Online-Banking: Die TAN auf Papier hat ausgedient
Wer seine Bankgeschäfte online erledigt, hat sie häufig genutzt: Listen auf Papier mit sechsstelligen Zahlen, die für jeden Auftrag zur Hand sein mussten. Das Online-Formular forderte bei der Buchung eine der Transaktionsnummern (TAN) zur Bestätigung. Seit dem 14. September 2019 ist Schluss mit dieser Praxis: Zu unsicher, fand die Europäische Union und stoppte das sogenannte iTAN-Verfahren. Nun verlangt die zweite Stufe der europäischen Zahlungsdienste-Richtlinie (PSD2) für jede Transaktion im digitalen Zahlungsverkehr eine aktuell generierte TAN, die nur wenige Minuten gültig ist. Ein einheitliches Verfahren dafür existiert nicht, es gibt mehrere technische Lösungen.
mTAN: Sicherheitslücken und laufende Kosten
Einige Banken bieten ihren Kunden noch die sogenannte mTAN (mobileTAN) an. Dabei kommt die benötigte Transaktionsnummer für jede Buchung per SMS auf das Handy. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) rät Bankkunden jedoch davon ab, dieses Verfahren zu benutzen. Betrüger könnten die SMS-Nachrichten abfangen, umleiten und die enthaltene TAN missbräuchlich verwenden. Besonders kritisch sei es, wenn Bankkunden die Überweisung über einen Smartphone-Browser tätigen und die SMS auf demselben Gerät empfangen. Ist das Gerät mit Schadsoftware von Datendieben infiltriert, sei der Vorteil der Zwei-Faktor-Authentifizierung quasi ausgehebelt. Das gilt auch für den Fall, dass sowohl der für die Überweisung genutzte Computer als auch das Smartphone zum Empfang der SMS mit Schadsoftware präpariert sind.
Manche Banken versenden die SMS für Kunden nur noch gegen Geld: Rund 10 Cent pro TAN schlagen dabei zu Buche. Der Verbraucherzentrale Bundesverband hatte gegen diese Gebühr geklagt, sich jedoch 2017 vor dem Bundesgerichtshof nicht durchgesetzt. Einige Banken wollen das mTAN-Verfahren ganz einstellen. Dazu gehören beispielsweise die Sparkassen, Volksbanken und Raiffeisenbanken.
TAN-Verfahren mit Lesegerät: Einmalige Kosten für Kunden
Deutlich sicherer sind Verfahren mit einem zusätzlichen Generator oder Lesegerät, das Kunden für 10 bis 35 Euro selbst kaufen müssen. Es gibt mehrere Varianten dieser Methode mit unterschiedlichen Namen wie ChipTan, SmartTan, PhotoTan oder BestSign. So erscheint etwa bei PhotoTan auf dem PC-Monitor eine Grafik, aus der das Lesegerät eine TAN generiert. Bei BestSign wird der Generator per USB oder Bluetooth an den Rechner angeschlossen. Wer bei mehr als einer Bank Online-Kunde ist, benötigt eventuell mehrere Lesegeräte.
TAN generieren mit Smartphone: QR-TAN und AppTAN
Weitere Authentifizierungs-Methoden funktionieren mit dem Smartphone. Bei QR-TAN erscheint auf dem Computer-Bildschirm ein QR-Code, den der Bankkunde mit einer speziellen App scannt. Das Handy errechnet daraus die TAN. Auch dieses Verfahren gilt als sehr sicher. Nicht ganz so sicher, aber laut Stiftung Warentest durchaus akzeptabel, ist das AppTAN-Verfahren. Es funktioniert ganz ohne PC und ohne Lesegerät, nur mit dem Handy. Die Überweisung läuft über eine App, die TAN wird über eine andere App generiert.
Änderungen auch beim Online-Einkauf mit Kreditkarte
Die neuen Regeln wirken sich auch auf Einkäufe im Internet aus, die mit einer Kreditkarte bezahlt werden. Bislang genügte es, die Kartennummer und die dreistellige Kontrollzahl einzugeben, die auf der Kreditkarte steht. Nun ist eine weitere Identifizierung notwendig. Die Banken verwenden auch dafür unterschiedliche Verfahren, die teils im Hintergrund ablaufen. Eine gängige Methode ist es, dass der Kunde eine mTAN als SMS auf sein Handy schicken zu lassen.
Auf seiner Website informiert der Bankenverband Verbraucher über die gesetzlichen Änderungen.
Schlagwörter zu diesem Artikel
Geldanlage
