Cybersecurity im Fokus: Wie Versicherer ihre Kundendaten optimal schützen
In den Medien wird jüngst immer wieder darüber berichtet, dass Big Player wie Apple, Google und Microsoft an einer passwortfreien Zukunft in Sachen Login arbeiten. Dabei ist von einer neuen Technik, dem sogenannten FIDO-Standard die Rede. Doch so neu ist diese Technologie gar nicht. Immerhin feiert die FIDO-Allianz, die den Standard entwickelt hat, in diesem Jahr ihr zehnjähriges Jubiläum. Die Allianz hat sich aber nicht nur Passwortfreiheit zum Ziel gesetzt, sondern auch hohe Grundsätze des Datenschutzes: die FIDO Privacy Principles. Was sich dahinter verbirgt, erläutern wir in diesem Blogbeitrag.
Die FIDO-Allianz
In der FIDO-Allianz, das Kürzel steht für Fast IDentity Online, haben sich mehrere hundert Unternehmen und Organisationen zusammengetan, um einheitliche Standards für die Authentifizierung im Internet zu entwickeln. Zu den Mitgliedern gehören neben den eingangs erwähnten Big Playern zum Beispiel auch Paypal oder das BSI (Bundesamt für Sicherheit in der Informationstechnik). Der Fokus liegt mittlerweile auf dem sogenannten FIDO2-Standard, der passwortlose Logins mit allen Webbrowsern ermöglicht.
FIDO and Privacy – FIDO und Datenschutz
Um eine sichere Benutzerverifizierung und -authentifizierung zu gewährleisten, kommt die FIDO-Technologie nicht umhin, Informationen über den jeweiligen Nutzer dauerhaft zu speichern. Da die FIDO-Allianz den Anspruch hat, Login-Prozesse besonders effektiv gegen Angriffe von aussen zu schützen, gilt dies auch für den Schutz der ihr anvertrauten Daten. Wie sie diese personenbezogenen Daten sammelt und verwendet und dabei die Wahrung der Privatsphäre grossschreibt, definiert sie in den FIDO Privacy Principles, also ihren Datenschutzgrundsätzen. Sie regeln, was mit den Daten bei den beiden typischen FIDO-Prozessen – der Registrierung und der anschliessenden Authentifizierung bei einem Online-Angebot – passieren darf. Schauen wir uns diese Prozesse einmal genauer an.
User-Registrierung und -Verifzierung
Um das FIDO-Verfahren nutzen zu können, benötigt jeder User einen sogenannten Authenticator (Authentifikator). Das können spezielle Hardware-Token, aber auch das Smartphone mit einem Fingerabdrucksensor sein. Zur Umgebung des Nutzers gehört ebenfalls der FIDO-Client, der für die Kommunikation des Authenticators mit dem FIDO-Server sorgt. Der Server selbst gehört zur Infrastruktur des Online-Dienstes. Eine wichtige Rolle spielt bei diesem Prozess die asymmetrische Public/Private Key-Verschlüsselung. Bei der Registrierung erstellt der Authenticator ein neues Schlüsselpaar. Der öffentliche Schlüssel (Public Key) liegt beim Anbieter, der private Schlüssel (Private Key) bleibt auf dem Authenticator des Users. Das Gerät kann auch erkennen, dass der Public Key nur von der Domain des beteiligten Online-Anbieters genutzt werden darf. Beim Login erfolgt dann ein Abgleich von Public Key und Private Key und die Anmeldung ist nur bei einem Match erfolgreich.
So bietet die Verwendung von FIDO-basierten Authentifizierungsmethoden auch ein zusätzliches Mass an Sicherheit für Transaktionsbestätigungen, da sie sicherstellen, dass die Zahlung tatsächlich von der Person getätigt wird, die zur Nutzung des Kontos berechtigt ist.
Nur im Doppelpack: Datenschutz und Sicherheit
Wie kommen dabei die FIDO Privacy Principles ins Spiel? Ganz einfach: Datenschutz und die Verwirklichung von Sicherheit beim Registrierungsprozess gehören untrennbar zusammen. Beide verfolgen gemeinsam das gleiche Ziel. Es soll der richtige Benutzer authentifiziert werden und das auch nur, wenn er es wünscht. Um das zu gewährleisten, müssen FIDO-Authentifikatoren, Clients und Server folgende Datenschutzgrundsätze einhalten:
FIDO Datenschutzgrundsätze
- Der User muss über jeden Vorgang, bei dem personenbezogene Daten verwendet werden, informiert sein und dem ausdrücklich zustimmen.
- Alle FIDO-Vorgänge finden innerhalb eines für den User klaren Kontexts statt. Das heisst auch: Es ist eindeutig, welche Benutzeridentität und welche Serveridentität zum Einsatz kommen.
- Personenbezogene Daten werden allein für FIDO-bezogene Zwecke wie die Registrierung und die Verifizierung erfasst. Im Unterschied dazu kann der Online-Anbieter zur gleichen Zeit möglicherweise Informationen erheben, die für die FIDO-Anwendung nicht erforderlich sind.
- Daten, die während einer FIDO-Operation gesammelt werden, dürfen einzig und allein für die Durchführung einer Identifizierung, also etwa Registrierung, Benutzerüberprüfung oder Autorisierung, verwendet werden.
- FIDO-bezogene Daten dürfen nicht verwendet werden, um einen User ausserhalb eines FIDO-Vorgangs oder eines vom Benutzer gewünschten und erwarteten Identifizierungsvorgangs wie einer Systemanmeldung zu identifizieren.
- Biometrische Daten, deren Messungen sowie Ableitungen daraus, die eine Identifizierung ermöglichen, müssen so geschützt sein, dass weder über den Authentifikator noch über den Rechner darauf zugegriffen werden kann.
- FIDO-bezogene Daten müssen vor unbefugtem Zugriff oder Offenlegung geschützt sein.
- User müssen ihre FIDO-Authentifikatoren einfach verwalten und einsehen können. Das bedeutet zum Beispiel, dass sie einen Authentifikator bei Verlust einfach abmelden können.
Die FIDO Datenschutzgrundsätze spiegeln das Engagement der FIDO-Allianz für den Schutz der Privatsphäre der Nutzer wider. Entsprechend wurden die FIDO-Protokolle so entwickelt, dass sie dem „Privacy by design“-Ansatz folgen. Bei der Entwicklung der umfassenden technischen Mechanismen wurde der Datenschutz also bei den Datenverarbeitungsvorgängen bereits integriert.
