Customer Identity & Access Management
Durch die Kundenbrille gesehen
Spätestens seit der Pandemie ist vielen IT-Entscheidern klar: Ihr bisheriges Identity and Access Management (IAM) braucht ein Reset. Moderne Authentifizierungsstrategien müssen her. Die lassen sich allerdings nicht einfach aus der bestehenden Infrastruktur heraus entwickeln.
- Wie unterscheidet sich das Management digitaler Identitäten von Mitarbeitenden und Kunden in der Anwendungspraxis?
- Welche Kriterien spielen im Kontext einer CIAM-Strategie eine Rolle für die Unternehmen?
- Inwiefern unterscheidet sich IAM von CIAM?
- Warum sollten IT und kundennahe Unternehmensbereiche näher zusammenrücken?
Im Grunde logisch: Jeder, der sich über unterschiedliche Zugänge für einen Online-Dienst anmelden möchte, toleriert weder lange Berechtigungsabfragen noch sonstige Störungen im Registriervorgang. Dauert es dennoch zu lange, wird der Vorgang meist kurzerhand abgebrochen. Der Mitarbeitende, dem das passiert, wendet sich direkt an die interne IT, da er den Zugriff auf den digitalen Dienst braucht, um seine Aufgaben erledigen zu können. Damit nimmt er umständlich Anmeldeprozesse in Kauf – der Sicherheit wegen. Ein Kunde ist dazu allerdings nicht bereit. Funktioniert hier der Authentifizierungsprozess nicht auf Anhieb und reibungslos, verliert er schnell das Vertrauen in den Anbieter und geht zum Wettbewerb. Der ist ja meist nur einen Klick entfernt ist.
Wie sich das Management digitaler Identitäten von Mitarbeitenden und Kunden in der Anwendungspraxis voneinander unterscheiden, scheint in den IT-Etagen noch nicht hinreichend bekannt zu sein. Anders lassen sich die Ergebnisse der aktuellen IDG-Trendstudie „CIAM 2022“ im Auftrag von Auth0 unter 288 EntscheiderInnen wohl kaum erklären. Denn unter den Befragten herrscht eine ziemlich große Uneinigkeit über Herangehensweisen und Verantwortlichkeiten, wenn es um die Entwicklung einer tragfähigen CIAM-Strategie geht.
CIAM: die IT sieht sich im Driver Seat
Interessanterweise spielen bei weniger als 30 Prozent der Befragten Kriterien, die den Kunden im Fokus haben – zum Beispiel dessen Erwartungen an die Authentifizierungsmöglichkeiten – im Kontext einer CIAM-Strategie überhaupt eine Rolle. Im Gegenteil: Mehr als zwei Drittel der IT-Chefinnen und -Chefs wollen sich dabei in erster Linie um den Datenschutz, ihre Compliance und die Erweiterung ihrer Infrastruktur kümmern. Im Übrigen sehen sich genau diese Befragten (84 Prozent) auch im „Driver Seat“ wenn es um ein neues CIAM-Konzept geht. Knapp dahinter liegt die IT-Sicherheit. 54 Prozent sehen hier die Verantwortlichkeit für CIAM. Die eigentlichen Wissensträger zu dieser Thematik – das Marketing, die Entwicklung sowie das Produktmanagement – sieht kaum ein Befragter an vorderster Front. Eine Perspektive, die fatale Folgen für die Umsetzung haben kann. Denn Verantwortliche aus diesen Unternehmensbereichen arbeiten direkt an der Schnittstelle zum Kunden. Sie wissen meist, wie er tickt und welche Interessen sie konkret adressieren müssen. Die IT kann diese Kenntnisse nicht haben. Das dürfte erklären, warum für gerade einmal 22 Prozent der Befragten die Vereinheitlichung und Vereinfachung eines Kunden-Logins eine Rolle spielt.
Zwischen fixer und flexibler Größe
Der Blick auf digitale Kundenidentitäten löst bei der IT nur eine einzige Assoziation aus: Absicherung ihrer digitalen Geschäftsprozesse am Login. Ganze 93 Prozent wollen das tun, sofern die Kunden über ihr bestehendes IAM-System auf entsprechende Dienste zugreifen. Mit anderen Worten: Sie gehen das Thema CIAM aus Sicht der Infrastruktur an. Dieser Ansatz gerät allerdings schnell an seine Grenzen. Insbesondere, wenn es um Management und Steuerung der verfügbaren Daten geht. Dazu muss man wissen: IAM-Systeme verwalten vorwiegend die Datenströme von Mitarbeitenden. Jeder An- und Abmeldevorgang von unterschiedlichen Standorten im Firmen-Netzwerk ist bekannt, und kann mit einem entsprechenden Sicherheitslevel versehen werden. Hier ist der IT bekannt, wie und worüber sich die Mitarbeitenden einloggen.
Geht es um den Anmelde-Prozess des Endkunden, konzentriert sich der Datenschutz ausschließlich auf den Login. Der Fokus liegt dann nicht mehr auf der vollumfänglichen Absicherung der Aktivitäten, sondern vielmehr auf einer hohen Skalierbarkeit und User Experience, ohne aber die Sicherheit zu vernachlässigen. Hier geht es im Wesentlichen darum, zu prüfen, ob der Nutzer derjenige ist, der er vorgibt zu sein, und was genau er tun möchte. Darin liegt der Unterschied zwischen IAM und CIAM. Das ist wichtig zu wissen, um eine zukunftsfähige Authentifizierungs-Strategie verfolgen zu können. Denn während das Zugriffsmanagement für Mitarbeitende inklusive entsprechender Authentifizierungs-Richtlinien und Berechtigungsstrukturen eher eine fixe Größe darstellt, die lediglich verwaltet werden will, hat man es bei CIAM mit Millionen von unbekannten Identitäten zu tun. Die Studie kommt hier zu dem Ergebnis, dass bereits 70 Prozent der befragten IT-EntscheiderInnen Kundendaten in ihren IAM-Systemen verarbeiten. Das ist ein weiterer möglicher Grund, warum die Mehrheit versucht, CIAM aus ihren bestehenden IAM-Umgebungen zu entwickeln.
Beim Login spielt die kollaborative Kundenbeziehung eine wichtige Rolle
Diese Herangehensweise führt unweigerlich dazu, den Kundenzugriff auf digitale Dienste besonders stark abzusichern. Aber sieht das auch der Kunde so? Der informierte Online-Nutzer möchte in der Regel selbst entscheiden, wie er sich anmeldet, um sicher und reibungslos auf einen Service zuzugreifen. Sobald er sich gegängelt oder bevormundet fühlt, ist er weg. Besonders die IT muss genau hier lernen, dass die Schnittstelle der Authentifizierung eine Art kollaborative Beziehung mit dem Kunden ist. Das sehen Sicherheits- und IT-Verantwortliche allerdings ganz anders. Viele zögern noch damit, ihre Kunden mit modernen Login-Möglichkeiten zu konfrontieren, und setzen lieber auf Bewährtes. Das ist zumindest die Begründung, wenn es um den künftigen Einsatz von Passwörtern geht, auf den 52 Prozent auch in den kommenden Jahren setzen wollen. Verbraucher hingegen erwarten zunehmend moderne Authentifizierungsmöglichkeiten wie den biometrischen oder den passwortlosen Login, um Sicherheit und Komfort in der Anwendung gleichermaßen zu erhalten.
Auch hier ist der Blick aus der Kundenperspektive für die Entwicklung einer CIAM-Strategie von großem Vorteil. Denn anders als die Beschäftigten greifen Kunden sehr viel situativer und intuitiver auf unterschiedliche Applikationen zu. Damit verfügen sie über ein ganz anderes Risikoprofil als ein Mitarbeitender. Es basiert auf Faktoren oder Signalen wie Geo-IP-Lokalisierung, Benutzerverhalten oder Verbindungstypus. Diese Faktoren können sich je nach spezifischen Bedrohungslagen ändern – zum Beispiel durch Credential Stuffing oder Injection Attacks –, und erfordern daher eine fortlaufende, ganzheitliche Analyse dieses Risikoprofils. Maßnahmen für die Sicherheit der Kundendaten sollten daher stets die aktuelle Risikolage zugrunde legen.
Anstatt also weiterhin auf Passwörter zu setzen, die sowohl ineffizient als auch unsicher sind, sollten IT und kundennahe Unternehmensbereiche zusammenrücken, um moderne Authentifizierungsstrategien zu entwickeln, die sich an den Login-Bedürfnissen des Nutzers und seiner Zugriffsumgebung orientieren.
Vitor de Sousa, Vice President Enterprise Sales, CEE bei Auth0
- Durch die Kundenbrille gesehen
- Exkurs: IAM vs. CIAM
Das könnte Sie auch interessieren
Sicher im Homeoffice
Automatisiertes Identity- und Accessmanagement
Identity Governance
Zero Trust im Zusammenspiel mit…
Identity Security
Die Identität als neuer Sicherheitsperimeter
Digital Identity Wallet
Identität im Gepäck
Customer Experience
Hybride Teams, über alle Kanäle
Identity Access Management
Vertrauen reicht nicht, Kontrolle ist besser
Customer Service im Bankwesen
Vom Multichannel- zum Omnichannel-Banking
Customer Experience
Kommunikation auf allen Kanälen
Verwandte Artikel
connect professional
Cyberversicherungen und PAM
Reaktive Sicherheit stellt Versicherer nicht mehr…
Geschäftsmodelle in der Digital Society
Wachstumstreiber Subscription Economy
