38 01 | 2021 Starke
38 01 | 2021 Starke Kundenauthentifizierung KI-basierte Verhaltensbiometrie als Chance für die Finanzbranche? Die jetzt überall erforderliche Zwei-Faktor-Authentifizierung (Starke Kundenauthentifizierung) soll für mehr Sicherheit bei Finanztransaktionen sorgen. Doch aufgrund der zusätzlichen Hürden wird der Authentifizierungsprozess komplexer. Beim Online Shopping kommt es vermehrt zu Abbrüchen. Finanzinstitutionen und Händler sind daher auf der Suche nach Verfahren, die den Sicherheitsanforderungen genügen. Sind biometrische Authentifizierungsverfahren die Lösung? Und warum spielt Künstliche Intelligenz (KI) bei biometrischen Verfahren eine entscheidende Rolle?
01 | 2021 39 Mit der Einführung der zweiten EUZahlungsdiensterichtlinie (PSD2) im September 2019 wurde die ZweiFaktorAuthentifizierung (2FA) bei vielen finanziellen Transaktionen zur Pflicht. Hierfür müssen zwei Authentifizierungsverfahren aus den Bereichen Besitz, Wissen oder Inhärenz (Biometrie) kombiniert werden. Diese zusätzliche Sicherheitsstufe bedeutet mehr Aufwand für Banken, Händler und Kunden. Um Letztere nicht zu verärgern und schließlich zu verlieren, sind die Unternehmen auf der Suche nach PSD2kompatiblen Verfahren, die größtmögliche Sicherheit garantieren und gleichzeitig eine optimale User Experience (UX) ermöglichen. Biometrische Verfahren rücken in den Fokus Aufgrund der schlechten User Experience und bekannten Sicherheitslücken bei Passwörtern, aber auch Dank der Integration in moderne Mobilgeräte, gewinnt der Faktor Biometrie zunehmend an Bedeutung. Über biometrische Verfahren wie Fingerabdruck, Gesichtserkennung und neuerdings Verhaltensbiometrie – auch passive Biometrie genannt – können zuverlässig und ohne großen Aufwand individuelle Datenpunkte gesammelt werden, die den Nutzer eindeutig identifizieren. Bei der Verhaltensbiometrie verläuft dieser Prozess sogar ganz ohne aktive Mitwirkung des Anwenders im Hintergrund. Sowohl die EntersektStudie zum Online und Mobile Banking aus dem Jahr 2019 als auch die im August 2020 veröffentlichte PwCStudie „Biometrische Authentifizierungsverfahren 2020“ zeigen die Beliebtheit dieser Lösungen. » 1 Laut PwCUntersuchung authentifizierten sich im vergangenen Jahr 29 Prozent der Nutzer mit biometrischen Verfahren, das sind 11 Prozentpunkte mehr als 2018. Hier spielt das Thema Sicherheit eine entscheidende Rolle: Mehr als zwei Drittel der Deutschen (68 Prozent) halten die biometrische Authentifizierung für sicher. KI-basierte Datenanalyse Verhaltensbasierte Lösungen gehören zu den jüngsten biometrischen Entwicklungen. Dabei werden umfangreiche Daten durch die KIbasierte Auswertung des Umgangs der Verbraucher mit ihren digitalen Geräten gesammelt. Folgende Aktionen werden dabei beispielsweise analysiert: ■ Druck: Wie viel Druck üben Nutzer aus, wenn sie den Bildschirm ihres Geräts berühren? ■ Tippfrequenz: Wie schnell streichen und tippen sie auf dem Bildschirm ihres Geräts? ■ Position: Wie halten sie ihr Gerät, wenn sie mit ihm interagieren? ■ Gerät und Verbindung: Wie verbinden sie sich mit der Umgebung? ■ Erwartetes Verhalten: Ist ihr Verhalten konsistent mit früherem Verhalten? Zusätzliche Daten wie geografischer Standort, IPAdresse und die Transaktionshistorie des Geräts werden verwendet, um eine statistisch validierte Wahrscheinlichkeitseinschätzung zu erstellen, ob die Person tatsächlich der legitime Nutzer ist. So werden Hunderte von Datenpunkten gesammelt und Interaktionen auf Abweichungen vom erwarteten Verhalten, Verdacht auf automatisiertes Verhalten, Spoofing, Abfangen/Manipulation durch Malware oder andere Anomalien geprüft. Insgesamt beruht die KIbasierte Datenanalyse bei der Verhaltensbiometrie auf vier Säulen: 1. Identifizierung von Gerät, Verbindung und Standort: Informationen wie Gerätetyp und Geodaten werden verwendet, um eine GeräteID zu erstellen, die Spoofing oder Gerätemaskierung erkennt. 2. Passive (unsichtbare) biometrische Validierung: Die Art und Weise, wie ein Benutzer Eingaben auf dem Gerät vornimmt, (z. B. Tippgeschwindigkeit, Abweichungen beim Tastenanschlag) wird gemessen, um menschliches versus nichtmenschliches Verhalten zu identifizieren und potenzielle Betrüger vom rechtmäßigen Nutzer zu unterscheiden. 3. Verhaltensanalyse: Das Benutzerverhalten wird kontinuierlich analysiert und mit dem Verhalten in der Vergangenheit abgeglichen, um Anomalien sowohl auf individueller als auch auf Gesamtbevölkerungsbasis zu erkennen. 4. Abgleich mit einem anonymisierten Datenpool und bekannten Betrugsmustern. Die KI der passiven Biometrie verwendet eine Technik ähnlich der Ausreißererkennung, um eine aktuelle Transaktion mit einem historischen Profil des Kontos zu vergleichen und um zu klassifizieren, ob es sich um denselben oder möglicherweise einen anderen Benutzer handelt. Techniken des Supervised Learnings werden genutzt, um langfristig sehr zuverlässige
