Wissensbasierte Authentifizierung (KBA)

Wissensbasierte Authentifizierung: Was bedeutet der Begriff?

Die wissensbasierte Authentifizierung, englisch Knowledge-Based Authentication oder KBA, ist eine Identitätsprüfung mit Fragen, die vermutlich nur die betreffende Person richtig beantworten kann. Sie werden meist aus Kreditauskünften und öffentlichen Registern erzeugt. In Abläufen für E-Signatur und notarielle Beglaubigung soll die KBA-Prüfung bestätigen, dass ein Unterzeichner der ist, für den er sich ausgibt, bevor er ein Dokument öffnen oder unterschreiben kann.

Es gibt zwei Varianten. Statische KBA nutzt Antworten, die der Nutzer früher hinterlegt hat, etwa die klassische Sicherheitsfrage nach dem ersten Haustier. Dynamische KBA, die beim Unterschreiben eingesetzt wird, bezieht Fragen spontan von Datenhändlern, zum Beispiel, in welcher dieser Straßen Sie einmal gewohnt haben oder welcher Kreditgeber ein früheres Autodarlehen hält. Der Unterzeichner bekommt meist ein paar Multiple-Choice-Fragen mit kurzem Zeitlimit und muss eine Mindestpunktzahl erreichen, um fortzufahren.

Angenommen, eine Hausverwaltung bearbeitet eine hohe Mietbürgschaft von einem Bürgen, den sie nie getroffen hat. Mit KBA muss der Bürge vor der Unterschrift Fragen zu seiner Kredithistorie beantworten, was der Verwaltung zusätzliche Sicherheit über seine Identität gibt. Beim routinemäßigen Zusatz zur Haustierhaltung des Mieters wäre derselbe Schritt reiner Ballast.

Ein verbreiteter Irrtum: KBA sei nahezu unfehlbar. Viele der zugrunde liegenden Daten sind über die Jahre bei Datenlecks offengelegt worden, und ein entschlossener Betrüger findet die Antworten manchmal heraus. Ehrliche Unterzeichner stolpern dagegen über Fragen zu Konten, an die sie sich kaum erinnern, und bei Menschen mit dünner Kredithistorie lassen sich womöglich gar keine Fragen erzeugen.

KBA ist eine Methode der Authentifizierung des Unterzeichners und spielt eine große Rolle bei der Online-Notarisierung, wo viele US-Bundesstaaten sie zusammen mit einer Ausweisprüfung verlangen. Sie ist aufwendiger als ein Einmalcode, der nur die Kontrolle über ein Telefon oder Postfach belegt. In Deutschland, Österreich und der Schweiz ist KBA im Signaturalltag kaum verbreitet; hier sind eher Video-Ident oder die Online-Ausweisfunktion üblich.

Wenn Sie KBA brauchen, sagen Sie es den Unterzeichnern vorher. Ein kurzer Hinweis, dass sie einige Fragen zu früheren Adressen oder Darlehen innerhalb eines Zeitlimits beantworten müssen, senkt die Zahl gescheiterter Versuche spürbar. Hilfreich ist auch eine Alternative, etwa eine Ausweisprüfung, für Menschen, deren Kredithistorie zu dünn für Fragen ist. Ohne sie kann ein berechtigter Unterzeichner festsitzen, ohne das Dokument abschließen zu können.

Unsere Meinung: Für alltägliche Verträge ist KBA übertrieben. Sie ist sinnvoll, wo ein Gesetz oder ein Kreditgeber sie verlangt, aber für Freelancer-Verträge, Angebotsschreiben oder Mietverträge erledigen ein sauberer Audit-Trail und ein einmaliger Signaturlink die Aufgabe mit weit weniger Reibung.

eSignSimple nutzt heute keine KBA; Identitätsprüfung, einschließlich Methoden wie KBA, steht auf unserer Roadmap. Wir setzen auf einmalige E-Mail-Links, einen Audit-Trail mit Zeitstempeln, IP- und Geräteangaben und ein Abschlusszertifikat für jedes unterschriebene Dokument.

Wissensbasierte Authentifizierung: Wie sieht das in der Praxis aus?

Eine Hypothekenkreditnehmerin nimmt an einer Online-Notarisierung teil. Bevor der Notar erscheint, stellt die Plattform fünf Multiple-Choice-Fragen aus Kreditdaten und öffentlichen Registern, etwa in welcher von vier Straßen sie einmal gewohnt hat, und sie muss die meisten innerhalb eines Zeitlimits richtig beantworten. eSignSimple bietet weder KBA noch eine andere Identitätsprüfung an.

Welche Begriffe hängen damit zusammen?

• Notarielle Beglaubigung: Bei der notariellen Beglaubigung prüft ein bestellter Notar Identität und Willen des Unterzeichners und bestätigt die Unterschrift anschließend mit Siegel.
• Online-Notarisierung (RON): Bei der Online-Notarisierung (Remote Online Notarization, RON) beglaubigt ein bestellter Notar ein Dokument in einer Live-Videositzung mit elektronischer Signatur und elektronischem Siegel.
• Authentifizierung des Unterzeichners: Die Authentifizierung des Unterzeichners ist die Art, wie eine E-Signatur-Plattform bestätigt, dass die unterschreibende Person auch die ist, an die das Dokument ging.
• Einmalpasswort (OTP): Ein Einmalpasswort (OTP) ist ein kurzer Code, der einem Unterzeichner per SMS oder E-Mail geschickt wird und eingegeben werden muss, bevor er ein Dokument öffnen oder unterschreiben kann.