Das Wichtigste zum Thema Customer Identity und Access Management auf einen Blick.

Der Access Token ist Teil des Auth2.0 Standards. Er wird hierbei nach erfolgreicher Anmeldung ausgestellt und enthält Informationen zu den Berechtigungen des Nutzers.

Über das Active Directory werden Berechtigungen von Anwendern für Geräte und Ressourcen vergeben. Das ADFS baut auf dieser Funktionalität auf, um den Anwender gegenüber Systemen von Drittanbietern zu authentifizieren.
Mit ADFS wurde es möglich sich auch gegenüber Third-Party Anwendungen zu authentifizieren. Allerdings bringen sie viele Nachteile mit sich.

API steht für Application Programming Interface. Der Begriff wird bei der Softwareentwicklung verwendet und beschreibt eine Programmierschnittstelle. Über eine Schnittstelle wird die Kommunikation und Datenübertragung ermöglicht.

Bei einer Authentifizierung wird überprüft, dass es sich bei einer Person auch um die Person handelt, für die sie sich ausgibt. Wir authentifizieren uns mehrmals bei verschiedenen Apps und Portalen, indem wir uns mit unseren Zugangsdaten oder anderen Loginverfahren anmelden.

Die Überprüfung der Identität eines Benutzers oder die Authentifizierung eines Benutzers kann auf verschiedene Weise erfolgen. Zu den gängigsten Authentifizierungsmethoden gehörte die konventionelle Benutzername / Passwort Eingabe, die Authentifizierung mit biometrischen Faktoren wie Gesicht, Fingerabdruck oder Sprache, eine musterbasierte Authentifizierung, Smartpush, zeitbasiertes Einmalpasswort (TOTP), Back-up-Codes, FIDO2, E-Mail, SMS und IVR-basierte Authentifizierung.

Modul eines IAM, das eine spezifischen Authentisierungsmethoden zur Verfügung stellt und den Anwender authentifiziert, indem es die entsprechenden, der Authentisierungsmethode zugeordneten Attribute, überprüft und damit den Anwender im positiven Fall authentifiziert.

Die Autorisierung prüft die Berechtigungen eines Nutzers, d. h. bei diesem Prozess wird sichergestellt, dass der Nutzer über die erforderlichen Rechte verfügt, um z. B. eine Webseite anzufragen.

Backup-Codes ist ein mögliches Authentifizierungsverfahren. Im Grunde ist das eine Liste von Codes, wie sie von einer TAN-Liste bekannt sind, die nacheinander zur Bestätigung der Identität verwendet werden können.

Unter Benutzer-De-Duplizierung wird das Zusammenführen von zwei digitalen Accounts verstanden. Dieses Identity Linking entfernt Dupletten, die z. B. aufgrund von Registrierungen mit zwei unterschiedlichen E-Mail Adressen, Social Login Providern o.ä. entstanden sind.

Über ein Benutzerportal können registrierte Benutzer ihren Kontoprofil selbstverwalten. Hierdurch lassen sich bspw. Passworte ändern, Profildaten hinzufügen oder je nach Anwendungsfall auch Nutzer-Präferenzen angeben, Einwilligungen verwalten und Berechtigungen beantragen .

Identitätsdiebstahl ist eine starke Bedrohung auf jedem digitalen Service. Die Betrugserkennung (Fraud Detection) erkennt auffällige Verhaltensweisen und betrügerische Aktionen in Echtzeit und leitet Gegenmaßnahmen ein.

Gesicht, Stimme oder Fingerabdruck eine Person sind biometrisch einzigartig und werden daher zur sicheren und bequemen Identifizierung genutzt.

Zur Authentifizierung können eindeutige Merkmale einer Person wie das Gesicht, der Fingerabdruck, die Iris oder Stimme verwendet werden. Bereits heute ist über Touch ID, Android Fingerprint aber auch über andere Geräte wie Webcams die Identifikation von Personen möglich.

Cloud Software oder auch Software as a Service ist eine Software, die über "die Cloud" also das Internet bereitgestellt wird. Unternehmen, die diese Computingdienste anbieten, werden als Cloudanbieter bezeichnet. Dabei müssen Unternehmen nicht mehr, wie ggfs. früher, eigene Server besitzen, die Software installiern und warten, sondern können die Services direkt beziehen.

Das CTAP (Client To Authenticator Protocol) ist die nächste Innovation hinsichtlich einer passwortlosen digitalen Reise. Technisch gesprochen ist darin spezifiziert, wie die Verbindung zwischen dem externen Authenticator z.B. einem an das Device angeschlossenen Fingerprintsensor oder dem USB-Stick und der Plattform standardisiert ablaufen muss.

Eine Customer Identity- und Access Managements Lösung wird zur Identifikation uvon Kunden verwendet. Hier ist es besonders wichtig, die Registierung bzw. das Onboarding und die Identifikation digital und real so bequem wie möglich zu gestalten, ohne die Sicherheit zu vernachlässigen. Dadurch lassen sich Anwendungsfälle rund um die digitale Identität verwirklichen und eine ausgezeichnete Customer Journey kreieren.

Device Management steht für die Verwaltung von Geräten basierend auf Geräteinformationen wie Browser, Betriebssystem, Gerätetyp z.B. Smartphone, Tablet usw.. Sie ist für das Identity Management wichtig, da zum einen, über ein Gerät ein Nutzer identifiziert werden kann, zum anderen, da sie wichtige Hinweise zu betrügerischem Verhalten liefern.

Die EU-Datenschutz-Grundverordnung (EU-DSGVO) ist eine Verordnung der Europäischen Union zur einheitlichen Verarbeitung und zum Schutz von personenbezogenen Daten innerhalb der Europäischen Union (EU) und des Europäischen Binnenmarktes. Die zielt vor allem darauf ab, Personen die Kontrolle über ihre personenbezogenen Daten zu geben, und den freien Datenverkehr innerhalb des Europäischen Binnenmarktes zu gewährleisten.

Die EU-Datenschutz-Grundverordnung, kurz EU-DSGVO beinhaltet eine Reihe von Anforderungen und Sicherheitsmaßnahmen, die man im Umgang mit personenbezogenen Daten beachten muss. Unternehmen, die alle diese Verpflichtungen erfüllen, gelten als DSGVO-konform.

Mit E-Mail Opt-in ist die automatische E-Mail Verifikation nach der Registrierung gemeint. Diese E-Mail Verifizierung ermöglicht die Sicherstellung der Identität enies Benutzers. Nach einer erfolgreichen Registrierung erhält der Benutzer eine E-Mail mit weiteren Anweisungen zur Bestätigung seines Kontos. Diese E-Mail kann bspw. einen einzigartigen Link, welcher den Benutzer nach erfolgter Bestätigung auf eine vorkonfigurierte Landing Page des Anbieters leitet, enthalten.

Bei der E-Mail-basierten Authentifizierung, erhält der Benutzer einen Verifizierungscode an seine registrierte E-Mail-Adresse und muss diesen eingeben, um seine Identität zu bestätigen.

Ein OTP (One-Time Password, Einmal-Passwort) ist eine automatisch generierte Zahl oder alphanumerische Zeichenkette, mit der sich ein Anwender für eine einzige Sitzung authentifiziert. Einmal-Passwörter verwendet man als Ersatz oder als Zusatz für die Authentifizierung, um dem Konstrukt eine weitere Security- Schicht zu geben.

Die EU-DSGVO fordert, dass Nutzer seine Einwilligung geben, um dessen personenbezogene Daten zu erfassen und verarbeiten zu dürfen. Ein Einwilligungsmanagement ermöglicht Einwilligungserklärungen zu hinterlegen, zu versionieren und sie bei der Registrierung, bei Updates und anlassbezogen beim Nutzer einzuholen.

FIDO U2F ist ein 2-Faktor-Authentifizierungsstandard und der vorgänger von CTAP (Client To Authenticator Protokol)

Die FIDO ("Fast IDentity Online") Alliance ist ein Industriekonsortium, das im Februar 2013 gegründet wurde, um offene und lizenzfreie Standards für die weltweite, passwortlose Authentifizierung zu entwickeln. Daraus sind unter anderem die derzeit wichtigen Standards FIDO2, WebAuthn und CTAP hervorgegangen.

FIDO2 setzt sich aus den CTAP und WebAuthn zusammen und standardisiert die passwortlose Identifikation eines Nutzers ermöglicht.

Der Fingerabdruck ist eine biometrische Authentifizierungsmethode. Ähnlich wie bei Passwörtern oder PIN-Nummern soll durch den Fingerabdruck die jeweilige Person identifiziert werden.

Die Gesichtserkennung ist eine biometrische Authentifizierungsmethode. Ähnlich wie Passwörtern oder PIN-Nummern soll durch die Gesichtserkennung die jeweilige Person identifiziert werden.

Ein Identity- und Access Management (IAM) wird im Unternehmen intern eingesetzt um Mitarbeiter Zugänge einzurichten und zu berechtigen. Mittlerweile wird zwischen Enterprise IAM und Customer IAM unterschieden.

Eine Identität ist der eindeutige Identifikator für eine Person, Organisation, Ressource oder einen Service zusammen mit optionaler zusätzlicher Information (z.B. Berechtigungen, Attributen). Die Identität umfasst eindeutig kennzeichnende Merkmale.

Identitäts-Management (Identity Management oder ID- Management) ist ein Administrationsbereich, der sich mit der Identifizierung von Individuen in einem System (zum Beispiel Land, Netzwerk oder Unternehmen) beschäftigt. Dabei wird der Zugang der Individuen zu einer Ressource innerhalb des Systems kontrolliert, indem die Benutzerrechte und Einschränkungen mit der festgelegten Identität verglichen werden.

Interceptor ist ein Begriff aus der Softwareentwicklung. Im Identity Management wirkt ein Interceptor beispielsweise wie folgt: Der Nutzer ruft im Browser eine URL auf, daraufhin frägt das Front End einen Backend Service nach den Daten an. Der Interceptor funkt dazwischen, überprüft, ob der Nutzer authentifiziert und autorisiert ist, die Daten abzurufen und reagiert dementsprechend.

IVR steht für Interactive Voice Response und ist ein Sprachdialogsystem. - Der Benutzer erhält einen Sprachanruf auf seinem registrierten Gerät und muss den mitgeteilten Verifizierungscode eingeben, um seine Identität überprüfen zu lassen.

JWT (Json Web Token) ist ein offener Standard, der einen kompakten und in sich geschlossenen Weg für eine sichere Übertragung von Information zwischen Parteien im Web als ein JSON Objekt ermöglicht. Dieser Token kann verifiziert werden und ist vertrauenswürdig, da er durch die Benutzung eines anderen Standards JWS (Json Web Token Signature) digital unterzeichnet ist. Im Playload des Token könnten weitere Informationen in selbstdefinierten Datenfeldern platziert werden, welcher Inhalt entschlüsselt übermittelt werden kann, indem man einen weiteren Standard JWE (Json Web Encryption) benutzt. JWT wird im Web als standardisierte Weg benutzt um SSO und eine sichere Übertragung von Information zwischen Parteien/Beteiligte (API Konsumenten, Anwendungen,..) zu realisieren.

Das „Lightweight Directory Access Protocol“ (LDAP) ist ein Netzwerkprotokoll, das Daten aus einem LDAP-Verzeichnis wie einer Benutzerverwaltung bereitstellt. Da in Unternehmen häufig noch LDAP eingesetzt wird, kann cidaas das als Login Provider integrieren und einen weichen Übergang zu den sicheren, neuen Identitätsprotokollen ermöglichen.

Multi-Faktor-Authentifizierung (MFA) bezeichnet den Prozess eine Identität durch mindestens zwei Faktoren zu bestätigen entweder schrittweise durch eine Abfrage über ein weitere Authentifizierungsverfahren oder implizit in einem Authentifizierungsverfahren.

Bei der Authentifizierung über ein Muster wird bei der erstmaligen Registrierung ein Muster festgelegt, das der Benutzer dann bei wiederholter Anmeldung zur Authentifizierung eingibt.

OAuth2 ist ein Autorisierungsstandard. Über ihn werden Schnittstellen abgesichert, indem beim Aufruf ein sogenannter Access Token auf die Berechtigungen der Applikation und des Nutzers überprüft werden.

OpenID Connect (OIDC) ist ein Standardprotokoll zur Authentifizierung, welches den vorherigen Standard OAuth 2.0 um eine Identifikationsschicht erweitert. OIDC stellt dem Endbenutzer die Informationen in Form eines id_tokens bereit, durch das die Identität geprüft wird. Der Standard wird von der OpenID Foundation kontrolliert.

Authentifizierungsmechanismus, der es Nutzern ermöglicht sich einzuloggen und auf Ihre Ressourcen/Quellen zuzugreifen, ohne Passwörter verwenden zu müssen. Passwort-Alternativen sind bspw. One-Time-Password (OTP) oder biometrische Verfahren.

Progressive Profiling wird auch als intelligentes Profiling bezeichnet und beschreibt den Prozess, bei dem Benutzerinformationen schrittweise gesammelt werden, um ganzheitliche Benutzerprofile von Kunden zu erstellen ohne ihn mit zu vielen Abfragen gleichzeitig zu belästigen.

Am 8. Oktober 2015 verabschiedete das Europäische Parlament den Vorschlag der Europäischen Kommission zur Förderung sicherer und innovativer europäischer Zahlungsarten durch die PSD2-Richtlinie. Die neuen Regeln zielen darauf ab, Onlinezahlungen zu vereinfachen und die Verbraucher gleichzeitig besser zu schützen, sowie die Entwicklung und Nutzung neuer, innovativer Online- und Mobilzahlungen zu fördern und grenzüberschreitende europäische Zahlungsdienste sicherer zu machen. Das Monopol der Finanzdienstleister auf Kontoinformationen endet damit und die Banken müssen ihre Schnittstellen für Drittanbieter (TPP) zugänglich machen.

Um PSD2-konform zu werden ist eine robuste Identitäts- und Zugriffsmanagementlösung mit ausfallsicheren Autorisierungsprozessen entscheidend, um ihre Schnittstellen zu Drittanbietern zu öffnen und sensible Daten sicher auszutauschen.

SCA steht für die Starke Kundenauthentifizierung oder “Strong Customer Authentication” (SCA) und wird unter anderem bei PSD2 als Begriff verwendet. Eine starke Authentifizierung ist notwendig, wenn der Nutzer auf sein Konto zugreift und eine Zahlung auslöst. Zur sicheren, starken Authentifzierung des Nutzers wird eine Zwei-Faktor-Authentifizierung durchgeführt, aus Faktoren aus mindestens zwei der drei Kategorien von Wissen, Besitz und Biometrie.

Ein Software Development Kit (SDK) bilden Funktionalitäten ab und ermöglichen dadurch eine einfache Nutzung der Funktionalitäten bei der Entwicklung von Applikationen.

Single Sign-on – auch Einmalanmeldung genannt – ermöglicht es Endnutzern sich mit Hilfe einer Identität über alle Services nach einmaliger Anmledung diese zu nutzen. Wechselt der Benutzer zu einem anderen Service des Anbieters, dann wird hierbei überprüft, ob der Nutzer authentifiziert und autorisert ist. Im Falle einer erfolgreichen Anfrage erhält der Kunde Zugriff auf diese Ressourcen – Touchpoint unabhängig.

Eine Push-Benachrichtigung ist eine Nachricht, die auf einem mobilen Gerät des Benutzers angezeigt wird. Indem der Nutzer den richtigen Code in der Authenticator App auswählt, der in der Anwendung dargestellt wird, authentifiziert er sich erfolgreich.

Bei der SMS-basierten Authentifizierung erhält der Benutzer per SMS einen Verifizierungscode auf sein registriertes mobiles Gerät und muss diesen eingeben, um seine Identität überprüfen zu lassen.

Social Login wird auch als Social Sign-in bezeichnet. Benutzer können sich bequem mit Hilfe ihres bevorzugten sozialen Netzwerkes registrieren. Der Nutzer wählt für den Registrierungs-Prozess auf einem Online-Portal sein bevorzugtes Social Media Konto (Facebook, Twitter, Google+ etc.), und kann dadurch vom Websitebetreiber authentifiziert bzw. eindeutig zugeordnet werden.

Die Stimmerkennung ist eine biometrische Authentifizierungsmethode. Ähnlich wie Passwörtern oder PIN-Nummern soll durch die Stimmerkennung die jeweilige Person identifiziert werden.

Wird im Zusammenhang mit Identitätsmanagement als Security-Token verwendet. Ein Security-Token ist eine Hardwarekomponente zur Identifizierung und Authentifizierung von Benutzern. Gelegentlich werden damit auch Softwaretoken bezeichnet. Sie sind meist Bestandteil eines Systems der Zugriffskontrolle mit Zwei-Faktor-Authentifizierung..

TOTP steht für Time-based One-time Password - Es ist ein temporäres Passwort (sechs oder acht Ziffern), das von einem Algorithmus generiert wird und zur Authentifizierung von Benutzern, basierend auf Zeit und Gerät, verwendet wird.

U2F steht für Universal 2nd Factor und ist ein Industriestandard, der mit Hilfe von speziellen USB- oder NFC-Geräten eine Zwei-Faktor-Authentifizierung (2FA) unterstützt. Entwickelt von Google und Yubico, mit Unterstützung von NXP Semiconductors, wird der Standard nun von der FIDO Alliance gehostet.

WebAuthn ist der Standard zur bequemen Authentifizierung im Web. Durch WebAuthn können im Browser die Authentifizierungsverfahren des Endgerätes verwendet werden. Dadurch ist es möglich durch Fingerprintsensoren, Gesichtserkennung oder auch die Stimmerkennung den Nutzer einfach und eindeutig zu erkennen.

WebHooks als ein nicht standardisiertes Verfahren zur kommunikation von Servern. Dadurch wird ermöglicht, dass andere Systeme in Echtzeit über ein eingetretenes Event informiert werden und reagieren können.

Zwei-Faktor-Authentifizierung (MFA) ist ein Verfahren, dass die Kombination von zwei Berechtigungsnachweisen (Faktoren) für die Prüfung von Benutzer-Identitäten nutzt. Faktoren:

• Physischer Besitz: z.B eine Bankkarte
• Wissen: z.B. ein Passwort
• Sein: Biometrische Daten z.B. Fingerprint, Gesichtserkennung, Stimmerkennung