Der Zürcher Authentifizierungsspezialist Futurae wagt den Schritt in die Betrugserkennung in Echtzeit. Mit Trust Signals erhalten Banken den Kontext, um die Vertrauenswürdigkeit einer Interaktion zu beurteilen.
Eine Authentifizierung bestätigt, wer jemand ist, nicht aber, ob dieser Person in einem bestimmten Moment zu trauen ist. In genau diese Lücke zielt Futurae, ein Spin-off der ETH Zürich, mit seinem neuen Produkt Trust Signals. Im Gespräch auf der it-sa erläuterten Alex Dingsburg, Head of Partnerships and Channel, und Velina Vlachou, Marketing Lead, wie das Unternehmen in Europa wachsen will und welche Rolle Partner dabei spielen.
Ausgangspunkt ist ein Wandel der Angriffsmuster. Vielfach läuft die Anmeldung fehlerfrei durch, und der Betrug gelingt genau deshalb. Beim Tech-Support-Scam überreden Angreifer ihre Opfer zur Installation von Fernwartungssoftware und übernehmen unmittelbar nach der Anmeldung die Sitzung. Beim QR-Code-Trick autorisieren Nutzer unwissentlich eine fremde Sitzung. MFA-Fatigue, gefälschte Frontends und Social Engineering bei der Kontowiederherstellung runden das Bild ab. In all diesen Fällen bestätigt die Authentifizierung die richtige Person, die entscheidende Frage verschiebt sich daher von der Identität zur Vertrauenswürdigkeit einer konkreten Interaktion.
Genau hier setzt Trust Signals an. Laut Futurae erfassen Sensoren Rohdaten auf dem Endgerät, entweder als SDK in nativen Apps oder als JavaScript im Webfrontend, ergänzt um einen Netzwerksensor, der IP- und HTTP-Header-Informationen anreichert. Futurae berechnet die Signale in seinem Backend, der Kunde ruft sie in Echtzeit über eine Signals API ab, etwa aus einem IAM-System oder einer Kernbankenanwendung. Zum Start stehen sieben Signale zur Verfügung, darunter die räumliche Nähe der Geräte eines Nutzers, Geolokation und Geovelocity, die erstmalige Nutzung eines Browsers, ein laufendes Telefonat bei einem sicherheitsrelevanten Vorgang sowie ferngesteuerte Browsersitzungen, die anhand von Maus- und Tastaturmustern erkannt werden.
Keines dieser Signale löst von selbst eine Aktion aus. Die Entscheidung bleibt beim Institut, das einen Vorgang freigeben oder zurückhalten kann. Manche Werte sind deterministisch, andere beruhen auf Heuristiken und können Fehlalarme erzeugen, und einzelne Signale, etwa Standortdaten, setzen die ausdrückliche Zustimmung des Endnutzers voraus. Trust Signals soll die vorhandene Betrugsabwehr ergänzen, nicht ersetzen.
Dr. Claudio Marforio, CEO und Mitgründer von Futurae, fasst den Ansatz so zusammen: „Die Authentifizierung beantwortet, wer jemand ist. Ob dieser Person im konkreten Moment zu trauen ist, bleibt offen, denn der Kontext der Interaktion fließt in die Prüfung nicht ein. Wir liefern genau diesen Kontext und überlassen die Bewertung dem Institut, das seine Kundschaft und seine Risikopolitik am besten kennt.“
Im Gespräch beschrieb sich Futurae als kleiner und flexibler als viele Wettbewerber und als Anbieter mit Zero-Trust-Ansatz. Als europäischer Hersteller orientiere man sich an der Regulierung, die Vlachou als absolut wichtig bezeichnete. Private Banken zeigen das Designprinzip: Futurae kennt deren Kunden nicht, die Lösung ist daher anonym by Design. Die Betrugsabwehr kommt aus der Cloud und wird als SaaS pro Nutzer abgerechnet. Die Implementierung dauere laut Unternehmen ein bis zwei Monate, mit einer Sandbox für unkompliziertes Onboarding und einer Migration, die im Hintergrund läuft. Für die Integration verweist Futurae auf APIs für Entra und Active Directory oder auf die eigene Rolle als Leitsystem und betont die Offenheit gegenüber Microsoft, Schweizer Cloud-Anbietern, Cloudflare und vielen IAM-Partnern. Passkeys seien nicht frei von Risiken, weshalb man sie mit dem eigenen Cloud-Ansatz kombiniere.
Der Business Case dreht sich um den Betrieb. Weniger manuelle Prüfungen, weniger Support-Tickets und weniger kostspielige Rückrufe sollen die Betrugsabteilungen entlasten. Das jüngste größere Update habe laut Futurae eine Kontextebene ergänzt, mit der Institute ihre Kunden besser kennen. Die Produkt-Roadmap folgt der EU-Regulierung. Das Unternehmen verweist auf DORA, das für Finanzunternehmen seit Januar 2025 gilt, und auf PSD3, das kurz vor der formalen Verabschiedung steht, die Pflichten zur Betrugsprävention verschärft und die Haftung neu verteilt. Die Expertise liegt in Banken und Versicherungen, doch sieht Futurae wachsendes Interesse auch anderswo, nicht zuletzt im öffentlichen Sektor, wo das Sicherheitsbewusstsein steigt.
Wachsen will Futurae vor allem über den Channel. Das Unternehmen beschäftigt mehr als 70 Mitarbeitende, mit Büro in Zürich und Teams in Italien, Griechenland und Osteuropa. Es arbeitet mit vier Partnertypen: OEMs, VARs, Resellern und ist in Gesprächen mit zwei Kandidaten als Value-Added-Distributoren. Ein Partnerfrühstück vor zwei Monaten habe sehr positives Feedback gebracht, kleine Events funktionierten besser, ergänzt durch direkte Webinare. Zudem tritt Futurae gemeinsam mit Ergon Airlock auf. In Deutschland und Österreich sieht man viele Chancen und will Partnern eine auf den deutschen Markt zugeschnittene Lösung bieten, gestützt auf die Erfahrung mit der Schweizer Regulierung. Ein Webinar zu Echtzeit-Kontext in der Betrugserkennung ist für den 24. November 2026 um 14:00 Uhr MEZ angesetzt.
Wie gut Trust Signals in der Praxis funktioniert, hängt von der Belastbarkeit der einzelnen Signale ab und davon, wie bereitwillig Institute sie integrieren. Futurae will das Signalspektrum nach eigenen Angaben regelmäßig erweitern und sich dabei an den Angriffsszenarien der Bestandskunden orientieren.
Futurae wurde 2016 gegründet, ist ISO-27001-zertifiziert und Mitglied der FIDO Alliance. Laut Unternehmen nutzen weltweit mehr als 130 Banken, Versicherer, Online-Shops und Digital Wallets die Plattform.
Dr. Jakob Jung ist Chefredakteur Security Storage und Channel Germany. Er ist seit mehr als 20 Jahren im IT-Journalismus tätig. Zu seinen beruflichen Stationen gehören Computer Reseller News, Heise Resale, Informationweek, Techtarget (Storage und Datacenter) sowie ChannelBiz. Darüber hinaus ist er für zahlreiche IT-Publikationen freiberuflich tätig, darunter Computerwoche, Channelpartner, IT-Business, Storage-Insider und ZDnet. Seine Themenschwerpunkte sind Channel, Storage, Security, Datacenter, ERP und CRM.
Kontakt – Contact via Mail: jakob.jung@security-storage-und-channel-germany.de