IDENTITÄTSDIENSTLEISTUNGEN EIN RELEVANTER MARKT FÜR BANKEN?
Inhalt Management Summary Identservices
3
1. PSD2 – einer der Gamechanger für Finanzdienstleistungen
4
2. Quo vadis Identity-Markt?
7
3. Identity-Rollen für Vertrauensdienstleister unter der Lupe
11
4. Drei Praxisbeispiele im deutschen IAM-Markt
17
5. So what? Den IAM Growth Hack codieren
20
Kontakt
22
Copyright: 2021 diconium GmbH | Rommelstraße 11 | 70376 Stuttgart
2
Management Summary Identservices In Zeiten, in denen klassische Geschäftsfelder von Banken bedroht sind – etwa durch die PSD2-Richtlinie – suchen Finanzinstitute nach neuen Möglichkeiten, Wertschöpfung zu betreiben. Hier liegen Vertrauensdienstleistungen besonders nah. Das Feld der Identitätsdienstleistungen ist dabei ein spannendes Beispiel. Da immer mehr Geschäfte, vor allem auch sensible Transaktionen, online abgewickelt werden, sind Unternehmen häufig darauf angewiesen, ihre Kunden rechtskonform und digital zu identifizieren. Das schafft erheblichen Bedarf für eine sichere Verifizierung von digitalen Identitäten und damit neues Geschäftspotenzial.
vertrauenswürdiger Daten-Gatekeeper und Sicherheitsgarant wahrgenommen. Diese Chance, einen wachsenden Markt zu gestalten und zu nutzen, sollten sich vor allem Banken daher nicht entgehen lassen. Um die Potenziale, die der Markt für Identitätsdienstleistungen bietet, ausschöpfen zu können, sollten sich Banken umfassend mit seinen Spielregeln auseinandersetzen. Von der Analyse des Markts über die Wahl des richtigen Geschäftsmodells bis hin zur Definition der Umsetzungsstrategie gibt es einiges zu beachten – für diese Faktoren geben wir in diesem Papier Einblicke als Teil unserer diconium-Reihe „Stories of Future Banking & Insurance“.
Banken sind dabei in einer glänzenden Ausgangsposition: Sie haben nicht nur durch ihren großen Bestand an bereits verifizierten Kundendaten einen Vorsprung (,da sich jeder Bankkunde bereits bei Vertragsabschluss identifizieren musste), sie werden auch traditionell als
Wir wünschen Ihnen viel Spaß bei der Lektüre und hoffen, dass sie Ihnen interessante Einsichten und relevante Erkenntnisse bietet!
Diese Chance, einen wachsenden Markt zu gestalten und zu nutzen, sollten sich vor allem Banken daher nicht entgehen lassen.
Copyright: 2021 diconium GmbH | Rommelstraße 11 | 70376 Stuttgart
3
PSD2 - Gamechanger für Finanzdienstleistungen
Obwohl die Bank sich theoretisch bei jedem Identifikationsprozess einbinden lässt und entsprechend die Kundenschnittstelle aufrechterhalten werden kann, gibt es einige Herausforderungen im sogenannten Identity- und Access-Management-(IAM-)Markt. Der Einsatz von Identity-Lösungen in Deutschland ist bisher durch verschiedene technologische Möglichkeiten weder einheitlich noch flächendeckend gegeben. Bisher hat sich noch keine Identity-Technologie oder -Anbieter durchsetzen können. Zudem variieren Identity-Anwendungsfälle durch unterschiedliche Gesetzesanforderungen oft stark (z.B. GwG, KWG, TKG etc.). Entsprechend divers ist die Marktteilnehmerlandschaft.
Banken sollten sich daher durch eine Mehrwertanalyse darüber Klarheit verschaffen, welche Chancen der IAMMarkt ihnen bietet. Um diese zu ermöglichen, betrachten wir die wichtigsten Dimensionen des IAM-Markts für Banken. Diese beinhalten unserer Ansicht nach nicht nur neue Geschäftsmodelle, sondern im Sinne eines Ökosystem-Gedankens unterschiedliche Rollen für Banken. Mit einer Betrachtung des allgemeinen Identitätsmarkts, der Teilnehmer und der Vorstellung von Anwendungsfällen geben wir einen Einblick in die Bereiche, die beides ermöglichen: Das Aufrechterhalten einer schwindenden Kundenschnittstelle und neue Geschäftsmodelle für Banken.
Der Einsatz von Identity-Lösungen in Deutschland ist bisher durch verschiedene technologische Möglichkeiten weder einheitlich noch flächendeckend gegeben.
Copyright: 2021 diconium GmbH | Rommelstraße 11 | 70376 Stuttgart
6
Quo vadis Identity-Markt?
2. Quo vadis Identity-Markt? Für eine erste Markteinschätzung möchten wir einen Einblick in die wesentlichen Treiber im IAM-Markt geben. Zur Verdeutlichung der unterschiedlichen Treiber-Ebenen bietet sich hier der sogenannte Environmental Scan an. Bei dieser Umweltanalyse werden vier Perspektiven betrachtet (siehe Abbildung 2). Wir haben hierzu ausge-wählte Beispiele beschrieben.
KEY TRENDS
MARKET FORCES
– Gesellschaftlich: Steigendes Datenschutzbewusstsein
– Marktpotenzial durch noch nicht gesättigten IAM-Markt
– Technologisch: Zugang zu bestehenden und neuen digitalen Identitäten fürdezentrale Identitäten (Self-Sovereign Identity)
– Vielfalt der Kundenbranchen und Use Cases
IAM-Markt Deutschland
MACROECONOMIC FORCES
INDUSTRY FORCES Heterogene Marktlandschaft mit Unterscheidung in Identity Services und Identity Providers:
– Staatliche Initiativen wie Ausweisfunktion Smart eID – Gesetzeslage wie Onlinezugangsgesetz (OZG) mit Verwaltungs-Use-Cases
– Tech Disruptors – Identity Services – Trust Giver – Identity Provider – Newcomers – Identity Provider
Abbildung 2: Environmental Scan des deutschen IAM-Markts (eigene Darstellung basierend auf Platform Design Toolkit)
Copyright: 2021 diconium GmbH | Rommelstraße 11 | 70376 Stuttgart
7
Quo vadis Identity-Markt?
Die Industry Forces spiegeln den jungen Identitätsmarktreifegrad in Deutschland wider. Beispielhaft haben wir den zersplitterten deutschen IAM-Markt in vier verschiedene Subgruppen eingeteilt. Grundsätzlich wird eine Unterscheidung in Identity-Provider und IdentityServices getroffen, da hier ein wesentlicher Unterschied
im Geschäftsmodell und den Dienstleistungsanforderungen besteht: Während die Identity Services auf bestehenden Identitäten aufsetzen, ermöglichen Identity Provider eigene digitale Identitäten und das Authentifizieren dieser. Einige ausgewählte Beispiele haben wir zur Veranschaulichung aufgelistet:
Identitätsdienstleister in der Übersicht Pure Ident Player – Identity Services - Identity Scheme Provider (z. B. yes) - Identity Management Provider (z. B. NetID, WebID) Tech Disruptors – Identity Services - Social Log-In Provider (z. B. Facebook, Twitter) - Digital Ecosystem Provider (z. B. Apple, Google) Trust Giver – Identity Provider - Financial Services Provider (z. B. Banken, Versicherungen) - Staatliche Lösungen (z. B. elektronischer Personalausweis – eID) Newcomers - Identity Provider - Neue digitale Identität (z. B. Verimi)
Insbesondere die Ebene Industry Forces zeigt, gerade weil die jeweiligen Geschäftsmodelle in den Wettbewerbsgruppen sehr unterschiedlich sind und teilweise
nur einzelne Ident-Services anbieten, besteht ein großes Potenzial in der Kombination verschiedener Typen.
Copyright: 2021 diconium GmbH | Rommelstraße 11 | 70376 Stuttgart
10
Identity-Rollen für Vertrauensdienstleister unter der Lupe
3. Identity-Rollen für Vertrauensdienstleister unter der Lupe Möchte man einen Ansatz entwickeln, wie man als Unternehmen den Markt der Vertrauensdienstleistungen bearbeiten kann, ist es zunächst notwendig, sich die verschiedenen Rollen zu vergegenwärtigen, die es dort zu beachten gilt. Oft haben Identitätsdienstleistungen keine einfache Anbieter-Kunde-Struktur. Da der Endkunde direkt mit einem Identitätsintermediär in Kontakt steht, ergeben sich drei Kernrollen (siehe Abbildung 4).
lying Party ist der direkte Kunde des Service Providers, also das Unternehmen, das eine Identitätsüberprüfung seiner Kunden vornehmen möchte. Da dies für alle Unternehmen notwendig ist, die eine Personenprüfung vornehmen möchten oder (aus rechtlichen Gründen) müssen, sind den möglichen Branchen keine Grenzen gesetzt – denkbar sind etwa Versicherungen, Telekommunikationsanbieter oder Automobil-Händler (siehe auch Tabelle 2).
Der Vertrauensdienstleister (= IAM Service Provider) ist das Unternehmen, das die Technologie für die Identifikation zur Verfügung stellt und sie im Auftrag ihres Kunden durchführt. Da wir in diesem Beitrag Identitätsdienstleistungen als ein mögliches neues Geschäftsmodell für Banken betrachten, beschreiben wir die Potenziale aus der Perspektive einer Bank in der Vertrauensdienstleister-Rolle. 1
Der IAM-Nutzer, also der Kunde der Relying Party, muss folglich nicht der unmittelbare Kunde des Service Providers sein. Nichtsdestotrotz wird die Vertrauensdienstleistung direkt durch den Service Provider mit dem Nutzer abgewickelt, da das Portal der Relying Party (bspw. ein Webshop) den Nutzer zur Verifizierung entweder zu dem Service Provider weiterleitet oder den Service Provider über eine Schnittstelle direkt an sein System anbindet. Das heißt, dass für Vertrauensdienstleister auch die Bedürfnisse der Endnutzer (bspw. hinsichtlich Customer Experience oder Datensicherheit) wichtige Einflussfaktoren sind. 3
Da Banken jedoch nicht nur Anbieter sein können, sondern selbst meist noch auch auf Identitätsdienstleistungen angewiesen sind, kann eine Bank auch die zweite Rolle einnehmen – die der Relying Party. Die Re2
IAM Nutzer
(z. B. Versicherungs-Neukunde) 3
IAM Service Provider
Relying Party
(z. B. Hausbank + Identity Service) 1
Vertrauensdienstleister mit verifizierten IAMNutzer-Daten
(z. B. Versicherung) 2
Abbildung 4: Drei Kernrollen im beispielhaften Identitätsdienstleister-Modell (eigene Darstellung)
Copyright: 2021 diconium GmbH | Rommelstraße 11 | 70376 Stuttgart
11
Identity-Rollen für Vertrauensdienstleister unter der Lupe
Unsere Übersicht gibt einen Eindruck von der Breite unterschiedlicher Use Cases in verschiedenen Branchen:
Branche Relying Party
Bedarf/Treiber
Beispielhafter Use Case
Finanzdienstleistungen
Verpflichtet Banken und Kreditinstitute zur Identifikation von Kunden
Verifizierung von Neukunden bei Eröffnung von einem Investment-Depot
Versicherungen
Geldwäschegesetz verpflichtet Versicherungen zu Identifikation von Kunden
Sicherer Log-in im Online-Portal zum Schutz personenbezogener Daten
Automotive
Geldwäschegesetz verpflichtet zur Identifikation bei Finanzierungen
Personenprüfung bei OnlineAnträgen für Leasingverträge
Telekommunikation
Personenprüfung bei SIM-Karten als Vorgabe der Bundesnetzagentur
Personenprüfung bei OnlineAbschluss von Mobilfunkvertrag
E-Commerce
Geldwäschegesetz verpflichtet zu Identifikation bei Kauf auf Kredit
Identifizierung des Kunden bei Ratenkauf über APISchnittstelle im Shop
E-Gaming
Glücksspielverordnung verpflichtet zur Überprüfung des Kundenalters bei OnlineGlücksspielen
Altersüberprüfung bei Online Games, die unter die Glücksspielverordnung fallen
Hotellerie
Digitaler Meldeschein möglich durch die Erneuerung im Bundesmeldegesetz seit 2020
Digitale Identifikation und Datenüberprüfung von Hotelgästen gemäß Meldegesetz für komfortable Customer Journey
Staatliche Anwendungen
Elekronische Abgabe (authentifizierte Übermittlung) der Steuererklärung
Nutzung des eID-Verfahrens bei der Registrierung in mein ELSTER und die elektronische Abgabe der Steuerklärung
Tabelle 2: Beispielhafte Use Cases: Vertrauensdienstleistungen in verschiedenen Branchen (eigene Darstellung)
Copyright: 2021 diconium GmbH | Rommelstraße 11 | 70376 Stuttgart
16
Drei Praxisbeispiele des deutschen IAM-Markts
4. Drei Praxisbeispiele im deutschen IAM-Markt Es gibt einige Praxisbeispiele, die eine Umsetzung von IAM-Lösungen zusammen mit Finanzinstituten aufzeigen. Wir stellen drei von ihnen näher vor, um einen Eindruck verschiedener Umsetzungsmodelle zu geben:
ausweis, tut er dies ohne Mittelsmann direkt bei dem Identitäts-Anforderer (bspw. einem Händler). Dies passiert über einen öffentlichen Schlüssel, der von der ausstellenden Institution wiederum auf einem verteilten Netzwerk abgelegt wird und mit dem privaten Schlüssel auf dem Identitätsnachweis des Nutzers zusammenpassen muss. Was zunächst kompliziert klingt, kann in der Praxis zu Vereinfachungen für Endanwender und Unternehmen führen. Denn: Die Dezentralität von lissi ermöglicht eine große Offenheit. Die in lissi gespeicherten Identitätsnachweise sind auch zu anderen Anbietern übertragbar und können mit Drittlösungen interagieren. Ähnlich wie bei E-Mails ist es also nicht notwendig, dass jeder Teilnehmer des Netzwerks auf lissi als spezifische Lösung setzt.
Blockchain:
lissi
let‘s initiate self-sovereign identity (main incubator + Commerzbank + Deutsche Bahn u.v.m)
Was ist es?
Besondere Merkmale:
lissi ist eine Lösung für die digitale Identität, die – anders als bei den meisten etablierteren Anbietern – dezentral funktioniert. Das heißt: Die Identitätsnachweise des Nutzers werden lokal auf dessen Endgerät gespeichert, ohne dass sie auf einem zentralen Server (wie bei Facebook oder Google) abgelegt werden. Wenn sich ein Nutzer verifizieren möchte, etwa mit seinem Personal-
+ Hohe Datensouveränität des Endnutzers – kein zentraler Zugriff auf Daten durch ein einzelnes Unternehmen möglich + Schutz vor größeren Daten-Leaks durch dezentrale Datenspeicherung + Breite Interoperabilität durch Orientierung an offenen technischen Standards
Copyright: 2021 diconium GmbH | Rommelstraße 11 | 70376 Stuttgart
17
Kontakt Über diconium Seit 1995 unterstützen
Nina Böckenholt management consultant nina.boeckenholt@diconium.co m+49 711 2992 3347 diconium strategy GmbH
wir Branchenführer wie Volkswagen, STIHL, Bosch, Allianz, Kodak Alaris oder Sick dabei, das Potenzial der digitalen Transformation zu nutzen und Millionen von Kunden außergewöhnliche Erfahrungen zu bieten. Als starker Partner begleiten wir Unter-
Mollstraße 1 10178 Berlin www.diconium.com
nehmen durch den gesamten Prozess der Digitalisierung: Von Innovation & Strategy, UX, Data & KI, Commerce und Technology bis hin zum Aufbau digitaler Einheiten.
Robert Augst director robert.augst@diconium.com +49 711 2992 145 diconium strategy GmbH
Einer für alle, alle für einen! Rund 1.000 Kolleginnen und Kollegen betreuen unsere Kunden von weltweit dreizehn Standorten aus: Stuttgart, Berlin, Hamburg, München, Wolfsburg und Karlsruhe sowie Bangalore, Detroit, Peking, Lissabon, London, San José und VaE. Was uns vereint? Der Mut, neue Wege zu gehen, gegenseitige Achtsamkeit, Teamwork und der Wille, nachhaltig etwas zu verändern. diconium ist eine 100-
Rommelstraße 11 70376 Stuttgart www.diconium.com
Prozent-Tochter der Volkswagengruppe.
WE HIR ARE jobs ING .dic o nium .com
Copyright: 2021 diconium GmbH | Rommelstraße 11 | 70376 Stuttgart
22