3.9 Fraudepreventie & chargebacks

Fraude en chargebacks vreten stilletjes aan je marge. Eén betwiste creditcardbetaling kost je niet alleen de omzet, maar ook de verzonden goederen, de verzendkosten én een boete van de kaartmaatschappij. En als je chargeback-ratio te hoog wordt, kan je betaalprovider je account blokkeren. Het goede nieuws voor Nederlandse webshops: het overgrote deel van de betalingen loopt via iDEAL, een push-betaling zonder terugboekrisico. De risico’s zitten in creditcard, achteraf betalen en PayPal. Dit hoofdstuk leert je fraude herkennen, chargebacks voorkomen en winnen, en compliant blijven onder PSD2.

🎯 Na dit hoofdstuk kun je:

• Je herkent de belangrijkste fraudevormen: card testing, gestolen kaarten, friendly fraud, refund fraud, triangulatie en accountovername.
• Je weet waarom iDEAL geen chargeback-risico kent en de risico’s bij creditcard, BNPL en PayPal zitten.
• Je kunt fraude voorkomen met 3D Secure 2, AVS/CVV-checks, velocity checks, block-/allowlists en een handmatige review-flow.
• Je begrijpt de liability shift van 3DS2 en waarom die niet helpt tegen friendly fraud (50 tot 70 procent van de chargebacks).
• Je kunt de chargeback-ratio en fraudekosten berekenen, kent de monitoringdrempels en kunt een chargeback betwisten (representment).

Kernconcepten

Chargeback (terugboeking) — de kaarthouder of bank draait een creditcardbetaling terug. Het bedrag wordt van jouw rekening teruggehaald, vaak plus een chargeback-fee van 15,00 tot 25,00 euro per geval. Bij iDEAL bestaat dit niet: een uitgevoerde iDEAL-betaling is definitief.

Card testing (kaarttesten) — fraudeurs proberen met bots duizenden gestolen kaartnummers in kleine bedragen (bijvoorbeeld 1,00 euro) om te kijken welke nog werken. Herkenbaar aan een plotselinge piek van veel kleine, mislukte transacties.

Gestolen kaarten — een aankoop met een echte, maar gestolen kaart. De echte eigenaar betwist later de transactie (reason code “fraud”). Jij verliest de goederen én het geld.

Friendly fraud / first-party fraud — de klant heeft écht besteld en ontvangen, maar betwist de betaling toch (“ik herken deze afschrijving niet”, “nooit ontvangen”). Vaak het grootste deel van alle chargebacks: schattingen lopen op tot 60 tot 70 procent.

Refund fraud — misbruik van je retourbeleid: claimen dat een pakket niet aankwam, een leeg pakket terugsturen, of een ander (goedkoper) product terugsturen.

Triangulatiefraude — de fraudeur zet een nep-shop op, neemt orders van echte klanten aan, en bestelt dat product bij jou met een gestolen kaart, geleverd op het adres van de echte klant. Jij krijgt later de chargeback.

Accountovername (ATO) — een fraudeur logt in op een bestaand klantaccount (opgeslagen kaart, adres) en bestelt op kosten van de echte klant.

SCA (Strong Customer Authentication) — onder PSD2 verplichte sterke klantauthenticatie voor online kaartbetalingen in de EU: minimaal twee van drie factoren (iets dat je weet, hebt, bent). In de praktijk via 3D Secure 2.

3D Secure 2 (3DS2) — de techniek achter SCA: de klant bevestigt de betaling extra (bankapp, sms-code). Belangrijk effect: bij een geslaagde 3DS2-authenticatie verschuift de aansprakelijkheid voor fraude-chargebacks naar de uitgevende bank (liability shift).

Representment (betwisting) — jouw verweer tegen een chargeback: je stuurt bewijs in dat de transactie legitiem was, om je geld terug te krijgen.

Stap-voor-stap workflow: fraude voorkomen en chargebacks beheersen

1. Zet 3D Secure 2 verplicht aan voor creditcard. Verplicht in de EU onder PSD2 en het verschuift de aansprakelijkheid. Je PSP (Mollie, Stripe, Adyen) regelt dit; controleer dat 3DS niet stilletjes uitstaat.

2. Activeer AVS- en CVV-checks. Weiger of review transacties waarbij de CVV niet klopt of het factuuradres niet matcht (vooral relevant bij buitenlandse kaarten; AVS werkt beperkt in NL/EU).

3. Stel velocity checks in. Blokkeer automatisch meer dan bijvoorbeeld 3 mislukte betaalpogingen per kaart of IP binnen 10 minuten. Dit stopt card testing.

4. Bouw blocklists en allowlists. Zet bekende frauduleuze e-mailadressen, IP’s en kaarten op een blocklist; vaste B2B-klanten op een allowlist zodat zij geen friction krijgen.

5. Richt een handmatige review-flow in. Laat risicovolle orders (hoog bedrag, mismatch land kaart en afleveradres, spoedlevering) wachten op handmatige goedkeuring in plaats van automatisch te verzenden.

6. Stuur risicobetalingen naar veilige methodes. Bij twijfel: bied alleen iDEAL of vooruitbetaling aan, geen achteraf betalen.

7. Bewaar bewijs per order. Leg vast: 3DS-status, AVS/CVV-resultaat, IP, track and trace, afleverbevestiging, klantcommunicatie. Dit win je betwistingen mee.

8. Reageer snel op chargebacks. De betwistingstermijn is kort (vaak 7 tot 14 kalenderdagen vanaf melding). Wijs één persoon aan die het proces bewaakt.

9. Vervang refunds door ruil waar mogelijk. Bij een klacht “niet goed” eerst omruilen of een gericht alternatief aanbieden; dat ondermijnt refund fraud en behoudt omzet.

iDEAL is geen vrijbrief

iDEAL kent geen chargebacks, maar wel uitzonderingsrisico’s: een klant kan bij de bank een terugboeking aanvragen bij vermeende fraude, en bij achteraf-leveren loop je nog leveringsrisico. Push-betaling beschermt je tegen kaartfraude, niet tegen elke vorm van wanbetaling.

Voorbeeld: wat kost een chargeback-ratio van 0,5 procent?

Stel: je verwerkt per maand 2.000 creditcardorders met een gemiddelde orderwaarde van 60,00 euro. Je chargeback-ratio is 0,5 procent.

• Aantal chargebacks: 0,5 procent van 2.000 is 10 chargebacks per maand.
• Verloren omzet: 10 keer 60,00 is 600,00 euro.
• Chargeback-fees: 10 keer 20,00 is 200,00 euro.
• Verloren goederen (inkoopwaarde, marge 50 procent): 10 keer 30,00 is 300,00 euro.

Totale maandkosten: 1.100,00 euro, oftewel 13.200,00 euro per jaar. Dat is bijna 1 procent van je creditcardomzet (120.000,00 euro per maand).

Win je via representment de helft van de friendly-fraud-gevallen terug, bijvoorbeeld 4 van de 10, dan recover je per maand 4 keer 60,00 is 240,00 euro plus de teruggevorderde goederenwaarde. Een gestructureerde betwistingsflow verdient zich dus snel terug.

💡 Waarom beschermt een geslaagde 3DS2-authenticatie je niet tegen de meeste chargebacks?

3D Secure 2 verschuift de aansprakelijkheid voor één specifieke categorie: fraude-chargebacks waarbij iemand met een gestolen kaart bestelt. Slaagt de authenticatie, dan ligt dat risico bij de uitgevende bank. Intuïtief denk je dan: 3DS aan, dus chargebacks opgelost. Maar het grootste deel van je terugboekingen is geen kaartfraude. In het voorbeeld hierboven is 50 tot 70 procent friendly fraud: de klant heeft écht besteld, écht ontvangen, maar betwist toch (“ik herken deze afschrijving niet”).

Voor die gevallen geldt de liability shift niet. De reason code is dan niet “fraud” maar bijvoorbeeld “goederen niet ontvangen” (13.1) of “transactie niet herkend”. De bank schuift het terug naar jou, ongeacht de 3DS-status. Van de 10 chargebacks in het rekenvoorbeeld zijn er dus al gauw 6 of 7 die je alleen met bewijs kunt winnen: track and trace, afleverbevestiging, IP en eerdere aankopen. Daarom is je betwistingsdossier minstens zo belangrijk als 3DS zelf.

Formules & benchmarks

Chargeback-ratio = aantal chargebacks gedeeld door aantal transacties (in dezelfde periode), maal 100 procent. Sommige PSP’s rekenen op bedrag in plaats van aantal; controleer welke definitie geldt.

Winratio betwistingen = gewonnen betwistingen gedeeld door ingediende betwistingen.

Fraudekosten als percentage van omzet = (verloren omzet plus fees plus goederen) gedeeld door totale omzet.

Metric	Richtwaarde	Alarmgrens
Chargeback-ratio (op aantal)	minder dan 0,5 procent	circa 0,9 procent (kaartschema-monitoringdrempel)
Absoluut aantal	minder dan 100 chargebacks per maand	100 of meer triggert monitoringprogramma
Fraudekosten als percentage omzet	0,3 tot 0,9 procent	meer dan 1 procent
Winratio betwistingen	30 tot 45 procent	minder dan 20 procent
3DS-uitval (abandonment)	2 tot 5 procent	meer dan 8 procent
Aandeel friendly fraud van chargebacks	50 tot 70 procent	—

De 1-procent-grens

Kaartschema’s (Visa, Mastercard) draaien monitoringprogramma’s voor handelaren die de drempel overschrijden, in de buurt van 0,9 procent ratio óf 100 chargebacks per maand. Beland je daarin, dan volgen boetes en verplichte verbeterplannen; structureel overschrijden kan leiden tot verlies van je acceptatiecontract. Houd ruim afstand: stuur op minder dan 0,5 procent.

Tools

Tool	Functie	Wanneer kiezen
Stripe Radar	Machine-learning fraudescoring, regels, 3DS-orchestratie binnen Stripe	Je gebruikt Stripe als PSP en wilt zonder extra integratie sterke basisbescherming
Adyen RevenueProtect	Risk engine met regels en shopper-DNA, geïntegreerd in Adyen	Grotere volumes, internationaal, je verwerkt al via Adyen
Mollie (fraude-instellingen plus 3DS)	3DS2, weiger-regels, ingebouwde checks	Kleine tot middelgrote NL-shops met veel iDEAL en beperkte creditcard
Riskified	Externe fraudepreventie met chargeback-garantie	Hoge ordervolumes, internationale verkoop, je wilt frauderisico uitbesteden
Signifyd	Fraudebescherming met financiële garantie (gegarandeerde betaling)	Je wilt chargeback-verlies volledig afdekken en heb je marge ervoor
NoFraud	Realtime beslissingen (goedkeuren/weigeren), chargeback-garantie	Mid-market die handmatige review wil schrappen
Ravelin	Fraude- en ATO-detectie, sterk in accountovername	Marktplaatsen en apps met accounts en herhaalaankopen

Veelgemaakte fouten

• 3DS uitgezet voor minder friction. Je verliest dan de liability shift én bent niet PSD2-compliant. Gebruik liever vrijstellingen (lage bedragen, TRA) in plaats van 3DS volledig uit te schakelen.
• Geen reactie op betwistingen. Niet reageren betekent automatisch verliezen. Zelfs bij twijfel: dien bewijs in, het kost weinig.
• Goederen verzenden vóór review bij risicovolle orders. Eenmaal verzonden is je verlies bij fraude vrijwel zeker.
• Refunds geven zonder onderzoek. Refund fraud groeit als je elke “niet ontvangen”-claim klakkeloos terugbetaalt. Check eerst de track and trace en afleverbevestiging.
• Friendly fraud niet apart tellen. Als je niet weet welk deel first-party fraud is, optimaliseer je de verkeerde dingen (je verscherpt filters terwijl je echte klanten betwisten).
• Eén drempel voor alle landen. Een kaart uit een hoogrisicoland met afleveradres in NL verdient strengere review dan een NL-kaart met NL-adres.
• Achteraf betalen aanbieden aan iedereen. BNPL trekt ook wanbetalers; laat je BNPL-partner het krediet-risico dragen of beperk het tot lagere bedragen.

Checklist

✅Voordat je verder gaat

• 3D Secure 2 staat verplicht aan voor alle creditcardbetalingen
• AVS- en CVV-checks zijn geactiveerd en weigeren/reviewen mismatches
• Velocity checks blokkeren herhaalde mislukte pogingen (card testing)
• Block- en allowlists zijn ingericht en worden onderhouden
• Er is een handmatige review-flow voor risicovolle orders
• Je chargeback-ratio is bekend en blijft onder 0,5 procent
• Eén persoon bewaakt betwistingen binnen de termijn (7 tot 14 dagen)
• Per order leg je bewijs vast: 3DS-status, IP, track and trace, afleverbevestiging
• Bij twijfel bied je alleen iDEAL of vooruitbetaling aan
• Refunds worden gecontroleerd op track and trace voordat je terugbetaalt

Sjablonen

Gebruik deze brief om een creditcard-chargeback te betwisten (representment). Vervang de tekst tussen rechte haken en voeg de bewijsstukken toe.

📋Representment-/betwistingsbrief Kopieer

Betreft: betwisting chargeback

Transactie-ID: [transactie-id] Ordernummer: [ordernummer] Bedrag: [bedrag] EUR Datum transactie: [datum] Reason code: [reason code, bijv. 10.4 fraud / 13.1 niet ontvangen]

Geachte heer/mevrouw,

Wij betwisten de chargeback voor bovengenoemde transactie. De bestelling is rechtmatig geplaatst, geauthenticeerd en geleverd. Hieronder de onderbouwing.

1. Authenticatie: de betaling is succesvol via 3D Secure 2 geauthenticeerd (zie bijlage 3DS-bewijs). De aansprakelijkheid ligt daarmee bij de uitgevende bank.

2. Levering: het pakket is afgeleverd op het door de klant opgegeven adres. Track and trace [trackingnummer] toont aflevering op [afleverdatum], inclusief afleverbevestiging/handtekening (bijlage).

3. Klantgegevens: het factuur- en afleveradres, e-mailadres en IP-adres komen overeen met eerdere legitieme aankopen van deze klant (bijlage).

4. Communicatie: er is geen retour- of klachtmelding ontvangen via onze gebruikelijke kanalen (bijlage correspondentie).

Op grond van het bovenstaande verzoeken wij de chargeback terug te draaien en het bedrag te herstellen.

Bewijsstukken-checklist (bijgevoegd):

• Orderbevestiging met datum, bedrag en producten
• 3DS2-authenticatiebewijs (CAVV/ECI-status)
• AVS-/CVV-resultaat
• IP-adres en device-/loggegevens van de bestelling
• Track and trace plus afleverbevestiging/handtekening
• Bewijs van eerdere legitieme aankopen (zelfde klant)
• Klantcommunicatie (e-mails, chat) en retourbeleid
• Foto’s/specificaties van het geleverde product

Met vriendelijke groet, [bedrijfsnaam] [naam, functie] [contactgegevens]

Oefen het zelf

✏️Case: loont een betwistingsflow voor deze webshop?

Een webshop verwerkt per maand 3.000 creditcardorders met een gemiddelde orderwaarde van 50,00 euro. De chargeback-ratio is 0,6 procent. De marge is 50 procent (de inkoopwaarde van de goederen is dus de helft van de orderwaarde). Per chargeback betaalt de shop een fee van 20,00 euro. Naar schatting is 60 procent van de chargebacks friendly fraud.

Bereken: (a) hoeveel chargebacks per maand, (b) de totale maandkosten aan verloren omzet, fees en verloren goederen, en (c) hoeveel de shop per maand terugverdient als ze met een goede betwistingsflow de helft van de friendly-fraud-gevallen wint. Geef tot slot een oordeel: zit deze shop in de gevarenzone richting de monitoringdrempel?

Toon uitwerking

(a) Aantal chargebacks: 0,6 procent van 3.000 is 18 chargebacks per maand.

(b) Maandkosten:

• Verloren omzet: 18 keer 50,00 is 900,00 euro.
• Fees: 18 keer 20,00 is 360,00 euro.
• Verloren goederen (inkoopwaarde, 50 procent van 50,00 is 25,00): 18 keer 25,00 is 450,00 euro.
• Totaal: 900,00 plus 360,00 plus 450,00 is 1.710,00 euro per maand, oftewel 20.520,00 euro per jaar.

(c) Friendly fraud: 60 procent van 18 is ongeveer 11 gevallen. Win je daarvan de helft, dus ruwweg 5 of 6, dan recover je de omzet plus de goederenwaarde van die orders. Reken met 5: 5 keer 50,00 (omzet) plus 5 keer 25,00 (goederen) is 250,00 plus 125,00 is 375,00 euro per maand. De fee blijft meestal verloren.

Oordeel: met 0,6 procent zit de shop boven de richtwaarde van 0,5 procent en dus al in de oranje zone. Het absolute aantal (18) ligt nog ruim onder de 100, maar de ratio nadert de monitoringdrempel rond 0,9 procent. Les: een betwistingsflow verdient zich hier snel terug, maar belangrijker is de ratio omlaag krijgen met 3DS, velocity checks en review van risicovolle orders.

Test jezelf

🧠Snelle kennischeck — fraudepreventie en chargebacks

1. Waarom lopen iDEAL-betalingen geen chargeback-risico?

   A Omdat iDEAL altijd 3D Secure gebruikt B Omdat een iDEAL-betaling een push-betaling is en na uitvoering definitief C Omdat de kaartschema's iDEAL niet monitoren

2. Een klant betwist een echt ontvangen order met de melding dat hij de afschrijving niet herkent. Helpt een geslaagde 3DS2-authenticatie je hier?

   A Nee, de liability shift geldt alleen voor fraude-chargebacks, niet voor friendly fraud B Ja, 3DS2 verschuift altijd alle aansprakelijkheid naar de bank C Ja, maar alleen als het bedrag boven 50 euro ligt

3. Wat is de beste reactie bij een plotselinge piek van veel kleine, mislukte betaalpogingen?

   A 3D Secure tijdelijk uitzetten om friction te verlagen B Niets doen, kleine bedragen zijn verwaarloosbaar C Velocity checks aanzetten die herhaalde mislukte pogingen per kaart of IP blokkeren

4. Waarom is het belangrijk om friendly fraud apart te tellen van overige chargebacks?

   A Omdat friendly fraud niet meetelt voor je chargeback-ratio B Omdat je anders de verkeerde maatregelen neemt, zoals filters verscherpen terwijl echte klanten betwisten C Omdat de kaartschema's dit verplicht stellen

📌 Samenvatting

• iDEAL is een push-betaling zonder terugboekrisico; chargebacks zitten bij creditcard, BNPL en PayPal, plus een fee van 15 tot 25 euro per geval.
• Zet 3D Secure 2 verplicht aan (PSD2-eis): de liability shift dekt fraude met gestolen kaarten, maar níet friendly fraud, dat 50 tot 70 procent van de chargebacks vormt.
• Voorkom fraude met AVS/CVV-checks, velocity checks tegen card testing, block-/allowlists en een handmatige review-flow voor risicovolle orders.
• Bewaar per order bewijs (3DS-status, IP, track and trace, afleverbevestiging) en reageer binnen de korte betwistingstermijn (7 tot 14 dagen); zo win je friendly-fraud-betwistingen terug.
• Stuur op een chargeback-ratio onder 0,5 procent; rond 0,9 procent of 100 chargebacks per maand triggert de monitoringprogramma’s van Visa en Mastercard.

Lees verder

• 3.6 Checkout-optimalisatie & betaalmethodes — iDEAL, creditcard en BNPL instellen en de juiste mix kiezen.
• 11.5 Retouren — retourbeleid dat refund fraud beperkt zonder echte klanten te frustreren.
• 14.1 Boekhouding & cashflow — chargebacks, fees en fraudeverlies correct verwerken in je administratie.
• 12.1 Support & SLA — snel reageren op klachten voorkomt dat ze chargebacks worden.