IAM-Modernisierung für Bundesstaaten und Kommunalverwaltungen
Bundesstaaten und Kommunalverwaltungen modernisieren ihre digitalen Services rasant, um ihre Bürgerinnen und Bürger besser zu bedienen. Doch im gleichen Tempo, in dem öffentliche Einrichtungen digitalisieren, nehmen auch Cyberbedrohungen und operative Komplexität zu. Betrüger nutzen GenAI für alles – von Deepfakes und Voice Cloning bis hin zu personalisiertem Phishing und gefälschten KI-Plattformen, die Anmeldedaten stehlen. Da Betrugsverluste schnell außer Kontrolle geraten können, ist Betrugsprävention ein entscheidender Bestandteil der Strategie jeder Organisation. Das Ergebnis? Milliardenverluste durch Betrug, wachsendes Misstrauen in der Bevölkerung und digitale Erlebnisse mit Reibungsverlusten, die die Ziele der Servicebereitstellung untergraben. Doch es gibt einen besseren Weg nach vorn.
Dieser Leitfaden zeigt, wie moderne Identity- und Access-Management-(IAM)-Lösungen öffentlichen Einrichtungen dabei helfen, digitale Erlebnisse zu vereinheitlichen und zu sichern, Betrug und Missbrauch zu reduzieren, KI-gestützte Bedrohungen abzuwehren und Abläufe zu optimieren. Erfahren Sie, wie Sie Bewohnern, Mitarbeitenden und Partnern sicheren, nahtlosen Zugriff ermöglichen und gleichzeitig Vertrauen aufbauen, die Effizienz steigern und öffentliche Ressourcen schützen.
Wie gelingt wirksame Betrugsprävention?
- Die sich wandelnde Betrugslandschaft und ihre Auswirkungen auf Ihre Strategie zur Betrugsbekämpfung
- Der mehrstufige Prozess der Betrugsprävention und die verschiedenen Tools für Ihr Instrumentarium zur Betrugsbekämpfung
- Der Zusammenhang zwischen Betrugsprävention und den Erfahrungen von Bürgern sowie Drittparteien
- Der Weg zu einer dynamischen Strategie zur Betrugsbekämpfung
Wie nutzen Betrüger staatliche Einrichtungen aus?
Cyberkriminelle sind keine homogene Gruppe. Das Wort „Betrüger“ ruft oft das Bild einer düsteren Gestalt im Hoodie hervor, die bedrohlich über einen Bildschirm gebeugt sitzt – doch das entspricht nicht zwangsläufig der Realität. Betrüger sind unterschiedlich alt und leben in allen Ländern. Viele agieren allein, andere arbeiten in „Betrugsringen“, die von Nationalstaaten und/oder großen, gut finanzierten kriminellen Organisationen betrieben werden. Einige dieser Kriminellen agieren ausschließlich online, während andere als charismatische Trickbetrüger auftreten, die sich als legitime Dienstleister ausgeben, um Opfern Informationen zu entlocken und anschließend auf deren Konten zuzugreifen. Und natürlich nutzen viele dieser Akteure digitale Technologien, um Umfang und Reichweite ihrer Angriffe erheblich zu vergrößern.
Die Tools, die Betrüger für ihre Straftaten nutzen
Wie Bundesstaaten und Kommunalverwaltungen Betrug verhindern können
Wirksame Betrugsprävention erfordert, dass Organisationen Informationen über betrügerische Aktivitäten sammeln, um ihre Abwehrhaltung zu verbessern.
Anwendungsfall: Großer Mobilfunkanbieter und Einzelhändler für US-Regierungsbehörden
Ein Unternehmen, das Mobilfunk- und Internetdienste für Endnutzer, Unternehmen und Regierungsbehörden anbietet, wandte sich an Ping auf der Suche nach einer Lösung, die die Sicherheit verbessert und es autorisierten Wiederverkäufern und Mitarbeitern erleichtert, Geschäfte abzuwickeln.
Herausforderungen des Kunden:
- Keine Kontrolle über die Arten von Geräten und Netzwerken, die Wiederverkäufer nutzen
- MFA-Müdigkeit begann sowohl Sicherheit als auch Nutzererlebnis zu beeinträchtigen
- Produktivitäts- und Umsatzverluste aufgrund wiederholter MFA-Aufforderungen
- Zunahme von E-Commerce-Betrug, insbesondere zu umsatzstarken Zeiten im Jahr
Ping-Lösung — Betrugserkennung (PingOne Protect):
- Einsatz einer Betrugslösung zur Analyse von Traffic-Mustern und Verhaltensweisen, anschließend Implementierung einer risikobasierten Authentifizierung, um MFA nur in Hochrisikosituationen auszulösen
- Feinabstimmung der Risikorichtlinien in PingOne Protect zur Einrichtung von MFA in anonymen Netzwerken
- Erweiterung der Bedrohungseinblicke durch Integration von Logs in Sicherheitstools
Endergebnis:
- Die Implementierung dauerte 3 Monate und umfasste 30 PingFederate-Richtlinien sowie mehr als 200 Verbindungen; die Erfolgsquote war hoch, lediglich 2 Anwendungen schlugen fehl
- Reduzierung der MFA-Aufforderungen von mehrmals täglich auf einmal pro Woche
- Reduzierung betrügerischer Aktivitäten ohne zusätzliche Reibung für vertrauenswürdige Verbindungen und interne Mitarbeiter zu erzeugen
- Auslösung zusätzlicher Sicherheitsmaßnahmen für anonyme und verdächtige Netzwerke
Betrugsbekämpfungstools
Da Betrüger ihre Methoden weiterentwickeln und ihre Vorgehensweisen verfeinern, versuchen Fraud-Teams Schritt zu halten. Manuelle Prüfungen reichen nicht mehr aus, daher verbreiten sich digitale Betrugsmanagement-Tools zunehmend. Diese Tools lassen sich im Allgemeinen einer von mehreren Kategorien zuordnen und entsprechen grob einem oder mehreren der oben beschriebenen Schritte des Betrugspräventionsprozesses.
Schutz vor Zahlungsbetrug
Unternehmen werden durch Betrug höhere Verluste erleiden, da immer mehr Dienstleistungen in die Online-Umgebung verlagert werden. Automatisierte Tools zum Schutz vor Zahlungsbetrug können helfen, die Genauigkeit der Betrugserkennung zu verbessern und den Bedarf an manueller Bearbeitung durch Mitarbeiter zu verringern. Diese Tools integrieren Funktionen wie Risikoregeln, Risikobewertung, Echtzeitüberwachung und Geschwindigkeitsprüfungen (Velocity Checks), um betrügerische Kaufaktivitäten zu erkennen und zu blockieren.
Bot-Erkennung und -Management
Viele Bots sind darauf ausgelegt, Schaden zu verursachen, aber nicht alle Bots sind schädlich. Beispielsweise verwendet Google gute Bots, um Webseiten in den Google-Suchergebnissen zu indexieren und zu bewerten. Tools zur Bot-Erkennung und -Verwaltung zielen darauf ab, zwischen guten und schlechten Bots zu unterscheiden und festzulegen, welche auf eine Website zugreifen dürfen. Diese Fähigkeit ist entscheidend: So wichtig es ist, schädliche Bots zu blockieren, so wichtig ist es auch, gute Bots zuzulassen, um die Sichtbarkeit und Relevanz einer Website sicherzustellen. Tools zur Bot-Erkennung und -Verwaltung unterscheiden zwischen menschlichen Besuchern, guten Bots und schlechten Bots und nutzen Machine Learning sowie Threat Intelligence, um betrügerische Aktivitäten zu erkennen. Diese Tools sind effektiv, um schädliche Bots bei Aktivitäten wie Kreditkartenbetrug, Warenhortung und Credential Stuffing zu verhindern.
Verhaltensbiometrie
Da Betrüger immer ausgefeilter vorgehen, sind traditionelle Sicherheitsmaßnahmen wie PINs weniger wirksam. Verhaltensbiometrie ist ein zunehmend beliebtes Instrument, um zwischen Menschen und Bots oder zwischen autorisierten und nicht autorisierten menschlichen Benutzern zu unterscheiden. Während physische Biometrie unveränderliche menschliche Merkmale wie Fingerabdrücke erfasst, misst Verhaltensbiometrie interaktive menschliche Gesten. Beispielsweise sind die Art und Weise, wie wir unsere Smartphones halten, unsere Scroll-Muster sowie Druck und Geschwindigkeit unserer Tastenanschläge Mikrogesten, die für jeden von uns einzigartig sind. Digitale Tools beginnen, diese biometrischen Daten zu nutzen, um betrügerische Aktivitäten zu kennzeichnen, wenn das Verhalten eines bestimmten Benutzers nicht mit seinem bisherigen Verhalten auf einer Website übereinstimmt oder seinem Verhalten dem eines Bots ähnelt.
Geräte-ID
Die Geräteidentifizierung konzentriert sich auf Geräte statt auf Benutzer. Informationen wie Gerätetyp, IP-Adresse, lokale Zeitzone und Browsersprache bilden einen „Fingerabdruck“ des Geräts und können Unternehmen bei der Betrugserkennung unterstützen. Wenn beispielsweise ein bestimmtes Gerät mit fünf verschiedenen Konten verknüpft ist, die versuchen, auf einer Website Einkäufe zu tätigen, registrieren Geräte-ID-Tools potenziell betrügerische Aktivitäten. Zu den Vorteilen von Geräte-ID-Tools gehört, dass sie keine personenbezogenen Benutzerdaten erfordern und wiederkehrende Betrüger anhand eines zuvor verwendeten Geräts blockieren können.
Tools zur Identitätsprüfung und -bestätigung
Früher wurde die Online-Identität mit Benutzernamen, E-Mail-Adressen und Passwörtern bestätigt. Heute reichen diese Maßnahmen nicht mehr aus. Abhängig von der Art ihrer Dienstleistungen müssen Unternehmen unterschiedliche Tools zur Identitätsprüfung einsetzen, um sicherzustellen, dass die angegebene Identität eines Benutzers mit seiner tatsächlichen Identität übereinstimmt. Eine Komponente dieser Tools ist die schnelle Analyse historischer Transaktionsdaten eines Benutzers, die aus öffentlichen und privaten Quellen stammen. Dies wird als wissensbasierte Authentifizierung (Knowledge-Based Authentication, KBA) bezeichnet und gilt häufig als veraltete Methode, die zu viel Reibung verursacht. Modernere Methoden umfassen die Bewertung physischer Merkmale eines Benutzers. Einige Unternehmen führen manuelle Prüfungen durch, indem sie Benutzer auffordern, ihren Reisepass oder Führerschein vor der Computerkamera vorzuzeigen. Andere nutzen biometrische Gesichtserkennung, indem sie über die Computerkamera ein Bild des Gesichts aufnehmen, um die Identität zu verifizieren.
Payment-Orchestration-Tools
Unternehmen setzen Payment-Orchestration-Tools ein, indem sie einen komplexen Transaktionsprozess in einem zentralen Hub orchestrieren. Diese Tools helfen, digitale Bedrohungen daran zu hindern, in verschiedene Teile des Zahlungsprozesses einzudringen. Payment-Orchestration-Plattformen sammeln und teilen Daten, die es Unternehmen ermöglichen, potenziellen Betrügern gezielt zusätzliche Reibungspunkte hinzuzufügen und gleichzeitig autorisierten Benutzern einen reibungslosen Transaktionsprozess zu bieten. Payment-Orchestration-Tools sind besonders hilfreich bei der Verhinderung von Transaktionsbetrug.
Autorisierungstools
Nach der Authentifizierung von Benutzern kann das Unternehmen diesen unterschiedliche Zugriffsebenen innerhalb seiner Website zuweisen. Autorisierungstools gewähren oder verweigern Benutzern Berechtigungen anhand von Einstellungen und Parametern, die von Sicherheitsteams festgelegt werden, sowie mithilfe von Zugriffstokens. Einige Tools konzentrieren sich ausschließlich auf die Autorisierung, während andere Authentifizierungs- und Autorisierungsfunktionen kombinieren. Durch den Einsatz von Autorisierungstools schaffen Unternehmen eine Infrastruktur, die Zugriffe und Berechtigungen sowohl für externe Benutzer als auch für interne Mitarbeiter festlegt.
Dynamische Autorisierungstools – auch bekannt als attribute-based access control (ABAC) oder externalized authorization management (EAM) – gehen weit über traditionelle Autorisierungstools hinaus, indem sie Unternehmen die Möglichkeit geben, beliebige Datensätze auszuwerten und richtlinienbasierte Entscheidungen darüber durchzusetzen, welche Aktionen auf Grundlage dieser Daten zulässig sind.
Fraud- & Financial-Crime-Hubs
Fraud- und Financial-Crime-Hubs – manchmal auch Decisioning-Hubs genannt – werden eingesetzt, um den Entscheidungsprozess zu vereinfachen und zu automatisieren. Dabei handelt es sich häufig um Autorisierungstools mit gewissen Orchestrierungsfunktionen. Ziel dieser Tools ist es, das Betrugsmanagement durch Zentralisierung von Betrugslogik und Decisioning zu vereinfachen. Der größte Vorteil dieser Tools ist das Versprechen, den Bedarf an manueller Prüfung erheblich zu reduzieren.
Die Rolle von Fraud- & Risk-Teams
Mit dem Anstieg des E-Commerce und der damit einhergehenden Zunahme von Online-Betrug wird es für die meisten Unternehmen schwieriger, Betrug ohne die Unterstützung automatisierter Tools manuell zu überwachen und zu verhindern. Dennoch verlassen sich einige Unternehmen ausschließlich auf menschliche Teams zur Betrugserkennung und -prävention. Diese Entscheidung basiert häufig auf der Annahme, dass menschliche Mitarbeiter Betrug genauer identifizieren und die Quote falscher Erkennungen durch die individuelle Prüfung jedes einzelnen Falls senken können. Diese Mitarbeiter nutzen ihr unternehmensspezifisches Wissen, um den Ansatz zur Betrugsprävention an den einzigartigen Kontext des Unternehmens anzupassen.
Dennoch gibt es Nachteile, ein Team ausschließlich für die Betrugsprävention einzusetzen: Es ist für Unternehmen kostspielig; die Anforderungen an diese Teams können zwischen Verkaufs-Hoch- und -Tiefphasen erheblich schwanken; und Menschen benötigen möglicherweise länger als automatisierte Tools, um Betrug zu erkennen und zu verhindern – was zu Frustration bei den Nutzern führen kann.
Die meisten Organisationen verfolgen einen Ansatz der teilweisen Automatisierung: Betrugs- und Risikoteams führen einige manuelle Prüfungen durch, konzentrieren sich jedoch auch auf übergeordnete Strategien zur Betrugsprävention, die auf Daten automatisierter Tools basieren.
Der additive Charakter der Betrugsprävention
Da Betrugsmethoden äußerst ausgefeilt sind und sich schnell weiterentwickeln, müssen sich auch Gegenmaßnahmen kontinuierlich anpassen. Das kann für Unternehmen frustrierend sein, die erheblichen Aufwand in die Auswahl, Entwicklung und Implementierung einer Strategie zur Betrugsbekämpfung investieren. Anstatt die Nutzung spezifischer Tools und Technologien in den Vordergrund zu stellen, sollte sich eine Strategie zur Betrugsbekämpfung auf allgemeine Grundsätze konzentrieren – etwa darauf, welche finanziellen und personellen Ressourcen für die Betrugsprävention bereitgestellt werden. Darüber hinaus sollten Unternehmen neue Technologien zur Betrugsbekämpfung einführen, um bestehende Maßnahmen zu ergänzen – nicht zu ersetzen. Ein additiver Ansatz kann sowohl die Wirksamkeit der Maßnahmen verbessern als auch die Investitionen in Cybersicherheit optimal nutzen.
Hinweis zu Identity-Teams
Während Betrugsteams in der Vergangenheit häufig isoliert arbeiteten, beginnt sich dies zu ändern. Mit dem Aufkommen neuer Technologien zur Betrugserkennung, Identitätsprüfung und Zugriffsverwaltung können Identity-Teams nun gemeinsam mit Betrugsteams zum Vorteil der gesamten Organisation zusammenarbeiten. Da sich der Fokus der Betrugsprävention vom Schutz einzelner Transaktionen hin zum Schutz der gesamten End-to-End-User-Journey verlagert, kann die Integration von Identity- und Betrugstools in nahtlose und sichere Nutzerabläufe beiden Teams helfen, ihre Kennzahlen zu erreichen.
Argumente für Integration: Betrugsprävention & die umfassendere User-Journey
Die Kosten einer schlechten UX
Bundesstaatliche und kommunale Behörden stehen nicht im traditionellen Sinne im Wettbewerb um Kunden, doch das Nutzererlebnis ist dennoch entscheidend. Wenn digitale Services schwer zugänglich, verwirrend oder übermäßig aufwendig sind, sinken nicht nur die „Conversions“ – Bürger wenden sich stattdessen an Callcenter, suchen persönliche Anlaufstellen auf oder verschieben ihre Anliegen ganz. Zwar erwarten Bürger beim Zugriff auf Behördendienste ein gewisses Maß an Sicherheit, doch übermäßige Reibung schafft Hürden für die Nutzung und untergräbt das Vertrauen. Inkonsistente oder frustrierende Erlebnisse treiben Menschen letztlich zu weniger effizienten Kanälen, erhöhen die Betriebskosten und begrenzen die Wirkung digitaler Initiativen.
Sicherheit vs. Nahtlosigkeit: Die richtige Balance finden
Bürger und Drittparteien legen Wert auf Sicherheit, Komfort und Datenschutz. Es gibt keine perfekte Formel, die für jede Organisation funktioniert, doch ein integrierter Ansatz für Betrugsprävention und Benutzeridentität kann helfen, die richtige Balance zu finden. Entscheidend ist, Benutzersitzungen kontinuierlich auf Betrug zu prüfen und Reibung nur dann einzuführen, wenn durch das Einleiten von Gegenmaßnahmen tatsächlich Bedarf besteht.
Die richtigen Tools zusammenbringen
Die User-Journey steht im Mittelpunkt aller Aktivitäten Ihrer Organisation, und die Betrugsprävention spielt dabei eine wichtige Rolle. Eigenständige Tools zur Betrugserkennung sind nicht effektiv, wenn die von ihnen gesammelten Informationen nicht in die umfassendere User-Journey integriert werden. Betrugs- und Identity-Teams können und sollten zusammenarbeiten, um auf Vertrauen ausgerichtete Journeys zu orchestrieren.
Die ständige Weiterentwicklung der Strategie zur Betrugsbekämpfung
Natürlich kann selbst das oben beschriebene Modell nicht statisch bleiben. Betrüger sind motiviert, technisch versiert und äußerst erfinderisch. Neue Angriffsarten entstehen kontinuierlich, und Betrugsteams reagieren meist auf Veränderungen in der Betrugslandschaft. Das gesamte Umfeld entwickelt sich so schnell, dass bis eine Organisation ihre Strategie definiert, abgestimmt und umgesetzt hat, bereits neue Bedrohungen entstanden sein können, die diese Strategie obsolet machen.
Eine wirksame Strategie zur Betrugsbekämpfung muss sich auf übergeordnete Prinzipien statt auf Implementierungsdetails konzentrieren und dem Unternehmen helfen, fundiertere Entscheidungen über den besten Ansatz zur Erkennung, Verhinderung und Steuerung von Betrug zu treffen. Anstatt sich auf ein bestimmtes Set an Tools und Techniken festzulegen, kann eine klar definierte Strategie allgemeine Grundsätze für die Einführung, Pflege und Stärkung von Betrugsbekämpfungsmaßnahmen durch Technologie festlegen. Ein zentraler Punkt ist hierbei, dass es sich um ein Wettrüsten handelt: Während Betrüger neue Exploits entwickeln, erarbeiten Forscher und Softwareunternehmen neue Gegenmaßnahmen. Eine pragmatische Strategie wird daher betonen, wie wichtig es ist, durch kontinuierliche Investitionen in neue Technologien und in qualifizierte Fachkräfte auf dem neuesten Stand zu bleiben. Betrüger bleiben nicht stehen – daher können es sich auch Betrugsteams nicht leisten, sich auf ihren Erfolgen auszuruhen. Ihre Strategie zur Betrugsprävention erfordert eine fortlaufende Überprüfung und regelmäßige Aktualisierungen, um sicherzustellen, dass Sie und Ihre Nutzer geschützt bleiben.
Mit den richtigen Tools in Ihrem Werkzeugkasten verfügen Sie jedoch über die nötige Agilität, um mit der schnelllebigen Betrugslandschaft Schritt zu halten.