Kundenservice-Anfragen verifizieren: Identität und Autorisierung

Einführung

Bei Kundenservice-Anfragen geht es oft nicht nur darum, wer eine Anfrage stellt, sondern auch darum, was konkret verlangt wird und ob die anfragende Person zu dieser Handlung berechtigt ist. Diese drei Fragen sollten getrennt geprüft werden, insbesondere bevor Support-Teams sensible Kontoänderungen, Datenfreigaben oder andere risikoreiche Aktionen ausführen.

Eine Identitätsprüfung beantwortet nicht automatisch die Frage nach der Autorisierung. Eine Person kann eindeutig identifiziert sein und trotzdem nicht berechtigt sein, eine bestimmte Änderung für ein Unternehmen, Konto oder eine andere Person zu veranlassen. Umgekehrt sollte eine dokumentierte Freigabe immer dem konkreten Anfrageinhalt und dem richtigen Vorgang zugeordnet bleiben.

Dieser Leitfaden beschreibt einen praktikablen Verifizierungsablauf für den Kundenservice: Anfrage eindeutig erfassen, Identität nach dem vorgesehenen Verfahren prüfen, den Inhalt unverändert dokumentieren, den zulässigen Bearbeitungsumfang bestätigen und die Entscheidung anschließend nachvollziehbar festhalten.

Anfrage und Kundenkonto eindeutig zuordnen

Am Anfang sollte jede Serviceanfrage eine eindeutige Vorgangskennung erhalten. Sie verbindet den übermittelten Inhalt mit dem betroffenen Kundenkonto, dem Eingangskanal und den späteren Prüf- und Bearbeitungsschritten.

Neben dem Kontonamen oder einer internen Kundenkennung ist vor allem der konkrete Zweck der Anfrage wichtig. „Kontodaten ändern“ ist beispielsweise weniger aussagekräftig als eine dokumentierte Angabe dazu, welche Daten geändert werden sollen und für welches Konto die Änderung beantragt wird.

Damit bleibt auch bei Rückfragen oder einer Übergabe zwischen Support-Mitarbeitenden klar, welcher Sachverhalt geprüft wird. Änderungen am Anliegen sollten nicht still überschrieben, sondern als neuer Stand desselben Vorgangs dokumentiert werden.

Identität prüfen, ohne sie mit Berechtigung zu verwechseln

Die Identitätsprüfung soll feststellen, ob die anfragende Person zu der behaupteten Identität beziehungsweise zum vorgesehenen Konto passt. Welches Verfahren dafür angemessen ist, hängt vom Risiko der beantragten Handlung und von den internen Vorgaben des Unternehmens ab.

Für die Nachvollziehbarkeit sollte der Support festhalten, welches Prüfverfahren verwendet wurde, wann die Prüfung stattfand und welches Ergebnis sie hatte. Dabei sollten nur die für den Prozess erforderlichen Nachweise und Daten gespeichert werden.

Die Identitätsprüfung bleibt jedoch eine eigene Kontrollstufe. Sie beantwortet nicht automatisch, ob die Person beispielsweise Zahlungsdaten ändern, einen Vertrag kündigen oder Informationen für eine andere Organisationseinheit anfordern darf. Diese Frage gehört in die Autorisierungsprüfung.

Anfrageinhalt und übermittelten Stand nachvollziehbar festhalten

Für die weitere Prüfung muss eindeutig sein, was der Kunde tatsächlich verlangt hat. Bei schriftlichen Anfragen kann der ursprüngliche Wortlaut oder die ursprüngliche Nachricht als Referenz dienen; bei anderen Kanälen sollte der relevante Inhalt so dokumentiert werden, dass Umfang und Ziel der Anfrage erkennbar bleiben.

Zum Vorgang können je nach Serviceprozess beispielsweise gehören:

• Eingangskanal und Zeitpunkt;
• ursprünglicher Anfrageinhalt oder eine nachvollziehbare Referenz darauf;
• betroffene Konten, Verträge oder Objekte;
• spätere Ergänzungen oder Änderungen;
• zuständige Support-Stelle.

Bei internationalem Support kann eine eindeutige Zeitangabe einschließlich Zeitzone helfen, Ereignisse korrekt einzuordnen. Entscheidend ist, dass der dokumentierte Anfrageinhalt nicht nachträglich mit der Autorisierungsentscheidung vermischt wird.

Autorisierung für die konkrete Handlung bestätigen

Nach der Identitätsprüfung folgt die Frage, welche Handlung die identifizierte Person tatsächlich veranlassen darf. Die Antwort sollte sich auf die konkrete Anfrage beziehen, nicht nur auf einen allgemeinen Kundenstatus.

Eine Autorisierung kann beispielsweise aus einer hinterlegten Rolle, einer internen Vollmacht, einer zusätzlichen Freigabe oder einem anderen im Unternehmen vorgesehenen Nachweis hervorgehen. Welcher Nachweis erforderlich ist, hängt vom jeweiligen Prozess und Risiko ab.

Der dokumentierte Umfang sollte möglichst präzise sein: Welche Handlung ist erlaubt? Auf welches Konto oder Objekt bezieht sie sich? Gibt es Grenzen oder zusätzliche Freigabeschritte? So verhindert das Team, dass eine Berechtigung für einen Zweck versehentlich auf eine andere Handlung ausgeweitet wird.

Wenn ein Serviceprozess eine elektronisch signierte Autorisierung oder Freigabe vorsieht, kann Nota Sign den entsprechenden Signaturworkflow unterstützen. In entsprechend konfigurierten eIDAS-Szenarien stehen auch fortgeschrittene elektronische Signaturen (AES) und qualifizierte elektronische Signaturen (QES) zur Verfügung. Welche Signaturart für einen konkreten Vorgang geeignet oder erforderlich ist, muss separat beurteilt werden.

Bearbeitung auf den freigegebenen Umfang begrenzen

Nach Abschluss der Prüfungen sollte der Bearbeitungsentscheid mit dem Vorgang verbunden werden. Für risikoreiche Anfragen ist besonders wichtig, dass der freigegebene Umfang für die ausführende Person unmittelbar erkennbar bleibt.

Ein nachvollziehbarer Vorgang kann beispielsweise enthalten:

• Anfragekennung und betroffene Kundenbeziehung;
• Ergebnis der Identitätsprüfung;
• dokumentierten Anfrageinhalt;
• Grundlage und Umfang der Autorisierung;
• Datum und verantwortliche Stelle der Freigabe;
• ausgeführte Handlung und Abschlussstatus.

Die eigentliche Bearbeitung sollte anschließend mit dem freigegebenen Umfang abgeglichen werden. Wird während der Bearbeitung eine zusätzliche oder abweichende Handlung notwendig, sollte diese nicht automatisch von der ursprünglichen Autorisierung umfasst sein, sondern erneut geprüft werden.

Verifizierung an das Risiko der Anfrage anpassen

Nicht jede Serviceanfrage benötigt denselben Prüfaufwand. Eine allgemeine Produktfrage unterscheidet sich deutlich von einer Änderung an Zahlungsdaten, Zugriffsrechten oder anderen sensiblen Kontoeinstellungen.

Ein sinnvoller Supportprozess kann deshalb Verifizierungsstufen nach Risiko definieren. Je höher die möglichen Auswirkungen einer Fehlbearbeitung, desto stärker können Identitäts-, Autorisierungs- und Freigabekontrollen ausgestaltet werden. Die konkrete Einteilung bleibt eine interne Entscheidung des Unternehmens.

Ein Support-Team kann den Ablauf beispielsweise so standardisieren: Es erfasst die Anfrage unter einer eindeutigen Kennung, prüft die Identität nach der vorgesehenen Risikostufe, dokumentiert den unveränderten Inhalt, bestätigt den zulässigen Bearbeitungsumfang und führt anschließend nur die freigegebene Handlung aus. Dadurch bleibt auch später nachvollziehbar, warum eine Änderung vorgenommen wurde.

Verifizierungsprozesse im Kundenservice standardisieren

Wiederkehrende Supportfälle werden leichter kontrollierbar, wenn Anfrage, Identitätsprüfung, Autorisierung und Bearbeitungsentscheidung in einem einheitlichen Vorgang zusammengeführt werden, ohne diese Informationen miteinander zu vermischen.

Wenn Autorisierungen oder Freigaben elektronisch unterzeichnet werden sollen, finden Sie weitere Informationen auf der Produktseite Elektronische Signatur. Wiederverwendbare Dokumente lassen sich über die Vorlagenübersicht organisieren.