Thought Leadership
Digitalisierung auf dem Vormarsch: Mit der vermehrten Nutzung von Online-Diensten ist auch der Datenschutz in den Vordergrund gerückt – sowohl mit Blick auf persönliche Daten von Privatpersonen als auch auf Daten von Unternehmen und Behörden.
Denn wenn Unbefugte an Informationen gelangen und diese an die Öffentlichkeit tragen, kann es schnell ärgerlich für die Betroffenen werden. Davon zeugen zahlreiche Cyberattacken durch Malware in Form von Phishing oder groß angelegtem Identitätsdiebstahl. Als Konsequenz wird der Schutz von sensiblen Daten und digitalen Identitäten in allen Bereichen immer wichtiger – egal ob beim Online-Shopping oder -Banking, dem Abschließen einer Versicherung oder dem virtuellen Behördengang. Zu den leistungsstärksten Lösungen, die einen entsprechenden Schutz gewährleisten, zählen softwarebasierte Identity- und Access-Management-Systeme. Im Idealfall ermöglichen sie es den Usern, nicht nur viele Identitäten, sondern auch Zugriffsberechtigungen zentral und sicher zu verwalten.
Identity and Access Management (IAM) setzt sich aus zwei Komponenten zusammen: dem Identity Management und dem Access Management. Ersteres dient dazu, Benutzeridentitäten mit den entsprechenden Benutzerrechten und Attributen anzureichern und zu verwalten. Das Access Management sichert den Zugriff auf die freigegebenen Ressourcen. Es übernimmt also die Identifizierung von Individuen in einem System, das Ressourcen zur Verfügung stellt. Typischerweise haben die Benutzer jedoch nicht uneingeschränkten Zugriff auf alle Informationen innerhalb eines Systems. Deshalb gleicht das Identitäts-Management von Nevis die festgelegten Identitäten mit Benutzerrechten – auch Rollen genannt – ab und kontrolliert so den Zugriff. Parallel erteilt oder entzieht das Access Management den Benutzern im Zusammenspiel mit dem Identity Management den Zugriff auf digitale Daten, Dienste und Anwendungen. Bevor also ein User Zugriff erhält, muss er sich authentisieren und vom IT-System autorisiert werden – im Einklang mit dem Identitätsmanagement, indem verschiedene Benutzerrollen, Gruppen und Richtlinien verwaltet werden.
IAM und CIAM – Kundenorientierung macht den Unterschied
Anders als bei IAM handelt es sich bei CIAM (Customer Identity and Access Management) um eine besonders kundenorientierte Lösung mit Fokus darauf, einen Großteil der Entscheidungen über die Speicherung der persönlichen Daten in die Hände der Benutzer selbst zu legen. Ein modernes CIAM stellt den Benutzern einfach zu bedienende Self-Services zur Verfügung, welche die Verwaltung der persönlichen Präferenzen ermöglichen. Dazu gehören zum Beispiel die Datenschutzeinstellungen sowie die Kontrolle darüber, welche Daten mit den verschiedenen Diensten geteilt werden sollen.
Ein weiterer wesentlicher Faktor ist Skalierbarkeit: Die Nutzung durch mehrere Millionen User erzeugt einen enorm hohen Durchsatz. Vor diesem Hintergrund müssen CIAM-Systeme viel mehr leisten als noch vor ein paar Jahren. Hinzu kommt das Erfordernis einer schnellen und flexiblen Authentifizierung: Die Lösung muss in der Lage sein, einen Zugang zu in manchen Fällen Dutzenden modularen und anderweitig segmentierten Anwendungen zu ermöglichen, der sich über mehrere Umgebungen sowohl On-Premises als auch in der Cloud erstrecken kann. Dazu gehört auch ein nahtloser Login bei Diensten und Anwendungen, die von anderen Firmen bereitgestellt werden. Beispiele dafür sind etwa an Vertragspartner ausgelagerte Support-Dienste oder Plattformen für Echtzeitverkäufe sowie gemietete Interfaces für Chat-Kontakte zwischen Mitarbeitern und Kunden. Nicht zu vernachlässigen ist zudem der Faktor Flexibilität im Sinne der Erweiterbarkeit der Lösung. Zu jedem Zeitpunkt sollte es möglich sein, weitere Personalisierungen innerhalb des CIAM-Systems zu implementieren.
Die digitale Identität
Jedes CIAM-System muss eine Überprüfung vornehmen können, wen es da gerade vor sich hat. Die Basis dafür bildet die sogenannte „digitale Identität“ des Nutzers. Die Identität einer Person ist einmalig und unverwechselbar und wird anhand charakteristischer Eigenschaften definiert – den Identitätsattributen. Dazu zählen körperliche Merkmale wie das Gesichtsbild, Fingerabdruck, aber auch persönliche Daten wie Name, Adresse und Geburtsdatum. Beispielsweise kann jede Person mit dem Personalausweis ihre Identität nachweisen und anhand der vorhandenen Identitätsattribute identifiziert werden – eine Notwendigkeit etwa bei der Grenzkontrolle oder bei einer Kontoeröffnung.
Die digitale Identität kann mithilfe eines virtuellen Personalausweises kodifiziert werden. Elektronische Daten zur Charakterisierung einer Person wie zum Beispiel ein Benutzername und Passwort, Chipkarten, Token oder biometrische Daten dienen hierbei als Identitätsattribute. Möchte ein Nutzer sich also beispielsweise in seine Online-Banking-Plattform, soziale Netzwerke oder den E-Mail-Account einloggen, muss er sich durch unterschiedliche Verfahren authentisieren.
Authentifizierung und Authorisierung – Prüfung der behaupteten Identität
Den ersten Schritt zur Authentifizierung bildet die Authentisierung. Damit legt ein Benutzer einen Nachweis einer bestimmten Identität vor, die vom System zu verifizieren und zu bestätigen ist. Die einfachste, aber leider nicht die sicherste Authentisierungsmethode ist Benutzerkennung und Passwort. Viel sicherer sind moderne Ansätze, welche auf der Kombination von Mekmalen wie Wissen, Besitz und Biometrie basieren.
Auf die Authentisierung folgt die Authorisierung – darunter versteht man die Anreicherung der Identität um Berechtigungsattribute sowie die Auswertung dieser Attribute beim Zugriff auf den Dienst. Dieser Schritt ist genau so wichtig, um beispielsweise Compliance-Anforderungen und Datenschutzrichtlinien jederzeit zu erfüllen. Menschen stehen verschiedene Mittel und Merkmale zur Verfügung, mit denen sie sich authentifizieren können. Zu den probaten Authentifizierungsmechanismen zählen Wissen, Besitz, Biometrie und Standort.
Sichere Log-In-Möglichkeiten bei hoher Benutzerfreundlichkeit
Moderne CIAM Systeme stellen eine breite Auswahl von verschiedenen Login-Möglichkeiten zur Verfügung und setzen diese kontextbasiert ein. So genügt zum Beispiel für eine Erstregistrierung oder eine unkritische Abfrage ein Social-Login, der es dem Benutzer ermöglicht, einen bestehenden Social-Media Account zu nutzen, ohne eine neue Identität anlegen zu müssen. Sobald die Sicherheitsanforderungen des genutzen Dienstes höher sind, ist ein CIAM in der Lage, adaptiv einzugeifen und zusätzliche Identitäts-Attribute auszuwerten oder den Benutzer durch einen Step-Up Prozess zu führen. In einem solchen Step-Up Prozess hat der Benutzer beispielsweise die Möglichkeit, sein Smartphone zu registrieren und der Auswertung weiterer Merkmale zu Sicherheitszwecken zuzustimmen. Nach der Registrierung des Smartphones muss sich der Benutzer nicht mehr um lange und komplizierte Passwörter kümmern – Industriestandards wie z.B. FIDO (Fast Identity Online) ermöglichen einen hochsicheren Loginprozess ganz ohne Passwörter.
Die Auswertung zusätzlicher Sicherheitsmerkmale wie Standort, Device-Fingerprint, Tastendruckdynamik, Mausbewegungen und Haptik ermöglichen darüber hinaus eine treffsichere Erkennung von Identitätsdiebstahl, da es für einen Angreifer fast unmöglich ist, die Kombination aller Merkmale zu fälschen. Die kombinierte Auswertung von Sicherheitsmerkmalen und Verhaltensmustern wird auch als Multi-Faktor-Authentisierung (MFA) bezeichnet. Der große Vorteil dieser noch relativ jungen Technik liegt darin, dass die Mechanismen im Hintegrund laufen, ohne dabei die Benutzerfreundlichkeit negativ zu beeinflussen. Richtig eingesetzt, sind MFA-Ansätze in der Lage, die Sicherheit von Online-Transaktionen massiv zu verbessern.
Dass das Konzept der digitalen Identität und die Authentifizierung von Personen im Zuge der beschleunigten digitalen Transformation zu einem immer wichtigeren Aspekt in der Kommunikation zwischen Bürgern und Institutionen, Vertragspartnern oder ganz einfach nur Mediennutzern wird, steht außer Frage. Mithilfe einer CIAM-Plattform, die den State of the Art repräsentiert, können Unternehmen zweifelsfrei, effizient und rechtssicher gewährleisten, dass jeder, der eine digitale Transaktion ausführen möchte, auch wirklich diejenige Person ist, als die er auftritt.
