Auf der it-sa in Nürnberg erklärt Futurae-CEO Dr. Claudio Marforio, warum europäische Finanzinstitute ihre Abhängigkeit von US-Plattformanbietern überdenken und wie Kontextsignale Logins und Transaktionen schützen, ohne Kunden zu belasten.
Europäische Finanzinstitute überdenken die Grundlagen ihrer Sicherheitsarchitektur, und die Unabhängigkeit von außereuropäischen Anbietern rückt in den Mittelpunkt. Im Gespräch auf der it-sa in Nürnberg argumentierte Dr. Claudio Marforio, Mitgründer und CEO des Zürcher Spezialisten für Identitätssicherheit Futurae, dass digitale Souveränität im Finanzsektor beim Identitätsmanagement beginnt.
Stimmungswandel in Nürnberg
Marforio beobachtet einen Wandel darin, wie europäische Unternehmen, darunter viele Mittelständler, ihre technologischen Abhängigkeiten betrachten. In der IT-Sicherheit stammen die größten Anbieter seit Langem aus den USA oder Israel. Geopolitische Spannungen haben jedoch gezeigt, dass Partner von heute morgen andere Interessen verfolgen können. „Es ist extrem wichtig, unabhängig von großen Playern zu sein, die heute Freunde sind und es morgen vielleicht nicht mehr sind“, sagte Marforio. US-Lösungen blieben gültig, betonte er; es gehe darum, europäische Alternativen zu haben.
Für den Finanzsektor bevorzugt er den Begriff „Unabhängigkeit“ gegenüber „Souveränität“: Wie viel vom Sicherheits-Stack einer Bank hängt von Plattformen ab, deren Bedingungen sich ändern können?
Das Plattform-Dilemma
Wer ein Smartphone nutzt, bewegt sich im Ökosystem von Apple, Google oder Microsoft, und diese Konzerne bieten sichere, gut nutzbare Authentifizierung. „Daran ist nichts auszusetzen“, so Marforio. Das Problem liege woanders: Eine Bank, die die Kundenprüfung vollständig dem Betriebssystem eines Drittanbieters überlässt, gibt auch einen Teil der Kundenbeziehung ab. „Sie möchten die Beziehung zu Ihren Kunden selbst besitzen“, sagte er und nannte die Auslagerung aus strategischer, kaufmännischer und haftungsrechtlicher Sicht riskant.
Laut Marforio versteht sich Futurae als spezialisierter Anbieter für Finanzdienstleistungen. Das Unternehmen halte sich an die Vorgaben der Europäischen Bankenaufsichtsbehörde (EBA) und des EMVCo-Standards und verfolge regulatorische Änderungen wie den Schritt von PSD2 zu PSD3.
Sicherheit gegen Benutzerfreundlichkeit
Sicherheit und Benutzerfreundlichkeit stünden seit jeher im Widerspruch, erklärte Marforio: „Die benutzerfreundlichsten Systeme sind in der Regel nicht sicher. Die sichersten Systeme sind in der Regel nicht sehr benutzerfreundlich.“ Futurae sei aus der Forschung an der ETH Zürich hervorgegangen, mit dem Ziel hoher Sicherheit ohne Abstriche bei der Usability.
Passkeys auf Basis von FIDO2 verdeutlichen den Konflikt. Sie verhindern Phishing kryptografisch, setzen aber auf plattformspezifische Lösungen von Apple, Google und Microsoft. Nutzer mit älteren Geräten müssen auf weniger sichere Verfahren ausweichen. Im Banking können Passkeys zwar ein Login authentifizieren, aber noch keine Transaktion wie eine Kartenzahlung oder Überweisung bestätigen.
Futurae ergänzt daher weitere Verfahren, darunter Push-Benachrichtigungen, QR-Code-Authentifizierung und risikobasierte Authentifizierung mit Kontextsignalen, damit jeder Kunde auf sein Bankkonto zugreifen kann. Solche Signale, etwa das übliche Verhalten und der Standort eines Nutzers, erhöhen die Sicherheit ohne zusätzliche Schritte. Nutzer wollten schlicht eine Rechnung bezahlen und nicht über Sicherheit nachdenken, so Marforio. Das Unternehmen ist Mitglied der FIDO Alliance, wo es sich nach eigenen Angaben für die Anforderungen des Finanzsektors einsetzt, und hilft Kunden, SMS-Einmalpasswörter abzulösen, die es nicht für sicher hält.
Deepfakes am Helpdesk
KI-generierte Stimmen werden zunehmend gegen Support-Hotlines eingesetzt, um MFA-Resets zu erschleichen. Marforio sagt, er bleibe bei Anrufen unbekannter Nummern inzwischen stumm, da wenige Sekunden Sprache genügten, um eine Stimme zu klonen. Futurae nutzt dafür keine eigene Biometrie. Stattdessen übermittelt das Unternehmen Kontextinformationen an die Bank, um zu belegen, dass etwa die Aktivierung eines neuen Geräts oder ein Helpdesk-Anruf in einem bekannten, sicheren Kontext stattfindet. Gibt sich ein Angreifer von einem anderen Ort und ohne die üblichen Interaktionsmuster als Kunde aus, wird die Anomalie sichtbar, und die Bank kann die Operation blockieren. Die Verarbeitung sei datenschutzfreundlich ausgelegt, so Marforio.
Compliance von Anfang an
Futurae bietet einen reinen Cloud-Dienst an; ein On-Premises-Betrieb ist keine Option, was Marforio als frühe Hürde bezeichnete, die Finanzinstitute heute breiter akzeptierten. Genannte Maßnahmen: Daten werden bei der Übertragung und bei der Speicherung innerhalb der europäischen Rechtsordnung verarbeitet, die Kryptografie folgt etablierten Standards und bereitet sich auf Post-Quanten-Bedrohungen vor, und die Mandanten sind technisch getrennt. Der Zugriff der Mitarbeitenden auf Kundendaten, auch der von Marforio selbst, erfordert eine interne Freigabe, die protokolliert und auditierbar ist.
Vertraglich erhalten Kunden einen DORA-Zusatz oder eine DSGVO-Vereinbarung. Futurae agiert als Unterauftragsverarbeiter, sodass eine Bank Ansprüche wie Löschung oder Audit-Log-Anfragen weiterreichen kann. Marforio betonte, kein Jurist zu sein; rechtliche Aussagen werde die Rechtsabteilung des Unternehmens prüfen.
Die Bank bauen, nicht die Authentifizierung
Angesichts von KI-Coding-Werkzeugen könnten manche Institute versucht sein, Sicherheitsfunktionen selbst zu entwickeln. Marforio rät davon ab: „Wenn Sie eine Bank sind, konzentrieren Sie sich auf das Bankgeschäft.“ Authentifizierung, Transaktionsbestätigung und Betrugserkennung seien schwierige Themen, sagte er, die sich mit Regulierung und Angreifern gleichermaßen verändern.
Das neue Produkt Trust Signals von Futurae gibt Kontextdaten direkt an Kunden weiter, damit diese sie in bestehende Betrugserkennungsprozesse einspeisen können, mit dem Ziel, Betrug und Fehlalarme zu verringern. „Am Ende ist es unser Ziel, das europäische Ökosystem online sicherer zu machen – wann immer eine digitale Transaktion stattfindet“, sagte Marforio.
Dr. Dietmar Müller ist ein erfahrener IT-Fachjournalist und Chefredakteur von Beyond Buzzwords. Er verfügt über jahrzehntelange Expertise auf dem deutschen und internationalen IT-Markt sowie über fundierte Redaktionserfahrung in renommierten Verlags- und Medienhäusern wie Springer, IDG und CBS Interactive. Ob crossmediale Fachartikel, tiefgreifende Analysen oder fundierte Interviews, am Schreibtisch oder im direkten Austausch mit Branchengrößen: Dr. Dietmar Müller ist in der Enterprise-IT-Welt zu Hause. Seine Themenschwerpunkte umfassen Enterprise-IT- und OT-Architekturen, Cloud, ERP, MES, Datacenters, Cybersecurity und Compliance, industrielle Automation und KI-Governance u. a.