Die effektivsten Helpdesk-Angriffe nutzen keine Software-Schwachstellen aus. Sie nutzen eine Prozesslücke aus: den Benutzer in der Leitung, der keinen registrierten Authentifikator vorweisen kann. Ein Auftragnehmer am ersten Tag. Ein Partner, der anruft, um den Zugang zurückzusetzen. Diese Benutzer haben schon immer am Rande der Identitätsüberprüfung gestanden, und Angreifer haben sie systematisch ins Visier genommen.
Für Behörden, Finanzdienstleister und andere Organisationen mit hohem Sicherheitsbedarf ist das ein inakzeptables Risiko.
Die neueste Aktualisierung von RSA Help Desk Live Verify schließt diese Lücke.
Das Original RSA Help Desk Live Verify Release hat sich mit einer der gefährlichsten Angriffsflächen für die Unternehmenssicherheit befasst: dem Helpdesk-Anruf. Social Engineering, MFA-Umgehungsangriffe und Betrügereien beim technischen Support, die auf IT-Helpdesks abzielen, haben Unternehmen Hunderte von Millionen Dollar an Verlusten und Geldstrafen gekostet. Die erste Version von RSA Help Desk Live Verify begegnete diesen Risiken mit einem zum Patent angemeldeten bidirektionalen Verifizierungsmodell, das sowohl die Identität des Anwenders als auch die des Agenten bestätigen kann, ohne dass eine der beiden Seiten eine PIN, ein Passwort oder persönliche Daten preisgeben muss.
Allerdings mussten die Benutzer einen registrierten RSA-Authentifikator besitzen. Das ließ eine Kategorie von Benutzern völlig außerhalb des Schutzmodells: Auftragnehmer ohne ein bereitgestelltes Gerät, Mitarbeiter, deren Authentifikatorgerät verloren oder gestohlen wurde, Zeitarbeiter und externe Partner. Für diese Benutzer mussten Unternehmen auf ältere Ansätze zurückgreifen, wie z. B. das Stellen von Sicherheitsfragen, das Zurücklesen von Kontodaten oder das Überspringen der Verifizierung.
Bevor wir uns mit den Neuerungen von RSA Help Desk Live Verify befassen, ist es hilfreich, den zugrunde liegenden Mechanismus zu verstehen:
- Wenn ein Benutzer den Helpdesk kontaktiert, initiiert der Agent eine RSA Helpdesk Live Verify-Sitzung und leitet den Benutzer auf eine firmeneigene Website weiter
- Dort wird dem Benutzer eine Reihe von passwortlosen Verifizierungsoptionen (einschließlich Passkeys) angeboten. Diese Optionen ergeben sich aus den adaptiven Zugriffsrichtlinien des Unternehmens und den Echtzeit-Risikosignalen des Benutzers
- Der Nutzer verifiziert seine Identität auf die für ihn bequemste Weise
- Nach erfolgreicher Überprüfung erhält der Benutzer einen Überprüfungscode, den er dem Helpdesk-Agenten mitteilt
- Der Helpdesk-Agent gibt dann den Code in die Verwaltungskonsole ein, verifiziert den Benutzer und fährt mit der Bearbeitung der Anfrage fort
Keine der beiden Seiten spricht einen Berechtigungsnachweis oder gibt persönliche Informationen preis. Wichtig ist, dass die Verifizierung bidirektional ist - der Prozess bestätigt dem Benutzer auch die Identität des Agenten, wodurch der klassische Angriff ‘Ich bin vom Helpdesk - wir setzen Ihr Passwort zurück’ verhindert wird.
Der Zugriff auf sensible oder eingeschränkte Anwendungen und Ressourcen löst automatisch eine stärkere Authentifizierung aus - je nachdem, wer fragt, wo er ist und worauf er zugreift. Die verstärkte Authentifizierung wird automatisch angewendet, wenn der Kontext und das Verhalten des Benutzers auf ein Risiko hinweisen.
Organisationen können auch auf RSA® Mobiles Schloss und RSA® Risiko AI um RSA Help Desk Live Verify noch besser zu machen. Mobile Lock überwacht die mobile Authentifizierungsumgebung und kann Verifizierungsanfragen blockieren, wenn das Gerät Anzeichen einer Kompromittierung aufweist - Trojaner, Screen-Sharing-Malware oder andere Indikatoren, die darauf hindeuten, dass der Authentifizierungsfluss beobachtet oder abgefangen wird. Risk AI bewertet dynamisch das Verhalten des Benutzers und die Risikosignale und automatisiert bei Bedarf Step-up-Authentifizierungsanfragen.
RSA Help Desk Live Verify führt einen parallelen Verifizierungspfad für Benutzer ein, die keinen Zugang zu einem registrierten Authentifikator haben, der von ID Dataweb unterstützt wird. Anstatt sich mit einem RSA-Authentifikator zu authentifizieren, durchlaufen diese Benutzer einen ID-Verifizierungsfluss: Sie übermitteln einen staatlich ausgestellten Ausweis - einen Führerschein, Reisepass oder eine andere ID -, der in Echtzeit mit maßgeblichen Identitätsdatenquellen abgeglichen wird. Der Agent sieht das Ergebnis der Überprüfung in derselben Verwaltungskonsole. Kein Ausweis wird laut weitergegeben. Das bidirektionale Sicherheitsmodell gilt weiterhin.
Der Verifizierungsfluss kann über die adaptiven Zugriffsrichtlinien von RSA gesteuert werden. Administratoren können konfigurieren, welche Benutzergruppen zur authentifikatorbasierten Verifizierung und welche zur ID-Verifizierung weitergeleitet werden, und sie können Identity Confidence mit Risk AI einbeziehen, um kontextbezogene Risikosignale in die Entscheidung einzubeziehen. Eine risikoreiche Anfrage - z. B. ein Benutzer, der sich von einem ungewöhnlichen Ort oder außerhalb der Geschäftszeiten anmeldet, bestimmte Workflows anfordert oder andere Verhaltensanomalien aufweist - kann einen strengeren Verifizierungspfad auslösen.
Das RSA Help Desk Live Verify-Update wurde entwickelt, um alle sensiblen Arbeitsabläufe abzudecken, nicht nur Help Desk-Anfragen. Dieselbe Verifizierungs-Engine, die das Zurücksetzen von Anmeldeinformationen schützt, kann auch eine Überweisungsautorisierung, eine Anfrage zur Eskalation von Berechtigungen, einen VPN-Wiederherstellungsworkflow oder eine HR-Aktion mit sensiblen Mitarbeiterdaten schützen. Im Finanzdienstleistungssektor ist dies für die Echtzeit-Zahlungsautorisierung und die Genehmigung hochwertiger Transaktionen von Bedeutung, bei denen die Identitätssicherung gesetzlich vorgeschrieben und nicht optional ist. In Behörden und im Verteidigungsbereich geht es um die Anforderungen für die Identitätsüberprüfung an Zugangsgrenzen, die sich auch auf Auftragnehmer und Partner erstrecken, die möglicherweise nie einen von der Behörde verwalteten Authentifikator erhalten werden.
Die praktische Auswirkung ist einfach: Jeder Arbeitsablauf, bei dem eine Organisation bestätigen muss, mit wem sie es zu tun hat, bevor sie eine sensible Maßnahme ergreift, kann jetzt RSA Help Desk Live Verify für jeden Benutzer in der erweiterten Belegschaft verwenden.
Vom Standpunkt der Bereitstellung aus gesehen ist RSA Help Desk Live Verify ein Add-on zu bestehenden RSA ID Plus-Umgebungen. Es gibt keine Änderungen an bestehenden Implementierungen. Organisationen, die bereits RSA Help Desk Live Verify verwenden, können die Abdeckung auf Benutzer ohne Authentifikatoren ausweiten, indem sie das Add-on ID-Verifizierung über ID Dataweb aktivieren. Administratoren konfigurieren, welche Workflows und Benutzerpopulationen verwendet werden können ID-Überprüfung durch denselben politischen Rahmen, der für den Rest der RSA® ID Plus Umwelt.
Für Sicherheitsteams, die die Abdeckung evaluieren, ist die wichtigste Frage, die sie sich bei jeder RSA Help Desk Live Verify-Implementierung stellen müssen: Was passiert, wenn ein Benutzer keinen Zugriff auf seinen Authentifikator hat? Vor dem letzten Update lautete die ehrliche Antwort für die meisten Unternehmen, dass die Verifizierung nicht funktioniert. Mit ID Verification wird dieses Szenario durch einen strukturierten, auditierbaren und phishing-resistenten Verifizierungsfluss ersetzt. Jede Verifizierungsinteraktion - ob über einen Authentifikator oder eine staatliche ID - wird protokolliert und steht für Prüfungen und Compliance-Berichte zur Verfügung.
RSA Help Desk Live Verify richtet sich an eine bestimmte Anzahl von Umgebungen und Anwendungsfällen. Es ist besonders relevant für:
- Organisationen mit erweiterter Belegschaft. Wenn Auftragnehmer, Partner oder Zeitarbeiter mit Ihrem Helpdesk interagieren oder an sensiblen Arbeitsabläufen beteiligt sind, stellen sie in der Vergangenheit eine Verifizierungslücke dar. RSA Help Desk Live Verify ist für diese Fälle konzipiert.
- Finanzinstitute. Überweisungsgenehmigungen, Echtzeit-Zahlungsgenehmigungen und Kontozugriffsanfragen sind allesamt sensible Interaktionen, bei denen die Identitätssicherung das Betrugsrisiko direkt reduziert.
- Behörden und Umgebungen mit hohem Sicherheitsniveau. Behörden und Auftragnehmer, die in Umgebungen mit strengen Anforderungen an die Identitätssicherung arbeiten, profitieren von einem Verifizierungsmodell, das für Benutzer über die gesamte Identitätsgrenze hinweg funktioniert, nicht nur für Benutzer mit von der Regierung verwalteten Geräten.
- Jedes Unternehmen, das RSA Help Desk Live Verify einsetzt. Wenn Sie RSA Help Desk Live Verify bereits für Benutzer mit Authentifizierungsgeräten eingesetzt haben, können Sie mit dieser Version denselben Schutz auf die Benutzer ausdehnen, die derzeit nicht abgedeckt sind, ohne Ihre bestehende Konfiguration zu ändern.
RSA Help Desk Live Verify mit ID-Verifizierung geht als Teil der Version vom Juni 2026 in die Private Preview, wobei die allgemeine Verfügbarkeit für den Spätsommer 2026 geplant ist. Die Private Preview ist ab sofort in ausgewählten Regionen verfügbar und wird bis Mitte Juni auf breiter Basis eingeführt. Organisationen müssen ID Verification aktivieren, um den aktualisierten Workflow in ihre RSA ID Plus-Umgebung zu integrieren.
Wenn Ihre Organisation Auftragnehmer, Partner oder Mitarbeiter ohne registrierten Authentifikator hat - und Sie die Verifizierungslücke vor der GA schließen möchten - ist die Private Preview jetzt geöffnet. Kontaktieren Sie Ihren RSA Account Manager, um Ihre Umgebung zu aktivieren.
Wenn Sie noch kein RSA-Kunde sind, eine Demo anfordern um RSA Help Desk Live Verify in Aktion zu sehen.
