Wie funktioniert die Event Score Engine?

Ist die Anmeldung eines Nutzers über ein neues Gerät für sich genommen ein Warnsignal? Meistens nicht. Auch eine Überweisung mit hohem Betrag kann eine völlig gewöhnliche Aktivität sein, wenn man die bisherigen Gewohnheiten des Kunden betrachtet. Wenn jedoch ein neues Gerät, ein anderer Standort, ein neu hinzugefügter Empfänger und eine hohe Überweisung im selben kurzen Zeitfenster kurz nacheinander stattfinden, ändert sich das Bild grundlegend.\n\nDie Event Score Engine führt alle im System stattfindenden finanziellen und nicht-finanziellen Events auf Basis vordefinierter Regeln und Risikosignale in Echtzeit zusammen. Am Ende ermittelt sie einen umfassenden Risk Score und löst je nach Richtlinie des Instituts Aktionen wie Alerts, Cases, zusätzliche Verifizierungen (2FA/OTP) oder Benachrichtigungs-Callbacks aus.\n\nDas Hauptziel dabei ist nicht, jede ungewöhnliche Aktivität sofort als „Betrug“ abzustempeln, sondern tatsächlich prüfungsrelevante, anomale Verhaltensweisen im richtigen Kontext herauszufiltern.\n\n## Was ist ein Event?\nEin Event ist jede Aktivität eines Nutzers oder Kontos, die vom System erfasst werden kann.\nBeispiele für finanzielle Events sind:\n\n- Ein- und Auszahlungen\n- Überweisungen oder Transfers\n- Kartentransaktionen\n- Saldenänderungen\n- Zahlungs- und Erstattungsaktivitäten\n\nNicht-finanzielle Events hingegen sind Aktivitäten außerhalb von Transaktionen, die jedoch die Risikobewertung beeinflussen:\n\n- Login mit einem neuen Device\n- IP- oder Standortänderung\n- Aktualisierung von Telefonnummer und E-Mail-Adresse\n- Passwortänderung\n- Ergebnis der Identitätsprüfung\n- Hinzufügen eines neuen Empfängers\n- Änderung der gesellschaftsrechtlichen Beteiligungsstruktur\n\nDer eigentliche Wert der Event Score Engine liegt darin, diese Aktivitäten nicht isoliert zu betrachten, sondern die Beziehungen zwischen ihnen zu bewerten.\n\n## Wie funktioniert die Event Score Engine?\nDer Prozess läuft im Wesentlichen in vier Phasen ab.\n\n1. Event-Daten werden erfasst:\nInformationen zur Transaktion oder Nutzeraktivität werden an das System übermittelt. Felder wie Betrag, Zeit, Währung, Nutzer-ID, Device-ID, IP, Standort und Empfängerinformationen können in diesen Daten enthalten sein.\nDie zu verwendenden Felder müssen nicht bei jedem Institut identisch sein. Banken, Fintechs, Zahlungsinstitute oder digitale Plattformen können je nach Geschäftsmodell unterschiedliche Events und Parameter definieren.\n\n2. Rule Engine-Szenarien werden ausgeführt:\nDas eingehende Event wird anhand der vom Unternehmen definierten Regeln geprüft.\nEine einfache Regel könnte lauten:\nWenn der Gesamtauszahlungsbetrag in den letzten 24 Stunden ein festgelegtes Limit überschreitet, erstelle einen Alert.\nEin komplexeres Szenario kann mehrere Bedingungen gleichzeitig prüfen:\nWenn das Konto in den letzten 7 Tagen eröffnet wurde, der Nutzer sich mit einem bisher unbekannten Device angemeldet hat und innerhalb kurzer Zeit Transfers an mehrere Empfänger getätigt hat, öffne einen Case.\nIn der Dynamic Rule & Scenario Engine-Struktur von Truvali können die Felder innerhalb des Events in die Regeln einbezogen werden. Regeln sind nicht auf feste tägliche oder monatliche Zeiträume beschränkt; es können custom time windows wie die letzten 30 Minuten, die letzten 73 Stunden oder die letzten 15 Transaktionen definiert werden. Sender, Empfänger, Konten mit gemeinsamer IP-Nutzung und Blacklist-Historie können im selben Szenario gemeinsam bewertet werden.\n\n3. Der Risk Score wird berechnet:\nDas Ergebnis der Regeln wird verwendet, um das Risikoniveau des Events zu bestimmen.\nBeispielsweise kann die Nutzung eines neuen Device ein schwaches Signal sein. Wenn jedoch im selben Event auch ein anderes Land, ein neuer Empfänger und eine ungewöhnliche Transaktionsfrequenz vorliegen, kann das Gesamtrisiko steigen.\nBei der Berechnung des Risk Scores können folgende Informationen gemeinsam herangezogen werden:\n\n- Bisheriges Verhalten des Kunden\n- Alter des Kontos\n- Transaktionshäufigkeit\n- Transaktionszeitpunkt\n- Device- und IP-Informationen\n- Beziehung zwischen Empfänger und Sender\n- Vorherige Standorte\n- Customer Risk Profile\n- Watchlist- oder Blacklist-Ergebnisse\n\nAuf diese Weise beantwortet das System nicht nur die Frage „Wurde das Betragslimit überschritten?“, sondern kann auch bewerten, ob die Transaktion für den Kunden gewöhnlich ist.\n\n4. Die Aktion wird festgelegt:\nJe nach Risikoergebnis des Events können verschiedene Aktionen angewendet werden:\n\n- Fortführung der Transaktion\n- Erstellung eines Alerts\n- Eröffnung eines Cases\n- Anforderung einer zusätzlichen Verifizierung\n- Überführung der Transaktion in die manuelle Prüfung\n- Senden eines Callbacks an das Kernsystem\n\nEin hoher Risk Score bedeutet nicht zwangsläufig, dass es sich bei der Transaktion definitiv um Fraud handelt. Der Risk Score zeigt an, welche Events genauer untersucht werden müssen. Der endgültige Prozess richtet sich nach den Autorisierungs- und Risikorichtlinien des jeweiligen Instituts.\n\n## Warum eine einzelne Transaktion nicht ausreicht?\nVerdächtiges Verhalten ist in einem einzelnen Event oft nicht eindeutig erkennbar.\nBeispielsweise kann eine Auszahlung des Kunden völlig normal sein. Wenn jedoch unmittelbar vor der Auszahlung:\n\n- das Passwort geändert wurde,\n- ein neues Device hinzugefüg wurde,\n- ein Login aus einem anderen Land stattgefunden hat,\n- ein neuer Empfänger definiert wurde,\n\nwird dieselbe Transaktion völlig anders bewertet.\nDaher muss eine fundierte Risikoanalyse nicht nur die Finanztransaktion selbst, sondern auch die vor und nach der Transaktion stattfindenden Events betrachten.\nIn Truvali können auch Änderungen der E-Mail-Adresse, des Standorts, des Alters oder der gesellschaftsrechtlichen Beteiligungsstruktur in die Risikobewertung einbezogen werden. Der Risk Score kann basierend auf finanz- und eventbasierten Szenarien neu berechnet werden.\n\n### Wie stiftet Truvali in diesem Prozess Mehrwert?\nDer Beitrag von Truvali besteht nicht nur darin, einem Event eine Punktzahl zuzuweisen. Der eigentliche Mehrwert liegt darin, die Risikobewertung direkt mit dem operativen Prozess zu verknüpfen.\n\n### Bewertung verschiedener Events im selben Szenario\nFinanztransaktionen, Device-, IP-, Standort-, Nutzer- und Gegenparteiinformationen können gemeinsam genutzt werden. So laufen in verschiedenen Systemen verstreute Signale in einem einzigen Risikoszenario zusammen.\n\n### Ermöglicht es Unternehmen, eigene Regeln zu erstellen\nJede Branche und jedes Unternehmen definiert normales Verhalten anders. Anstatt an starren Vorlagen festzuhalten, ermöglicht es Truvali Unternehmen, ihre eigenen Rule Engine-Szenarien zu erstellen.\n\n### Unterstützt die Nutzung von Custom Time Windows\nRisiken treten nicht immer in täglichen oder monatlichen Intervallen auf. Es können unterschiedliche Zeitfenster wie die letzten 10 Minuten, die letzten 24 Stunden oder die letzten 15 Transaktionen genutzt werden.\n\n### Ermöglicht Cross-Entity Checking\nDas System betrachtet nicht nur den ausführenden Nutzer. Auch die Empfängerhistorie, Konten mit gemeinsamer IP-Nutzung, mit demselben Device verknüpfte Nutzer und Blacklist-Beziehungen können überprüft werden.\n\n### Wandelt Risikoergebnisse in Aktionen um\nDas für ein Event generierte Ergebnis kann als Alert oder Case an das Compliance-Team übergeben werden. Bei Bedarf kann über einen Callback eine Aktion an das Kernsystem des Unternehmens gesendet werden.\n\n### Testet Regeln vor der Liveschaltung\nWenn eine neue Regel zu viele False Positives erzeugt, kann dies den operativen Betrieb belasten. Die Rule Sandbox-Struktur von Truvali hilft dabei, Regeln auf historischen Daten zu testen und das zu erwartende Alert-Volumen im Vorfeld abzuschätzen.\n\n## Beispiel für ein kurzes Szenario\nAngenommen, es geht eine Auszahlungsanforderung von einem neu eröffneten Konto ein. Die Event Score Engine kann folgende Fragen prüfen:\n\n- Wie alt ist das Konto?\n- Wurde das verwendete Device schon einmal registriert?\n- Zu welchem Land gehört die IP-Adresse?\n- Wie viele Transaktionen wurden in der letzten Stunde durchgeführt?\n- Wie viel Zeit liegt zwischen Ein- und Auszahlung?\n- Ist der Empfänger mit anderen verdächtigen Konten verknüpft?\n\nEine Auszahlung für sich genommen mag normal erscheinen. Wenn jedoch mehrere Risikosignale gleichzeitig auftreten, kann der Risk Score steigen und ein Case eröffnet werden.\n\n## Häufig gestellte Fragen\n### Sind Event Score Engine und Rule Engine dasselbe?\nNein. Die Rule Engine bestimmt, unter welchen Bedingungen ein Event bewertet wird. Die Event Score Engine nutzt diese Regeln und andere Risikosignale, um das Gesamtergebnis zu ermitteln.\n\n### Analysiert die Event Score Engine nur Zahlungen?\nNein. Auch nicht-finanzielle Events wie Device-Wechsel, IP-Aktivitäten, Kontoaktualisierungen und Ergebnisse der Identitätsprüfung können bewertet werden.\n\n### Weist ein hoher Risk Score auf einen Betrug hin?\nNein. Ein hoher Risk Score zeigt lediglich an, dass das Event genauer untersucht werden muss. Die endgültige Entscheidung wird in Kombination mit anderen Daten und den Richtlinien des Unternehmens getroffen.\n\n### Kann Truvali Transaktionen automatisch stoppen?\nJe nach definiertem Szenario kann ein Callback an das Kernsystem gesendet werden. Ob die Transaktion gestoppt, zurückgehalten oder an eine zusätzliche Verifizierung weitergeleitet wird, hängt von der Integration und den Entscheidungsrichtlinien des jeweiligen Unternehmens ab.