Die 10 wichtigsten Fragen, die Sie einem Anbieter für Identitätsverifizierung stellen sollten, bevor Sie sich für einen entscheiden

Die FTC meldete für 2024 Betrugsverluste von über 12.5 Milliarden US-Dollar, ein Anstieg von 25 % gegenüber dem Vorjahr. Mehr als 1.1 Millionen Meldungen über Identitätsdiebstahl wurden über IdentityTheft.gov eingereicht. Vor diesem Hintergrund erscheint die Anbieterauswahl dringlich, und diese Dringlichkeit führt oft dazu, dass die sorgfältige Prüfung auf einen reinen Funktionsvergleich reduziert wird. Die Anbieter werden anhand von Genauigkeitswerten, Preis und Integrationsgeschwindigkeit verglichen. Anschließend wird der Vertrag unterzeichnet.

Sechs bis achtzehn Monate später stellen viele Teams fest, dass die eigentlichen Bewertungsfragen nie gestellt wurden. Ein neuer Markt erfordert Dokumenttypen, die der Anbieter kaum abdeckt. Für einen Serviceausfall gibt es keine vertragliche SLA-Lösung. Die Datenverarbeitungsvereinbarung steht im Widerspruch zu lokalen Aufenthaltsbestimmungen. Der Markt für Identitätsverifizierung wird Prognosen zufolge von 14.34 Milliarden US-Dollar im Jahr 2025 auf 29.32 Milliarden US-Dollar im Jahr 2030 wachsen.Jeder Anbieter in diesem Markt wird dieselben erstklassigen Fähigkeiten für sich beanspruchen. Die folgenden Fragen sollen Ihnen aufzeigen, wo diese Behauptungen von der Realität abweichen.

Entwickeln und besitzen Sie Ihre Verifizierungstechnologie selbst?

Viele IDV-Anbieter integrieren Komponenten von Drittanbietern für die Dokumentenerfassung, den biometrischen Abgleich oder Lebendigkeitserkennung und bündeln Sie diese unter einer einzigen Marke. Fragen Sie gezielt nach, welche Teile der Produktpipeline firmeneigen sind und welche von anderen Anbietern lizenziert wurden. Abhängigkeiten von Drittanbietern bergen Risiken hinsichtlich Service-Level-Agreements (SLAs), Lizenzen und Produktstrategie, die außerhalb des Einflussbereichs des Anbieters liegen. Wenn ein Subunternehmer seine Preise ändert oder eine Produktlinie einstellt, trifft die Störung Ihr Betriebsteam, nicht dessen.

Welche Bereitstellungsoptionen unterstützen Sie?

Für viele Organisationen ist eine reine Cloud-Lösung ausreichend. Für Teams mit Anforderungen an die Datensouveränität ist die Frage, ob ein Anbieter auf der eigenen Infrastruktur, im Cloud-Tenant oder in einer Hybridlösung aus beidem arbeiten kann, jedoch unerlässlich. Aufsichtsbehörden im Finanzsektor, im Gesundheitswesen und im öffentlichen Sektor legen immer genauer fest, wo Identitätsdaten verarbeitet und gespeichert werden dürfen. Stellen Sie daher sicher, dass die Architektur des Anbieters Ihren rechtlichen Vorgaben entspricht, bevor Sie den Vertrag unterzeichnen – nicht erst danach.

Welche behördlichen Zertifizierungen besitzen Sie tatsächlich?

Die Branchenstandards umfassen SOC 2 Typ II, ISO 27001:2013, PCI DSS und Privat, sicher & geschützt Datenverarbeitung. Für die biometrische Lebenderkennung, iBeta Level 1, 2 und iBeta Level 3-Zertifizierung Die Zertifizierung durch ein NIST NVLAP-akkreditiertes Prüflabor gilt als anerkannter unabhängiger Maßstab. Wenn Ihr Unternehmen in Deutschland tätig ist, ist die KJM-Zulassung für Produkte mit Altersbeschränkung zwingend erforderlich. Verlangen Sie vom Anbieter die Originalzertifikate. Ein Zertifikat, dessen Ablaufdatum zwei Jahre zurückliegt, sollte Anlass zur Nachforschung geben.

Wie viele Länder und Dokumenttypen deckt Ihre Lösung tatsächlich ab?

Dokumentenabdeckung Hier weichen die Angaben der Anbieter am deutlichsten von der Realität ab. Ein Anbieter mag zwar prinzipiell 200 Länder unterstützen, aber die Extraktionsraten für bestimmte Dokumentformate in einzelnen Regionen können deutlich sinken. Fragen Sie nach Abdeckungsdaten auf Ebene des Dokumenttyps und der jeweiligen Gerichtsbarkeit für die für Sie relevanten Märkte. Unternehmen, die nach Südostasien, Lateinamerika oder in den Nahen Osten expandieren, werden feststellen, dass die Abdeckungstiefe darüber entscheidet, wie viele Verifizierungen in einer manuellen Prüfwarteschlange landen.

Wovor schützt Ihre Lebenderkennung?

Die Erkennung von Präsentationsangriffen geht weit über die Überprüfung statischer Fotos hinaus. Das aktuelle Bedrohungsumfeld umfasst 3D-Maskenangriffe, Deepfake-Videoeinblendungenund Bildschirmwiedergabeangriffen. Fragen Sie den Anbieter, auf welche Angriffskategorien seine Lebenderkennung trainiert wurde und welche unabhängigen Tests diese Angaben bestätigen. iBeta Level 2 deckt ein breiteres Spektrum an Präsentationsangriffen ab als Level 1. Anbieter ohne Zertifizierung durch Dritte verlangen von Ihnen, ihre eigenen Genauigkeitsangaben zu akzeptieren. Dies stellt ein anderes Risiko dar als der Betrug, den das Produkt verhindern soll.

Wie umfassend ist Ihre Prüfung im Bereich Geldwäschebekämpfung und Sanktionen?

AML screening ist keine Ja/Nein-Frage. Fragen Sie, wie viele Watchlists abgedeckt werden, wie häufig die Daten aktualisiert werden, wie … PEP-Profile werden bezogen und gepflegt, und es wird geprüft, ob negative Medienberichterstattung einbezogen wird. Der Rahmen der FATF-Empfehlungen AML-Konformität Es handelt sich um einen risikobasierten Prozess, nicht um eine Checkliste. Ein Anbieter, der 50 Watchlists abdeckt, und ein anderer, der 3,500 abdeckt, lösen nicht dasselbe Compliance-Problem, selbst wenn beide die Funktion in ihrer Dokumentation identisch beschreiben.

Welche Verfügbarkeitsgarantien und SLA-Maßnahmen bieten Sie an?

Onboarding-Prozesse haben keine geplanten Ausfallzeiten. Fragen Sie nach dem vertraglichen SLA des Anbieters, was einen Verstoß darstellt und wie die konkrete Abhilfe aussieht. Gutschriften für zukünftige Rechnungen gleichen einen fehlgeschlagenen Onboarding-Prozess während einer Produkteinführung oder einer behördlichen Prüfung selten aus. Erkundigen Sie sich, ob der Anbieter eine öffentliche Statusseite unterhält und wie sein Vorfallkommunikationsprozess aussieht, einschließlich der Geschwindigkeit der Benachrichtigung von Kunden und des entsprechenden Kanals.

Können Sie mit uns skalieren, ohne eine Plattformmigration zu erzwingen?

Anbieter, deren Lösungen für kleine bis mittlere Volumina optimiert sind, benötigen mitunter architektonische Anpassungen, um den Durchsatz von Unternehmenskunden zu unterstützen. Prüfen Sie, ob die API-Architektur bei 1,000 Verifizierungen pro Tag dieselbe ist wie bei einer Million. Eine gründliche Due-Diligence-Prozess für Lieferanten Eine rein auf den aktuellen Bedarf ausgerichtete Vertragsgestaltung führt zwar zu einem zeitgemäßen Vertrag, hemmt aber das Wachstum. Fragen Sie nach historischen Fällen, in denen Volumensteigerungen zu Leistungseinbußen geführt haben, und nicht nur nach theoretischen Grenzen.

Wohin gelangen unsere Identitätsdaten und wer hat Zugriff darauf?

Die Frage des Datenstandorts ist nicht nur eine rechtliche, sondern auch eine Beschaffungsfrage. Fragen Sie nach der vollständigen Liste der Unterauftragnehmer des Anbieters, wo die Daten im Ruhezustand gespeichert und während einer Verifizierungssitzung verarbeitet werden und welche Richtlinien zur Datenaufbewahrung und -löschung nach Abschluss der Prüfung gelten. Gemäß der DSGVO ist Ihr Unternehmen neben Ihren eigenen auch für die Praktiken Ihrer Auftragsverarbeiter verantwortlich. Anbieter, die vor Vertragsunterzeichnung keine aktuelle, unterzeichnete Datenverarbeitungsvereinbarung vorlegen können, geben Aufschluss über ihren aktuellen Stand der Compliance.

Was genau erfordert Integration?

Die Implementierungszeiten variieren von wenigen Tagen für webhookbasierte Integrationen bis hin zu mehreren Monaten für komplexe Unternehmensumgebungen. Fragen Sie nach dem konkreten Integrationspfad für Ihren Technologie-Stack, ob eine Sandbox-Umgebung vor dem Go-Live verfügbar ist, wie die Dokumentation in Grenzfällen aussieht und ob dedizierter Integrationssupport inklusive oder nur als kostenpflichtiges Zusatzpaket erhältlich ist. Ein klares Bild davon, was Identitätsverifizierungsdienste in der Integrationsphase realistischerweise benötigen, verhindert, dass Sie die Antwort erst mitten im Projekt entdecken, wenn die Wechselkosten am höchsten sind.

Die Wahl des falschen Anbieters für Identitätsverifizierung beeinflusst jeden Onboarding-Prozess, jede AML-Warnung und jede Marktexpansion, die von der Abdeckungstiefe und der SLA-Zuverlässigkeit des Anbieters abhängt. Shuftis Identitätsprüfung Plattformabdeckungen 240 + LänderUnterstützt Cloud-, On-Premises- und Hybrid-Bereitstellung über eine einzige API, verfügt über iBeta Level 1-, 2- und 3-Zertifizierungen für Lebenderkennung und gleicht mehr als 3,500 globale Watchlists ab – alles im Rahmen eines einzigen Vertrags.

Demo anfordern Um Ihren konkreten Anwendungsfall auf der Plattform durchzuspielen und zu sehen, wie er sich im Hinblick auf Ihre Zielmärkte und Compliance-Anforderungen schlägt.