Zürich – Das Schweizer Sicherheitsunternehmen Futurae hat Trust Signals vorgestellt, ein neues Produkt seiner modular aufgebauten Sicherheitsplattform. Trust Signals wertet Kontext- und Verhaltensdaten rund um den Nutzer in Echtzeit aus und liefert daraus abgeleitete Betrugsindikatoren über eine API. Banken und weitere Anbieter digitaler Dienste können diese Indikatoren in ihre bestehende Betrugserkennung einspeisen.
Trust Signals lässt sich eigenständig betreiben oder mit einer vorhandenen Authentifizierungslösung kombinieren, gleich ob diese von Futurae stammt oder von einem anderen Anbieter. Ein Wechsel des Authentifizierungsanbieters ist für den Einsatz nicht erforderlich.
Anlass sind Angriffsmuster, bei denen die Anmeldung fehlerfrei durchläuft und der Betrug genau deshalb ungehindert stattfindet. Beim Tech-Support-Scam geben sich Angreifer als Support-Mitarbeiter aus und überreden ihre Opfer zur Installation von Fernwartungssoftware, um unmittelbar nach der Anmeldung die Sitzung zu übernehmen. Beim QR-Code-Trick autorisieren Nutzer unwissentlich eine fremde Sitzung. Dazu kommen MFA-Fatigue und gefälschte Frontends. Auch bei der Kontowiederherstellung setzen Angreifer auf Social Engineering. Die Authentifizierung bestätigt in all diesen Fällen die richtige Person. Damit verschiebt sich die entscheidende Frage weg von der Identität hin zur Vertrauenswürdigkeit einer konkreten Interaktion. Für diese Bewertung braucht es Informationen aus dem Umfeld der Anmeldung. Der Lagebericht des BSI verzeichnet parallel wachsende Angriffsflächen und eine weiterhin angespannte Gefährdungslage.Sensoren am Endgerät, Entscheidung beim Institut
Technisch beruht das Produkt auf einer dreistufigen Anordnung. Sensoren erfassen Rohdaten auf den Endgeräten, eingebettet als SDK in native Apps oder als JavaScript im Webfrontend, ergänzt um einen Netzwerksensor, der IP- und HTTP-Header-Informationen anreichert. Diese Daten gelangen über eine Collection API an das Backend von Futurae, das daraus die Signale berechnet. Über die Signals API fragt das Kundensystem sie in Echtzeit ab, etwa ein IAM-System oder eine Kernbankenanwendung. Die Datenauswertung und die Berechnung der Signale liegen bei Futurae, die Entscheidung bleibt beim Kunden.
Zum Start stehen sieben Signale zur Verfügung
- Latest Proximity prüft, ob zwei Geräte eines Nutzers, etwa Telefon und Computer, sich in räumlicher Nähe befinden.
- Historical Proximity erfasst, ob ein Gerät in der Vergangenheit bereits neben einem bekannten Gerät aufgetreten ist.
- Geolocation bestimmt den Standort, von dem aus ein Gerät sich verbindet.
- Geovelocity bewertet, ob eine Ortsveränderung in der vergangenen Zeit physikalisch möglich war.
- New Login Device meldet die erstmalige Verwendung eines Geräts.
- Active Call kennt ein laufendes Telefonat während eines sicherheitsrelevanten Vorgangs, etwa der Freigabe einer hochwertigen Transaktion, ein im Bankenumfeld verbreitetes Indiz für Social Engineering.
- Remote Access Tool identifiziert ferngesteuerte Browsersitzungen anhand von Maus- und Tastaturmustern.
Keines dieser Signale löst von selbst eine Aktion aus. Die Auslegung und die daraus folgende Entscheidung liegen vollständig beim Institut, das den Vorgang freigeben oder zurückhalten kann. Auch die Belastbarkeit unterscheidet sich je nach Signaltyp. Manche Werte sind deterministisch, andere beruhen auf Heuristiken und Verhaltensmodellen und können Fehlalarme erzeugen. Einzelne Signale setzen zudem eine ausdrückliche Freigabe durch den Endnutzer voraus, etwa beim Zugriff auf Standortdaten. Für die Praxis heisst das, dass Trust Signals die vorhandene Betrugsabwehr ergänzt und nicht ersetzt, denn fällt ein Signal aus, greifen weiterhin die bestehenden Regelwerke des Instituts.
„Die Authentifizierung beantwortet, wer jemand ist. Ob dieser Person im konkreten Moment zu trauen ist, bleibt offen, denn der Kontext der Interaktion fliesst in die Prüfung nicht ein. Wir liefern genau diesen Kontext und überlassen die Bewertung dem Institut, das seine Kundschaft und seine Risikopolitik am besten kennt“, erklärt Dr. Claudio Marforio, CEO und Mitgründer, Futurae.
Wirtschaftlich zielt Futurae auf die Entlastung der Betrugsabteilungen. Im Vordergrund stehen weniger manuelle Prüfungen und ein geringeres Aufkommen an Support-Tickets. Auch kostspielige Rückrufe bei Kundinnen und Kunden sollen entfallen. Nach Angaben des Unternehmens bleibt der Aufwand für die Anbindung gering, ein Austausch bestehender Systeme ist dafür nicht erforderlich.
Regulatorisch fällt der Start in eine Phase spürbarer Verdichtung. Für Finanzunternehmen gilt seit Januar 2025 die Verordnung DORA mit europaweit einheitlichen Anforderungen an das IKT-Risikomanagement. Mit PSD3 und der begleitenden Zahlungsdiensteverordnung steht ein weiteres Regelwerk kurz vor dem formalen Abschluss. Es verschärft die Pflichten zur Betrugsprävention und verteilt die Haftung neu. Wer Betrugsfälle künftig nicht nachweisbar früh erkennt, trägt die Folgen also unmittelbarer als bisher. Zugleich verändert der Einsatz generativer Modelle die Angreiferseite, weil Kampagnen schneller entstehen und einzelne Betrugsmuster schneller wieder verschwinden.
Futurae kündigt an, das Signalspektrum in regelmässigen Abständen zu erweitern und dabei an konkreten Angriffsszenarien der Bestandskunden auszurichten. Für Institute im deutschsprachigen Raum bedeutet die Herkunft des Anbieters, dass Datenhaltung und Auftragsverarbeitung innerhalb eines eng an EU-Recht angelehnten Rechtsrahmens bleiben. (Futurae/mc/hfu)
| Über Futurae Futurae ist ein Schweizer Authentifizierungsanbieter und stellt eine cloud-native Plattform für Authentifizierung und Betrugserkennung bereit. Das 2016 als Spin-off der ETH Zürich gegründete Unternehmen ist ISO 27001-zertifiziert und Mitglied der FIDO Alliance. Mit Betrugssignalen in Echtzeit für fundiertere Risikoentscheidungen unterstützt Futurae seine Kunden dabei, nahtlose User Journeys und kontextbasierte Online-Sicherheit zu realisieren. Weltweit vertrauen mehr als 130 Banken, Versicherer, Online-Shops und Digital Wallets auf die Plattform. www.futurae.com. |