• Technologie








    Schlagwortsuche
    Anwendungsbereich







    Keine Auswahl

HID Global

HID Global: Alle Informationen zu den neuen PSD2-Vorgaben der EU

Artikel | von HID Global | 24. August 2017

"Payment Services Directive 2" (PSD2) erfordert kritische Lösungsselektion

Mit der neuen EU-Richtlinie "Payment Services Directive 2" (PSD2), die von den Mitgliedsstaaten bis Januar 2018 umgesetzt werden muss, soll ein einheitlicher Rechtsrahmen im EU-Binnenmarkt für Bezahlen per Internet geschaffen werden. Ziele sind eine Verbesserung des Verbraucherschutzes bei Zahlungen und eine Förderung der Entwicklung und Nutzung innovativer Technologien für mobile und Online-Zahlungen.

Die neuen PSD2-Vorgaben werden den Druck auf Finanzdienstleister erhöhen, eine hohe Sicherheit in den Bereichen Mobile- und Online-Banking zu gewährleisten. Verlangt wird unter anderem der Einsatz von Lösungen, die eine "starke Kundenauthentifizierung" unterstützen. Sie dürfen aber nicht zu einer unnötigen Beeinträchtigung des Benutzerkomforts führen, meint HID Global, ein weltweit führender Anbieter von vertrauenswürdigen Identitätslösungen.

Wichtige Weichenstellungen für Authentifizierungslösungen

Die Richtlinie bringt einige wichtige neue Weichenstellungen; das betrifft unter anderem den Bereich Authentifizierung. Konkret gefordert wird eine "starke Kundenauthentifizierung" beim Online-Kontenzugriff und beim Auslösen von elektronischen Zahlungsvorgängen. Unter starker Kundenauthentifizierung versteht die Richtlinie "eine Authentifizierung unter Heranziehung von mindestens zwei Elementen der Kategorien Wissen (etwas, das nur der Nutzer weiß), Besitz (etwas, das nur der Nutzer besitzt) oder Inhärenz (etwas, das der Nutzer ist)".

Bei der Auswahl einer Authentifizierungslösung sollten Finanzinstitute nach Meinung von HID Global vor allem auf zwei Kriterien achten: Die Lösung sollte zum einen eine durchgängige hohe Sicherheit bieten und zum anderen aber auch den Benutzerkomfort nicht unnötig einschränken.

Biometrische Verfahren schaffen zusätzliche Datensicherheit

Wie von der PSD2 vorgegeben, muss prinzipiell eine Lösung für die starke Authentifizierung genutzt werden. Die "starke Authentifizierung" geht deutlich über die Sicherheit eines einzelnen statischen Passworts hinaus. Sie erfordert weitere Komponenten (Faktoren), um die Identität des Benutzers zweifelsfrei zu bestimmen. Der Faktor "Wissen" (Passwort oder PIN) wird zum Beispiel um den Faktor "Besitz" (Smartphone, Smartcard oder Authentifizierungs-Token) und eventuell noch um den Faktor "Eigenschaft" (Biometrie) oder "Verhalten" erweitert.

Eine Zweifaktor-Authentifizierung kann bereits sehr effektiv sein, allerdings hat sie auch ihre Grenzen; durch das Hinzufügen der Eigenschaft als dritten Faktor mit der Nutzung biometrischer Verfahren wie Fingerabdruck oder Gesichtserkennung können Zahlungsdienstleister ein deutlich höheres Maß an Datensicherheit realisieren.

"Robuste Sicherheitsmaßnahmen sind in Kombination mit einer anwenderfreundlichen Bedienung die Grundlagen für eine erfolgreiche Umsetzung von digitalen Banking-Strategien. Nur so kann die Akzeptanz der Nutzer gewonnen werden. Führen Finanzinstitute eine Lösung ein, die einerseits eine hohe Sicherheit garantiert und andererseits auch eine positive User Experience bietet, können sie das Kundenvertrauen und die Kundenbindung erhöhen und sich damit nicht zuletzt auch im Wettbewerb differenzieren." - Marc T. Hanne, Director of Sales EMEA and India, IAM Solutions bei HID Global

Hinsichtlich einer durchgängigen mehrstufigen Security-Strategie sind, abgesehen von der Authentifizierung, weitere Sicherheitsmaßnahmen zu ergreifen. So sind etwa die Datenverschlüsselung und die Nutzung getrennter Kommunikationskanäle für End-to-End-Transaktionsprozesse unverzichtbar. Die Validierung und Freigabe von Transaktionen sollte über separate Kanäle erfolgen, um betrügerische Angriffe zu erschweren. Dedizierte, voneinander getrennte und verschlüsselte Kanäle sind essenzielle Elemente, um Datenschutz und -sicherheit für vertrauliche Kundeninformationen zu gewährleisten.

Aufgrund der zunehmenden Malware-Attacken auf mobile Applikationen muss eine Banking-Lösung unter anderem auch eine Erkennung von Debuggern, Emulatoren, Manipulationen und Code-Verschleierungen bieten. Ebenso empfiehlt sich die Nutzung einer RASP (Runtime Application Self-Protection)-Sicherheitssoftware, um auf der Anwendungsebene Angriffe zu erkennen und zu blockieren. Als Sicherungsmaßnahmen bieten sich nicht zuletzt auch Echtzeit-Geräte-Analysen und -Ortungen an.

Sicherheit und Komfort für digitale Banking- und Bezahllösungen

Es steht außer Frage, dass eine digitale Banking- oder Payment-Lösung eine hohe Sicherheit bieten muss. Allerdings darf sie auch den Nutzerkomfort nicht unnötig beeinträchtigen. Auch wenn Vorgaben die Nutzung der Zwei- oder Mehrfaktor-Authentifizierung erfordern, muss für den Bankkunden ein schneller, müheloser Transaktionsprozess gewährleistet bleiben. Eine Möglichkeit besteht darin, die meisten Authentifizierungsverfahren "im Hintergrund" laufen zu lassen, so dass eine zusätzliche Authentifizierung für Nutzer nur dann erforderlich wird, wenn sie aufgrund bestehender Sicherheitsrichtlinien nötig ist, und der Anwender damit maximal "entlastet" wird.

Die Kundenbeeinträchtigung kann ohne Abstriche hinsichtlich der Sicherheit minimiert werden, indem etwa die Anmeldung des Nutzers durch Verfahren wie Geolokation, verhaltensbasierte Authentifizierung oder Geräteidentifikation unterstützt wird, die automatisch im Hintergrund ablaufen.

Letzte Änderung am Donnerstag, 24 August 2017 09:57
RFID & Wireless IoT tomorrow 2017
RFID and Wireless IoT tomorrow 2017Mi, 27.- Do, 28. September
Van der Valk Airporthotel, Düsseldorf, Deutschland
80 Vorträge | 50 Aussteller | Live-Demos
Programm online auf www.rfid-wiot-tomorrow.com/de
Melden Sie sich jetzt an !
Wir freuen uns auf Sie!