Fünf interessante Trends im Bereich der Kundenidentität

Die Kundenidentität wird immer ausgereifter. Die Kunden erwarten eine nahtlose Anmeldung, intuitive Navigation und Schutz rundum. Wenn Unternehmen mit diesen rasanten Veränderungen Schritt halten wollen, müssen sie alle Entwicklungen und Innovationen, die sich auf die Systeme der Kundenidentität auswirken, aufmerksam im Auge behalten. Und was noch wichtiger ist: Sie müssen in der Lage sein, neue Produkte und Lösungen schnell und effizient einzuführen. 

Damit Sie immer die Nase vorn behalten, finden Sie hier fünf Trends im Bereich der Kundenidentität, auf die Sie im kommenden Jahr achten sollten:

Immer mehr Unternehmen in verschiedenen Branchen verlassen sich auf risikobasierte Authentifizierungssysteme (RBA), die vor dem Gewähren von Benutzerzugriff verschiedene Risikosignale berücksichtigen. 

Dabei achten sie vor allem auf die folgenden Risikosignale:

• Gerätestatus: Ist dieses Gerät dasselbe, mit dem die Person sich in der Vergangenheit angemeldet hat? Wurde es durch einen Jailbreak manipuliert?
 

• Netzdaten: Meldet sich der Nutzer von dem gleichen Netzwerk aus an, oder ist dies ein neues Netzwerk? Befindet er sich im gleichen IP-Bereich?
 

• Benutzereingaben: Interagieren Benutzer mit dem Gerät in einem normalen Muster, z. B. mit gleicher Geschwindigkeit beim Tippen oder womit wird auf den Bildschirm gedrückt, wie stark ist der Druck, und wie schnell ist das Wischen über den Bildschirm?


Da eine der Hauptkomponenten der RBA darin besteht, betrügerische Aktivitäten vor Beginn der Sitzung zu erkennen, setzen die besten Tools für die Betrugsprävention bereits vor der Authentifizierung des Benutzers an. Das bedeutet, dass die Betrugserkennung in dem Moment mit der Auswertung aller möglichen Risikosignale beginnt, wenn ein Nutzer auf der Seite landet. Die verfügbaren Telemetrie- und Nutzerdaten werden analysiert und mit den Daten Dritter korreliert, um festzustellen, ob es sich um einen legitimen Nutzer oder einen Bot handelt. 

 ◻︎ Check: Binden Sie eine kontinuierliche RBA ein?

Ein weiterer Trend im Bereich der Kundenidentität besteht darin, dass viele Unternehmen von der statischen, rollenbasierten Zugriffskontrolle (RBAC) zur attributbasierten Zugriffskontrolle (ABAC) bzw. zur dynamischen Autorisierung wechseln. Früher haben sich Unternehmen auf statische Autorisierungen verlassen, die darauf basierten, dass ein Benutzer alle seine Daten an eine Firma weitergibt, die ihm dann eine Rolle zuweist. Heutzutage ist die digitale Welt weitläufiger, und es müssen mehr Faktoren bewertet werden, wenn Entscheidungen bei Autorisierungen mit hochwertiger Relevanz getroffen werden, wie beispielsweise bei Überweisungen.

Was ist dynamische Autorisierung? Sie bietet Ihnen die zentralisierte Steuerung der Autorisierung und kann alle vorhandenen Attribute und Telemetriedaten einzelner Benutzer auswerten. Dies betrifft die Rolle, Identitätsattribute, die Einwilligung des Benutzers (die in einer Datenbank oder einem Benutzerverzeichnis hinterlegt ist), sein Mitgliederstatus, Bonuspunkte, Risikosignale und alle sonstigen Daten, auf die ein Unternehmen Zugriff hat. Es geht dabei nicht nur um die Autorisierung für den Zugriff auf bestimmte Ressourcen. Diese Richtlinien können auch ausgewertet werden, um Aktionen zu autorisieren, wie z.B. die Genehmigung von Transaktionen oder das Durchsetzen von Benutzereinwilligungen, wenn die Daten eines Benutzers an Drittanbieteranwendungen weitergegeben werden sollen.

Der Benutzer kann dann selbst entscheiden, welche Informationen er dem Unternehmen auf der Grundlage einer bestimmten Interaktion zur Verfügung stellen möchte. Nehmen wir an, ein Nutzer möchte einen beliebigen Dienst wie Mint verwenden, um einen konsolidierten Überblick über seine Finanzdaten zu erhalten. In diesem Fall kann der Nutzer festlegen, dass Mint nur die Basisdaten, wie z.B. den Kontostand, einsehen kann, aber nicht, wann welche Rechnungen fällig sind.

Ein anderes Beispiel wäre, wenn ein Nutzer ein Gerät bei einem Einzelhändler bestellt und zustimmt, seine Adresse und Telefonnummer, nicht aber seiner E-Mail-Adresse, an das Lieferunternehmen weiterzugeben.

Unternehmen, die eine dynamische Autorisierung implementieren, werden wahrscheinlich einen Anstieg an Kundenbindung, Vertrauen und allgemeiner Zufriedenheit erleben, da sich Benutzer heutzutage mehr Kontrolle über ihre Daten wünschen.

  ◻︎ Check: Haben Sie auf dynamische Autorisierung umgestellt?

Heute sind moderne Datensysteme sind in der Regel zentralisiert. Dies bedeutet, dass personenbezogene Daten eines Nutzers (z. B. Name, Adresse und Kreditkarteninformationen) potenziell auf Dutzenden von Websites gespeichert sein können. 

Früher war es eher so, dass eCommerce-Unternehmen die personenbezogenen Daten und Kreditkarteninformationen ihrer Nutzer selbst gespeichert haben. Derzeit werden Standards eingeführt, mit denen die Kunden die Kontrolle über ihre Identitätsdaten mittels einer dezentralisierten Identität wiedererlangen. Demnach müssen Unternehmen nur dann Informationen erhalten, wenn sie eine Transaktion durchführen, d. h. wenn die Nutzer die sichere Übertragung ihrer verifizierten Anmeldedaten und ihrer Zahlungsmethode von ihrer digitalen Brieftasche aus an das Unternehmen gestatten, so dass die Transaktion abgeschlossen werden kann. 

Sie können beispielsweise Ihre verifizierten Anmeldedaten in einer Arztpraxis bereitstellen, so dass für die Praxis die Notwendigkeit wegfällt, bei Ihrer Versicherung telefonisch die Rückversicherung Ihrer Deckung und Zuzahlung einzuholen. Diese Standards sorgen auch dafür, dass die Informationen immer aktuell sind und sich nicht nur auf bestimmte Zeitfenster beziehen. Außerdem können die Nutzer die Daten jederzeit widerrufen und erhalten so die volle Kontrolle über ihre personenbezogenen Informationen. 

Kurz gesagt ermöglicht die dezentrale Identität den Nutzern, die Kontrolle über ihre Informationen zu übernehmen. Damit wird auch die Notwendigkeit minimiert, die Daten einer Organisation dauerhaft zu überlassen, um mit ihr interagieren zu können. Unternehmen profitieren ebenfalls davon, weil sie sich auf die Korrektheit der ihnen mitgeteilten Verbraucherdaten verlassen können und darauf, dass sie zu der Person gehören, mit der sie Geschäfte tätigen. Dies verringert Betrug und die Sicherheit wird für beide Parteien gleichermaßen erhöht.

Überlegungen zur dezentralen Identität

Die dezentrale Identität ist mit umso mehr Vorteilen verbunden, je mehr Menschen sie nutzen. Leider entsteht dadurch eine Situation wie bei der Henne und dem Ei. 

Damit ist folgendes gemeint:

Heutzutage können Banken problemlos eine digitale Version der Kreditkarte eines Benutzers herausgeben, die mit den Protokollen der dezentralen Identität konform ist. Der Vorgang unterscheidet sich kaum von dem Hinzufügen einer Kreditkarte in digitalen Brieftaschen auf Smartphones. 

Die Regierungen der US-Bundesstaaten gehen noch einen Schritt weiter und können eine digitale Version Ihres Führerscheins ausstellen, die Sie auch auf Ihrem Handy speichern können. Allerdings muss man den physischen Führerschein weiterhin mitführen , bis Autovermietungen und auch die örtliche Brauerei in der Lage sind, diese digitale Identität selbst zu überprüfen. Die dezentrale Identität kommt immer mehr ins Rollen, der Trend ist nicht mehr aufzuhalten. Sie wird die Art, wie wir uns als Menschen in einer digitalen Welt präsentieren, fundamental verändern, und es ist nur eine Frage der Zeit, bis sie zur Normalität wird.

   ◻︎ Check: Haben Sie bereits eine Methode oder einen Plan für eine dezentrale Identität?

Im Laufe der letzten Jahre ist das Thema der IT-Sicherheit immer stärker in den Mittelpunkt gerückt. In den Nachrichten häufen sich die Schlagzeilen über Datenschutzverletzungen, die sich direkt auf unser tägliches Leben auswirken, wie unter anderem die Lahmlegung von Colonial Pipeline durch Ransomware, aber auch Ereignisse in den Bereichen des Gesundheitswesens und der Hochschulbildung. 

Bei Initiativen zur digitalen Transformation arbeiten die CISOs mittlerweile mit den IT-Managern (CIOs) gemeinsam daran, dass reibungslose Benutzererfahrungen auch sicher sind. Ein Beispiel hierfür ist die Implementierung der (bereits erwähnten) risikobasierten Authentifizierungssysteme. Aus welchem Grund sollte man jeden Benutzer mit einer Multi-Faktor-Authentifizierung belasten, wenn das Risiko nicht bei allen gleich hoch ist?

Weitere Optionen der Umsetzung, mit denen Unternehmen ihren Kundenstamm halten und sich gegen die Konkurrenz behaupten können, sind der Verzicht auf Passwörter und das Gestalten sicherer und reibungsloser Anmeldeerfahrungen für Benutzer. Wir werden später genauer darauf eingehen.

Im Endeffekt konnten wir ein wachsendes Interesse an der Möglichkeit zum Gestalten, Testen und Bewerten von Benutzererfahrungen beobachten, die Aufschluss darüber geben, was am besten funktioniert. Damit ist folgendes gemeint: 

• Das unkomplizierte Einbetten von Erlebnissen in Anwendungen durch einfaches Kopieren und Einfügen von ein paar Code-Zeilen. Alle von Ihnen eingebetteten Inhalte übernehmen automatisch den App-Stil und werden attraktiv präsentiert, so dass sich die Zeit bis zur Markteinführung auf einen Bruchteil der aktuellen Dauer verkürzt.

• Orchestrierung von Benutzererlebnissen entlang der gesamten User Journey und nicht nur zum Zeitpunkt der Authentifizierung. Stattdessen schon vor der Registrierung, danach und darüber hinaus. Damit können Sie ganzheitliche Business-Dashboards für die gesamte User Journey erstellen. 

• A/B-Tests und Analytik für das Testen und Analysieren, welche User Journeys mehr Nutzer gewinnen kann. So können Erlebnisse durch rasches Eingreifen optimiert werden.
  
  

• Die Entwickler entlasten, indem das Einbinden der Erlebnisse in Anwendungen ebenso einfach wird, wie ihre Gestaltung. So lässt sich beispielsweise mit wenigen Code-Zeilen ein nahtloser Registrierungs-Flow in eine App integrieren, der automatisch das Design und den Stil der App übernimmt und über eine Drag-and-Drop-Schnittstelle sofort aktualisiert werden kann. 

 ◻︎ Check: Gehört das Benutzererlebnis zu Ihren Prioritäten?

Zuguterletzt deutet ein (wenn auch erst in Ansätzen) erkennbarer Trend im Bereich des CIAM darauf hin, dass mehr Unternehmen die passwortlosen Authentifizierung anbieten wollen. Diesen Weg müssen die Unternehmen aber noch beschreiten. Wie bei vielen anderen Dingen auch liegt die Zurückhaltung der Unternehmen an den miteinander konkurrierenden Prioritäten hinsichtlich der für diesen Wandel erforderlichen Ressourcen, oder sie wissen einfach nicht genau, wo und wie sie anfangen sollen.

In Anbetracht all dessen sollten Sie die passwortlose Authentifizierung nicht zu lange auf die lange Bank schieben, denn sie bietet enorme Vorteile! Und zwar aus folgenden Gründen:

• Die passwortlose Anmeldung verbessert die Benutzerfreundlichkeit erheblich, indem sie den Online-Zugang reibungslos und sicher macht. 46% der Verbraucher bevorzugen Dienste oder Websites, die Alternativen zu Passwörtern anbieten, und 53% fühlen sich wohler, wenn sie sich bei Websites oder Diensten mit einer MFA anmelden. 
  
  

  Die Kunden sind bereits mit den passwortlosen biometrischen Anmeldungen auf ihren Smartphones vertraut. Unternehmen können zum einen die Kundenerfahrung verbessern und zum anderen die Abbruchraten senken und so mehr Umsatz generieren, wenn sie passwortlose Authentifizierung anbieten.

   

• 33 % der Helpdesk-Anfragen stehen im Zusammenhang mit Passwörtern, und im letzten Jahr stieg der Anteil der passwortbezogenen Vorfälle um 30%.¹

• Wenn es um Mitarbeiteridentitäten geht, erzeugen Passwörter erhebliche Kosten in Unternehmen. Pro Jahr verliert ein Mitarbeiter durchschnittlich 11 Arbeitsstunden mit dem Zurücksetzen von Passwörtern und verbringt täglich 12 Minuten mit der Eingabe und dem Zurücksetzen von Passwörtern, wobei 33% der Supportanfragen für die IT-Abteilung im Zusammenhang mit Passwörtern stehen. Ein Unternehmen mit 15.000 Mitarbeitern kommt auf einen geschätzten Produktivitätsverlust von durchschnittlich 5,2 Millionen US-Dollar pro Jahr.²

Die passwortlose Anmeldung setzt zwar einen längerer Prozess voraus, verspricht aber eine Win-win-Situation für Unternehmen und Kunden.

 ◻︎ Check: Haben Sie bereits ein Projekt für die passwortlose Anmeldung angestoßen?

Für Führungskräfte, Architekten und Praktiker im IT-Bereich ist es unerlässlich, diese Trends zu kennen und vorauszudenken. Wenn Sie wissen, wo Sie gerade stehen, können Sie Ihr Ziel besser ins Auge fassen. Unternehmen mit Weitsicht werden sich kontinuierlich bemühen, ihr CIAM-Konzept so weit zu verbessern, wie es die Budgets und Ressourcen erlauben.

Kurz zusammengefasst:

 ◻︎ Binden Sie eine kontinuierliche RBA ein?

 ◻︎ Haben Sie auf dynamische Autorisierung umgestellt?

 ◻︎ Haben Sie bereits eine Methode oder einen Plan für eine dezentrale Identität?

 ◻︎ Gehört das Benutzererlebnis zu Ihren Prioritäten?

 ◻︎ Haben Sie bereits ein Projekt für die passwortlose Anmeldung angestoßen? 

Keine Sorge, wenn Sie noch nicht alle diese Punkte abhaken können. Solange Sie die Sicherheit und das Kundenerlebnis im Auge behalten, sind Sie auf dem richtigen Weg.

In unserem etwas ausführlicheren Käuferleitfaden für CIAM finden Sie eine detaillierte Roadmap für die Bewertung von Lösungen für die Kundenidentität. 

Sources:

1. Unsere Zukunft ohne Passwort. Eine neue Ära für die Sicherheit https://www.pingidentity.com/de/resources/content-library/misc/3637-2022-workforce-survey-our-passwordless-future.html

2. https://www.thenationalnews.com/business/up-to-11-hours-spent-every-year-resetting-passwords-1.819620