Verified ID Face Check macht die Identitätsprüfung am Helpdesk sicherer

In vielen Tenants, die ich betreue, ist die Identitätsprüfung am Helpdesk ein Dauerthema und häufig ein bequemer Ansatzpunkt für Social Engineering. Will ein Benutzer sein Passwort oder seine Multi-Faktor-Authentifizierung zurücksetzen lassen, steht das IT-Team vor der Frage, wie zuverlässig es jemanden am Telefon überhaupt identifizieren kann und darf. Mit Verified ID Face Check in Microsoft Entra ID gibt es dafür nun eine Lösung, die datenschutzfreundlich und technisch solide ist. Seit August 2024 ist sie allgemein verfügbar.

Face Check gleicht ein Live-Selfie mit dem Foto im Credential ab

Statt auf klassische Verifizierungsfragen setzt Face Check auf biometrische Merkmale. Der Benutzer nimmt mit Smartphone oder Laptop ein Live-Selfie auf. Eine KI vergleicht es mit dem Foto, das in seinem Verified-ID-Credential hinterlegt ist. Dieses Foto wird meist bei der ersten Identitätsprüfung, etwa bei der Einstellung, aus einem amtlichen Dokument extrahiert und anschließend von einem Partner validiert. Der verifizierende Helpdesk erhält am Ende lediglich den „Match Confidence Score“, also einen Wert dafür, wie sicher sich die KI ist, dass tatsächlich dieselbe Person vor der Kamera sitzt. Das Bild selbst bleibt privat und wird nicht weitergegeben. Die Grundlagen und das dezentrale Konzept beschreibt Microsoft ausführlich (Überblick zu Decentralized Identifiers).

Unternehmen können Identitäten damit prüfen, ohne auf Wissensfragen („Wie hieß noch mal Ihr erstes Haustier?“) oder auf persönliche Dokumente angewiesen zu sein. Die Gefahr, dass Angreifer den Helpdesk per Social Engineering überlisten, sinkt deutlich. Beim Zurücksetzen von MFA oder beim Ausstellen eines Temporary Access Pass (siehe meinen Beitrag zum passwortlosen Onboarding mit Temporary Access Pass) bringt das einen echten Fortschritt.

Der Helpdesk stößt den Face Check im Admin Center an

Im Alltag läuft das folgendermaßen ab. Der Helpdesk startet im Microsoft Entra Admin Center eine Face-Check-Anfrage. Der Benutzer erhält einen Link auf sein Smartphone, nimmt ein Selfie auf und gibt es frei. Anschließend gleicht die KI das Selfie mit dem Foto aus dem Verified-ID-Credential ab, das beispielsweise bei der Einstellung aus dem Personalausweis übernommen wurde. Der Helpdesk sieht dann das Ergebnis, etwa „hohe Übereinstimmung“. Erst jetzt lässt sich das Passwort oder die MFA zurücksetzen.

Den Ablauf zeigt das folgende Diagramm:

sequenceDiagram
    participant Helpdesk as "Helpdesk"
    participant Benutzer as "Benutzer"
    participant EntraID as "Entra ID Verified ID"
    participant KI as "Face Check KI"

    Helpdesk->>Benutzer: [Face Check-Link senden]
    Benutzer->>EntraID: [Selfie aufnehmen]
    EntraID->>KI: [Selfie & Credential-Foto]
    KI->>EntraID: [Match Confidence Score]
    EntraID->>Helpdesk: [Score anzeigen]

Abbildung: So läuft ein Face Check mit Verified ID am Helpdesk ab.

Angenehm finde ich, dass der Helpdesk weder das Selfie noch das Credential-Foto zu sehen bekommt. Ob die Identität als bestätigt gilt, hängt allein vom Score ab.

Für den Einstieg braucht man Verified ID und die passende Lizenz

Wer Face Check testen möchte, richtet zuerst Verified ID im Microsoft Entra Admin Center ein. Die Basiskonfiguration ist erfreulicherweise mit wenigen Klicks erledigt (Schnelleinrichtung für Verifiable Credentials). Das eigentliche „Gesicht zum Credential“ kommt allerdings von Identity-Verification-Partnern. Sie erfassen das geprüfte Foto aus einem Ausweisdokument und stellen es als Credential aus (weitere Details bei Microsoft).

Abgerechnet wird Face Check pro Prüfung (Check), die Funktion ist Bestandteil der Entra Suite (also z. B. Entra ID Plan 2 oder Suite-Lizenzen). Die Kosten bleiben dadurch planbar, trotzdem sollte man Nutzung und Prozesse ein Stück weit steuern. Für kritische Helpdesk-Vorgänge lohnt sich Face Check, für jede banale Anfrage eher nicht.

Tipp aus der Praxis: Klärt mit dem Datenschutzbeauftragten, wie und wo die Fotos gespeichert werden und wie lange die Credentials gültig bleiben. Sobald biometrische Daten ins Spiel kommen, reagiert nicht jede Personalabteilung begeistert, auch wenn die Daten dezentral bleiben.

An den Helpdesk geht nur der Confidence Score

Für Verified ID Face Check spricht vor allem die Datensparsamkeit. Selfie und Credential-Foto verlassen weder das Gerät bzw. die Wallet des Anwenders noch die KI-Verarbeitungsumgebung. An den Helpdesk oder die verifizierende Anwendung geht ausschließlich der „Confidence Score“, also eine Einschätzung, wie sicher der Abgleich ist. Datenschutzbedenken und Haftungsrisiken werden dadurch spürbar kleiner. Selbstverständlich muss der Nutzer jeder Prüfung aktiv zustimmen, und er kann den Vorgang jederzeit abbrechen.

Verwaltet, ausgestellt und erneuert werden die Credentials über Entra ID und die Partnerdienste. In manchen Projekten sehe ich, dass der Rollout von Verified IDs vor allem an der Abstimmung mit den Identity-Verification-Partnern hakt. Der Aufwand zahlt sich trotzdem aus, denn auf lange Sicht entschärft man damit viele Probleme am Helpdesk.

Face Check ist mehr als eine technische Spielerei

Für mich ist Verified ID Face Check ein echter Schritt zu einer Identitätsprüfung, die sicher ist und für die Benutzer trotzdem bequem bleibt. Das gilt vor allem dort, wo klassische MFA-Verfahren nicht mehr greifen oder sich austricksen lassen. Der Helpdesk, oft die „letzte Instanz“ für Identitätsnachweise, wird damit deutlich sicherer, ohne dass die Abläufe langsamer werden. Wer gerade plant, das Self-Service-Zurücksetzen oder den Temporary Access Pass breiter auszurollen, sollte Face Check direkt mit einplanen. Besonders sinnvoll ist das in hybriden Umgebungen und bei besonders schutzwürdigen Rollen, denn dort hat Social Engineering traditionell die besten Chancen.

In Entra ID lässt sich die Technik ab sofort produktiv einsetzen, und sie kann viele der altbekannten Konflikte am Helpdesk endlich entschärfen.