Wege zur optimalen Absicherung von Onlinebanking-Verfahren

Die Täuschungstechniken, um an sensible Daten zu kommen, sind mittlerweile zahlreich. Den Löwenanteil haben dabei das Phishing oder manipulative Techniken wie das Social Engineering. Selbst gefälschte Stellenangebote, die die Bewerber dazu motivieren, ihre Daten anzugeben oder gar ein Konto bei einer bestimmten Bank zu eröffnen, kommen als Köder infrage.

Im Unternehmensumfeld sticht hingegen der Datendiebstahl unter den Bedrohungen hervor. Cyberkriminelle greifen vorzugsweise Firmen an, deren Geschäftstätigkeit hauptsächlich online geführt wird, also etwa den Einzelhandel, Fluggesellschaften oder Streamingdienste. Mit den gestohlenen Daten greifen Kriminelle auf Bankkonten oder Finanzdaten der Kundschaft zu, um anderweitige Delikte über Datenverkauf oder gar Missbrauch der Kreditkarten oder Konten zu finanzieren.

Aktuelle Maßnahmen zur Absicherung von Onlinebanking-Vorgängen

Die optimale Absicherung von Onlinebanking-Vorgängen hängt von zwei Faktoren ab. Einerseits vom Aufklärungsgrad der Öffentlichkeit in Bezug auf Cybersicherheitsrisiken, andererseits vom Einsatz stabiler und schwer zu überwindender Sicherheitssysteme aufseiten der Finanzinstitute. Darunter zählen etwa die Zwei-Faktor-Authentifizierung und biometrische Prüfungen. Beide Elemente sind Technologie-abhängig, da sich das eine auf die Anwendung der Technologie und das andere auf das über die Technologie erlangte Wissen bezieht.

Zwei-Faktor-Authentifizierung und Implementierung einer starken Bankauthentifizierung

Die Zwei-Faktor-Authentifizierung basiert auf dem erfolgreichen Onboarding eines Kunden. Es handelt sich um eine Form der Identifikation, die die Verwendung von mindestens zwei von drei Faktoren erfordert: Etwas, das nur der Nutzer weiß oder wissen sollte (z. B. ein Passwort), etwas, das der Nutzer besitzt (ein Token-Gerät oder Mobiltelefon), etwas vom Nutzer selbst (Biometrie). Wenn einer der Faktoren beim Login ins Bankkonto fehlt bzw. sich als fehlerhaft erweist, wird der Vorgang abgebrochen.

Electronic IDentification, der Anbieter von zertifizierten E-Trust-Services, entwickelt und implementiert Zwei-Faktor-Authentifizierungstechnologien auf Basis von Echtzeit-Gesichtserkennung, Einmalpasswörtern und elektronischen Signaturen. SignatureID ist eine Lösung, die an die Bedürfnisse des Unternehmens in einer Omnichannel-Umgebung angepasst ist.

Biometrischer Sicherheitszugang für Online-Bankkonten

Der biometrische Sicherheitszugang für Bankkonten ist unter Nutzern von Banking-Apps bereits weit verbreitet. Dabei geht es um die Erkennung einzigartiger physischer Merkmale, sei es der Fingerabdruck mittels Sensor oder die Gesichtserkennung über eine Kamera. Zusätzlich können Kontotransaktionen überwacht werden, indem ein Gerät, in der Regel das Mobiltelefon, mit dem Konto verknüpft wird. Die Kundschaft erhält sofortige Push-Benachrichtigungen oder Nachrichten, wenn versucht wird, eine Transaktion durchzuführen. Diese Technologie wird immer häufiger eingesetzt, da sie sehr benutzerfreundlich ist und eine schnelle Überprüfung der rechtmäßigen Kontonutzung in Echtzeit ermöglicht.

Der biometrische Gesichtserkennungsalgorithmus von Electronic IDentification nutzt zum Beispiel künstliche Intelligenz und maschinelles Lernen für eine schnelle und 100 % sichere Identitätsprüfung beim Zugang zu Bankkonten.

Sonderfall Gesichts-Spoofing

Beim Onboarding neuer Nutzer folgt jedes Unternehmen einem Verfahren, das KYC („Know Your Customer“) genannt wird. Damit ist es möglich, die Identität von Kunden zu überprüfen und dabei zu gewährleisten, dass der Kunde wirklich die Person sind, die er vorgibt zu sein. Heutzutage sind digitale Onboarding-Prozesse vollständig automatisiert und entsprechen den strengsten Anti-Geldwäsche-Richtlinien (AML). Dadurch kann ein Unternehmen oder eine Institution die gleichen Prüfungen remote und online durchführen wie in einer physischen Umgebung. Doch Cyberkriminelle betreiben zunehmend Identitätsdiebstahl via Spoofing.

Anders als für die IT-Welt übliche Spoofing-Angriffe, kann man etwa Gesichts-Spoofing-Versuche nicht mittels herkömmlicher Maßnahmen gegen IP-, DNS- oder E-Mail-Spoofing verhindern. Hier versuchen Kriminelle, sich anhand eines Fotos oder Videos für den Inhaber des anvisierten Kontos auszugeben, um die Kontrollsysteme für die biometrische Gesichtserkennung zu überlisten. Identitätsbetrug durch Gesichts-Spoofing wird ebenfalls betrieben, um ein Online-Bankkonto zu eröffnen oder Dienstleistungen zu beziehen, und zwar mittels bearbeiteter Videos, Fotos/Selfies oder sogar Masken. Dagegen wurde die sogenannte Anti-Spoofing-Gesichtserkennung entwickelt, die solche Versuche unterbindet und gleichzeitig die zuständigen Behörden oder Einrichtungen benachrichtigt, die für den Schutz der Nutzerrechte oder der Unternehmen (Bank, Mobilfunkanbieter, Versicherung) sorgen.

Bei der Anti-Spoofing-Überprüfung ist der Lebensnachweis Teil des Verfahrens zur Identitätsprüfung und erfolgt nach zwei Methoden: das Vorzeigen eines Ausweises (Personalausweis, Reisepass) in Echtzeit oder eine Online-Identitätsprüfung. Der per Videostreaming online durchgeführte Lebensnachweis ist aus verschiedenen Gründen die sicherste und effektivste Methode zur Aufdeckung von Identitäts-Spoofing:

• Es wird sichergestellt, dass die Person nicht unter Zwang steht.
• Deepfakes werden erkannt
• Die Verwendung von Selfies und Bildern, die nicht den KYC- und AML-Vorschriften entsprechen, wird verhindert.
• Der Prozess kann mit biometrischer Gesichtserkennung durchgeführt werden, einer Methode, die noch sicherer ist als die persönliche Identifikation.

Als Experte für Videoidentifikation, Identitätsprüfung und Lösungen für elektronische Signaturen entwickelte Electronic IDentification SmileID. Dabei handelt es sich um die umfassendste und fortschrittlichste Anti-Spoofing-Lösung auf dem Markt, um Spoofing und Identitätsdiebstahl im Internet und Bankensektor aufzudecken.

Nach erfolgreichem Abschluss des biometrischen Abgleichs oder des Lebensnachweises läuft dieser Filter in Echtzeit auf allen Frames des Videos. Diese werden von VideoID analysiert. So wird sichergestellt, dass die Person vor der Kamera wirklich diejenige ist, die sie vorgibt zu sein, und dass sie vollumfänglich geschäftsfähig ist.