiviert: Admin → Einstellungen → Zahlungen → Betrugsprävention. Vergewissern Sie sich, dass die Betrugsanalyse von Shopify aktiv ist. Sie erfasst IP-Adressen, Proxy-Erkennung und Signale für Unstimmigkeiten bei Rechnungs- und Lieferadresse auf Bestellungsebene.
• Kontoerstellungsrate: Admin → Kunden → nach Kontostatus filtern. Wenn das Volumen an Gastkassen hoch ist, erwägen Sie, eine Aufforderung zur Kontoerstellung nach dem Kauf hinzuzufügen oder Shop Pay zu aktivieren, das beständige Identitätssignale über Bestellungen hinweg erfasst.
• Integration von Betrugsbekämpfungstools von Drittanbietern: Wenn Ihr durchschnittlicher Bestellwert über 150 $ liegt und Sie wiederholt 10.4-Streitfälle feststellen, lohnt sich die Integrationskosten für Geräte-Fingerprinting über ein spezielles Tool. CE 3.0 ohne Geräte-ID ist eine schwächere Lösung.
• Bestellkennzeichnung für Stammkunden: Kennzeichnen Sie Bestellungen aus registrierten Konten bei der Auftragsabwicklung. Wenn eine Streitigkeit eintrifft, können Sie sofort nach früheren Bestellungen desselben Kontos filtern, ohne manuell suchen zu müssen.

Automatisierung verbessert die Konsistenz, nicht die Sicherheit. DisputeDesk kann CE 3.0-Eignungssignale aufzeigen und die Transaktionsvergleichsdaten organisieren – aber der Händler muss weiterhin selbst prüfen, ob die übereinstimmenden Signale sauber genug sind, um das Framework anzuwenden. Eine grenzwertige CE 3.0-Einreichung ist schlechter als eine gut aufbereitete Standardantwort.