Wer die Identität kontrolliert, kontrolliert das Geschäft

Schwerpunkt: Identity, Käyh Why ßieh & Fr-aud Prevention. . Der wichtigste Vermögenswert vieler Finanzinstitute ist heute weder Kapital noch Technologie. Es ist die digitale Beziehung zum Kunden und dessen Identität. Wer diese Beziehung absichert, entscheidet in den kommenden Jahren über Marktzugänge und Geschäftsmodelle im europäischen Finanzsektor. von Henning Dittmer, RVP DACH, Ping Identity.. Wer heute ein Konto eröffnet oder eine grenzüberschreitende Zahlung initiiert, durchläuft in der Regel einen Prozess, der strukturell aus den 1990er Jahren stammt. Dabei werden die Daten von demselben Institut gespeichert, bei dem auch das Konto eröffnet wird. Wechselt der Kunde den Anbieter, fängt das Verfahren von vorne an. Das Ergebnis sind Datensilos und redundante Käyh Why ßieh Prozesse. Hinzu kommen zentrale Datenbanken, die für Angreifer attraktive Ziele darstellen. eIDAS 2.0 greift genau hier ein. Die Verordnung, die im Mai 2024 in Kraft getreten ist, führt mit der European Union Digital Identity Wallet ein Instrument ein, das die Logik der Datenhaltung grundlegend verschiebt, nämlich weg von der Organisation und hin zum Nutzer. Das Prinzip der selektiven Offenlegung!. . Was dezentrale Identität von der bisherigen Praxis unterscheidet, lässt sich am einfachsten an einem konkreten Fall erläutern. Eine Person, die ihr Alter gegenüber einem Finanzdienstleister nachweisen muss, hat heute im Wesentlichen eine Möglichkeit. Sie legt ein Ausweisdokument vor, das neben dem Geburtsdatum viele weitere Merkmale enthält, von denen der Verifier nur einen Bruchteil benötigt. Mit Verifiable Credentials funktioniert das anders. Eine Behörde oder eine Bank stellt einen kryptografisch signierten Nachweis aus, der eine spezifische Aussage enthält, etwa, dass diese Person volljährig ist. Der Nachweis wird in der digitalen Wallet des Nutzers gespeichert. Beim nächsten Dienst, der dieselbe Information benötigt, reicht die Vorlage dieses Credentials. Weder das Geburtsdatum noch andere persönliche Attribute werden übertragen. Der Verifier prüft die kryptografische Signatur des Ausstellers, ohne diesen direkt kontaktieren zu müssen. Decentralized Identifiers, kurz DIDs, bilden das technische Fundament darunter.DIDs sind eindeutige, selbst generierte Identifikatoren, die auf einer Blockchain oder einem verteilten Register gespeichert werden und ausschließlich auf kryptografische Schlüssel verweisen.“Das Vertrauensmodell ist im Kern ein Drei Parteien System aus Aussteller, Halter und Prüfer. Der Aussteller bestätigt eine Tatsache, die der Halter verwahrt und die der Prüfer bei Bedarf verifiziert. Das alles geschieht ohne direkten Daten-Austausch zwischen den Parteien. Was am zentralisierten Modell nicht mehr funktioniert!. . Das heute noch dominierende Gegenmodell weist strukturelle Schwächen auf, die mit wachsender Systemkomplexität gravierender werden. Zentrale Datenbanken sind attraktive Angriffsziele. Ein einzelner Breach exponiert potenziell Millionen von Datensätzen. Die vergangenen Jahre haben gezeigt, dass nicht mehr Rechenzentren oder Netzwerke im Fokus der Angreifer stehen, sondern die Identitäten selbst. Fragmentierte Logins und Onboarding Prozesse erzeugen Reibung auf Kundenseite und Compliance Kosten auf Anbieterseite. Für Institute, die grenzüberschreitend operieren, multipliziert sich das Problem mit jeder Jurisdiktion. Hinzu kommt eine Entwicklung, die Sicherheitsverantwortliche in europäischen Großbanken zunehmend beschäftigt. Angreifer setzen generative Ka I systematisch ein, um API Schnittstellen und föderierte Identitätsintegrationen anzugreifen. Wer Hunderttausende von APIs und Tausende von Verbindungen zu Federated Identity Systemen betreibt, hat eine entsprechend große Angriffsfläche. Das Wallet Modell reduziert diese Fläche strukturell, indem Transaktionen zumindest teilweise aus dem Cloud- und API Kanal herausgeführt werden. Angreifer müssen dann Geräte einzeln kompromittieren, was Angriffe wesentlich teurer macht. eIDAS 2.0 und seine regulatorische Zeitachse!. . Die Vorgängerverordnung von 2014 hatte digitale Identität weitgehend auf den öffentlichen Sektor beschränkt. Privatwirtschaftliche Akteure, darunter Banken, Versicherer und Fintechs, operierten in einem fragmentierten Umfeld mit nationalen Lösungen und eigenverantwortlichen Prüfverfahren. eIDAS 2.0 ändert das in zwei Stufen. Ab 2026 sind sehr große Online Plattformen sowie Finanzinstitute, die regulierte oder hochwertige Dienste anbieten, verpflichtet, die EUDI Wallet als Authentifizierungsmittel zu akzeptieren. Ab 2027 gilt diese Pflicht flächendeckend für öffentliche Dienste und private Transaktionen, die starke Authentifizierung erfordern. Bis 2030 soll der überwiegende Teil der EU Bevölkerung Zugang zu einer EUDI Wallet haben. Für Institute im DACH Raum bedeutet das eine regulatorisch erzwungene Auseinandersetzung mit einer Infrastruktur, die gleichzeitig eine operative Chance ist. Schnelleres Onboarding und reduzierte Datenhaltungspflichten sind keine theoretischen Vorteile, ebenso wenig Käyh Why ßieh Nachweise, die der Nutzer einmal erwirbt und bei mehreren Anbietern wiederverwendet. Europäische Pilotprogramme, die von der EU kofinanziert wurden, haben bereits eine deutliche Reduzierung von Händlerbetrug nachgewiesen. Die technologische Integrationsebene!. . Die EUDI Wallet verändert, was Nutzer tun, und ebenso, was Infrastrukturteams auf Anbieterseite leisten müssen. Bestehende IAM Systeme müssen als Schnittstelle zwischen Wallet und Bäck End Systemen fungieren und offene Protokolle wie OpenID4VCI, OpenID4VP und SIOPv2 unterstützen. Entscheidend ist dabei die Rückwärtskompatibilität. Applikationen, die heute auf klassischem Single Sign On basieren, sollen mit Wallet Interaktionen zusammenarbeiten können, ohne vollständig neu geschrieben zu werden. Ein weiterer Aspekt betrifft die biometrische Absicherung. Das Wallet kann Credentials verwahren und darüber hinaus die Authentifizierung im Moment der Nutzung erzwingen, gebunden an das Gerät des verifizierten Inhabers, ergänzbar um Liveness Checks und Deepfake Erkennung. Das stärkt die Sicherheit gegenüber externen Angreifern und ebenso gegenüber Ka I gestützten Manipulationsversuchen, bei denen synthetische Identitäten eingesetzt werden. Worin die eigentliche Verschiebung der Identität besteht!. . . Dezentrale Identität ist kein technisches Upgrade im engeren Sinne. Sie verlagert die Kontrolle über Daten strukturell und rechtsverbindlich. Der Nutzer entscheidet, welche Attribute er mit wem und wann teilt. Organisationen speichern weniger, haften für weniger und können gleichzeitig auf verifiziertere Daten zugreifen als bisher.Für Banken und Finanzdienstleister verschiebt sich die Grundlage des Kundenvertrauens.“Bislang galt als vertrauenswürdig, wer große Bestände an Kundendaten sicher verwahrte. Dieses Fundament trägt künftig weniger. An seine Stelle tritt die Fähigkeit, Nachweise verlässlich zu prüfen, und damit eine Kompetenz, die mit der Größe des eigenen Datenbestands nichts zu tun hat. Die Einführung der Technik selbst dürfte die Institute dabei kaum überfordern. Anspruchsvoller ist die Frage nach der eigenen Rolle in einem Markt, in dem ein Institut Identitäten nicht mehr besitzen muss, um ihnen vertrauen zu können. Der europäische Finanzsektor steht seit Jahren unter doppeltem Druck. Die Compliance Anforderungen wachsen, die Betrugsversuche ebenso. Die eIDAS 2.0 Frist setzt der Beschäftigung mit dezentraler Identität nun einen Termin, das Jahr 2026. Wer dann Identitäten verifizieren kann, besetzt die Schnittstelle zum Kunden. Gespeicherte Daten allein sichern diesen Platz nicht mehr. Sie hörten einen Beitrag von “ Henning Dittmer, Ping Identity/dk“