Authentifizierung per Stimme

Nur Spielerei?

9. Dezember 2020, 13:00 Uhr | Autorin: Christiane Liebe / Redaktion: Diana Künstler

Jeder Hack, jeder Datenskandal bringt aufs Neue die Unzulänglichkeiten traditioneller Authentifizierungsmethoden aufs Tapet. Besonders beliebt seitens der Kriminellen: gestohlene Passwörter. Mit Stimmbiometrie gibt es eine Authentifikationsmethode, die so einzigartig wie unser Fingerabdruck ist.

Im Dezember 2019 verhängte der Bundesdatenschutzbeauftragte eine Strafe in Höhe von 9,55 Millionen Euro gegen 1&1. Das Unternehmen habe für die Kundendaten „ein mickriges Authentifizierungsverfahren“ genutzt und sie somit nicht ausreichend geschützt. Um sich in der Kundenhotline zu authentifizieren, mussten Anrufer lediglich Namen und Geburtsdatum ihres Opfers angeben. Dann hatten sie Zugriff auf dessen Daten und konnten den Vertrag manipulieren. Dieser Fall zeigt: Hotlines und Call-Center sind beliebte Einfallstore für Betrüger. Pro Jahr entsteht der deutschen Wirtschaft laut einem Bericht des Branchenverbands Bitkom ein Gesamtschaden von 102,9 Milliarden Euro durch kriminelle Attacken. Mehr als jedes fünfte Unternehmen litt dabei unter analogen Angriffen per Social Engineering wie beispielsweise Betrugsversuchen per Telefon. Laut einer Studie von Forrester erfolgen zudem 60 Prozent der Kundenkonto-Hacks übers Telefon. Hier versprechen die Anbieter von Stimmauthentifizierung beziehungsweise Stimmbiometrie Abhilfe. Die Authentifizierung per Stimme sei fälschungssicher und erkenne nahezu 100 Prozent der registrierten Anrufer. Zudem werde sie von Kunden gut angenommen und verkürze Call-Center-Gespräche um bis zu eine Minute. Dieser Artikel geht daher den Fragestellungen nach:

Ist die Technologie wirklich sicher?
Wie ist der aktuelle Stand der Technik?
Und: Ist Stimmbiometrie konform mit dem Datenschutz?

Matchmaker+ Anbieter zum Thema

zu Matchmaker+

Wie funktioniert die Authentifizierung per Stimme?

Aus der Stimme eines Anrufers berechnet die Stimmbiometrie-Software einen biometrischen Stimmabdruck. Diesen nutzt das Service-Center zur Identifizierung des Anrufers. Das Verfahren ähnelt der Berechnung eines Hash-Werts. Dazu speichert die Software circa 100 Merkmale der Stimme. Darunter fallen:

verhaltensbasierte Merkmale, zum Beispiel Aussprache, Betonung, Sprechgeschwindigkeit, Akzent
körperliche Merkmale, zum Beispiel der Klang, der sich durch den Vokaltrakt, die Mundform und -größe, und die Nasenwege ergibt

Wenn ausreichend Merkmale erfüllt sind, gilt ein Anrufer als authentifiziert. Die Schwelle für eine erfolgreiche Authentifizierung kann je nach Bedarf höher oder niedriger eingestellt werden. Viele Software-Programme prüfen zusätzlich die technischen Details vor und nach einem Gespräch. Damit erkennen sie biespielsweise, ob der Anrufer von einem echten Telefon oder über eine vorgetäuschte Nummer (sogenanntes „Call ID Spoofing“) anruft. Weitere Prüfkriterien sind:

die kontinuierliche Authentifizierung, um Sprecherwechsel zu erkennen
der Abgleich mit Blacklists, wie offizielle ANI-Watchlists, und mit ANI- und Stimmabdruck-Blacklists des Unternehmens
Nutzt der Anrufer ein virtuelles Telefon, ein bisher unbekanntes oder gestohlenes Gerät?

Stimmauthentifizierung wird auch eingesetzt, um Zielgruppen besser zu filtern, zum Beispiel um Anrufer ab einem bestimmten Alter zu erkennen. Zusätzlich ist es möglich, Emotionen des Anrufers einzuordnen, sodass ein Service-Mitarbeiter direkt darauf reagieren kann.

Was ist Stimmauthentifizierung?
Kennen Sie das? Sie rufen bei Ihrer Versicherung an, um schnell etwas zu Ihrem Vertrag zu klären. Das Gespräch verläuft in etwa so: Service-Center: „Guten Tag, ich brauche Ihre Kundennummer bitte.“ Kunde: „...“ Service-Center: „Können Sie mir zum Datenabgleich noch Ihr Geburtsdatum und Ihre Adresse sagen?“ Kunde: „...“ Service-Center: „Vielen Dank. Und was war der Name Ihres ersten Haustiers?...“ Erst nachdem der Call-Center-Agent mit mehreren Fragen Ihre Identität bestätigt hat, besprechen Sie Ihr eigentliches Anliegen mit ihm. Software zur Stimmidentifizierung (englisch Real Time Authentication) ersetzt diese Datenabfragen. Wenn ein registrierter Kunde im Service-Center anruft, läuft die Software im Hintergrund mit. Sie vergleicht die Stimme des Anrufers mit dem gespeicherten Stimmabdruck. Der Kundenservice-Mitarbeiter sieht das Prüfergebnis auf seinem Computer. Hat die Software den Anrufer mit seinem biometrischen Stimmabdruck authentifiziert, gibt sie wie bei einer Ampel ein „OK“ (s. Abbildung auf der folgenden Seite). Sicherheitsabfragen nach Kundennummer und Passwort entfallen dadurch. Ruft ein Betrüger an, der zum Beispiel über Aufzeichnungen versucht, die Stimme nachzuahmen, erhält der Kundenservice-Mitarbeiter eine Warnung. Er kann dann zusätzliche Fragen stellen oder beispielsweise den Kunden auf einer bekannten Nummer zurückrufen.

Was ist Stimmauthentifizierung?

Kennen Sie das? Sie rufen bei Ihrer Versicherung an, um schnell etwas zu Ihrem Vertrag zu klären. Das Gespräch verläuft in etwa so:

Service-Center: „Guten Tag, ich brauche Ihre Kundennummer bitte.“

Kunde: „...“

Service-Center: „Können Sie mir zum Datenabgleich noch Ihr Geburtsdatum und Ihre Adresse sagen?“

Kunde: „...“

Service-Center: „Vielen Dank. Und was war der Name Ihres ersten Haustiers?...“

Erst nachdem der Call-Center-Agent mit mehreren Fragen Ihre Identität bestätigt hat, besprechen Sie Ihr eigentliches Anliegen mit ihm. Software zur Stimmidentifizierung (englisch Real Time Authentication) ersetzt diese Datenabfragen. Wenn ein registrierter Kunde im Service-Center anruft, läuft die Software im Hintergrund mit. Sie vergleicht die Stimme des Anrufers mit dem gespeicherten Stimmabdruck. Der Kundenservice-Mitarbeiter sieht das Prüfergebnis auf seinem Computer. Hat die Software den Anrufer mit seinem biometrischen Stimmabdruck authentifiziert, gibt sie wie bei einer Ampel ein „OK“ (s. Abbildung auf der folgenden Seite). Sicherheitsabfragen nach Kundennummer und Passwort entfallen dadurch. Ruft ein Betrüger an, der zum Beispiel über Aufzeichnungen versucht, die Stimme nachzuahmen, erhält der Kundenservice-Mitarbeiter eine Warnung. Er kann dann zusätzliche Fragen stellen oder beispielsweise den Kunden auf einer bekannten Nummer zurückrufen.