SICHERHEIT

Delegated Authentication - weniger Betrug, mehr Konversion

Ralf Gladis, Geschäftsführer, Computop Wirtschaftsinformatik GmbH, Bamberg

Im Checkout-Prozess im Online-Handel sorgt die starke Kundenauthentifzierung für vermehrte Kaufabbrüche. Eine Lösung für Händler sieht Ralf Gladis in der Delegated SCA. Hier identifiziert sich der Kunde beim Login auf der Händlerseite, beim Bezahlprozess ist keine weitere Authentifizierung nötig. Wird die Authentifizierung mit biometrischen Verfahren nach Fido-2-Standard durchgeführt, kann so mehr Sicherheit mit mehr Nutzerkomfort für die Kunden mit mehr Umsatz und geringeren Abbruchraten für die Händler kombiniert werden. Red.

Sicherheit ist ein menschliches Grundbedürfnis, dessen Befriedigung eines der stärksten Motive unseres Handelns darstellt. Bei großen Entscheidungen wie Partnerwahl oder Altersvorsorge, aber auch im Kleinen, wie bei einem Einkauf im Internet - wir sehnen uns stets nach einem gewissen Mindestmaß an Sicherheit.

Mehr Sicherheit bringt Umsatz

Folgerichtig sollte es das Ziel eines jeden Unternehmens sein, dieses elementare Verlangen auch im Geschäftsmodell zu verankern. Das gilt gerade im E-Commerce, wo Sicherheit nicht nur auf Kunden-, sondern auch auf Händlerseite einen enormen Stellenwert einnimmt. Kundendaten, insbesondere die Zahlungsdaten, sind heilig und sollten um jeden Preis geschützt werden. Wer ein Höchstmaß an Sicherheit mit Komfort in der Nutzung verbinden kann, minimiert Betrug, steigert die Konversion und pflegt seine Marke.

Das mag zunächst verwundern, denn alljährlich liest man in den Nachrichten Statistiken, die erschreckende Einblicke liefern, wie fahrlässig die Menschen im Internet mit ihrer Sicherheit umgehen. Inzwischen dürfte weithin bekannt sein, dass die übliche Kombination aus Passwort und Nutzernamen (oder E-Mail), die die Online-Konten im Regelfall schützt, möglichst komplex sein sollte. Dennoch bedienen sich viele User ihrer Geburtsdaten, der Namen ihrer Lebenspartner und Haustiere oder anderen leicht zu erratenden Codes. Meist muss diese Kombination dann noch für alle Accounts gleichzeitig herhalten, von Amazon bis Zalando. Sicher geht anders, und genau hier liegt der Schlüssel zum wachsenden Problem des Identitätsdiebstahls.

Doch künftig haben Unternehmen neue Methoden in der Hand, das Kundenvertrauen zu erhöhen und sich von der Konkurrenz abzuheben, sofern sie die neuesten Sicherheitsmechanismen anwenden. Die Zauberworte heißen Biometrie und starke Kundenauthentifizierung. Mit der zunehmenden Verbreitung von biometrischen Logins gibt es Alternativen, die sowohl die Passworteingabe obsolet machen als auch höchstmögliche Sicherheit garantieren. Wer einfach seinen Daumen auf einen Fingerabdrucksensor legt, muss sich keine lästigen Passwort-/Nutzernamenkombination merken, geschweige denn ausdenken. So ist der Nutzer kom fortabel und zugleich sicherer im Netz unterwegs.

Fido-Standard für sichere Biometrie

Bei einer guten Biometrielösung wird weder ein Passwort auf dem Server des Händlers abgelegt noch verlässt ein rekonstruierbares Abbild des Fingerabdrucks, der Stimme oder des Gesichts das Gerät, mit dem es aufgezeichnet wurde. Folgerichtig kann selbst bei einem Datenleck des Händlers kein Schaden entstehen, denn moderne Lösungen, die mit dem Fido-Standard arbeiten, verzichten auf die zentrale Speicherung dieser sensiblen Daten.

Fido steht für Fast Identity Online. Dabei handelt es sich um einen Branchenverband, der sich seit 2012 damit beschäftigt, die weltweit gängigen Standards zur biometriebasierten Identifizierung von Online-Usern zu definieren und damit die Abhängigkeit von Passwörtern zu reduzieren. Dafür arbeiten führende Unternehmen der Szene zusammen, unter anderem Infineon, Paypal, Microsoft, Mastercard und Visa. Der Verband vergibt Zertifikate, die verbriefen, dass diese definierten Standards eingehalten werden. So können Nutzer und Anbieter von Online-Services gleichermaßen auf ein Höchstmaß an Sicherheit und Komfort vertrauen.

Diese Standards, namentlich Fido2/ Webauthn, legen hohe Maßstäbe an. Fido2 besteht aus zwei Komponenten:

- einer API namens Webauthn, die sicherstellt, dass Fido auf allen Browsern und Web-Plattform-Infrastrukturen nutzbar ist,

- und einem Protokoll namens CTAP, das dafür sorgt, dass die verschlüsselte und sichere Authentifizierung auf allen

möglichen Geräten funktioniert. Das können spezielle USB-Sticks, NFC-Geräte, Bluetooth-Zubehör oder aber normale PCs, Laptops, Tablets und Smartphones sein.

Will ein Nutzer sich im Browser auf einem Computer authentisieren, der keine integrierte Möglichkeit besitzt, biometrische Merkmale abzufragen, so kann er auch sein Smartphone oder einen speziellen Biometriesensor mit dem Gerät koppeln. Moderne Zahlungsdienstleister sind schon jetzt in der Lage, Händlern unkompliziert den Sprung in diese passwortlose Zukunft zu ermöglichen.

Großes Einsparpotenzial bei hoher Sicherheit

Werden die entsprechenden Standards genutzt, können Kunden sich deutlich sicherer und wesentlich einfacher in ihre Online-Konten einloggen als mit Passwörtern. Dadurch sind Konten, Kunden und Händler vor den Schäden geschützt, die durch die veraltete Methode entstehen. Beispiel Microsoft: Der Software-Gigant musste 2017 in einem einzigen Monat 686 000 Passwörter zurücksetzen. Die Kosten beliefen sich auf knapp über 12 Millionen Dollar.

Kein Passwort bedeutet auch, dass Phishing-Mails ins Leere laufen. Sie installieren oftmals über Tricks Malware, die dazu entworfen wurde, die Tastatureingaben des Users auszulesen und so an Passwörter zu gelangen. Mit biometrischen Lösungen geht das nicht - sofern sie nach dem Fido2-Standard arbeiten.

Denn die Fingerabdrücke, Gesichtsscans oder Stimmaufnahmen, die hierbei zur biometrischen Authentifizierung genutzt werden, verlassen niemals das Gerät, auf dem sie aufgezeichnet wurden. Sie werden nicht als Abbilder der Originale gespeichert, sondern unumkehrbar in Hash-Werte verschlüsselt. Für den Datenaustausch im Zuge der Authentifizierung wird nur die unveränderte Übertragung dieser Hashwerte nach der Methode von Public Key/Private Key (PKI) überprüft. Dadurch lassen sich keine Rückschlüsse auf das ursprüngliche Merkmal ziehen.

Delegated SCA gibt Online- Händlern die Kontrolle zurück

Händler können sich im E-Commerce diese Technologie ganz gezielt zunutze machen, denn die neuen Regelungen der PSD2, unterstützt vom Sicherheitsverfahren 3D Secure der großen Kreditkartenmarken, erlauben eine Delegation der sicheren Kundenauthentifizierung (SCA) von den Banken an die Händler. Wer sich also online mit zwei von drei Faktoren (Wissen, Besitz, Inhärenz) authentifiziert, muss das nicht zwingend im Bezahlprozess erledigen. Denn viele Händler erfahren durch die Authentifizierung während des Checkouts vermehrte Bestellabbrüche.

Deshalb können Händler eine von Fido zertifizierte Lösung implementieren, die den Vorgaben der PSD2 und der Card Schemes gerecht wird. Sie ist mit vergleichsweise geringem Aufwand umsetzbar, denn der Handel kann Biometrie als Internetservice nutzen. Eigene Biometrie-Server in hochsicheren Rechenzentren sind nicht erforderlich.

Der Vorteil für den Kunden: Er muss sich nur einmal authentifizieren, und zwar im Zuge des Logins beim Händler. Ist der Kunde ordnungsgemäß authentifiziert, sendet der Händler einen Flag an die Bank, wodurch dem Käufer ein weiterer Authentifizierungsschritt beim Check-out erspart bleibt. Diese Herangehensweise sorgt für weniger Hürden beim Einkaufsvorgang und ein unterbrechungsfreies Shopping-Erlebnis. Dies gilt vor allem dann, wenn durch Tokenisierung, also die Speicherung einer Ersatznummer durch den Händler, die Kartendaten bereits vorgeblendet werden. Kaufabbrüche können so gesenkt werden, und die Händler gewinnen die Kontrolle über den Einsatz von 3D Secure zurück.

Gleichzeitig geht bei einer zertifizierten Biometrie-Lösung keine sensible Information an den Händler über, wodurch das Vertrauen auf Kundenseite erhöht wird und die Markenbildung des Händlers profitiert.

An die User-Experience des Kunden angepasst

Ein weiterer Vorteil: Die Benutzeroberfläche unterscheidet sich nicht von den Gewohnheiten des Kunden und ist an seine User-Experience angepasst, denn sie entspricht dem Gerät, das er am liebsten zum Online-Kauf nutzt. So fügt sich der Prozess natürlich in den Alltag des Users ein, der Biometrie beispielsweise schon direkt nach dem Aufstehen nutzt, wenn er per Fingerabdruck oder Gesichtsscan das Gerät entriegelt, mit dem er die Nachrichten oder Mails checken will.

Dank biometrischer Authentifizierung über Gesicht, Fingerabdruck oder Stimme öffnen sich auch völlig neue Möglichkeiten für die Einkaufskanäle der Zukunft. So werden wir nicht mehr in die Tankstelle gehen müssen, um zu bezahlen, sondern Transaktionen hochsicher verschlüsselt und biometrisch im Cockpit bestätigen, sobald das Auto über die passenden Sensoren verfügt.

Auch Augmented-Reality-Brillen oder VR-Geräte profitieren von den neuen Optionen - hier ließen sich Transaktionen über Stimmerkennung auslösen. Ein Geschäftsfeld, für das sich diese Variante geradezu anbietet, ist der Voice Commerce, also Transaktionen, die über Smart Speaker wie Amazon Echo oder Google Home angestoßen werden.

Die Zukunft des Payments kennt keine Passwörter

Wenn Sicherheit und Komfort einhergehen und in einer Technologie vereint sind, die für einen Teilbereich des Lebens beide Elemente auf ein neues Level hebt, dann sind Schlagworte wie Disruption nicht weit. Technologie (Biometrie), regulatorische Rahmenbedingungen (PSD2) und Standards (Fido2) gehen Hand in Hand und weisen klar den Weg in die Zukunft. Und die wird weitgehend ohne Passwörter auskommen, zum Wohl von Händlern und Kunden.

Dabei ist die Hürde, diesen Sprung nach vorne durchzuführen, für alle Seiten gering. Anders als bei Technologien, die an der geringen Verbreitung spezialisierter Hardware scheitern, haben die meisten Kunden den Schlüssel zur Zukunft im wahrsten Sinne des Wortes bereits in der Hand: ihr Smartphone. Das Entsperren über den Fingerabdruck oder den Gesichtsscan ist inzwischen für viele Menschen integraler Bestandteil des alltäglichen Lebens und wird mit einem hohen Maß an Sicherheit verbunden. Dieses Gelernte künftig im Online-Shop anwenden zu können, führt deshalb ganz selbstverständlich zu einem höheren Kundenvertrauen und damit stärkerer Kundenbindung. Dass dank SCA-Delegation auch noch der Händler profitieren und seine Konversionsrate erhöhen kann, verstärkt die Relevanz dieses biometrischen Verfahrens.

Ralf Gladis, Geschäftsführer, Computop Wirtschaftsinformatik GmbH, Bamberg
Ralf Gladis , Geschäftsführer , Computop Wirtschaftsinformatik GmbH, Bamberg
Noch keine Bewertungen vorhanden


X