Welche TAN-Verfahren gibt es und wie funktionieren sie?

Beim Online-Banking kannst du einen Auftrag nicht unterschreiben. Diese Aufgabe übernimmt die TAN, die Transaktionsnummer. Mit ihr bestätigst du der Bank, dass wirklich du eine Überweisung freigibst oder dich anmeldest. Hier erfährst du, welche TAN-Verfahren es gibt, wie sie grundsätzlich funktionieren, was das Gesetz verlangt und worauf du achten solltest.

Was das Gesetz verlangt: starke Kundenauthentifizierung

Die Grundlage ist die EU-Zahlungsdiensterichtlinie PSD2, in Deutschland umgesetzt im Zahlungsdiensteaufsichtsgesetz (ZAG). Nach § 1 Abs. 24 ZAG ist eine starke Kundenauthentifizierung eine Authentifizierung „unter Heranziehung von mindestens zwei“ Elementen aus drei Kategorien:

• Wissen – „etwas, das nur der Nutzer weiß“, zum Beispiel deine PIN oder dein Passwort,
• Besitz – „etwas, das nur der Nutzer besitzt“, zum Beispiel dein Smartphone oder deine Bankkarte,
• Inhärenz – „etwas, das der Nutzer ist“, zum Beispiel dein Fingerabdruck.

Die Elemente müssen voneinander unabhängig sein: Die Nichterfüllung eines Kriteriums darf die Zuverlässigkeit der anderen nicht in Frage stellen.

Wann die Bank das verlangen muss, regelt § 55 Abs. 1 ZAG: wenn du online auf dein Zahlungskonto zugreifst, wenn du einen elektronischen Zahlungsvorgang auslöst und wenn du über einen Fernzugang etwas tust, das ein Betrugs- oder Missbrauchsrisiko birgt. Bei elektronischen Fernzahlungen, etwa einer Online-Überweisung, kommt nach § 55 Abs. 2 ZAG hinzu: Die Authentifizierung muss den Vorgang dynamisch mit einem bestimmten Betrag und einem bestimmten Empfänger verknüpfen.

Die Einzelheiten stehen in der Delegierten Verordnung (EU) 2018/389. Nach Art. 5 wird dir der Betrag und der Empfänger angezeigt, der erzeugte Code gilt genau für diese Angaben, und jede Änderung beim Betrag oder Empfänger macht ihn ungültig. Art. 4 schreibt außerdem vor, dass ein Authentifizierungscode nur einmal akzeptiert wird, dass nach höchstens fünf aufeinanderfolgenden Fehlversuchen gesperrt wird und dass du nach höchstens fünf Minuten ohne Aktivität wieder abgemeldet wirst.

Laut Verbraucherzentrale haben Banken und Sparkassen deshalb seit dem 14. September 2019 neue TAN-Verfahren eingeführt. TAN-Listen auf Papier sind seitdem nach Angaben der Verbraucherzentrale Hamburg nicht mehr zulässig. Wie PSD2 den Kontozugriff durch Apps regelt, erklärt der Ratgeber PSD2 und Kontoinformationsdienst.

Die TAN-Verfahren im Überblick

Welche Verfahren du nutzen kannst, entscheidet deine Bank. Das BSI weist darauf hin, dass Kundinnen und Kunden darauf nur begrenzten Einfluss haben. Die Bezeichnungen unterscheiden sich von Bank zu Bank, das Prinzip ist aber ähnlich:

pushTAN. Nach Angaben des BSI ist das Verfahren weit verbreitet, weil die meisten Banken Apps anbieten. Bei richtiger Anwendung biete es ein gutes Sicherheitsniveau. Die Sicherheit steigt, wenn du Banking und TAN-Erzeugung auf zwei unterschiedlichen Geräten erledigst, und die App sollte immer aktuell sein.

chipTAN. Hier arbeiten zwei unabhängige Geräte zusammen. Weil der Generator selbst nicht mit dem Internet verbunden ist, kann er laut BSI aus der Ferne nicht angegriffen werden. Das BSI nennt einen externen TAN-Generator als die sicherste Variante. Laut Verbraucherzentrale lesen moderne Generatoren statt des flackernden Feldes auch QR- oder Farbmatrix-Codes mit einer Kamera.

photoTAN und QR-TAN. Auch hier sind zwei Geräte beteiligt. Das BSI hält das Verfahren für sicher, nennt aber ein nicht regelmäßig aktualisiertes Smartphone als mögliche Schwachstelle.

SMS-TAN. Viele Banken bieten das Verfahren laut BSI nicht mehr an, weil Alternativen sicherer sind. SMS können mit entsprechendem technischen Vorwissen abgefangen werden, und laut Verbraucherzentrale kann das Handy gestohlen werden. Die Verbraucherzentrale Hamburg hält SMS-TAN für nicht mehr zeitgemäß und weist darauf hin, dass dafür Kosten pro SMS anfallen können.

Warum ein abgefangener Code wenig nützt

Moderne TANs sind an den konkreten Auftrag gebunden. Das BSI erklärt das am Beispiel chipTAN: Gelangen erzeugte TANs an Unbefugte, lassen sich damit keine anderen Transaktionen ausführen, weil sie dynamisch an die jeweilige Überweisung gebunden sind. Genau das schreibt Art. 5 der Delegierten Verordnung (EU) 2018/389 vor.

Daraus folgt die wichtigste Regel für dich: Prüfe vor jeder Freigabe die angezeigten Daten, vor allem Betrag und Empfänger-IBAN. Stimmen sie nicht mit dem überein, was du selbst eingegeben hast, gibst du nicht frei. Ergänzend gleicht die Empfängerüberprüfung den Namen des Empfängers mit der IBAN ab.

So schützt du dich vor Betrug

Die Technik schützt dich nur, solange du selbst keine Freigabe für Betrüger erteilst. Die Polizei in Sachsen-Anhalt beschreibt eine verbreitete Masche: Angebliche Bankmitarbeiter rufen an, behaupten verdächtige Überweisungen und bitten darum, TAN-Freigaben zu bestätigen, um Buchungen rückgängig zu machen. Tatsächlich geben die Opfer damit Überweisungen der Täter frei.

Die Hinweise der Polizei und der Verbraucherzentrale:

• Banken fordern laut Polizei niemals telefonisch dazu auf, TAN-Freigaben zur Rückbuchung oder Sicherung von Geldern durchzuführen.
• Gib am Telefon keine Zugangsdaten, PINs oder TANs preis.
• Bestätige nie Vorgänge, die du nicht selbst veranlasst hast.
• Beende verdächtige Anrufe und ruf deine Bank über die dir bekannte offizielle Nummer an.
• Laut BSI fordert dich deine Bank niemals per E-Mail auf, PIN oder TAN bekannt zu geben.
• Öffne dein Online-Banking laut Verbraucherzentrale manuell oder über ein Lesezeichen, nicht über Links in Nachrichten.
• Sei misstrauisch, wenn direkt nach einer Freigabe eine Fehlermeldung erscheint.

Copreo und TANs

Die Finanz-App Copreo zeigt Konten, Karten und Depots von über 3.000 Banken in einer App. Die Anbindung läuft über BANKSapi, einen von der BaFin zugelassenen und beaufsichtigten Zahlungsdienstleister, und Copreo ruft nur Kontodaten ab. Überweisungen gibt es in Copreo nicht, also auch keine TAN-Freigabe für Zahlungen.

Häufige Fragen

Welches TAN-Verfahren ist am sichersten?

Laut BSI ist ein externer TAN-Generator am sichersten, weil er vom Internet getrennt ist und nur für das Online-Banking dient. pushTAN und photoTAN gelten bei richtiger Anwendung ebenfalls als sicher, wenn Banking und TAN-Erzeugung auf getrennten Geräten laufen.

Kann ich mir mein TAN-Verfahren aussuchen?

Nur eingeschränkt. Welche Verfahren angeboten werden, legt deine Bank fest. Innerhalb dieses Angebots kannst du oft wählen. Laut Verbraucherzentrale Hamburg können Mehrkosten entstehen, etwa für jede SMS-TAN oder für einen TAN-Generator. Ohne Smartphone bleiben meist nur TAN-Generator oder SMS.

Ist eine TAN dasselbe wie meine PIN?

Nein. Die PIN oder das Passwort gehört zur Kategorie Wissen und bleibt gleich. Eine TAN wird für einen einzelnen Vorgang erzeugt, nur einmal akzeptiert und gilt bei Zahlungen nur für den angezeigten Betrag und Empfänger.

Was tue ich, wenn ich eine TAN an Betrüger weitergegeben habe?

Informiere sofort deine Bank über die bekannte offizielle Rufnummer und lass gegebenenfalls den Zugang sperren. Die Polizei rät außerdem, Anzeige zu erstatten.