Menschliche Anwesenheit prüfen: Was ein Nachweis leisten muss

Anwesenheit erklärt noch nicht die Absicht.

Gedankliches Beispiel: Auf einem Gerät wird eine Schaltfläche berührt. Beobachtet wurde zunächst eine Eingabe. Daraus folgt nicht automatisch, welche Person sie ausgelöst hat, ob sie den angezeigten Inhalt verstanden hat oder ob ein fremder Prozess anschließend andere Daten übermittelt.

Deshalb ist ein präzises Ziel hilfreicher als das allgemeine Versprechen, echte Menschen zu erkennen. Soll eine versehentliche Eingabe vermieden werden? Soll eine bekannte Person eine sensible Änderung bestätigen? Oder geht es um die Kontrolle über einen bereits eingerichteten Authentikator? Diese Fragen führen zu unterschiedlichen Abläufen.

Was die Anmeldung belegt.

Authentisierung dient dazu, die Kontrolle über einen zum Zugang gehörenden Authentikator nachzuweisen. NIST unterscheidet dabei Anforderungen und Sicherheitsniveaus. Eine Anmeldung ist deshalb anhand ihres konkreten Verfahrens zu beurteilen; ein sichtbares Gesicht in einer Videokonferenz ist nicht schon dasselbe wie ein geeigneter Anmeldenachweis.

Für Unternehmen ist die Anschlussfrage entscheidend: Reicht der bestehende Zugang für die gewünschte Aktion aus oder ist eine zusätzliche, vorgangsbezogene Bestätigung erforderlich? Diese Entscheidung sollte nicht davon abhängen, wie überzeugend eine Nachricht oder ein Bild wirkt.

Fachliche Grundlage: NIST SP 800-63B-4: Authentication and Authenticator Management

Der Bezug zum Vorgang muss erhalten bleiben.

Betrachten wir eine fiktive Freigabe einer Zahlung. Die entscheidenden Angaben wären etwa Empfänger und Betrag. Wer bestätigt, sollte genau diese Angaben sehen. Wird danach ein anderer Empfänger eingesetzt, ist eine zuvor abgegebene Bestätigung kein Nachweis für die geänderte Zahlung.

Bei der Bewertung eines Verfahrens sind daher klare Fragen sinnvoll: Welche Daten waren sichtbar? Woran ist die Bestätigung gebunden? Was geschieht bei einer nachträglichen Änderung? Kann eine frühere Bestätigung nochmals verwendet werden? Antworten darauf müssen zum technischen Ablauf passen.

Fachliche Grundlage: OWASP: Transaction Authorization Cheat Sheet

Welche Fragen wir weiter untersuchen.

CyberSafe24 erforscht das Zusammenspiel von Gerätesignalen und bewussten Bestätigungen. Die Entwicklung muss auch Nutzungssituationen berücksichtigen, in denen einzelne Signale fehlen: andere Geräte, eingeschränkte Bewegungsmöglichkeiten oder wechselnde Umgebungen. Ein Verfahren braucht verständliche Alternativen und einen definierten Umgang mit Unsicherheit.

Dafür sind technische Tests und eine nachvollziehbare Beschreibung der Datenverarbeitung notwendig. Die eingereichte Patentanmeldung und die veröffentlichte Portfolio-Bewertung ersetzen solche Ergebnisse nicht. Centira als Scanner ist davon getrennt: Es prüft Cyberrisiken von Domains und bietet keinen Anwesenheitsnachweis.