Spezialisierung

Identitätsprüfung am Servicedesk

Ein Angreifer braucht kein Passwort, wenn der Servicedesk es für ihn zurücksetzt. Technische Verifizierung ersetzt Wissensfragen und das Urteil eines einzelnen Mitarbeiters durch eine Kontrolle, die der Anrufer selbst bestehen muss. DeepCalls hilft Ihnen bei der Wahl der Lösung, die zu Ihrer Organisation passt, und zeigt, was sie löst und was nicht.

Kennenlernen Zum ATO-Assessment

Übersicht der Lösungen
Geprüft anhand Ihrer Schwachstellen
Inklusive dessen, was eine Lösung nicht abdeckt
Testszenarien für Ihren Proof of Concept

Das problem

MFA ist so stark wie das Zurücksetzen

Viele Organisationen haben MFA eingeführt. Doch wer anruft und sagt, er habe ein neues Telefon, bittet den Servicedesk, genau diese Sicherheit neu einzurichten.

Der Servicedesk muss dann feststellen, ob der Anrufer der ist, für den er sich ausgibt. Oft geschieht das mit Fragen, einer Rückrufnummer oder einer Einschätzung.

Das liegt nicht an den Mitarbeitenden. Der Prozess verlangt unter Zeitdruck ein Urteil über jemanden, den sie nicht sehen können, während ein Kollege am Telefon schnell wieder arbeiten möchte.

Das Risiko ist nicht theoretisch. Die US-amerikanischen Behörden CISA und FBI beschreiben in ihrer Warnung zu Scattered Spider, wie Angreifer sich beim Helpdesk als Mitarbeiter ausgeben. So lassen sie Passwörter zurücksetzen und MFA auf ein Gerät übertragen, das sie selbst kontrollieren.

Was wir sehen

Wo die Verifizierung in der Praxis Spielraum lässt

In unseren Assessments sehen wir wiederkehrende Muster bei Verifizierung, Übergabe und Befugnissen. Es sind Eigenschaften des Prozesses, keine Fehler von Menschen.

Eine technische Maßnahme kann einen großen Teil davon schließen.

Die lösungen

Zwei Wege, einen Anrufer zu verifizieren

Technische Verifizierung löst die Entscheidung von der Frage, ob jemand die richtigen Antworten kennt. Der Anrufer muss etwas nachweisen. Es gibt zwei Ansätze, und manche Lösungen bieten beide.

	Verifizierung über Anwesenheit	Verifizierung mit Ausweisdokument
Was der Anrufer nachweist	Dass er jetzt Zugriff auf seine eigenen Mittel und Daten hat	Dass er die Person ist, die im Verzeichnis steht
Wie	Bestehende MFA, kombiniert mit dynamischen Unternehmensdaten wie aktuellen Anmeldungen, Tickets oder Badge-Zutritten. Jede Prüfung bringt Punkte. Erst wenn der Schwellenwert erreicht ist, den Sie je Rolle und Art der Anfrage festlegen, folgt das Zurücksetzen.	Auf einem Telefon mit einem Ausweisdokument, das mit dem eigenen Eintrag im Verzeichnis abgeglichen wird, plus einem Gesichtsabgleich mit dem Foto in diesem Dokument
Stark, wenn	Sie bestehende MFA und Daten nutzen möchten statt eines neuen Registrierungsschritts	Der Anrufer keine eigenen Mittel mehr hat. Jede Person mit einem Eintrag im Verzeichnis ist verifizierbar.

Verifizierung über Anwesenheit

Was der Anrufer nachweist: Dass er jetzt Zugriff auf seine eigenen Mittel und Daten hat
Wie: Bestehende MFA, kombiniert mit dynamischen Unternehmensdaten wie aktuellen Anmeldungen, Tickets oder Badge-Zutritten. Jede Prüfung bringt Punkte. Erst wenn der Schwellenwert erreicht ist, den Sie je Rolle und Art der Anfrage festlegen, folgt das Zurücksetzen.
Stark, wenn: Sie bestehende MFA und Daten nutzen möchten statt eines neuen Registrierungsschritts

Verifizierung mit Ausweisdokument

Was der Anrufer nachweist: Dass er die Person ist, die im Verzeichnis steht
Wie: Auf einem Telefon mit einem Ausweisdokument, das mit dem eigenen Eintrag im Verzeichnis abgeglichen wird, plus einem Gesichtsabgleich mit dem Foto in diesem Dokument
Stark, wenn: Der Anrufer keine eigenen Mittel mehr hat. Jede Person mit einem Eintrag im Verzeichnis ist verifizierbar.

Was beide gemeinsam haben

Durchsetzen.

Kein Zurücksetzen ohne abgeschlossene Verifizierung, festgehalten im Ticket Ihres ITSM. Wie weit das standardmäßig geht, unterscheidet sich je nach Lösung und Plattform. Manchmal bauen Sie die Sperre selbst über eine API.

Je Rolle.

Für Benutzer mit erhöhten Rechten kann eine strengere Prüfung gelten.

Über den Servicedesk hinaus.

Bei manchen Lösungen funktioniert dieselbe Verifizierung auch für Local IT, HR, Finance und Rückrufanfragen. Manchmal auch umgekehrt: Der Mitarbeiter prüft, dass er wirklich mit dem Servicedesk spricht.

Für wen

Für Organisationen, in denen ein einziger Anruf viel öffnen kann

Relevant für jede Organisation, in der der Servicedesk Passwörter oder MFA telefonisch zurücksetzen kann, insbesondere:

Auch wenn Sie bereits Self-Service-Passwortzurücksetzung oder einen Temporary Access Pass nutzen. Solange der Servicedesk manuell zurücksetzen kann, bleibt das Telefon ein Weg.

Multinationale Unternehmen mit mehreren Gesellschaften, einem zentralen oder ausgelagerten Servicedesk und Local IT
Banken und Finanzinstitute
Behörden und Organisationen, die unter das Cyberbeveiligingswet (das niederländische Cybersicherheitsgesetz) fallen
Organisationen mit vielen Mitarbeitenden, die der Servicedesk nie persönlich sieht

Regulierung

Cybersicherheitsgesetz und NIS2

Seit dem 15. August 2026 gilt das Cybersicherheitsgesetz, die niederländische Umsetzung von NIS2. Die Geschäftsleitung trägt die Gesamtverantwortung für das Management von Cyberrisiken.

NIS2 nennt Zugriffsmanagement und den Einsatz von Multi-Faktor-Authentifizierung bei den verpflichtenden Maßnahmen (Artikel 21). Eine bestimmte Methode zur Verifizierung von Anrufern nennt die Richtlinie nicht. Ein MFA-Reset über den Servicedesk ist jedoch ein naheliegender Punkt, um zu prüfen, ob diese Maßnahmen in der Praxis standhalten. Für Finanzinstitute gilt zusätzlich DORA.

Der ansatz

Vom Assessment zur funktionierenden Verifizierung

01
Assessment.
Wir testen Ihren Servicedesk mit realistischen Anrufen und zeigen auf, wo der Prozess Spielraum lässt.
02
Übersicht der Lösungen.
Für jede Lösung: wie sie funktioniert, welche Ihrer Schwachstellen sie schließt, was sie nicht abdeckt und was sie von Anrufer und Mitarbeiter verlangt.
03
Kontakt zu Anbietern.
Wir bringen Sie mit den passenden Anbietern in Kontakt. Die Entscheidung liegt bei Ihnen.
04
Proof of Concept.
Die Szenarien aus dem Assessment werden zu den Testfällen für Ihren Proof of Concept.
05
Retest.
Nach der Implementierung testen wir erneut.

Zusammenarbeit

Offen über Zusammenarbeit

Wir beschreiben jede Lösung auf dieselbe Weise, einschließlich dessen, was sie nicht abdeckt. Die Übersicht enthält die Anbieter, mit denen DeepCalls zusammenarbeitet. Die Entscheidung liegt immer bei Ihnen.

Häufige Fragen

Reicht MFA nicht aus?

MFA schützt die Anmeldung. Ein Zurücksetzen der MFA über den Servicedesk ist ein separater Weg, und dagegen hilft MFA selbst nicht.

Welche Lösung ist die beste?

Das hängt von Ihren Schwachstellen, Ihren Mitarbeitenden und Ihrem ITSM ab. Deshalb beginnt die Beratung bei dem, was das Assessment zeigt.

Müssen Mitarbeitende ein Ausweisdokument verwenden?

Nur bei der Verifizierung mit Ausweisdokument. Bei der Verifizierung über Anwesenheit nutzen Sie bestehende MFA und Unternehmensdaten.

Was, wenn jemand im Namen einer anderen Person anruft?

Auch dafür gibt es Lösungen, zum Beispiel solche, bei denen eine Assistenz die Anfrage stellt, die Person mit dem Account die Prüfung aber selbst durchläuft.

Funktioniert das mit ServiceNow oder TOPdesk?

Die Integration unterscheidet sich je nach Anbieter und Plattform. In der Übersicht steht für jede Lösung, was für Ihre Plattform verfügbar ist.

Kennenlernen

Möchten Sie wissen, welche Verifizierung zu Ihrem Servicedesk passt?

In einem Kennenlerngespräch besprechen wir Ihre Situation und was der logische nächste Schritt ist.