BehavioSec™, a LexisNexis® Risk Solutions Company

Online-Betrug, der durch Schwächen in Cybersecurity, insbesondere bei Authentifizierung und Autorisierung, begünstigt wird, wächst stark und verursacht massive volkswirtschaftliche Schäden. Ein großer Anteil erfolgreicher Angriffe hängt mit kompromittierten digitalen Identitäten zusammen; besonders verbreitet sind Account Takeover (ATO) durch Credential Stuffing, häufig automatisiert über bösartige Bots mit Kombinationen aus geleakten Zugangsdaten aus dem Dark Web. Zwar wird vom Wiederverwenden von Passwörtern abgeraten, doch ist dies für Nutzer unpraktisch, weshalb Multi-Faktor-Authentifizierung (MFA) und risikoadaptive Verfahren als zentrale Schutzmaßnahmen hervorgehoben werden.

Angreifer zielen nicht nur auf Bankkonten, sondern auf nahezu alle Kontotypen, die Geldflüsse, Einkäufe, Prämien oder Dienstleistungen ermöglichen. Im B2E-Umfeld sind privilegierte Konten besonders wertvoll, da sie den Diebstahl von Geschäftsgeheimnissen, Kundendaten und PII erleichtern und oft als Einstiegspunkt für Ransomware dienen. Regulatorisch adressiert PSD2 das Risiko über Strong Customer Authentication (SCA) mit zwei von drei Faktoren (Wissen, Besitz, Sein) sowie kontinuierlicher Risikoanalyse, um unnötige Reibung zu vermeiden. Ergänzend stärkt EMVCo 3-D Secure 2.x (3DS2) Zahlungen durch starke Authentifizierung und die Auswertung umfangreicher Geräte- und verhaltensbiometrischer Daten.

New Account Fraud (NAF) bzw. synthetischer Betrug nutzt gestohlene oder frei verfügbare PII zur Kontoeröffnung, oft für Geldwäsche; Gegenmaßnahmen sind (Remote-)Identitätsprüfung, Dokumentenchecks und Biometrie. Verhaltensbiometrie erstellt individuelle Profile aus Tipp-, Maus- und Touchmustern sowie Telemetrie- und Standortsignalen, unterstützt Bot-Erkennung und reduziert zusätzliche Authentifizierungsschritte. Die BehavioSec-Plattform (BehavioSense) setzt hierfür ML-gestützte Risikoanalyse, flexible Deployments, Standardintegrationen und Zertifizierungen ein, fokussiert auf ATO und NAF und zielt zugleich auf höhere Sicherheit und bessere Nutzererfahrung.

• Cybersecurity Ventures schätzt die Kosten von Cyberkriminalität bis 2025 auf 10,5 Billionen US-Dollar pro Jahr.
• Account Takeover (ATO) umfasst die Authentifizierung und unautorisierte Nutzung digitaler Anmeldeinformationen durch Angreifer.
• Credential-Stuffing-Angriffe verwenden große Mengen an Benutzernamen-/Passwort-Kombinationen aus erbeuteten oder im Dark Web gehandelten Daten.
• Privilegierte Unternehmenskonten gelten als besonders wertvoll, weil sie den Zugriff auf Geschäftsgeheimnisse, Kundendaten und PII erleichtern.
• Der „UK Finance 2021 Report“ weist für Betrüger in der Finanzbranche eine Erfolgsquote von 33 % aus.
• PSD2 fordert Strong Customer Authentication (SCA) auf Basis von zwei von drei Faktoren: Wissen, Besitz oder Inhärenz.
• EMVCo hat die 3-D Secure 2.x-Spezifikation entwickelt, um die Sicherheit im Zahlungsprozess zu verbessern.
• Verhaltensbiometrie kann Tastenanschläge, Mausbewegungen, Wischmuster, Touchdruck, Gyroskop-/Beschleunigungsmesser-Daten sowie Standortsignale auswerten.
• BehavioSec ist ISO 27001- und SOC 2 Typ 2-zertifiziert.
• SDKs stehen für Android 4+, iOS 8+ und iPadOS 13+ zur Verfügung.

• „Die Schäden sind immens und belasten die Weltwirtschaft.“
• „Es werden Lösungen über die reine Benutzername-/Kennwort-Authentifizierung hinaus benötigt.“
• „Der Einsatz von Multi-Faktor-Authentifizierung (MFA) und risikoadaptiven Authentifizierungsverfahren ist dabei das wichtigste Mittel zum Schutz vor ATO-Angriffen.“
• „Aus der Sicht des Business-to-Enterprise (B2E) sind privilegierte Konten am wertvollsten.“
• „PSD2 schreibt eine starke Kundenauthentifizierung (Strong Customer Authentication, SCA) vor, die durch zwei der folgenden drei Faktoren definiert ist: etwas, das man weiß, etwas, das man hat, oder etwas, das man ist.“
• „3DS2 erfordert dabei, ähnlich wie PSD2, eine starke Authentifizierung der Nutzer von digitalen Zahlungssystemen.“
• „Synthetischer Betrug kann durch eine verbesserte Prüfung und Sicherung digitaler Identitäten verhindert werden.“
• „Die Verhaltensweisen von Benutzern werden in einer Datenbank erfasst.“
• „Bot-Entwickler und -Betreiber verbessern ihre Bots jedoch kontinuierlich mit der Absicht, solche Erkennungsalgorithmen zu umgehen.“
• „Unternehmen, die sowohl die Authentifizierungssicherheit als auch die Benutzerfreundlichkeit verbessern möchten, sollten BehavioSec in Betracht ziehen.“