CIAM im Banking: Vom Login zur Risikobewertung

Schwerpunkt: Identity, KYC & Fraud Prevention

Dr. Christian Schunck, Senior Scientist am Fraunhofer Institut für Arbeitswirtschaft und Organisation IAO, thematisiert im Kontext von CIAM die Bedeutung der Identitäts- und Zugangsverwaltung für Finanzinstitute, insbesondere im Hinblick auf PSD2 und Risikobewertung. — Dr. Christian Schunck, Senior Scientist, Fraunhofer Institut für Arbeitswirtschaft und Organisation IAO Fraunhofrt IAO

Beim Customer Identity and Access Management, kurz CIAM, geht es für Finanzinstitute um viel mehr als die Verwaltung von Logins. PSD2 und die starke Kundenauthentifizierung haben Angriffe mit gestohlenen Zugangsdaten erschwert. Gleichzeitig hat sich der Betrug verlagert: Immer häufiger bringen Angreifer Kunden dazu, Zahlungen oder neue Geräte selbst zu bestätigen. 2024 entfiel der überwiegende Anteil des betrügerischen Überweisungsvolumens auf die Manipulation von Zahlenden.

von Dr. Christian Schunck, Senior Scientist, Fraunhofer Institut für Arbeitswirtschaft und Organisation IAO

Es reicht es nicht mehr, Sicherheitsmerkmale korrekt zu prüfen. Finanzinstitute müssen bewerten, ob Identitäten, Berechtigungen und Verhalten mit Transaktionsdaten und -kontext zusammenpassen. Die entscheidende Frage lautet: ist der Vorgang insgesamt plausibel?

Die zentrale Entwicklung ist der Wechsel von einer punktuellen Authentifizierung oder Freigabe zu einer fortlaufenden, risikobasierten Bewertung.“

Relevante Signale sind neue Geräte, wechselnde IP-Adressen, ungewöhnliche Standorte, neue Empfänger, erhöhte Limits oder auffällige Beträge. Passkeys und FIDO, die Bindung einer Freigabe an Empfänger und Betrag sowie geschützte Wiederherstellungsprozesse bilden die Grundlage. Passwort-Reset, Telefonnummernwechsel und Geräteregistrierung sind dabei häufig riskanter als der reguläre Login und entsprechend zu schützen.

CIAM-, Geräte-, Zahlungs- und Fraud-Systeme dürfen keine Silos bleiben

CIAM-, Geräte-, Zahlungs- und Fraud-Systeme dürfen deshalb keine Silos bleiben. Verknüpft werden sollten jedoch nur erforderliche Informationen – zweckgebunden, datensparsam und auf klarer Rechtsgrundlage. DORA verstärkt den Handlungsdruck: Identitäts- und Zugriffsmanagement sind als Teil der operationalen Resilienz nachweisbar zu beherrschen, auch bei ausgelagerten Diensten. Auch das künftige europäische Zahlungsdiensterecht aus PSD3 und der unmittelbar geltenden Payment Services Regulation weist in Richtung stärkerer Betrugsprävention, risikobasierter Kontrollen und erweiterter Erstattungsregeln. Das Gesetzgebungspaket ist politisch weitgehend abgestimmt, aber noch nicht in Kraft.

Autor Dr. Christian Schunck, Fraunhofer IAO

Dr. Christian Schunck, Senior Scientist am Fraunhofer Institut für Arbeitswirtschaft und Organisation IAO, steht in einem modernen Gebäude. Die helle Umgebung und die Pflanzen im Hintergrund unterstreichen eine professionelle Atmosphäre.

Dr. Christian Schunck promovierte in Atom- und Quantenphysik am Massachusetts Institute of Technology (MIT) in den USA. Als Senior Scientist am Fraunhofer IAO in Stuttgart (Webseite) leitet er nationale und internationale Forschungsprojekte in der Cybersicherheit sowie Schulungen im Lernlabor Cybersicherheit “Faktor Mensch“ zu Themen wie „Finanz- und Rechnungsbetrug verhindern“ und „KI-basiertes Social Engineering“. Zudem bloggt er regelmäßig zu aktuellen Cybersicherheitsthemen.

KYC garantiert die vertrauenswürdige Ausgangsidentität, CIAM überführt sie in Konten, Rollen und Zugriffsrechte. Mit generativer KI geraten kamera- und livenessbasierte Prüfverfahren stärker unter Druck. Deepfakes und synthetische Identitäten erschweren die Beurteilung, ob das digitale Gegenüber echt ist. Die Online-Ausweisfunktion des Personalausweises kann deshalb wichtiger werden. Sie nutzt staatlich bestätigte, kryptografisch geschützte Identitätsdaten und reduziert die Abhängigkeit von kamera- und biometriebasierten Prüfungen.

Perspektivisch kann die EUDI-Wallet verifizierte Identitäts- und Attributnachweise nutzerfreundlich bereitstellen.“

Generative KI professionalisiert Phishing, Voice Cloning und gefälschte „Beratungsgespräche“. Auch bei CEO- und Rechnungsbetrug ist die handelnde Person häufig authentifiziert und berechtigt – die Anweisung selbst ist jedoch manipuliert. Rollenmodelle, Vier-Augen-Freigaben, Betragsgrenzen und Empfängerverifizierung sind wichtig, ersetzen aber keine risikobasierte Transaktionsbewertung.

Kundenaufklärung bleibt unverzichtbar und muss zielgruppen- und altersgerechter werden. Generische Warnhinweise trainieren Nutzerinnen und Nutzer vor allem im Wegklicken. Wirksamer sind konkrete Hinweise, die nur dann erscheinen, wenn technische Indikatoren auf ein erhöhtes Betrugsrisiko hindeuten.

Risikorelevante Signale sollten nachvollziehbar ausgewertet werden

Der apoBank-Fall zeigt die praktische Relevanz: Nach veröffentlichten Berichten beanstandete das Landgericht Berlin II bei einem professionell inszenierten Phishing-Angriff die unzureichende Berücksichtigung auffälliger Geräte- und IP-Konstellationen. Das Urteil vom 22. April 2026 ist noch nicht rechtskräftig. Relevant ist dennoch die Richtung: Korrekt verwendete Sicherheitsmerkmale beweisen nicht automatisch, dass eine Transaktion dem informierten Willen des Kunden oder der Kundin entspricht. Risikorelevante Signale sollten nachvollziehbar ausgewertet und Entscheidungen im erforderlichen Umfang protokolliert werden.

Praxistaugliches CIAM muss mit KYC und Fraud Management verzahnt sein. Es stellt belastbare Identitäten bereit, steuert Zugriffe und Berechtigungen und liefert den Kontext für risikobasierte Entscheidungen – und wird damit zu einer zentralen Verteidigungslinie gegen digitalen Bankbetrug.Dr. Christian Schunck, Fraunhofer IAO/dk