Modul 2: Anwendungsbeispiele Banken

Transkript

1 Quelle: Peter Kirchhoff / pixelio.de Quelle: BMI Handbuch Modul 2: Anwendungsbeispiele Banken

2 Lernmodul 2 Übersicht Modul 1: Modul 2: Einsatzszenarien des neuen PA Modul 3: ebusiness - Banking Online-Ausweisfunktion in der Praxis Neukundengewinnung bei Kontoeröffnung Unterschriftsfunktion (qualifizierte elektr. Signatur QES) Beispiele aus dem Anwendungstest 2

3 Einsatzszenarien des neuen Personalausweises ebusiness Banken Nutzung des elektronischen Identitätsnachweises Nutzung der Online-Authentisierung Nutzung der eid-funktion Nutzung der Unterschriftsfunktion (QES)

4 Einsatzszenarien des neuen Personalausweises Einsatzmöglichkeiten Zugang mit Pseudonym Altersverifikation Wohnortverifikation Kiosksysteme / Infoterminals Barrierefreie Internetdienste Elektronische Signatur Online-Registrierung Zutrittskontrollen Bürgerdienste

5 Einsatzszenarien des neuen Personalausweises Anwender ebusiness aus Anwendungstest Anwendungen im ebusiness

7 Online-Ausweisfunktion in der Praxis Allgemeine Informationen Im Kontext der Nutzung des neuen Personalausweises im ebusiness Umfeld dient die Online-Ausweisfunktion dazu Daten aus dem neuen Personalausweis auszulesen, Und für den vereinbarten Zweck zu nutzen. Dabei kann nicht jeder ebusiness Anwender alle möglichen Nutzerdaten (Attribute) aus dem neuen Personalausweis auslesen. 7

8 Online-Ausweisfunktion in der Praxis Prinzip der Datensparsamkeit Datensparsamkeit: So viel wie nötig, so wenig wie möglich Es wird von staatlicher Seite geprüft, welche Personalausweisdaten für welchen Zweck vom ebusiness Unternehmen genutzt werden dürfen! Vorarbeit des Unternehmens: Analyse und Darstellung der eigenen Geschäftsprozesse Darstellung der Nutzung der npa-daten innerhalb des definierten Geschäftsprozesses Rechtliche Selbstständigkeit von Unternehmensteilen Im Rahmen der Prüfung wird festgelegt, welche Daten (Attribute) des neuen Personalausweises für welchen Zweck vom Dienstanbieter ausgelesen werden dürfen. 8

9 Identitäts- und Adressprüfung Digitale Identität Quelle: IEB 9 Quelle: S. Hofschlaeger / pixelio.de

10 Identitäts- und Adressprüfung Unterschiedlicher Kontext der Identitätsdaten PAuswG 21 Erforderlichkeit der PA-Daten Geringe Anzahl der Datenattribute aus dem neuen Personalausweis Hohe Anzahl der Datenattribute aus dem neuen Personalausweis = = = = Nutzung Social Network Pseudonym Einkauf Onlineshop (1) (Textilwaren) Vorname Nachname Einkauf Onlineshop (2) (Tabakwaren) Vorname Nachname Online Kontoeröffnung Vorname Nachname Anschrift Anschrift Geburtsort Altersverifikation Geburtsdatum Staatsangehörigkeit Anschrift 10 10

11 Online-Ausweisfunktion in der Praxis Pseudonymfunktion Funktion Dienst- und kartenspezifisches Kennzeichen, dient als Wiedererkennungskennzeichen PA-Chip erzeugt Pseudonym aus der eindeutigen Kennung des Dienstes im Berechtigungszertifikat und einem chip-individuellen gespeicherten Geheimnis (dem privaten Schlüssel für Restricted Identification) Pseudonym ist eindeutig pro neuer Personalausweis & Dienst, verhindert so Nutzerprofilbildung Ändert sich bei Ausstellung eines neuen Personalausweises Anwendungsgebiete Wiedererkennung eines Personalausweises ohne erneute Übermittlung der personenbezogenen Daten (Datensparsamkeit) Pseudonymer Zugang zu Angeboten, die keine personenbezogenen Daten benötigen (z. B. bei Bürgerbeteiligungsforum) 11

12 Online-Ausweisfunktion in der Praxis Hinweise zur Pseudonymfunktion Ein spezielles IT-System (z. B. Rollenmanagement-, Zeiterfassungs-, Zutrittskontrollsystem) für das jeweilige Szenario ist vorzuhalten. Es sollte ein Alternativzugang bereitgestellt werden, da sonst bei Sperrung des neuen Personalausweis (Verlust, Ablauf o. Beschädigung) kein Zugriff auf die Daten mehr möglich ist. Es sind Datenschutzbestimmungen und deren Umsetzung im Datenschutzkonzept der Behörde / Institution zu beachten. 12

13 Online-Ausweisfunktion in der Praxis Pseudonymfunktion - zweistufiges Verfahren 1. Stufe Stammdaten wie z. B. Vorname, Nachname, Anschrift des Ausweisinhabers werden erfasst das Pseudonym wird per neuen Personalausweis generiert Stammdaten und Pseudonym werden verbunden 2. Stufe Bei jeder folgenden Anmeldung des Ausweisinhabers wird nur noch das Pseudonym aus dem neuen Personalausweis ausgelesen und mit der PIN bestätigt sowie Eine Zusammenführung mit den hinterlegten Stammdaten vorgenommen 13

14 Online-Ausweisfunktion in der Praxis Relevante Einsatzszenarien Neukundengewinnung bei Kontoeröffnung Weitere Einsatzmöglichkeiten Abschluss von Verbraucherkrediten mit QES 14

16 Szenarien zum Einsatz des neuen PA 1 Nutzung der eid-funktion (elektronische Identität) 2 Nutzung der QES-Funktion (qualifizierte elektronische Signatur)

17 Identitätsprüfung Praktisches Anwendungsbeispiel - Kontoeröffnung Herausforderung: Für den erfolgreichen Dialog zwischen der Bank und dem Kunden bietet die digitale Kommunikation große Potentiale. Ohne neuen Personalausweis Der Kunde muss sich umständlich ausweisen um sich bei Verträgen eindeutig zu authentifizieren. Banken halten Servicepersonal vor Ort nur zu bestimmten Öffnungszeiten bereit Mit neuem Personalausweis Der Kunde kann sich eindeutig online identifizieren (Adresse oder auch Alter) und einen Kontovertrag abschließen. Der Kunde ist nicht an Öffnungszeiten gebunden 17

18 Identitäts- und Adressprüfung im Vertriebs- und Verkaufsprozess Herausforderung: Identitätsprüfungen sind gerade bei Konto-Eröffnungen und Online- Bestellungen zur Betrugseindämmung unerlässlich. Ohne neuen Personalausweis: Aktuell angebotene Prüfmechanismen sind entweder sehr zeit- oder kostenintensiv (z. B. Post-Ident u.ä.) oder stellen keine eindeutige Prüfung sicher. Mit neuem Personalausweis: Die Prüfungsdauer kann reduziert werden. Eine eindeutige Identitätsfeststellung kann gewährt werden. Quelle: IEB 18

19 Identitäts- und Adressprüfung Prüfung der Identität und Prüfung der Adresse Identitäts- u. Adressprüfung Identitätsprüfung Adressprüfung Der neue PA unterstützt unterschiedliche Identitätsprüfungen Webportal-abhängige Identitätsfeststellung 19

20 Identitäts- und Adressprüfung Grundschema Welche Identität hat der Kunde? Diensteanbieter benötigt Daten aus dem neuen Personalausweis, je nach Anwendung, wie die Inhaberidentität definiert ist. (z. B. Vor-, Nachname, Tag u. Ort der Geburt oder Pseudonym) 1 PIN-Eingabe 2 Übermittlung von Daten aus dem neuen Personalausweis, die die Identität des Kunden ausreichend definieren. 20

21 Identitäts- und Adressprüfung Der Kommunikationsablauf im Detail Mobilfunk Anbieter 1. Aufruf der Webseite / Zugriff auf den Softwaredienst 2. Weiterleitung zum eid-service Provider Auswahl Datenfelder 4. Bestätigung durch PIN und PACE 5. Terminal- und Chipauthentisierung Kunde 3 Vorname Nachname Geburtstag 3 4 oder Pseudonym 5 6 eid-service Provider 6. Datenübermittlung (z. B. Vorname, Nachname, Pseudonym) 7. Übermittlung der Daten aus Schritt 6 (z. B. Vorname, Nachname, Pseudonym) an den Mobilfunk Anbieter 8. Kundenidentität festgestellt 21

22 Identitäts- und Adressprüfung Gesetzliche Vorgaben PAuswG 21 Erforderlichkeit der PA-Daten Geringe Anzahl der Datenattribute aus dem neuen Personalausweis Hohe Anzahl der Datenattribute aus dem neuen Personalausweis = = = Vorrausetzung: Die Daten zur Identitätsprüfung müssen für den Geschäftszweck erforderlich sein bzw. müssen auf Grund gesetzlicher Vorgaben erfasst werden. 22

23 Identitäts- und Adressprüfung Bsp.: Kontoeröffnung Trendaussagen Verringerung der online- Kontoeröffnungszeiten Erhöhung der Abschlussquoten bei online-kontoeröffnungen Abbrecherquote Abschlussquote Steigerung der Abschlussquote 2) Die Identifikation über das PostIdentverfahren benötigt Zeit zum Besuch in der Postfiliale und für die Postlaufzeiten der Identifikationsunterlagen zur Bank und die Bearbeitung in der Bank. Mit dem npa kann die Kontoeröffnung online erfolgen. Der Besuch einer Postfiliale (PostIdent-Verfahren) entfällt. Kontoeröffnungsunterlag en werden oft heruntergeladen, dann aber der Identifikationsvorgang über das PostIdent- Verfahren nicht abgeschlossen. Mit der Nutzung der eid-funktion wird eine deutliche Verringerung der Abbrecherquote erwartet, weil für Neukunden der umständliche Weg in die Postfiliale entfällt. 1) Bankarbeitstage 2) Schätzung Das Delta ist die sog. Abbrecherquote

24 Identitäts- und Adressprüfung Gesetzl. Anforderungen an Identitätsprüfung Gesetz (Auswahl) 154 AO 4 GwG Gesetzliche Anforderungen (Auszüge) Grundsatz der Kontenwahrheit Niemand darf auf einen falschen oder erdichteten Namen ein Konto errichten oder Buchungen vornehmen lassen Wer ein Konto führt, hat sich zuvor Gewissheit über die Person und Anschrift des Verfügungsberechtigten zu verschaffen und festzuhalten... Durchführung der Identifizierung Zur Feststellung der Identität des Vertragspartners hat der Verpflichtete folgende Angaben zu erheben bei einer natürlichen Person: Name, Geburtsort, Geburtsdatum, Staatsangehörigkeit, Anschrift Neuer PA erfüllt erfüllt 6 GwG 1) Verstärkte Sorgfaltspflichten Ist der Vertragspartner eine natürliche Person und zur Feststellung der Identität nicht persönlich anwesend, hat der Verpflichtete die Identität des Vertragspartners anhand eines Dokuments im Sinne des 4 Abs. 4 Satz 1 Nr. 1, einer beglaubigten Kopie eines solchen Dokuments, eines elektronischen Identitätsnachweises nach 18 des Personalausweisgesetzes oder einer qualifizierten elektronischen Signatur im Sinne von 2 Nr. 3 des Signaturgesetzes zu überprüfen und 8 GwG 1) Aufzeichnungs- und Aufbewahrungspflicht Sofern die Identifizierung einer natürlichen Person anhand eines elektronischen Identitätsnachweises erfolgt, ist anstelle der Art, der Nummer und der ausstellenden Behörde des zur Überprüfung der Identität vorgelegten Dokuments das dienste- und kartenspezifische Kennzeichen und die Tatsache, dass die Prüfung anhand eines elektronischen Identitätsnachweises erfolgt ist, aufzuzeichnen. erfüllt erfüllt 1) in grün=änderungen durch PAuswG

25 Identitäts- und Adressprüfung Der npa erfüllt die Datenanforderungen aus AO und GwG Datenanforderungen 154 AO 4 und 8 Datenfelder auf neuem Name X X erfüllt Vorname X X erfüllt Anschrift X X erfüllt Geburtsdatum X X erfüllt Geburtsort - X erfüllt Staatsangehörigkeit - X erfüllt Nachweis durch: Art, Nr. u. ausstell. Behörde; Bei eid: dienste- u. kartenspez. Kennzeichen, eid 1) - - GwG X X PA (entfällt) erfüllt 1) Ergänzung durch PAuswG

26 Identitäts- und Adressprüfung Der npa unterstützt auch in weiteren Identifizierungssituationen Weitere Einsatzmöglichkeiten sind u.a.: 1 Fortlaufende Authentifizierung Kunden können den neuen Personalausweis neben der Kontoeröffnung zur laufenden Authentifizierung gegenüber ihrer Bank nutzen, um z.b. ihren Kontostand zu prüfen und zulässige Stammdatenänderungen (wie Telefonnummer, -Adresse, oder Postzustelladresse) vorzunehmen. 2 Single Sign On Der neue Personalausweis kann in Unternehmensnetzwerken Anwender authentisieren und ihnen mit einer Anmeldung, im Rahmen zuvor festgelegter Berechtigungen, Zugriff auf definierte Anwendungen und Dienste einräumen (autorisieren). 3 Zutrittssysteme Grundsätzlich kann der neue Personalausweis auch als Identifizierungsmedium im Zugangskontrollsystemen eingesetzt werden. Bei jeder Nutzung müssen jedoch auch hierbei sowohl die Karte, als auch die PIN eingesetzt werden (2-Faktor Authentisierung). Aus diesem Grund könnte diese Lösung insbesondere für Hochsicherheitsbereiche in Frage kommen.

28 Qualifizierte elektr. Signatur 1 Nutzung der eid-funktion (elektronische Identität) 2 Nutzung der QES-Funktion (qualifizierte elektronische Signatur)

29 Qualifizierte elektr. Signatur Einsatzmöglichkeiten 1 Freigabe elektronischer Aufträge z.b. Überweisungen Die Bank kann die TAN-Listen durch die qualifizierte elektronische Signatur ersetzen Zur Sicherheit können die Transaktionsdaten z.b. im Display des Kartenlesers oder einem anderen Trusted Viewer angezeigt und vom Nutzer bestätigt werden Mit dem neuen Personalausweis sind hierfür ein Komfortlesegerät und ein Signaturzertifikat erforderlich, das auf den Personalausweis nachgeladen werden kann. 2 Abschluss von Verbraucherkredit en Nach derzeitiger Regelung gilt nach 492 Abs. 1 BGB, dass Verbraucherdarlehensverträge nicht in elektronischer Form abgeschlossen werden dürfen Mit dem Gesetz zur Umsetzung der Verbraucherkreditrichtlinie, das seit Juni 2010 in Kraft ist, können Kredite auch online abgeschlossen werden, erfordern dann jedoch eine qualifizierte elektronische Signatur.

31 Einsatzszenarien des neuen Personalausweises Beispielanwendung Auskünfte bei der Schufa Schufa Holding AG Dienst: Verbraucher können sich jederzeit auf der Seite meineschufa.de über alle zu ihrer Person gespeicherten Daten informieren. Zuvor müssen sie sich für die Registrierung auf meineschufa.de eindeutig identifizieren. Prozessschritte: Anlegen eines Benutzerprofils auf dem Portal der Schufa

32 Einsatzszenarien des neuen Personalausweises Beispielanwendung Registrieung bei Cosmos Direkt Cosmos Direkt Dienst: Registrierung für Online-Versicherung bei erstmaliger Antragstellung (Neukunde). Kunden-Login für Service-Bereich zur Verwaltung der eigenen Verträge (Bestandskunde). Prozessschritte: - Anlegen eines Benutzerprofils - Verknüpfung des Ausweises mit bestehenden Kundenprofil

33 Abschlussdiskussion Besten Dank für Ihre Aufmerksamkeit... Haben Sie Fragen? 33