Authentifizierung als Dienst (AaaS)

Was ist Authentication as a Service (AaaS)?

Authentication as a Service bietet Authentifizierungsfunktionen in der Cloud, so dass Finanzinstitute ihre Kunden mithilfe der Multi-Faktor-Authentifizierung (MFA) sicher verifizieren können. Finanzinstitute wechseln zum Cloud Computing und verlassen sich weniger auf die Notwendigkeit, ihre vor Ort befindlichen Authentifizierungsgeräte und -technologien zu warten, aufzurüsten und zu ersetzen. Heute ist die laufende digitale Evolution durch die COVID-19-Pandemie beschleunigt worden und die Kunden erwarten nun mehr digitale Erfahrungen mit ihrer Bank. Authentifizierung als Service ermöglicht es Finanzinstituten, Reparatur- und Ersatzkosten für die Netzwerkinfrastruktur zu vermeiden und Betrug einzudämmen. Sie können auch nach oben oder unten skalieren, um die Kundennachfrage zu erfüllen. Authentifizierung als Service stärkt und rationalisiert die Authentifizierung über Anwendungen und Kanäle hinweg, unterstützt einen Mix aus Hardware- und Software-Authentifizierungsmethoden und kann aufgerüstet werden, um umfassendere Authentifizierungslösungen wie adaptive Authentifizierung oder risikobasierte Authentifizierung zu unterstützen.

Authentifizierung als Dienst: Multi-Faktor-Authentifizierungsverfahren

Authentication as a Service nutzt die Multi-Faktor-Authentifizierung (MFA) für die Anmeldesicherheit, bei der zwei oder mehr Authentifizierungsfaktoren zur Identitätsprüfung kombiniert werden. Dies könnte sein:

• Etwas, das Sie wissen, z. B. einen einmaligen Passcode (OTP) oder die Antwort auf eine geheime Frage
• Etwas, das Sie haben, wie z. B. Ihr mobiles Gerät
• Etwas, das Sie sind, wie z. B. ein Fingerabdruck oder ein Gesichtsscan

Um eine Multi-Faktor-Authentifizierung zu erreichen, müssen mindestens zwei verschiedene Technologien aus mindestens zwei verschiedenen Technologiegruppen im Authentifizierungsprozess verwendet werden. Infolgedessen würde die Verwendung einer PIN in Verbindung mit einem Passwort nicht als MFA gelten, während die Verwendung einer PIN mit Gesichtserkennung als zweiter Faktor dies tun würde. Es ist auch zulässig, mehr als zwei Formen der Authentifizierung zu verwenden. Die meisten Menschen wünschen sich jedoch zunehmend eine reibungslose Authentifizierung (die Möglichkeit, sich zu verifizieren, ohne übermäßige Sicherheitsschritte durchführen zu müssen).

Authentifizierung als Service unterstützt auch die neuesten Technologien wie offene Standards wie FIDO, Biometrie (einschließlich Gesichtserkennung und Fingerabdruck-Scans), Out-of-Band-Authentifizierung, wie Cronto, QR-ähnliche Codes und Hardware der nächsten Generation.

Vorteile der Verwendung von Authentication as a Service

In den letzten zehn Jahren wurden zunehmend Cloud- und Hybrid-Cloud-Implementierungen für IT-Services und -Anwendungen eingesetzt. Die COVID-19-Pandemie beschleunigte die digitale Transformation und Modernisierungsinitiativen bei Banken. Die Pandemie hat auch das digitale Verhalten der Kunden beschleunigt. Die Menschen erwarten jetzt mehr digitale Interaktionen mit ihren Finanzinstituten und sie erwarten, dass diese nahtlos sind. Diese Initiativen lassen sich nur schwer mit einer Vor-Ort-Infrastruktur unterstützen, insbesondere während der Pandemiezeit. Dies ist ein Grund für das Interesse an Cloud-basierten Lösungen.

Ein Bericht der Aite Group mit dem Titel " The Rise of Digital-First Banking" befasst sich mit der Frage, wie Verbraucher unabhängig von ihrer Generation digital-erfahren werden und ob Finanzinstitute darauf vorbereitet sind oder nicht. "Die COVID-19-Krise treibt die digitale Akzeptanz und Nutzung auf Hochtouren", sagt Tiffani Montez, Senior Analystin der Aite Group. "Digital-first Banking ist die neue Norm, und mehr denn je ist es für FIs wichtig, ein neues digitales Erlebnis zu schaffen und bestehende digitale Prozesse zu optimieren, um Reibungsverluste zu reduzieren."

Hier sind die Vorteile von Authentifizierung als Service:

• Keine Notwendigkeit, Geräte vor Ort unterzubringen: Mit Authentifizierung als Service können Finanzinstitute die Betriebskosten für IT-Abteilungen reduzieren.
• Kein zusätzliches IT-Personal: IT-Geräte müssen gewartet und ausgetauscht werden. Bei Authentifizierung als Service ist in der Regel ein Drittanbieter für die Wartung der Geräte verantwortlich, auf denen eine Anwendung gehostet wird. So können beispielsweise hochqualifizierte Mitarbeiter, wie z. B. Infrastrukturingenieure, anderen IT-Projekten zugewiesen werden, anstatt ihre Zeit mit Wartungsarbeiten zu verbringen. Da die Authentifizierung als Service passwortlos ist, entfällt das Zurücksetzen von Passwörtern für viel beschäftigte IT-Teams.
• Geringere Betriebskosten, höhere betriebliche Effizienz: Authentifizierung als Service ermöglicht es Finanzinstituten, die laufenden Kosten für die Erneuerung von Serverausrüstung, Netzwerkinfrastruktur, Netzwerkwartung, Hosting und Sicherheitsverfahren zu senken. Das Ergebnis sind niedrigere Betriebskosten als bei On-Premises-Implementierungen und eine höhere Konsistenz, was die betriebliche Effizienz erhöht und gleichzeitig einen sicheren Zugriff ermöglicht.
• Skalierbarkeit: Authentifizierung als Service bietet Banken die Möglichkeit, je nach Bedarf auf- oder abwärts zu skalieren, um der aktuellen Nachfrage gerecht zu werden. Das macht die Preisgestaltung unkomplizierter und die Anschaffung weiterer Cloud-Service-Kapazitäten kostengünstiger als die Bereitstellung neuer Serverausrüstung vor Ort.
• Schnelle und einfache Bereitstellung: Authentifizierung als Service kann innerhalb weniger Wochen implementiert werden, ohne dass eine IT-Infrastruktur gekauft, bereitgestellt und implementiert werden muss. Umgekehrt können Implementierungen vor Ort Monate oder sogar bis zu einem Jahr dauern, je nach Budget und anderen Faktoren.
• Flexible Authentifizierungsoptionen: Authentication as a Service unterstützt hybride Software- und Hardware-Authentifizierungstechnologien, kontinuierliche Überwachung, Geräte- und Multi-User-Channel-Profiling. Sie kann nahtlos auf umfassendere Lösungen aufgerüstet werden, wie z. B. die risikobasierte Authentifizierung, die maschinelles Lernen und eine Risiko-Engine nutzt, um Betrug zu reduzieren.

Drei Fallstudien von Unternehmen, die Authentication as a Service einsetzen

Fallstudie 1: Japanische Bank stellt auf Cloud-basierte Authentifizierung um

Die Herausforderung: Diese japanische Bank hat im November 2019 ihre mobile Banking-Anwendung veröffentlicht. Anfänglich war die Funktionalität der App eingeschränkt und erlaubte es den Benutzern nur, ihren Kontostand zu überprüfen. Außerdem bot der im Online-Kanal verwendete Legacy-Authentifizierungsprozess kein zufriedenstellendes mobiles Erlebnis. Die Kunden würden ein Einmal-Passwort (OTP) per E-Mail erhalten und das Passwort im Webportal eingeben. Diese Erfahrung ließ sich nicht gut auf mobile Geräte übertragen. Die Bank entschied sich für die Implementierung einer cloudbasierten Authentifizierung und Transaktionsdatensignierung, um Geldtransfers über die App sicher zu ermöglichen. Der Zeitplan für dieses Projekt war sehr eng, da die Bank die aktualisierte Version der App drei Monate nach Projektbeginn veröffentlichen musste. Normalerweise kann die Integration einer neuen Authentifizierungslösung in eine bestehende App und die Bereitstellung eines lokalen Authentifizierungsservers zur Unterstützung dieser Lösung mehr als ein Jahr in Anspruch nehmen. Stattdessen entschied sich die Bank, auf einen in der Cloud gehosteten Authentifizierungsserver umzusteigen.

Das Ergebnis: Kunden können sich nun per OTP in der App oder per Fingerabdruck biometrisch authentifizieren. Das Ergebnis ist ein zuverlässiges, sicheres und komfortables Kundenerlebnis bei gleichzeitiger Erweiterung der Funktionalität der mobilen Banking-App.

Fallstudie #2: FinTech liefert Cloud-Authentifizierung an alle norwegischen Banken

Die Herausforderung: In diesem Anwendungsfall bietet ein norwegisches Fintech-Unternehmen norwegischen Banken eine sichere und kostengünstige Authentifizierungslösung für die Identifizierung und elektronische Unterschrift. Um sich zu authentifizieren, mussten die Benutzer Hardware-Authentifikatoren verwenden, die die notwendige Sicherheit für den Endbenutzer gewährleisteten. Das Feedback der Kunden zeigte jedoch den Wunsch nach einer Software-Authentifizierungslösung, die es ihnen erlaubt, ihre mobilen Geräte zu nutzen. Das Unternehmen beschloss, eine neue mobile App zur Authentifizierung der Benutzer einzuführen, um das Kundenerlebnis zu verbessern und Biometrie zu implementieren. Die Organisation ist teilweise im Besitz aller Banken in Norwegen und alle nutzen diesen Service. Infolgedessen konnte die Organisation eine On-Premises-Authentifizierungslösung nicht in Betracht ziehen, da dies bedeuten würde, dass jede norwegische Bank einen neuen Authentifizierungsserver vor Ort einsetzen müsste.

Das Ergebnis: Durch den Einsatz der Cloud-basierten Authentifizierung konnten Banken die Authentifizierungs-App problemlos für die Benutzerauthentifizierung übernehmen. Mit der Bereitstellung der App erhielten die Benutzer Zugang zur Multi-Faktor-Authentifizierung (MFA) mit biometrischen Fingerabdrücken und Push-Benachrichtigungen. Die neue Erfahrung erwies sich als deutlich komfortabler für die Kunden und diejenigen, die die Authentifizierungs-App heruntergeladen hatten, konnten ihre Hardware-Authentifikatoren sicher in Rente schicken.

Fallstudie #3: Gesundheitsorganisation führt Cloud-Authentifizierung ein, um Kosten zu senken

Die Herausforderung: Das Unternehmen, das Software für das Gesundheitswesen entwickelt, hat vor kurzem seine Sicherheitsstrategie durch die Umstellung auf Authentifizierung als Service modernisiert. Das Unternehmen vertreibt eine EPCS-Lösung (Electronic Prescription of Controlled Substances), die Ärzte und medizinisches Fachpersonal dabei unterstützt, ihre Patienten mit den benötigten regulierten Medikamenten zu versorgen. Aufgrund der sensiblen Daten, die damit verbunden sind, sowohl was die Privatsphäre medizinischer Informationen als auch die Möglichkeit des Missbrauchs von Medikamenten betrifft, sind Authentifizierung und Benutzeridentität extrem wichtige Komponenten der Lösung.

Das Ergebnis: Das Unternehmen migrierte von einer On-Premises-Implementierung zu einem Cloud-basierten Authentifizierungsdienstleister, um die Kosten zu vermeiden, die mit der Anschaffung, dem Support und der Wartung der Server für die Authentifizierung verbunden sind. Das Unternehmen wollte außerdem einen Authentifizierungsprozess in sein bestehendes Produkt integrieren, und zwar mit einer Lösung, die sich leicht implementieren, auswerten und auf die Einhaltung aller Vorschriften überprüfen lässt.

 

Wie Authentication as a Service hilft, Betrug einzudämmen

Finanzinstitute können ihre Kunden mit Cloud-basierter MFA auf einer bewährten und zuverlässigen Sicherheitsinfrastruktur vor Betrugsbedrohungen schützen. Bislang gab es im Jahr 2020 prominente Datenschutzverletzungen bei Twitter, Zoom und Marriott, das die zweite Verletzung in ebenso vielen Jahren erlitt[JM2] . Da so viele Menschen immer noch dieselben statischen Passwörter als einziges Mittel zur Authentifizierung über mehrere Konten hinweg verwenden, kann jeder Datenbruch bei Passwörtern und E-Mail-Adressen schwerwiegende Folgen für Verbraucher haben.

Als Folge der COVID-19-Pandemie haben Cyberkriminelle ihre Bemühungen verstärkt: Die Zahl der Phishing-Websites ist seit Jahresbeginn um 350 % gestiegen, und seit Beginn der Sperre sind 16,6 Millionen Pfund (20,8 Millionen US-Dollar) an Verlusten durch Shopping-Betrug entstanden. Phishing bleibt die bevorzugte

methode für Angreifer, wenn es um den Diebstahl von Anmeldedaten geht, so der 2020 Data Breach Investigations Report von Verizon. Mit mehr als 15 Milliarden Zugangsdaten, die im Dark Web zirkulieren, haben Cyberkriminelle zudem alles, was sie brauchen, um Account-Takeover-Angriffe und andere Formen des Betrugs zu begehen.

Die fortschreitende digitale Evolution hat auch zum Aufstieg der Mobilgeräte, zu erweiterten digitalen Kanälen und zu einer Zunahme der Anzahl von Anwendungen und Produkten geführt. Dies hat oft zu einem siloartigen Ansatz für die Authentifizierungssicherheit geführt, wodurch die IT-Mitarbeiter mit der Verwaltung verschiedener Lösungen belastet werden. Authentifizierung als Service bietet zentralisierte Sicherheit und sorgt dafür, dass Banken ihre Kunden vor Betrugsangriffen, insbesondere Social Engineering und Phishing-Attacken, schützen können.

Wie Authentication as a Service das Kundenerlebnis verbessert

In Anbetracht der bedrohlichen Bedrohungslandschaft hilft Authentication as a Service (AaaS) den Banken, die Sicherheit bei der Benutzerauthentifizierung aufrechtzuerhalten und das Vertrauen ihrer digitalen Bankkunden zu stärken. Kunden können mit benutzerfreundlichen mobilen Authentifizierungsoptionen wie Biometrie und In-App-Push-Benachrichtigung für ein reibungsloses Benutzererlebnis authentifiziert werden. Da Kunden zunehmend digitales Verhalten annehmen, erhalten sie eine sichere Authentifizierung über die Cloud.

Wie es die gesetzlichen Bestimmungen erfüllt

Authentication as a Service wurde entwickelt, um die Anforderungen der PSD2 an die starke Kundenauthentifizierung (SCA) für sichere Online-Zahlungen zu erfüllen. Dies geschieht durch Multi-Faktor-Authentifizierung, dynamische Verlinkung (zur Abwehr von Man-in-the-Middle-Angriffen), mobile Sicherheit und biometrische Technologie. Die SCA-Anforderungen tragen dazu bei, Betrug einzuschränken und die Sicherheit von Online-Zahlungen zu erhöhen, da die Kunden bei der Authentifizierung durch zwei von drei Elementen authentifiziert werden müssen:

• Etwas, das der Kunde weiß (z. B. PIN, Passwort, Sicherheitsfrage)
• Etwas, das der Kunde hat (z. B. ein Gerät)
• Etwas, das der Kunde ist (z. B. biometrische Daten wie Fingerabdrücke oder Gesichtserkennung)

Die dynamische Verknüpfung hilft Finanzinstituten auch dabei, die Compliance zu erreichen, da zum Zeitpunkt der Transaktion der Wert der Transaktion und die Identität des Empfängers angezeigt werden müssen und mindestens zwei Elemente des Besitzes verwendet werden müssen. Diese Besitzelemente müssen die Transaktion dynamisch mit einem Betrag und einem vom Zahler angegebenen Zahlungsempfänger verknüpfen, wenn die Transaktion initiiert und verifiziert wird.

Strategische Bedeutung

Authentication as a Service nutzt Cloud-basierte Multi-Faktor-Authentifizierung, um Sicherheit, strikte Einhaltung gesetzlicher Vorschriften und ein nahtloses Kundenerlebnis zu bieten, das das Wachstum fördert. Authentication as a Service ist ein moderner Ansatz für das Identitäts- und Zugriffsmanagement, der Cloud-Computing-Ressourcen nutzt und zudem eine bessere Benutzererfahrung und Benutzerverwaltung bietet. Sie bietet Banken sofortige Effizienzgewinne mit einer Lösung, die schnell eingesetzt werden kann. Authentication as a Service unterstützt außerdem eine schnelle Bereitstellung, da die meisten AaaS-Anbieter über Plugins und APIs (RESTful Services usw.) verfügen, die eine einfache Integration in Unternehmensanwendungen ermöglichen.

AaaS fügt zusätzliche Sicherheitsebenen hinzu, indem es nicht nur eine starke Authentifizierung, sondern auch Zugriffskontrollrichtlinien bietet. Die Vertraulichkeit in der Cloud wird durch die Anwendung verschiedener Algorithmen zusammen mit Ver- und Entschlüsselungsverfahren, Hashing, digitalen Signaturen, Zertifikaten sowie einer Schlüsselaustauschverwaltung erreicht. Cloud-basierte MFA unterstützt auch das zunehmend digitale Verhalten der Kunden. Durch die Verlagerung von einer On-Premises-Infrastruktur zu einem Service-Provider in der Cloud legen Finanzinstitute und andere Organisationen die Grundlage für individuelle Anpassungen und umfassendere Authentifizierungslösungen, wie z. B. risikobasierte Authentifizierung oder adaptive Authentifizierung.