PSD2 erfordert kritische Lösungsselektion

Die neuen PSD2-Vorgaben werden den Druck auf Finanzdienstleister erhöhen, eine hohe Sicherheit in den Bereichen Mobile- und Online-Banking zu gewährleisten. Verlangt wird unter anderem der Einsatz von Lösungen, die eine „starke Kundenauthentifizierung“ unterstützen. Sie dürfen aber nicht zu einer unnötigen Beeinträchtigung des Benutzerkomforts führen, meint HID Global.
Mit der neuen EU-Richtlinie „Payment Services Directive 2“ (PSD2), die von den Mitgliedsstaaten bis Januar 2018 umgesetzt werden muss, soll ein einheitlicher Rechtsrahmen im EU-Binnenmarkt für Internet- und mobile Zahlungen geschaffen werden. Ziele sind eine Verbesserung des Verbraucherschutzes bei Zahlungen und eine Förderung der Entwicklung und Nutzung innovativer Technologien für mobile und Online-Zahlungen.
Die Richtlinie bringt einige wichtige neue Weichenstellungen, die unter anderem den Bereich Authentifizierung betrifft. Konkret gefordert wird eine „starke Kundenauthentifizierung“ beim Online-Kontenzugriff und beim Auslösen von elektronischen Zahlungsvorgängen. Unter starker Kundenauthentifizierung versteht die Richtlinie „eine Authentifizierung unter Heranziehung von mindestens zwei Elementen der Kategorien Wissen (etwas, das nur der Nutzer weiß), Besitz (etwas, das nur der Nutzer besitzt) oder Inhärenz (etwas, das der Nutzer ist)“.
Bei der Auswahl einer Authentifizierungslösung sollten Finanzinstitute nach Meinung von HID Global vor allem auf zwei Kriterien achten: Die Lösung sollte zum einen eine durchgängige hohe Sicherheit bieten und zum anderen den Benutzerkomfort nicht unnötig einschränken.
Wie von der PSD2 vorgegeben, muss prinzipiell eine Lösung für die starke Authentifizierung genutzt werden. Die „starke Authentifizierung“ geht deutlich über die Sicherheit eines einzelnen statischen Passworts hinaus. Sie erfordert weitere Komponenten (Faktoren), um die Identität des Benutzers zweifelsfrei zu bestimmen. Der Faktor „Wissen“ (Passwort oder PIN) wird zum Beispiel um den Faktor „Besitz“ (Smartphone, Smartcard oder Authentifizierungs-Token) und eventuell noch um den Faktor „Eigenschaft“ (Biometrie) oder „Verhalten“ erweitert.
Eine Zweifaktor-Authentifizierung kann bereits sehr effektiv sein, allerdings hat sie auch ihre Grenzen. Durch das Hinzufügen der Eigenschaft als dritten Faktor mit der Nutzung biometrischer Verfahren wie Fingerabdruck oder Gesichtserkennung können Zahlungsdienstleister ein deutlich höheres Maß an Datensicherheit realisieren.
„Es liegt auf der Hand, dass die Zweifaktor-Authentifizierung besser als eine Einfaktor-Authentifizierung ist. Klar ist aber auch, dass zusätzliche Sicherheit nur durch eine Multifaktor-Authentifizierung gewährleistet ist“, betont Marc T. Hanne, Director of Sales EMEA and India, IAM Solutions bei HID Global. „Deshalb ist es gerade für Unternehmen der Finanzdienstleistungsbranche empfehlenswert, eine solche Lösung zu nutzen, um vertrauliche Daten zuverlässig zu schützen und sichere Finanztransaktionen zu ermöglichen.“
Hinsichtlich einer durchgängigen mehrstufigen Security-Strategie sind, abgesehen von der Authentifizierung, weitere Sicherheitsmaßnahmen zu ergreifen. So sind etwa die Datenverschlüsselung und die Nutzung getrennter Kommunikationskanäle für End-to-End-Transaktionsprozesse unverzichtbar. Die Validierung und Freigabe von Transaktionen sollte über separate Kanäle erfolgen, um betrügerische Angriffe zu erschweren. Dedizierte, voneinander getrennte und verschlüsselte Kanäle sind essenzielle Elemente, um Datenschutz und -sicherheit für vertrauliche Kundeninformationen zu gewährleisten.
Aufgrund der zunehmenden Malware-Attacken auf mobile Applikationen muss eine Banking-Lösung unter anderem auch eine Erkennung von Debuggern, Emulatoren, Manipulationen und Code-Verschleierungen bieten. Ebenso empfiehlt sich die Nutzung einer RASP (Runtime Application Self-Protection)-Sicherheitssoftware, um auf der Anwendungsebene Angriffe zu erkennen und zu blockieren. Als Sicherungsmaßnahmen bieten sich nicht zuletzt auch Echtzeit-Geräte-Analysen und -Ortungen an.
Es steht außer Frage, dass eine digitale Banking-Lösung eine hohe Sicherheit bieten muss, allerdings darf sie auch den Nutzerkomfort nicht unnötig beeinträchtigen. Auch wenn Vorgaben die Nutzung der Zwei- oder Mehrfaktor-Authentifizierung erfordern, muss für den Bankkunden ein schneller, müheloser Transaktionsprozess gewährleistet bleiben.
Eine Möglichkeit besteht darin, die meisten Authentifizierungsverfahren „im Hintergrund“ laufen zu lassen, so dass eine zusätzliche Authentifizierung für Nutzer nur dann erforderlich wird, wenn sie aufgrund bestehender Sicherheitsrichtlinien nötig ist, und der Anwender damit maximal entlastet wird. Die Kundenbeeinträchtigung kann ohne Abstriche hinsichtlich der Sicherheit minimiert werden, indem etwa die Anmeldung des Nutzers durch Verfahren wie Geolokation, verhaltensbasierte Authentifizierung oder Geräteidentifikation unterstützt wird, die automatisch im Hintergrund ablaufen.
„Robuste Sicherheitsmaßnahmen sind in Kombination mit einer anwenderfreundlichen Bedienung die Grundlagen für eine erfolgreiche Umsetzung von digitalen Banking-Strategien. Nur so kann die Akzeptanz der Nutzer gewonnen werden“, so Hanne. „Führen Finanzinstitute eine Lösung ein, die einerseits eine hohe Sicherheit garantiert und andererseits auch eine positive User Experience bietet, können sie das Kundenvertrauen und die Kundenbindung erhöhen und sich damit nicht zuletzt auch im Wettbewerb differenzieren.“