2FA ist nicht gleich 2FA. Setzen Sie auf Sicherheit!
Sich gegenüber einem Unternehmen rechtssicher auszuweisen, glich lange einem Spiessrutenlauf: So war es etwa zur Freischaltung einer Prepaid-SIM oder bei der Eröffnung eines Online-Bankkontos lange üblich, dass der Kunde persönlich in der Postfiliale vorstellig werden musste, um die eigene Identität durch den Abgleich mit dem Ausweisbild bestätigen zu lassen. Mittlerweile hat die Technik das Prozedere vereinfacht: Im VideoIdent-Verfahren erfolgt die Prüfung heute meist über einen Videochat im Online-Format, was dem Nutzer den Weg zur Filiale erspart. Aber mit dem AutoIdent-Verfahren steht jetzt eine neue Methode in den Startlöchern, die die Identitätsprüfung weiter vereinfachen und noch sicherer machen soll. Hier lesen Sie, wie sich die Verfahren unterscheiden und wie AutoIdent funktioniert.
An der zweifelsfreien Überprüfung der Identität eines Kunden, auch Authentifizierung oder ID Verifizierung genannt, führt für viele Branchen kein Weg vorbei: Banken und andere Finanzinstitutionen müssen auf diese Weise sicherstellen, dass ihre Konten nicht für Steuerhinterziehung und Geldwäsche missbraucht werden. Ebenso wichtig ist es, dass sie keine Geschäftsbeziehung mit Personen eingehen, die auf internationalen Sanktionslisten stehen. Ähnlich strikte Vorgaben gelten auch für die Mobilfunk-Brache: Schon seit 2017 dürfen Prepaid-SIMs nur für eindeutig authentifizierte Personen freigeschaltet werden. Auch hier trieb den Gesetzgeber die Sorge um, Terroristen und Kriminelle könnten sonst gänzlich anonym und an den Sicherheitsbehörden vorbei kommunizieren.
Kein 24-Stunden-Service: Die Challenge vom VideoIdent
Keine Frage, diese Absicherungen dienen dem Schutz der Gesellschaft, hinter dem die Bequemlichkeit des einzelnen Bürgers zurückstehen muss. Mit VideoIdent wurde gegenüber dem Gang zur Postfiliale zwar bereits ein grosser Fortschritt in puncto Komfort erzielt. Allerdings hat das Verfahren seine eigenen Tücken, die vor allem mit der Verfügbarkeit zu tun haben. Ganz ähnlich wie beim Ladengeschäft, sind Kunden nämlich auch beim VideoIdent an die Geschäftszeiten gebunden. Kaum ein Unternehmen kann und möchte sich einen 24-Stunden-Service leisten; schliesslich gehen die Personalkosten dadurch steil in die Höhe. So kann es passieren, dass der Neukunde einer Onlinebank abends in aller Ruhe die Authentifizierung starten möchte – und vor virtuell verschlossenen Türen steht, weil er ausserhalb der Geschäftszeiten anruft. Mit dem Credo ständiger Verfügbarkeit, das Online-Dienstleister und -Händler in ihrem Kerngeschäft üblicherweise praktizieren, verträgt sich ein solch holpriger Start nur schwer.
AutoIdent bietet vollautomatisiertes Verfahren – noch sicherer und rund um die Uhr
Was also kann AutoIdent besser machen – und vor allem, wie? Zunächst einmal kommt das Ganze ohne menschlichen Operator aus: Der Kunde benötigt lediglich zwei Dinge, die ohnehin meist griffbereit sind, nämlich Ausweisdokument und Smartphone. AutoIdent ist darauf ausgelegt, alle Sicherheitsprüfungen, die sonst von einem Mitarbeitenden im Callcenter erledigt werden, als vollautomatisiertes Verfahren über die Bühne zu bringen. Im Regelfall läuft das so ab:
- Zur Prüfung der Identität wird der Kunde auf eine Mobile-Only-Website geleitet – falls er die URL über einen Laptop oder anderen stationären Rechner aufruft, wird er darauf hingewiesen, bitte stattdessen Smartphone oder Tablet zu verwenden und erhält einen passenden QR-Code. Der Grund: Die Plausibilitätsprüfung nutzt auch Standortdaten und andere Faktoren, die am einfachsten über die Sensoren eines Mobilgeräts eingelesen werden können. Das gesamte Verfahren lässt sich über Identity-Verification-as-a-Service-Lösungen abwickeln, die Unternehmen nahtlos in ihre bestehende Website-Infrastruktur einbetten können.
- DSGVO-konform muss der Kunde für die Erbringung der Leistung notwendigen Datenerhebung zustimmen.
- Danach gibt er an, welches Dokument er zur Authentifizierung nutzen will, beispielsweise Personalausweis oder Reisepass. Daraufhin kann er mit der Kamera des Mobilgeräts alle relevanten Seiten des Dokuments aufnehmen – bei jedem Schritt wird er von Bildmasken und Texteinblendungen entsprechend angeleitet.
- Im Anschluss erfolgt die Prüfung der biometrischen Daten des Gesichts: Der Nutzer nimmt sich mit der Kamera seines Geräts auf und folgt den weiteren Anweisungen, etwa, den Kopf leicht zur Seite zu drehen oder zu neigen. Zum einen werden so die biometrischen Faktoren, die sich aus dem Kamerabild errechnen lassen, mit denen des Ausweisfotos verglichen. Zum anderen stellt die sogenannte „Lebendprüfung“ sicher, dass kein Täuschungsversuch vorliegt (etwa, wenn nur ein Foto oder Video des Ausweisinhabers genutzt werden würde).
- Sind alle Daten aufgenommen und die Prüfung erfolgreich abgeschlossen, wird der Nutzer für die von ihm angefragten Dienstleistungen freigeschaltet und kann sie sofort nutzen.
Das Gegenlicht als Endgegner
Wo Licht ist, ist auch Schatten: Im Falle von AutoIdent gilt das vor allem für ein Zuviel an Licht. Genau wie bei VideoIdent müssen Nutzer darauf achten, nicht im Gegenlicht zu sitzen, damit sie für die Identifikation gut erkennbar sind. Gleiches gilt für eine zu düstere Ausleuchtung oder eine allgemein schlechte Videoqualität der verwendeten Kamera. In solchen Fällen weist die AutoIdent-Software auf die Fehlerquelle hin und bittet den Nutzer, für Abhilfe zu sorgen. Abgebrochen wird die Fernidentifikation nur, wenn eine schnelle Behebung der Ursache nicht möglich ist, was aber nur in wenigen Ausnahmefällen der Fall sein dürfte. Im Regelfall sorgt AutoIdent dagegen dafür, dass auch beim manchmal problematischen Thema Identitätsprüfung die Nutzererfahrung immer im grünen Bereich bleibt.
