Das Vertrauen in einer Welt gestohlener Identitäten bewahren

Finanzinstitute sind bei der Anmeldung mit „Credential Stuffing“-Angriffen, mit Session-Hijacking durch gestohlene Cookies und bei der Kontoeröffnung mit Betrug durch synthetische Identitäten konfrontiert. SpyCloud bietet für jedes dieser Probleme eine Lösung. Bei der Anmeldung prüft die „User Exposure API“, ob für den sich authentifizierenden Kunden ein bestätigter Datenverstoß oder eine Malware-Exposition vorliegt, und löst nur für bestätigte Hochrisikonutzer eine verstärkte Authentifizierung aus. Im Falle von Sitzungsentführung liefert „Session Identity Protection“ einen kontinuierlich aktualisierten Feed mit kompromittierten Sitzungs-Cookies, die mit den Domains des Instituts verknüpft sind, und ermöglicht so die Ungültigmachung der Sitzung, bevor Angreifer Konten leerräumen können. Bei synthetischem Identitätsbetrug bei der Kontoeröffnung gleicht „Consumer IDLink“ übermittelte Identitätsmerkmale mit dem von SpyCloud neu erfassten Datensatz zu Straftätern ab, um Muster gefälschter Identitäten zu erkennen.

Sowohl die FFIEC-Leitlinien zur Authentifizierung als auch NIST SP 800-63B verlangen von Finanzinstituten die Implementierung einer risikobasierten Authentifizierung, die Anzeichen für kompromittierte Zugangsdaten berücksichtigt, die über die Passwortstärke und die MFA-Registrierung hinausgehen. Die kontinuierliche Überwachung von Zugangsdaten durch SpyCloud hinsichtlich wiedergewonnener Daten aus Sicherheitsverletzungen, Malware und Phishing erfüllt die Anforderungen von NIST SP 800-63B, Abschnitt 5.1.1.2, der automatisierte erzwungene Zurücksetzungen anhand einer kontinuierlich aktualisierten Liste kompromittierter Zugangsdaten vorschreibt. Für FFIEC-Zwecke stellt SpyCloud die externe Ebene für Bedrohungsinformationen bereit, die in den FFIEC-Leitlinien als Bestandteil eines wirksamen Authentifizierungsrisikomanagements identifiziert wird.

CTI- und Betrugsermittlungsteams im Finanzdienstleistungssektor nutzen SpyCloud Investigations, um die kriminelle Infrastruktur hinter Betrugskampagnen aufzuspüren: Sie ordnen E-Mail-Adressen, die bei Versuchen der Kontoübernahme verwendet wurden, bestimmten kriminellen Profilen zu, verknüpfen Geräte-Fingerabdrücke über mehrere Betrugsvorfälle hinweg und decken die Sicherheitslücke oder Malware-Quelle auf, aus der die Anmeldedaten der Angreifer stammten. Ein CTI-Leiter bei einem Fortune-100-Finanzdienstleistungsunternehmen berichtete, dass er durch die Identitätskorrelation von SpyCloud mindestens 10 Minuten pro Untersuchung einsparen konnte. Die Investigations-API lässt sich in Workflows zum Betrugsfallmanagement integrieren und ermöglicht so die automatisierte Anreicherung von Betrugsfällen mit den Ergebnissen der Identitätskorrelation von SpyCloud.

SpyCloud erfasst vier Kategorien von Identitätsdaten, die für Finanzdienstleistungen relevant sind: Zugangsdaten aus Datenlecks bei Drittanbietern, die Mitarbeiter- und Kundenkonten offenlegen; Protokolle von Infostealer-Malware von infizierten Mitarbeitergeräten, die den vollen Umfang der bei einer einzelnen Infektion gestohlenen Anwendungszugangsdaten offenlegen; Phishing-Erfassungsdaten aus AitM-Phishing-Kampagnen, bei denen Zugangsdaten und Sitzungstoken während der Authentifizierung gestohlen werden; sowie kompromittierte Zahlungskartendaten aus Infostealer- und Datenleckquellen mit zugehörigen personenbezogenen Daten der Karteninhaber zur Verhinderung von Kartenbetrug. Im Jahr 2025 meldete ein Finanzdienstleistungsunternehmen, das SpyCloud einsetzte, in Spitzenzeiten 3.000 bis 11.000 direkte Übereinstimmungen von Zugangsdaten pro Stunde, wobei jede davon ein Konto darstellte, das ohne frühzeitige Erkennung zu einer Kontoübernahme hätte führen können.

SpyCloud ist eine vorgelagerte Intelligence-Ebene, die bestehende Entscheidungssysteme zur Betrugsbekämpfung, SIEM-Plattformen und die IAM-Infrastruktur um bestätigte Signale zur Identitätsgefährdung erweitert. Es ersetzt weder Betrugsbekämpfungsplattformen noch SIEM-Tools oder Identitätsanbieter. Für Betrugsbekämpfungsteams fließen die Identitätsrisikosignale von SpyCloud als zusätzliches Merkmal neben Verhaltens-, Geräte- und Transaktionssignalen in bestehende Risikomodelle ein. Für Sicherheitsteams lässt sich SpyCloud zur automatisierten Korrektur von Anmeldedaten in Active Directory, Okta und Entra ID integrieren sowie zur erweiterten Sicherheitswarnung in Splunk, Sentinel und Cortex XSOAR.