PSD2: Starke Authenti­fizierung – weniger Komfort für Kunden? Nur wenn es schlecht gemacht ist!

Die neuen PSD2-Vorgaben werden den Druck auf Finanzdienstleister erhöhen, eine hohe Sicherheit in den Bereichen Mobile- und Online-Banking zu gewährleisten. Verlangt wird unter anderem der Einsatz von Lösungen, die eine “starke Kundenauthentifizierung” unterstützen. Sie dürfen aber nicht zu einer unnötigen Beeinträchtigung des Bedienkomforts führen. Marc T. Hanne (Sales-Director EMEA/India bei HID Global) wirbt für komfortable Identitätslösungen.

von Marc T. Hanne, Director of Sales EMEA and India, IAM Solutions bei HID Global

Mit der neuen EU-Richtlinie “Payment Services Directive 2” (PSD2), die von den Mitgliedsstaaten bis Januar 2018 umgesetzt werden muss, soll ein einheitlicher Rechtsrahmen im EU-Binnenmarkt für Internet- und mobile Zahlungen geschaffen werden. Die Richtlinie bringt einige wichtige neue Weichenstellungen; das betrifft unter anderem den Bereich Authentifizierung.

Konkret wird eine “starke Kundenauthentifizierung” beim Online-Kontenzugriff und beim Auslösen von elektronischen Zahlungsvorgängen gefordert. Bei der Auswahl einer Authentifizierungslösung sollten Finanzinstitute auf zwei Kriterien achten:

Die Lösung sollte zum einen eine durchgängige hohe Sicherheit bieten und zum anderen aber auch den Benutzerkomfort nicht unnötig einschränken.”

Wie von der PSD2 vorgegeben, muss prinzipiell eine Lösung für die starke Authentifizierung genutzt werden. Die “starke Authentifizierung” geht deutlich über die Sicherheit eines einzelnen statischen Passworts hinaus. Sie erfordert weitere Komponenten (Faktoren), um die Identität des Benutzers zweifelsfrei zu bestimmen. Der Faktor “Wissen” (Passwort oder PIN) wird zum Beispiel um den Faktor “Besitz” (Smartphone, Smartcard oder Authentifizierungs-Token) und eventuell noch um den Faktor “Eigenschaft” (Biometrie) oder “Verhalten” erweitert. Eine Zweifaktor-Authentifizierung kann bereits sehr effektiv sein, allerdings hat sie auch ihre Grenzen; durch das Hinzufügen der Eigenschaft als dritten Faktor mit der Nutzung biometrischer Verfahren wie Fingerabdruck oder Gesichtserkennung können Zahlungsdienstleister ein deutlich höheres Maß an Datensicherheit realisieren.

Es liegt auf der Hand, dass die Zweifaktor-Authentifizierung besser als eine Einfaktor-Authentifizierung ist. Klar ist aber auch, dass zusätzliche Sicherheit nur durch eine Multifaktor-Authentifizierung gewährleistet ist.”

Deshalb ist es gerade für Unternehmen der Finanzdienstleistungsbranche empfehlenswert, eine solche Lösung zu nutzen, um vertrauliche Daten zuverlässig zu schützen und sichere Finanztransaktionen zu ermöglichen.

Hinsichtlich einer durchgängigen mehrstufigen Security-Strategie sind, abgesehen von der Authentifizierung, weitere Sicherheitsmaßnahmen zu ergreifen. So sind etwa die Datenverschlüsselung und die Nutzung getrennter Kommunikationskanäle für End-to-End-Transaktionsprozesse unverzichtbar. Die Validierung und Freigabe von Transaktionen sollte über separate Kanäle erfolgen, um betrügerische Angriffe zu erschweren. Dedizierte, voneinander getrennte und verschlüsselte Kanäle sind essenzielle Elemente, um Datenschutz und -sicherheit für vertrauliche Kundeninformationen zu gewährleisten.

Aufgrund der zunehmenden Malware-Attacken auf mobile Applikationen muss eine Banking-Lösung unter anderem auch eine Erkennung von Debuggern, Emulatoren, Manipulationen und Code-Verschleierungen bieten. Ebenso empfiehlt sich die Nutzung einer RASP (Runtime Application Self-Protection)-Sicherheitssoftware, um auf der Anwendungsebene Angriffe zu erkennen und zu blockieren. Als Sicherungsmaßnahmen bieten sich nicht zuletzt auch Echtzeit-Geräte-Analysen und -Ortungen an.

Authentifizierung im Hintergrund halten – für den Kunden unsichtbar

Es steht außer Frage, dass eine digitale Banking-Lösung eine hohe Sicherheit bieten muss, allerdings darf sie auch den Nutzerkomfort nicht unnötig beeinträchtigen. Auch wenn Vorgaben die Nutzung der Zwei- oder Mehrfaktor-Authentifizierung erfordern, muss für den Bankkunden ein schneller, müheloser Transaktionsprozess gewährleistet bleiben. Eine Möglichkeit besteht darin, die meisten Authentifizierungsverfahren “im Hintergrund” laufen zu lassen, so dass eine zusätzliche Authentifizierung für Nutzer nur dann erforderlich wird, wenn sie aufgrund bestehender Sicherheitsrichtlinien nötig ist, und der Anwender damit maximal “entlastet” wird. Die Kundenbeeinträchtigung kann ohne Abstriche hinsichtlich der Sicherheit minimiert werden, indem etwa die Anmeldung des Nutzers durch Verfahren wie Geolokation, verhaltensbasierte Authentifizierung oder Geräteidentifikation unterstützt wird, die automatisch im Hintergrund ablaufen.

Robuste Sicherheitsmaßnahmen sind in Kombination mit einer anwenderfreundlichen Bedienung die Grundlagen für eine erfolgreiche Umsetzung von digitalen Banking-Strategien. Nur so kann die Akzeptanz der Nutzer gewonnen werden.aj