Wissen, dass es wirklich die Person ist, am Helpdesk-Telefon und ab dem ersten Gespräch.
PhotoID bestätigt die Identität per Live-Gesichtsabgleich in Microsoft Authenticator: bei Anrufenden vor einem Passwort- oder MFA-Reset, und bei neuen Mitarbeitenden vom Vorstellungsgespräch bis zur ersten Anmeldung. Aufgebaut auf Microsoft Entra Verified ID.
Eine überzeugende Stimme ist keine Identität. Ein überzeugender Videocall auch nicht.
Angreifer rufen beim Service Desk an, geben sich als Mitarbeitende aus und verlangen einen Passwort-Reset, eine neue MFA-Methode oder einen BitLocker-Schlüssel. Sicherheitsfragen lassen sich über LinkedIn oder aus einem Datenleck beantworten, Stimmen lassen sich klonen, und ein Rückruf scheitert genau dann, wenn das Telefon verloren ging. Eine Ausweisprüfung funktioniert nicht vollständig aus der Ferne, ist für den Support-Alltag zu schwerfällig und mit der Personalvertretung schwer zu vereinbaren. Bei der Rekrutierung klafft dieselbe Lücke einen Schritt früher: Wer sich nur per Video vorstellt, ist vielleicht nicht die Person auf dem Ausweis, und das erste Passwort neuer Mitarbeitender reist immer noch per E-Mail, SMS oder Telefon. Ein Gesichtsabgleich mit einem verifizierten Nachweis in Microsoft Authenticator schliesst beide Lücken, wo immer die Person ist.
Ein Gesichtsabgleich, zwei Orte, an denen über Identität entschieden wird.
Am Helpdesk.
Vor einem Passwort- oder MFA-Reset oder der Herausgabe eines BitLocker-Schlüssels bestätigt der Supporter, dass die anrufende Person tatsächlich die Mitarbeiterin oder der Mitarbeiter ist. Am Telefon, in rund einer Minute, gegen den Verified-Employee-Nachweis Ihrer Organisation.
Vom Vorstellungsgespräch bis zum ersten Arbeitstag.
HR bestätigt, dass Kandidierende aus der Ferne wirklich die Person auf einem verifizierten amtlichen Ausweis sind, prüft das im Gespräch erneut per Gesichtsabgleich und lässt neue Mitarbeitende am Starttag ihr Arbeitskonto selbst einrichten. Ein erstes Passwort wird nie verschickt.
Vom Anruf zur verifizierten Person, in vier Schritten.
1. Der Supporter löst einen PhotoID-Check aus.
Er wählt die Person aus Ihrem Verzeichnis, bestimmt die Aktion, etwa einen Passwort-Reset, und ergänzt die Ticketnummer. Jedes Ticketsystem kann diese Ansicht mit einem vorausgefüllten Link öffnen.
2. Ein sechsstelliger Code wird vorgelesen.
PhotoID zeigt einen kurzen Code mit Buchstabiertafel. Der Supporter liest ihn am Telefon vor, die Person gibt ihn auf ihrem eigenen Telefon ein, auch auf einem privaten Gerät.
3. Die Person bestätigt und blickt in die Kamera.
Sie sieht genau, was mit ihrem Konto geschehen soll, und bestätigt es. Microsoft Authenticator gleicht dann ihr Gesicht mit dem Foto in ihrem Mitarbeiter-Nachweis ab.
4. Der Supporter sieht das Ergebnis live.
Verifiziert oder nicht verifiziert, mit Übereinstimmungswert, erscheint innert Sekunden auf dem Bildschirm des Supporters, zusammen mit einem kurzen Ergebnisblock für das Ticket.
Sechs Zeichen, am Telefon vorgelesen.
Vom ersten Gespräch bis zur ersten Anmeldung.
1. HR verschickt einen persönlichen Link.
HR erfasst Namen und private E-Mail-Adresse der kandidierenden Person und verschickt den Link aus dem eigenen Mailprogramm, mit einem Text, den PhotoID vorbereitet. Die Einladung kommt von jemandem, den die Person kennt, nicht von einem System.
2. Die Person teilt einen verifizierten Ausweis.
Vor dem Gespräch teilt sie auf ihrem eigenen Telefon aus Microsoft Authenticator einen amtlichen Ausweisnachweis, ausgestellt von einem Anbieter für Identitätsprüfung. HR sieht den verifizierten Namen und das Geburtsdatum und bestätigt, dass es die richtige Person ist.
3. Ein PhotoID-Check im Gespräch.
Im Videocall drückt HR auf «Verify now». Die Person teilt denselben Ausweis mit einem Gesichtsabgleich, während HR zuschaut, und PhotoID bestätigt, dass es dasselbe Dokument ist wie zuvor. Das Ergebnis erscheint live bei HR.
4. Am ersten Tag die erste Anmeldung.
Nach der Anstellung und der Verknüpfung mit dem neuen Arbeitskonto macht die neu angestellte Person am Starttag einen weiteren PhotoID-Check. PhotoID erstellt dann in Ihrem Entra ID einen Temporary Access Pass, einmal angezeigt und nur ihr, um Authenticator oder einen Passkey einzurichten.
Die Kontoeinrichtung ist optional und ausgeschaltet, bis Ihr Administrator sie einschaltet. Ohne sie enden die Schritte von HR beim Anstellungsentscheid.
Streng genug für die IT-Sicherheit, einfach genug für den Helpdesk und für HR.
An eine Person gebunden.
Jeder Helpdesk-Check gilt nur für die Person, die der Supporter ausgewählt hat. Der Nachweis muss von Ihrer eigenen Organisation ausgestellt und darf nicht widerrufen sein. Das Gesicht einer Kollegin oder der Nachweis einer anderen Firma besteht nie.
PhotoID sieht nie ein Gesicht.
Jeder Abgleich läuft bei Microsoft, im Authenticator der Person selbst. PhotoID erhält nur ein Ergebnis und einen Wert. Keine Selfies, keine Dokumentscans, keine gespeicherten Fotos, und die Nummer eines Ausweises wird nie aufbewahrt.
Alle Mitarbeitenden werden zu Betrugsmeldern.
Die Person sieht die Aktion in klaren Worten, bevor etwas geschieht. Hat sie nichts angefordert, stoppt ein Tipp auf «Nein, das habe ich nicht angefordert» den Check und hält es fest.
In Minuten integriert, ganz ohne API.
Lösen Sie einen PhotoID-Check per vorausgefülltem Link aus jedem Ticketsystem aus und fügen Sie ein fünfzeiliges Ergebnis ins Ticket ein. Keine API-Integration, keine eingehende Verbindung in Ihr Netzwerk.
Dieselbe Person, dasselbe Dokument.
Wenn eine kandidierende Person ihren Ausweis zum ersten Mal teilt, behält PhotoID einen kryptografischen Fingerabdruck des Dokuments, nie seine Nummer. Gespräch und erster Tag müssen dasselbe Dokument vorweisen, sonst schlägt der Check fehl.
Eine erste Anmeldung mit Leitplanken.
PhotoID erstellt einen Pass nur für das Konto, das HR verknüpft hat, und verweigert deaktivierte Konten, Konten mit einer Administratorrolle und Konten, die bereits eine Anmeldemethode haben. Der Pass wird nie gespeichert und nie HR angezeigt.
Helpdesk und HR getrennt.
Vier Rollen: Supporter, HR, Administrator und Auditor. HR sieht das Helpdesk-Register nie, Supporter sehen keine Kandidaten, und Auditoren können nur lesen.
Ein Audit-Trail, der standhält.
Jeder Check und jeder Rekrutierungsschritt behält einen Eintrag hinter Single Sign-on. Auditoren filtern nach Datum, Ergebnis und Supporter, und jede Änderung an Ihren Einstellungen wird lückenlos protokolliert.
Ihre Richtlinie, pro Aktion.
Legen Sie fest, wie streng der Abgleich pro Aktionsart sein muss, wie lange ein Code gültig bleibt, wie alt ein Nachweis sein darf, wie lange Einträge aufbewahrt werden und wie lange der Anmeldepass neuer Mitarbeitender gilt.
Microsoft liefert den Gesichtsabgleich. PhotoID macht daraus einen Helpdesk- und einen Rekrutierungsprozess.
Microsoft Entra Verified ID kann ein Gesicht abgleichen, doch die Anleitungen für die Prüfung von Anrufenden am Helpdesk und für das Onboarding neuer Mitarbeitender aus der Ferne enden bei «bauen Sie Ihre eigene Web-App»: kein Kopplungscode, kein Audit-Modell, keine Rollen, keine Kontoeinrichtung. PhotoID ist diese Anwendung, sofort einsatzbereit. Und PhotoID selbst scannt nie ein Dokument und behält nie ein Foto.
Ihr Tenant prüft. PhotoID behält nie ein Gesicht.
- Hosting
- Bereitgestellt als SaaS auf Microsoft Azure, gehostet in der EU.
- Verifizierung
- Läuft über Verified ID in Ihrem eigenen Entra-Tenant: Mitarbeitende sehen im Authenticator Ihre eigene Domäne, und Microsoft verrechnet Face Check Ihrem eigenen Azure-Abonnement.
- Zugriff
- Entra Single Sign-on mit vier Rollen: Supporter, HR, Administrator und Auditor. Schützen Sie die Anmeldung bei PhotoID mit Ihren eigenen Conditional-Access-Richtlinien, zum Beispiel mit MFA-Pflicht. Keine lokalen Konten, und Austretende verlieren den Zugriff automatisch.
- Daten
- Es werden keine Bilder empfangen oder gespeichert, und die Nummer eines Ausweises wird nur als kryptografischer Fingerabdruck behalten. Einträge werden standardmässig 365 Tage aufbewahrt, anpassbar an Ihre Aufbewahrungsrichtlinie. Wird eine kandidierende Person nicht angestellt, werden ihre Personendaten sofort gelöscht, ebenso nach 90 Tagen ohne Aktivität.
- Voraussetzungen
- Microsoft Entra ID mit Verified ID und Face Check sowie Microsoft Authenticator auf dem Telefon der Person. Am Helpdesk: Verified-Employee-Nachweise und gute Profilfotos. In der Rekrutierung: ein amtlicher Ausweisnachweis im Authenticator der kandidierenden Person, von einem unterstützten Anbieter für Identitätsprüfung (derzeit AU10TIX). Für die Kontoeinrichtung: die Methode Temporary Access Pass, eingeschaltet in Entra ID.
- Einrichtung
- Ein geführtes Onboarding in fünf Schritten direkt in der App, vom Anbinden von Verified ID bis zur Rollenzuweisung. Rekrutierung und Kontoeinrichtung schaltet Ihr Administrator separat ein; die Kontoeinrichtung verlangt eine eigene Zustimmung, weil sie Pässe in Ihrem Verzeichnis erstellt.
- Sprache
- Die PhotoID-Anwendung, einschliesslich der Seiten für Kandidierende und Mitarbeitende, ist auf Englisch.
Sehen Sie PhotoID mit Ihrem eigenen Helpdesk und HR-Team.
Wir zeigen es Ihnen live: einen Helpdesk-Check vom vorgelesenen Code bis zum Ergebnis im Ticket, und eine Anstellung von der Einladung bis zur ersten Anmeldung.
- Ein Produkt in Aktion sehen
- Eine individuelle Lösung konkretisieren
- Ein Problem gemeinsam durchdenken