Sperrliste und Erkennung von Duplikaten

Einstellungen → Betrugsprävention enthält zwei Dinge: Ihre Sperrliste und die Regeln zur Erkennung von Duplikaten. Beide wirken auf jede Verifizierung, sowohl für Personen als auch für Unternehmen. Die endgültige Entscheidung liegt immer bei einem Menschen, es sei denn, Sie wählen die automatische Ablehnung.

Die Sperrliste

Fügen Sie alles hinzu, was Sie niemals verifizieren möchten:

Jeder Eintrag hat:

• Bei Treffer — Zur manuellen Prüfung senden (Standard) oder Ablehnen.
• Grund — Freitext, nur für Ihr Team sichtbar.
• Läuft ab am — optional. Ein abgelaufener Eintrag greift nicht mehr und wird ausgeblendet, sofern Sie nicht Abgelaufene Einträge anzeigen aktivieren.

Dokumentnummern, Telefonnummern, E-Mail-Adressen und Geräte werden nie als Klartext gespeichert. Der Hash verwendet einen Schlüssel, den nur Certivant besitzt. Die Liste lässt sich daher nicht zurücklesen. Sie zeigt nur den maskierten Hinweis.

Aus einer Verifizierung hinzufügen

Öffnen Sie eine Verifizierung und wählen Sie Zur Sperrliste hinzufügen. Der Dialog listet auf, was diese Verifizierung enthält: Gesicht, Dokumentnummer(n), E-Mail-Adresse, Telefonnummer, IP-Adresse, Gerät. Sie wählen aus, was gesperrt werden soll. Angaben, die die Verifizierung nicht enthält, sind ausgegraut. Die Werte werden nie angezeigt.

Ein Gesicht kann nur hinzugefügt werden, wenn die Verifizierung eine gespeicherte Gesichtsvorlage hat (der Antragsteller hat der Identitätsbetrugsprüfung zugestimmt).

Was bei einem Treffer geschieht

Wenn ein Antragsteller einreicht, vergleicht Certivant die Verifizierung mit Ihren aktiven Einträgen:

• Die Anfrage erhält das Signal Treffer auf der Sperrliste. Der Prüfer sieht die Art des Treffers („eine gesperrte E-Mail-Adresse“), nie den gesperrten Wert.
• Bei Zur manuellen Prüfung senden kann die Verifizierung nicht automatisch genehmigt werden. Sie geht mit dem Auslöser Sperrlistentreffer zur Prüfung.
• Bei Ablehnen wird die Verifizierung abgelehnt. Dem Antragsteller wird nicht mitgeteilt, warum. Die Erklärungsseite sagt lediglich, dass eine zusätzliche Identitätsprüfung erforderlich ist.
• Richtlinien und Workflows können fraud.blocklistMatch (wahr/falsch) und fraud.blocklistKinds (eine Liste wie email, ip) auslesen. Siehe den Richtlinien-Editor.

Ein Gesicht gilt als Treffer, wenn es innerhalb desselben Abstands liegt wie beim organisationsübergreifenden Gesichtsabgleich, und zwar nur gegen Ihre eigenen Einträge. Andere Organisationen sehen Ihre Sperrliste nie und gleichen sie auch nicht ab.

Jedes Hinzufügen, Ändern und Entfernen wird im Audit-Protokoll erfasst (blocklist.entry_added, blocklist.entry_updated, blocklist.entry_removed). Erfasst werden, wer es getan hat, der Typ des Eintrags und die Aktion, nicht der Wert.

Berechtigungen

Eigentümer und Admins haben alle drei. Die Rolle Compliance-Beauftragter hat alle drei. Die Rolle KYC-Prüfer darf nur ansehen. Der erfahrene Prüfer darf ansehen und die Sperrliste verwalten.

Regeln zur Erkennung von Duplikaten

Jede Regel hat eine Aktion, ähnlich den Einstellungen zum Netzwerkrisiko:

Für die Regeln zu Gerät und IP legen Sie fest, wie viele verschiedene Personen und wie viele Tage. Lassen Sie den Schwellenwert für Geräte leer, um den Standard der Plattform (3) zu verwenden.

Dieselbe Person, die sich erneut verifiziert, löst nie eine Regel aus. Zwei Verifizierungen gehören zur selben Person, wenn E-Mail-Adresse oder Name zusammen mit dem Geburtsdatum übereinstimmen. Ein erneuter Versuch, eine Verlängerung oder ein zweites Dokument unter einem neuen Antragsdatensatz sind daher in Ordnung. Die Prüfungen für Telefon und E-Mail vergleichen Name und Geburtsdatum direkt (Akzente, Reihenfolge der Namen und Satzzeichen werden ignoriert). Fehlen auf einer Seite Name oder Geburtsdatum, ist das Ergebnis „unbekannt“, und nichts geschieht.

Die Suchen nutzen die Einweg-Indizes, die ohnehin für die Suche nach Antragstellern gespeichert werden. Certivant durchsucht nie Klartext. Diese Regeln laufen nicht, solange Ihre Organisation im Debug-Modus ist. Die Sperrliste läuft dagegen immer. Die Regel zur Dokumentnummer (dieselbe Nummer bei der Verifizierung einer anderen Person) ist automatisch und unverändert. Siehe Betrugssignale.

Wie Geräte erkannt werden

Auf der gehosteten Prüfseite und in öffentlichen Formularen sendet der Browser des Antragstellers zwei datenschutzbewusste Signale. Beide werden gehasht, bevor sie den Browser verlassen oder gespeichert werden:

• ein Fingerprint aus stabilen Merkmalen: Browser, Bildschirmgröße, Zeitzone, Sprachen, Plattform, Anzahl der Prozessorkerne sowie wie der Browser eine kleine Leinwand zeichnet und seine Grafikkarte meldet;
• eine zufällige Geräte-ID, die im Speicher des Browsers und in einem langlebigen Cookie der eigenen Website abgelegt wird. Sie erkennt einen wiederkehrenden Browser auch dann, wenn sich seine Merkmale geändert haben, etwa durch ein Update oder eine geänderte Fenstergröße. Das Löschen der Browserdaten setzt sie zurück.

Keiner der beiden Werte enthält personenbezogene Daten, und keiner wird Ihnen angezeigt. Certivant verwendet beide mit einem Serverschlüssel als HMAC, bevor sie gespeichert werden. Der Einwilligungstext des Antragstellers weist darauf hin, dass technische Geräte- und Verbindungsdaten zur Betrugsprävention erfasst werden. Eine Änderung bei der Erstellung des Fingerprints setzt den Geräteverlauf zurück. Nach einem Update braucht die Geräteregel daher einige Verifizierungen, bevor sie wieder greifen kann.

Verwandte Themen

• Betrugssignale und Gesichtsabgleich — die Signale, die diese Regeln erzeugen.
• Richtlinien-Editor — fraud.blocklistMatch, fraud.duplicatePhone, fraud.duplicateEmail, fraud.duplicateDevice und fraud.duplicateIp in Ihren eigenen Regeln verwenden.
• Automatisierungs-Workflows — auf dieselben Fakten reagieren.
• API der Sperrliste — die Liste aus Ihrem eigenen System verwalten.
• Altersprüfung — das Standard-Mindestalter und der Puffer befinden sich auf derselben Karte für Regeln.