TAN-Listen haben bald ausgedient

Zwei Zahlen sind für Bankgeschäfte im Internet wichtig: Die Geheimzahl (PIN) und die Transaktionsnummer (TAN). Die TAN-Nummer ist eine Art Unterschrift, mit der Sie Überweisungen oder Daueraufträge final freigeben. Zur Sicherheit Ihrer Bankgeschäfte gilt jede TAN-Nummer stets nur für einen bestimmten Auftrag. Das bedeutet: Sie brauchen ständig Nachschub an frischen TAN-Nummern.

Diesen Nachschub liefert bis heute die klassische TAN-Liste, auf der 100 Transaktions-Nummern zur Verfügung stehen. Doch die per Post versendeten Listen können leicht in falsche Hände geraten. Auf Druck der EU stehen die TAN-Listen deshalb vor dem Aus: Die Behörde erließ 2015 die Zahlungsdienstrichtlinie PSD2, die bestimmt, dass die antiquierten Nummern-Zettel nicht mehr sicher genug sind. Bis 2018 müssen deshalb alle Banken die TAN-Zettel aus dem Verkehr ziehen.

Die Consorsbank hat es schon früh gewusst: „Wir haben die unsicheren iTAN-Listen nie eingeführt“, sagt Pressesprecher Dirk Althoff. Bereits vor zehn Jahren sei klar gewesen, dass bankseitig ausgewählte Transaktionsnummern (iTAN) keine signifikante Erhöhung der Sicherheit gegenüber den bisherigen TAN-Nummern bieten, bei denen der Kunde eine beliebige TAN aus einer Liste selbst ausgewählt hat. „Wir haben deshalb 2008 alle TAN-Listen abgeschaltet“, betont Althof. Ähnlich handelten Postbank, Sparkassen sowie Volks- und Raiffeisenbanken, die seit 2011 auf TAN-Listen verzichten. Nicht alle Banken haben Sicherheitsbedenken. Comdirect, DKB, ING-Diba und Deutsche Bank vertrauen weiter auf die Zettel-Methode. „Richtig angewendet, ist die Legitimation per TAN-Liste sicher“, sagt Deutsche-Bank-Sprecher Heinrich Frömsdorf.

„Comdirect wird spätestens 2018 die iTAN-Listen durch neue Verfahren ersetzen, auch wegen PSD2“, erklärt Katharina Bremer von der Direktbank. „Unser primäres Verfahren wird dann die Photo-TAN sein.“ Dabei geben Bankkunden wie bisher ihre Überweisungsdaten im Online-Banking ein und scannen mit einer Smartphone-App oder einem PC-Lesegerät einen individuellen Code. Dieser ähnelt einem QR-Code. Der Code enthält eine auftragsbezogene TAN-Nummer zur Freigabe der Transaktion. Auch Deutsche Bank, Norisbank und Commerzbank favorisieren die Photo-TAN. Nachteil: Das PC-Lesegerät ist nicht kostenlos. Die Deutsche Bank verlangt 14,90 Euro, Comdirect 24,90 Euro.

Das SMS-TAN-Verfahren, oft auch Mobile-TAN bezeichnet, hat so gut wie jede Bank im Angebot. Es gehört zu den gebräuchlichsten TAN-Verfahren. Alles, was Sie dazu benötigen, ist ein Computer oder Tablet sowie ein klassisches Mobiltelefon oder Smartphone. Die Nummer Ihres Mobiltelefons registrieren Sie bei ihrer Bank. Tätigen Sie eine Überweisung, erhalten Sie von der Bank in wenigen Sekunden eine TAN-Nummer auf das Mobiltelefon geschickt. Mit dieser Nummer bestätigen Sie die Transaktion und schließen den Überweisungsvorgang ab. Nachteil: Das von der EU geforderte Zwei-Kanal-Verfahren, also die Trennung von Banking-Transaktion und TAN-Empfang, ist beim Online-Banking mit nur einem Endgerät nicht gegeben. Gibt der Kunde die Überweisungsdaten am Tablet oder Handy ein und empfängt mit dem gleichen Gerät die SMS, ist er nicht vor Hackern geschützt. Sicherer sind unterschiedliche Geräte, doch das widerspricht dem modernen Mobile-Banking via Smartphone. Um das Problem zu lösen, verwenden viele Banken inzwischen verschiedene Apps.

Beim sogenannten Push-TAN-Verfahren, das bei ING-Diba Smart-Secure und bei den PSD-Banken Secure-Go heißt, wird der Freischaltcode mittels einer speziellen App auf dem Smartphone empfangen. „Banking-App und TAN-App arbeiten unabhängig voneinander und sind nach neuestem Stand der Technik kryptographisch verschlüsselt“, betont ING-Diba-Sprecher Alexander Baumgart. Der TÜV-Saarland prüfte und befand die Methode als sicher.

Als noch sicherer gilt die Chip- oder Smart-TAN: Hier werden die TAN-Nummern durch einen externen Generator in Verbindung mit der eigenen Girokarte erzeugt. „Der Generator sorgt für Kanaltrennung und kann weder ausspioniert noch durch Trojaner manipuliert werden, da er nicht mit dem Internet verbunden ist“, betont Althoff. Während die Consorsbank nichts für das Gerät verlangt, berechnen Sparkassen dafür rund zehn Euro. Nachteil: Bankgeschäfte unterwegs statt am heimischen Computer zu erledigen, wird erschwert, da man den TAN-Generator dann bei sich tragen muss.

Neueste Legitimationsverfahren zur Freischaltung von Bankaufträgen arbeiten mit biometrischen Daten. Beispiel Postbank Best Sign: „Transaktionen können mit dem Fingerabdruck freigegeben werden“, sagt Pressesprecherin Kerstin Lerch-Palm. Dies gehe sowohl mit Apple- als auch mit Android-Geräten. Risiko: Der Fingerabdruck ist zwar nicht kopierbar, Forscher haben aber Lücken in der Datenverschlüsselung aufgedeckt.

Tipp: Nicht die Kreditinstitute, sondern die Sicherheitslücken in den heimischen PCs gehören zu den gefährlichsten Einfallstoren für Kriminelle. Achten Sie deshalb auf ein wirksames Anti-Viren-Programm, sichere Passwörter, regelmäßige Updates und eine verschlüsselte Internetverbindung.

Sie möchten mehr wissen? In unserem kostenlosen sechsseitigen Dossier informieren wir Sie ausführlich zu den aktuellen iTAN-Alternativen sowie zu sicherem Online-Banking.