Was ist Verhaltensbiometrie?

Foto: tsingha25 – shutterstock.com

Die Sicherheit hat im Online-Banking einen besonders hohen Stellenwert. Umso wichtiger ist die Prävention vor Cyber-Betrug. Kriminelle entwickeln immer ausgefeiltere Methoden – von Authorized Push Payment (APP) über Geld waschende Money-Mule-Accounts bis hin zum Einsatz von Remote-Access-Trojanern (RAT). Unter der Implementierung zusätzlicher Sicherheitsmaßnahmen kann allerdings die Customer Experience leiden, etwa durch Zahlungsabbrüche oder die scheinbar grundlose Ablehnung von Anträgen für eine Kontoeröffnung. Die Lösung dafür kann die Authentifizierung des Nutzers über seine Verhaltensbiometrie sein.

Wie funktioniert Verhaltensbiometrie?

Mit Technologien, die das kognitive und physische Verhalten des digitalen Nutzers analysieren, lassen sich Betrugsversuche präventiv abwehren, ohne das Kundenerlebnis zu beeinträchtigen. Im Mittelpunkt stehen die Art und Weise, wie eine Person während einer Online-Sitzung und mit ihrem Endgerät agiert. Auf Basis der Erkenntnisse wird ein Profil des Nutzerverhaltens erstellt und mithilfe von maschinellem Lernen (ML) analysiert. Dabei untersuchen die Algorithmen typische Muster und zeigen auf, ob sich eine Person entsprechend typisch oder atypisch verhält. Auf diese Weise wird erkennbar, ob es sich um den Betrugsversuch durch einen Cyberkriminellen oder um einen automatisierten Angriff mit einem Bot oder RAT handelt. Bei der Analyse werden Maus-, Tastatur-, Touchscreen- und Gerätedaten erfasst, beispielsweise die Geschwindigkeit, die Tippdauer, die Fingergröße, die Stärke des Tastendrucks, die Ausrichtung des Endgeräts oder bestimmte Tastenkombinationen. Die Verhaltensweisen und Eigenschaften werden anschließend mit dem historischen Benutzerprofil für das jeweilige Konto sowie mit gängigen Mustern verglichen. Daraus lassen sich dann statistische Normen für “normales” oder “ungewöhnliches” Verhalten ermitteln. Auf diese Weise ist eine konstante Authentifizierung in Echtzeit während einer Online-Banking-Session möglich.

Lesetipp: Was ist ein Keylogger?

Vorteile von Verhaltensbiometrie

Der große Vorteil der Verhaltensbiometrie als Authentifizierungsmethode ist, dass die Analysen der Nutzeraktivitäten und der Abgleich mit seinem Verhalten in früheren Online-Banking-Sitzungen vollständig im Hintergrund laufen. Der Kunde muss sich nicht zusätzlich verifizieren.

Diese Methode gilt als besonders sicher, da entsprechende Software die digitale Identität bereits während der Kontoeröffnung verifiziert und zwar anhand bestimmter Verhaltensweisen, die sich im Gegensatz zu statischen biologischen Merkmalen wie einem Fingerabdruck je nach Situation verändern können. Zudem arbeiten verhaltensbiometrische Lösungen passiv im Hintergrund einer Web- oder Mobilfunksitzung und überwachen mehr als fünfhundert webbasierte Parameter und über zweitausend weitere Parameter zum Beispiel die Art, wie eine Person das Smartphone hält oder wie sie dieses bedient. Dies macht die Authentifizierung sehr exakt. Außerdem muss der User in einer Sitzung nicht weitere Authentifizierungsprozesse durchlaufen, was das Kundenerlebnis verbessert.

Weiterhin können Banken, Finanzinstitute und -dienstleister durch den Einsatz von Verhaltensbiometrie Betrugsversuche in dem Moment erkennen, in dem sie tatsächlich stattfinden und nicht erst, wenn bereits ein finanzieller Schaden entstanden ist. Gerade bei Betrugsmaschen in Echtzeit wie APP, bei denen die herkömmlichen Methoden oft nicht ausreichen, ist die Implementierung der Technologie von großem Vorteil.

Dank der kontinuierlichen Auswertung der Kundensitzungen können Unternehmen zudem eine Risikobewertung auf Basis der Verhaltensprofile ihrer Kunden erstellen. Je nach Risk Score können Sicherheitsverantwortliche weitere Maßnahmen einleiten wie eine zusätzliche Authentifizierung oder die manuelle Überprüfung des Transaktionsvorgangs. Dadurch sind sie in der Lage, Cyberkriminelle und legitime Kunden anhand ihrer Aktivitäten zu unterscheiden und Betrugsfälle zu erkennen, bevor es zu einem Sicherheitsvorfall kommt.

Wieso ist Verhaltensbiometrie notwendig?

2015 wurde die zweite Zahlungsdienstrichtlinie (PSD2) eingeführt. Seit September 2019 ist damit die starke Kundenauthentifizierung (Strong Customer Authentication, kurz SCA) beim elektronischen Zahlungsverkehr Pflicht. Bei SCA handelt es sich um eine Multi-Faktorauthentifizierung (MFA), die den Nutzer gleich über mehrere Merkmale identifiziert:

• Wissen: Was ist ausschließlich dem Nutzer bekannt? Beispiele hierfür sind die PIN oder ein Passwort, mit dem er sich in das Bankkonto einloggt.

• Besitz: Was gehört nur dem Nutzer? Hier geht es um das persönliche Endgerät des Kunden wie sein Smartphone, PC oder Tablet.

• Inhärenz: Was macht den Nutzer aus? Erfasst werden biometrische Merkmale wie Gesichtszüge, der Fingerabdruck oder auch Verhaltensweisen wie typische Tipp- oder Wischmuster.

Da Cyberkriminelle immer ausgefeiltere Methoden nutzen, reichen herkömmliche Kontrollen wie die Identifizierung des Endgeräts, der IP und des Standorts nicht mehr aus. Das gilt auch für sogenannte Out-of-Band-Verfahren wie das Versenden eines Einmal-Passwortes (One Time Passwort, kurz OTP) per SMS. Bei einem APP-Betrugsversuch beispielsweise sammeln die Täter aus Social-Media-Profilen oder aus dem Darkweb persönliche Informationen über ihre Opfer. Mithilfe dieser Daten können sie die jeweiligen Personen kontaktieren und manipulieren.

Hier kann Verhaltensbiometrie als Einzellösung oder im Verbund mit anderen Sicherheitssystemen Banken und ihre Kunden vor Money-Mule-Konten sowie vor Phishing- und Social-Engineering-Scams schützen und gleichzeitig die Customer Exprience verbessern.