Wem vertraue ich hier eigentlich gerade?

Wer heute digital ein Konto eröffnet, einen Arbeitsvertrag unterschreibt oder eine Leistung beantragt, erwartet einen unkomplizierten Ablauf. Für die Organisation dahinter ist der Vorgang weitaus komplexer. Sie muss prüfen, ob die Person tatsächlich diejenige ist, für die sie sich ausgibt, ob sie zur gewünschten Handlung berechtigt ist und wie sich diese Entscheidung später nachvollziehen lässt.

Für IT- und Sicherheitsverantwortliche ist das längst Teil des operativen Geschäfts. Eine Organisation muss Identitäten zuverlässig prüfen und diese Information anschließend in ihre Fachverfahren, Sicherheitsprozesse und Compliance-Strukturen überführen. Gelingt das nicht, entstehen Medienbrüche, manuelle Nacharbeiten und wiederholte Prüfungen. Nutzer brechen Prozesse ab, Mitarbeitende übertragen Daten zwischen Systemen und Nachweise liegen an verschiedenen Stellen.

Vertrauen lässt sich nicht an Prozesse delegieren

Viele Unternehmen betrachten die Identitätsprüfung noch immer als einzelnen Schritt am Anfang eines Vorgangs: Dokument prüfen, Person freischalten, Prozess abschließen. Diese Logik reicht für digitale Geschäftsmodelle mit mehreren Interaktionen nicht aus. Die geprüfte Identität bildet die Grundlage für alle weiteren Vorgänge. Ein belastbarer Prozess muss drei Ebenen miteinander verbinden:

1. Identität: Wer ist die Person oder Organisation?
2. Berechtigung: Darf sie die konkrete Handlung ausführen?
3. Nachweisbarkeit: Kann die Organisation später belegen, wie die Entscheidung zustande gekommen ist?

Bleibt eine dieser Ebenen unberücksichtigt, entsteht keine verlässliche Vertrauensbasis. Eine gute Nutzerführung gleicht eine unzureichende Identitätsprüfung nicht aus. Für die IT ergibt sich daraus eine einfache Prüffrage: Was passiert mit der verifizierten Identität nach dem ersten erfolgreichen Login oder der ersten Signatur? Wird sie lediglich in einem separaten System gespeichert und später nicht erneut verwendet, ist die Lösung wahrscheinlich zu eng gefasst.

Vier Use Cases, in denen die Vertrauensfrage praktisch wird

1. Kontoeröffnung und KYC im Finanzsektor: Banken, Versicherungen und FinTechs müssen Kunden vollständig aus der Ferne identifizieren, Risiken bewerten und den Vorgang dokumentieren. Der KYC-Prozess (Know Your Customer) umfasst deshalb mehrere Schritte. Neben der Identitätsprüfung gehören etwa die Risikoklassifizierung, Prüfungen zur Geldwäscheprävention, der Vertragsabschluss und die Aktivierung des Produkts dazu.  Die Herausforderung liegt darin, diese Schritte als zusammenhängenden Ablauf zu gestalten. Findet die Identifikation in einem System statt, die Risikoprüfung in einem anderen und der Vertragsabschluss in einem dritten, entstehen unnötige Übergaben.

2. Mitarbeiter-Onboarding in Unternehmen: Auch der Eintritt in ein Unternehmen beginnt mit einer Identitätsprüfung. Arbeitsvertrag, Steuerformulare, Nachweise und interne Richtlinien werden zunehmend digital bereitgestellt und signiert. Dabei müssen Unternehmen sicherstellen, dass vertrauliche Dokumente die richtige Person erreichen und abgegebene Erklärungen eindeutig zugeordnet werden können. Die Identität spielt über die gesamten Beschäftigungsdauer hinweg eine Rolle. Das Onboarding ist lediglich der erste Kontaktpunkt. Später folgen Zugriffsfreigaben, Vertragsänderungen, interne Genehmigungen oder der Austritt aus dem Unternehmen. Wird die Identität nur zu Beginn sorgfältig geprüft und kommen danach schwächere Verfahren zum Einsatz, bleibt ein wesentlicher Teil des Risikos bestehen.

3. Onboarding im Gesundheitswesen: Im Gesundheitswesen ist die Vertrauensfrage besonders sensibel. Bei der Patientenaufnahme, bei Einwilligungserklärungen oder bei der Freigabe von Rezepten werden persönliche und medizinische Informationen verarbeitet. Eine fehlerhafte Zuordnung kann unmittelbare Folgen haben. Gesundheitsanbieter, Praxen & Co. müssen die Identität zuverlässig feststellen, Einwilligungen eindeutig dokumentieren und den Zugriff auf die jeweils benötigten Informationen begrenzen. Ein digitales Formular reicht dafür nicht aus. Erforderlich ist ein Prozess, der Identifikation, Berechtigung und Nachweis miteinander verbindet.

4. Behördliche Registrierung und eGovernment: Bei einer Ummeldung, einer Gewerbeanmeldung oder einem Antrag auf Sozialleistungen erwarten Bürgerinnen und Bürger digitale Alternativen zum Behördengang. Die Verwaltung muss den Zugang vereinfachen und zugleich sicherstellen, dass Leistungen, Registereinträge und Bescheide der richtigen Person oder Organisation zugeordnet werden. Gerade bei Verwaltungsleistungen endet die digitale Identität nicht an einer einzelnen Anwendung. Bürgerinnen und Bürger nutzen verschiedene Leistungen, wechseln zwischen Portalen und müssen Nachweise häufig mehrfach erbringen. Fordert jede Behörde eine eigene Identifikation, bleibt der Ablauf aus Nutzersicht fragmentiert.

Von einmaliger Prüfung zu kontinuierlichen Vertrauensbeziehung

Die Entwicklung digitaler Identitäten und europäischer Vertrauensdienste führt Identifikation, Authentisierung und qualifizierte Signaturen enger zusammen. Diese Elemente werden zunehmend als Bestandteile eines gemeinsamen digitalen Vertrauensmodells betrachtet. Unternehmen sollten ihre Identitätsarchitektur deshalb nicht ausschließlich an heutigen Anwendungen ausrichten. Auch Anforderungen aus eIDAS 2.0, der EUDI-Wallet und die wachsende Bedeutung interoperabler Vertrauensdienste gehören in die Planung. Niemand muss jede technische Entwicklung vorwegnehmen. Die Systeme und Prozesse sollten jedoch so angelegt sein, dass sie sich an neue Standards und Verfahren anbinden lassen.

Fazit: Vertrauensentscheidung muss im Prozess sichtbar werden

Im digitalen Onboarding entsteht Vertrauen durch das Zusammenspiel mehrerer Elemente. Dazu gehören eine verlässliche Identitätsprüfung, passende Berechtigungen, nachvollziehbare Nachweise, sichere Authentifizierung und die Einbindung in die tatsächlichen Geschäftsprozesse. Der Onboarding-Prozess sollte deshalb über die Identifikation hinaus gedacht werden. Er muss zeigen, wie die geprüfte Identität in die Geschäftsentscheidung, die spätere Authentisierung sowie in Signatur- und Freigabeprozesse einfließt.

Bild: magnific