Multi-Faktor-Authentifizierung für Kunden

Der Schutz von Anmeldeinformationen und Daten ist entscheidend, wenn Sie Ihre Kunden dauerhaft binden wollen. Da immer häufiger über Datenschutzverletzungen auf hohem Niveau berichtet wird, rücken die potenziellen Sicherheitsbedrohungen auch immer stärker ins Bewusstsein der Endverbraucher. Aus diesem Grund achten besorgte Kunden bei Unternehmen auch stärker darauf, wie ihre Daten gesichert und ihre Identitäten insgesamt geschützt werden.

Einige Angriffsvektoren – wie zum Beispiel der versuchte Diebstahl von Kundendaten durch Brute-Force-Angriffe – können proaktiv durch Sicherheitsmaßnahmen in Ihrem Unternehmen eingeschränkt werden. Andere hingegen – wie Phishing-Betrug oder weitergegebene Anmeldeinformationen, die in anderen Unternehmen zur Gefahr werden – sind schon schwieriger zu verhindern. In beiden Fällen steht der Ruf Ihres Unternehmens und Ihrer Marke auf dem Spiel, sollten Sie das unglückliche Ziel eines Angriffs werden.

Die Multi-Faktor-Authentifizierung (MFA) bietet Ihrem Unternehmen und Ihren Kunden die zusätzliche und entscheidende Sicherheitsschicht. Die MFA beschränkt sich nicht länger nur auf die Mitarbeiternutzung, sondern kann auch Ihre Kunden erfolgreich bei Interaktionen mit Ihren digitalen Funktionen schützen und die weitreichenden Auswirkungen kompromittierter Authentifizierungsdaten verringern.

Abgesehen davon können Verifizierungslösungen wie die MFA zwar mehr Sicherheit bieten, den Benutzern aber auch die Anmeldeerfahrungen vergällen, wenn sie nicht korrekt umgesetzt werden. Kunden wünschen sich schnelle und nahtlose Online-Erlebnisse, erwarten aber auch, dass die Unternehmen sie vor Datenschutzverletzungen und Betrug schützen, ohne dass diese Erlebnisse beeinträchtigt werden. Um die hohen Kundenanforderungen erfüllen zu können, stehen Unternehmen daher unter dem stetigen Druck, beim Angebot ihrer digitalen Erfahrungen die perfekte Ausgewogenheit zwischen Sicherheit und Komfort zu finden, um den Kundendialog, die Zufriedenheit und letztlich auch die Loyalität zu stärken.

Glücklicherweise müssen sich Kundensicherheit und -komfort nicht zwangsläufig gegenseitig ausschließen. Um die MFA für Kunden jedoch erfolgreich anwenden zu können, müssen Sie Entscheidungen für die Umsetzung treffen, die sowohl die Kundenzufriedenheit als auch die Sicherheit für verschiedene Anwendungsfälle optimieren. Außerdem müssen Sie die beste Methode ermitteln, um die MFA in Ihren Kundenstamm einzuführen und entscheiden, ob die Verwendung verpflichtend oder optional sein soll.

Das Einbinden einer Multi-Faktor-Authentifizierung für Kunden erfordert eine sorgfältige Planung. Wenn alles ordnungsgemäß erfolgt, erhalten Ihre Kunden die benötigte zusätzliche Sicherheit, ohne dass die erwarteten reibungslosen Abläufe beeinträchtigt werden.

Die MFA ist bei der Erstellung von Konten und bei der Anmeldung auf Websites mittlerweile zu einer Selbstverständlichkeit geworden, auch wenn ihnen der genaue Sinn nicht unbedingt immer klar ist. Die Multi-Faktor-Authentifizierung⁠ verwendet, wie der Name schon sagt, zwei oder mehr Faktoren (auch als „Anmeldedaten“ bezeichnet) zur Authentifizierung eines Users. Diese Faktoren müssen aus mindestens zwei von drei Kategorien stammen:

Etwas, das man weiß

Die Passwörter, PINS oder Muster, die normalerweise den ersten Authentifizierungsfaktor bilden, sind wissensbasiert und können Fragen sein wie zum Beispiel „Wie lautet der Mädchenname Ihrer Mutter?“.

Etwas, das man hat

Authentifizierungsfaktoren dieser Kategorie bestätigen, dass Sie im Besitz eines bestimmten Gegenstands sind. Dies kann beispielsweise der Empfang einer Textmeldung auf Ihrem Mobiltelefon oder das Einstecken Ihrer Bankkarte in einen Geldautomaten sein.

Etwas, das man ist oder tut

Diese MFA-Kategorie bezieht sich in der Regel auf Ihre Biometrie, wobei die gängigsten Verifizierungsmethoden ein Fingerabdruck-Scan, die Gesichtserkennung oder Stimmerkennung sind.

Wenn sich ein Benutzer mit Faktoren aus mindestens zwei dieser Kategorien authentifiziert, kann ihm ein wesentlich höheres Maß an Vertrauen zugeordnet werden. Je nach den Sicherheitsanforderungen Ihres Unternehmens, möchten Sie diese höhere Sicherheitsstufe möglicherweise nur für Transaktionen von hohem Wert anfordern.

Moderne MFA kann die Authentifizierungsanforderungen auch ausgehend von dem kontextabhängigen Risiko erhöhen. Wenn sich Benutzer beispielsweise von einem Gerät aus authentifizieren möchten, das sie schon häufiger benutzt haben, könnten Sie sofortigen Zugriff gewähren. Bei einer Authentifizierung von einem neuen Gerät aus hingegen, könnten Sie zu diesem Zweck die Genehmigung eines bekannten, vertrauenswürdigen Gerätes anfordern.

Bei 80% der Sicherheitsverletzungen handelt es sich um Brute-Force-Angriffe oder um die Verwendung verlorener oder gestohlener Anmeldedaten.² Kurz gesagt, reichen Passwörter schlichtweg nicht mehr aus. Eine einzelne Person nutzt im Durchschnitt etwa 191 Dienste, bei denen die Eingabe von Passwörtern oder anderen Anmeldeinformationen erforderlich ist. Entsprechend müssen Ihre Kunden (also wir alle) wesentlich mehr Passwörter als früher im Kopf haben.³ Infolgedessen wählen die meisten Benutzer Passwörter, die leicht zu merken und daher schwach sind. Darüber hinaus verwenden sie diese Passwörter gleich auf mehreren Websites. Hacker kennen und lauern Tag für Tag auf diese Schwächen der menschlichen Natur.

Die Anmeldeinformationen der Kunden können auf verschiedene Weisen gestohlen werden, aber zumeist handelt es sich um die drei folgenden Methoden:

Phishing-Attacken

Hacker täuschen vor, eine vertrauenswürdige Person zu sein, indem sie eine E-Mail senden, die aussieht, als käme sie von einem bekannten und zuverlässigen Unternehmen. Der Nutzer wird dann in der Regel zu einer gefälschten Website weitergeleitet – die legitim erscheint – wo er dann zur Anmeldung aufgefordert wird. Sobald der Nutzer seine Kontoinformationen eingibt, gelangen sie in den Besitz des Hackers.

Brute-Force-Angriffe

Bei einem Brute-Force-Angriff wird das Passwort eines Nutzers durch Ausprobieren erraten. Die Hacker verschaffen sich eine Liste mit gültigen Benutzernamen einer Website und lassen dann einen Bot die Liste von schwachen Passwörtern mit Anmeldeversuchen abarbeiten. Im Jahr 2020 gab es in Foren mehr als 15 Milliarden kompromittierte Zugangsdaten, auf die Hacker problemlos zugreifen konnten.⁴

Das mehrfache Verwenden von Anmeldedaten

70% der Nutzer verwenden dieselben Benutzernamen und Passwörter auf mehreren Websites, und dies macht sie zu einem leichten Ziel für Kriminelle.⁵ Wenn Login-Daten durch Phishing oder Brute-Force-Angriffe auf einer Website kompromittiert werden, können Hacker dieselben Kombinationen von Benutzernamen und Passwörtern auch auf weiteren Websites ausprobieren.

Diese Angriffsvektoren haben eines gemeinsam: Sie können allesamt durch das Anfordern einer Multi-Faktor-Authentifizierung verhindert werden. Ganz gleich, wie sich ein Hacker Zugang zu den Anmeldedaten eines Benutzers verschafft: Sie werden für ihn nutzlos, wenn zusätzlich ein bestimmtes (oder vertrauenswürdiges) Gerät zur Authentifizierung oder zur Durchführung hochwertiger Transaktionen gefordert wird.

Darüber hinaus ist die MFA eine wichtige Komponente jeder soliden Strategie zur Betrugsprävention, da sie sicherstellt, dass die Person, die mit Ihrer Marke interagiert, ein echter Mensch und kein Bot ist.

Schließlich erwarten die Kunden von Ihnen, dass Sie ihre Daten und Interaktionen mit Ihrer Marke schützen. Die MFA bietet eine gute Möglichkeit, um Ihren Kunden zu zeigen, dass Sie ihre Privatsphäre und Sicherheit ernst nehmen.

Bei der Einführung von MFA für Ihre Mitarbeiter ist Sicherheit in der Regel das Hauptanliegen. Auch wenn Sie das Benutzererlebnis nicht vollständig außer Acht lassen, werden Sie der Sicherheit und dem Risikomanagement Ihrer Unternehmensressourcen sicherlich mehr Gewicht verleihen, als den Präferenzen Ihrer Mitarbeiter hinsichtlich der Benutzerfreundlichkeit. Bei Kunden hingegen ist die Sachlage anders. Die Implementierung einer kundenorientierten MFA darf den Komfort nicht der Sicherheit opfern und umgekehrt.

Die Anforderungen und bewährten Verfahren bei einer Kunden-MFA unterscheiden sich von jenen für die Mitarbeiter eines Unternehmens. Es gibt vier grundlegende Dinge, die bei einer MFA-Lösung für Kunden zu beachten sind:

Es gibt einige recht gängige Anwendungsfälle, in denen der Einsatz einer Kunden-MFA von Vorteil sein kann. Aber auch wenn Sie in der Lage sind, in diesen Szenarien eine Multi-Faktor-Authentifizierung bereitzustellen, müssen Sie es nicht immer tun. Das reifliche Überdenken der kontextabhängigen Risikofaktoren, bevor Sie die Verwendung von MFA für alle möglichen Szenarien anwenden, kann dafür sorgen, dass Ihnen weiterhin ein positives Kundenerlebnis gesichert bleibt. Häufige Anwendungsfälle für eine Kunden-MFA:

Out-Of-Band Web-Authentifizierung

Die Bereitstellung einer Out-of-Band-MFA für die webbasierte Authentifizierung ist wohl der häufigste Anwendungsbereich für die MFA. Hierbei wird einfach ein zweiter Authentifizierungsfaktor angefordert (z. B. eine Push-Benachrichtigung oder ein Fingerabdruck auf einem vertrauenswürdigen Gerät), wenn ein Nutzer versucht, sich bei einer Web-App anzumelden. Dieses Vorgehen kann auch auf Situationen mit hohem Risiko beschränkt werden, wenn sich zum Beispiel ein Nutzer von einem bis dahin unbekannten Gerät anzumelden versucht.

Passwortlose Authentifizierung – Ohne Benutzerkennung

Je nach Ermessen Ihres Sicherheitsteams könnten sich Kunden mithilfe der Out-of-Band-Authentifizierung auch ganz ohne die erforderliche Eingabe eines Passworts anmelden. Dies würde den Zugang für Endverbraucher optimieren, die sich bisher bei TV- oder anderen Geräten mit einer eher umständlichen Benutzeroberfläche anmelden.

Mit erweiterten Funktionen, wie beispielsweise mit einem QR-Code, der mehr Sicherheit bietet als Push-Benachrichtigungen, ist auch eine benutzerlose Authentifizierung möglich. Da die Kunden mit dem Gebrauch von Push-Benachrichtigungen und QR-Codes im Alltag immer vertrauter werden, können sie dazu übergehen, die Benutzernamen und Passwörter bei digitalen Erfahrungen zu ersetzen, und es den Marken auf diese Weise ermöglichen, reibungslose und sichere Online-Kontakte zu pflegen, ohne ein Passwort zu verlangen.

Mehr Kundenkomfort bei der Authentifizierung auf dem Mobilgerät über Out-of-Band-Medien (z. B. Push-Benachrichtigungen und QR-Codes) ist aus unterschiedlichen Gründen vorteilhaft. Zunächst einmal gleicht es die Risiken aus, die mit kompromittierten Anmeldedaten verbunden sind. Das liegt ganz einfach daran, dass Push-Benachrichtigungen wesentlich sicherer sind als Passwörter (was auch für Einmalpasswörter per SMS und E-Mail gilt). Darüber hinaus kann die MFA auf Mobilgeräten das Kundenerlebnis verbessern, denn sie ist im Vergleich zu anderen Medien schneller, einfacher und reibungsloser. Durch den Wegfall herkömmlicher Anmeldedaten bei der Anmeldung kann die mobile MFA die Kunden auch hin zur passwort- und benutzerlosen Online-Erfahrung lotsen.

Transaktions-Genehmigungen

Die sekundären Authentifizierungsfaktoren sollten anlässlich spezifischer, hochwertiger Transaktionen herbeigeführt werden können. Die entsprechenden Benachrichtigungen an die Kunden müssten auch Informationen über die Transaktion enthalten, damit sie wissen, um welche Genehmigung es sich handelt. Die Bereitstellung der MFA für risikoreiche Transaktionen wie Aktienkäufe, Geldtransfers, die Anmeldung eines neuen Geräts oder die Aktualisierung von Kontoinformationen mit minimalen Auswirkungen auf das Kundenerlebnis kann das Sicherheitsrisiko deutlich senken.
 

Support & Kundendienst

Wenn ein Kunde sein Passwort zurücksetzen muss, kann die MFA den Prozess zum Wiederherstellen des Kontozugangs vereinfachen. Bei Anfragen zum Zurücksetzen des Passworts kann mithilfe der MFA auch überprüft werden, ob es wirklich der Kunde ist, der um das Zurücksetzen seines Passworts bittet, und nicht ein Hacker, der die Kontrolle über dessen Konto erlangen will.

Darüber hinaus können Kundendienstmitarbeiter mit der MFA die Identität einer Person am Telefon schnell bestätigen: Sie brauchen nur eine Push-Benachrichtigung versenden, um zu überprüfen, mit wem sie sprechen. Auf diese Weise können sie die Person sicher und schnell identifizieren, ohne ärgerliche, wissensbasierte Authentifizierungsfragen zu stellen oder PIN-Nummern abfragen zu müssen, die leicht vergessen werden.

Leistungsstarke mobile Authentifizierung

Wenn eine MFA-Lösung in Ihre mobile Anwendung eingebunden ist, sollten das autorisierende Gerät und das authentifizierende Gerät ein und dasselbe sein, wenn sich ein Kunde bei Ihrer mobilen Anwendung anmeldet. Damit kann für zusätzliche Sicherheit gesorgt werden, indem bei der Authentifizierung von mobilen Anwendungen geprüft wird, ob das Gerät vertrauenswürdig ist.

Mit dieser Funktion bräuchte ein Hacker, der sich mit gestohlenen Anmeldeinformationen bei Ihrer mobilen App authentifizieren will, eine Genehmigung über ein vertrauenswürdiges Gerät. Andererseits würde ein Kunde, der sich von einem seiner vertrauenswürdigen Geräte aus bei Ihrer mobilen App anmeldet, sofort Zugang erhalten.

Mit der Unterstützung für diese Art von Anwendungsfällen können Sie Ihren Kunden eine komfortable und sichere MFA-Lösung anbieten.

Natürlich werden einige Kunden zunächst zurückschrecken, wenn Sie zur Nutzung einer MFA aufgefordert werden. Daher ist es im Allgemeinen am besten, sie als optionale Funktion zur Verbesserung der Sicherheit anzubieten. Die Herangehensweise kann sich dabei nach Ihrer Branche richten, so zum Beispiel wenn Sie im Bankwesen tätig sind, wo der Großteil der Transaktionen als hochwertig eingestuft wird. Doch auch in Szenarien wie diesen können Kunden Präferenzen hinsichtlich der von ihnen bevorzugten MFA anmelden.

Fazit: Die Ansprüche an den Komfort und die Präferenzen Ihrer Kunden bei der MFA werden sicherlich variieren, ganz zu schweigen vom ihrer allgemeinen technischen Versiertheit und den verschiedenen Gerätetypen, die sie verwenden. Daher sollten die Unternehmen ihren Kunden möglichst viele Optionen anbieten. Dies könnte auch die Möglichkeit betreffen, sich gegen eine MFA zu entscheiden, wenn sie mehr Wert auf Komfort als auf Sicherheit legen. Oder es könnte um die Auswahl des zweiten Faktors nach eigenem Wunsch gehen. Vielleicht möchten sie ein Einmalpasswort über eine einfache, aber weniger sichere SMS oder E-Mail erhalten? Oder die MFA lieber mit Push-Benachrichtigungen über Ihre mobile Anwendung abwickeln?

Trotz der großen Bandbreite an Kundenpräferenzen sind die Zahlen dennoch eindeutig: Die allgemeinen Standards und Erwartungen der Kunden in Bezug auf Sicherheit und reibungslose digitale Erlebnisse steigen stetig. Daher ist gerade jetzt ein guter Zeitpunkt, um Ihren Kunden eine umfassende und anpassbare MFA-Lösung als Teil Ihrer Identitätslösung anzubieten. Darüber hinaus erhalten Sie mit einem kontextbezogenen, risikobasierten Ansatz bei der MFA die Flexibilität, die besten Sicherheitsmaßnahmen für Ihre Bedürfnisse und die Benutzerfreundlichkeit für Ihre Kunden zu kombinieren.

Eine MFA für Kunden ist heute notwendiger denn je. Angreifer stehlen Anmeldeinformationen und nutzen schwache Passwörter aus. Die Kunden werden als Folge darauf von Ihnen erwarten, dass Sie die notwendigen Sicherheitskontrollen bereitstellen. Wenn Sie sowohl Ihre Kunden als auch Ihr Unternehmen an allen Zugangspunkten schützen wollen, brauchen Sie die starke Verteidigungslinie der Multi-Faktor-Authentifizierung. Eine kundenorientierte MFA-Lösung kann die Daten Ihrer Kunden umfänglich sichern und Ihre Marke schützen.

Die MFA für Kunden ist anders geartet als die MFA für Mitarbeiter. Anders als bei der MFA für Mitarbeiter muss bei der MFA für Kunden ein besseres Gleichgewicht zwischen Sicherheit und Komfort hergestellt werden. Kunden können nicht dazu gezwungen werden, eine separate MFA-Anwendung herunterzuladen und empfinden zu viele Authentifizierungsanforderungen als lästig. Sie wünschen sich aber auch die Möglichkeit, ihre eigenen vertrauenswürdigen Geräte selbst zu verwalten und erwarten ein konsistentes Online-Erlebnis mit Ihrer Marke.

Professionelle Kunden-MFA kann auch einfach sein. Orchestrierungstools mit vorgefertigten Workflows verkürzen die Bereitstellungszeit erheblich. Sie ermöglichen Ihnen zudem das Entwickeln, Testen und Optimieren der bestmöglichen Erlebnisse für Ihre Kunden.

Weitere Informationen über die bewährten Verfahren bei der Bereitstellung einer MFA-Lösung in Ihrem Unternehmen finden Sie bei PingOne for Customers.

Die MFA ist zwar sehr wichtig, aber nur eine der Komponenten eines zusammenhängenden, stabilen und umfassenden Kundenerlebnisses. Wenn Sie erfahren möchten, wie Sie die Sicherheit wie auch die Online-Erlebnisse Ihrer Benutzer neben der MFA absichern können, lesen Sie am besten unseren Ultimativen Leitfaden für Customer Identity and Access Management (CIAM).

1 Ping Identity „2021 Consumer Survey: Markentreue beginnt bei der Anmeldung“:

2 Verizon 2020 Data Breach Investigations Report

3 „From Exposure to Takeover: The 15 billion stolen credentials allowing account takeover“, Digital Shadows, 2020.

4 „From Exposure to Takeover: The 15 billion stolen credentials allowing account takeover“, Digital Shadows, 2020.

5 Griffith, Eric. „Stop Using the Same Password on Multiple Sites!“ No. Really“, PCMag, Sept. 21, 2021.

6 Ping Identity „2021 Consumer Survey: Brand Loyalty is Earned at Login“,09.01.2021.

7 Coldeway, Devin, „NIST declares the age of SMS-based 2-factor authentication over.“ TechCrunch.com, 25. Juli 2016

#3253 | 04.22.2022 | v07