TAN-Verfahren: Welche Sicherheitsverfahren gibt es?
24.10.2024
6 Minuten Lesezeit
Das Wichtigste in Kürze:
- Es gibt verschiedene TAN-Verfahren, darunter App-TAN (Push-TAN), Chip-TAN (Smart-TAN) und Photo-TAN (QR-TAN), die jeweils unterschiedliche Geräte und Methoden zur Generierung der Transaktionsnummer nutzen und hohe Sicherheitsstandards bieten.
- Traditionelle Methoden wie TAN-Listen und iTAN sind nicht mehr zulässig, da sie nicht den aktuellen Sicherheitsanforderungen entsprechen, die durch die PSD2-Richtlinie festgelegt wurden.
- Alle aktuellen TAN-Verfahren müssen die Zwei-Faktor-Authentifizierung erfüllen, was bedeutet, dass mindestens zwei der drei Sicherheitsfaktoren (Sein, Wissen, Besitz) zur Authentifizierung genutzt werden müssen. Sieh Dich in unserem Girokonto-Vergleich nach der passenden Bank für Dich um!
Das ist das TAN-Verfahren
Für Online-Transaktionen wie Überweisungen oder Daueraufträge brauchst Du eine Transaktionsnummer, kurz TAN. Dabei handelt es sich um eine zufällig generierte Zahl, die einmalig gültig ist. Nachdem Du einen Auftrag im Online-Banking erstellt hast, wird die TAN angefordert und Du gibst sie in das dafür vorgesehene Feld ein. Erst danach wird die Transaktion ausgeführt. Durch diese Authentifizierung soll die Sicherheit erhöht werden.
Welche TAN-Verfahren es gibt
Es gibt viele verschiedene Technologien: Mal wird eine TAN per SMS auf das Handy geschickt, andere funktionieren mit einem Lesegerät oder mit einer App. Banken haben oft eigene Namen für ihre TAN-Verfahren, auch wenn das Prinzip dahinter dasselbe ist. Wir stellen die gängigsten Systeme vor.
App-TAN
- Du brauchst: Smartphone und die App Deiner Bank, zusätzlich ggf. noch ein Endgerät fürs Online-Banking
- Andere Bezeichnung: Push-TAN
Bei diesem Verfahren benötigst Du ein Smartphone und die entsprechende App, die Deine Bank bereitstellt. Tätigst Du eine Überweisung, musst Du Dich in die App einloggen, die mit einem separaten Passwort, Fingerabdruck oder FaceID geschützt ist. Dann wird Dir eine TAN angezeigt, die Du in der Banking-Oberfläche eingibst. Hier nutzt Du im sichersten Fall zwei Geräte, doch theoretisch kannst Du auch beides auf Deinem Smartphone ausführen. Das geht, weil Du Dich in der TAN-App noch einmal neu anmelden musst. Das Verfahren gilt als sicher.
Chip-TAN
- Du brauchst: Ein Lesegerät (TAN-Generator), Deine Bankkarte und ein Endgerät fürs Online-Banking
- Andere Bezeichnungen: Smart-TAN, eTAN
Statt einer App hast Du ein weiteres externes Lesegerät. Dieses hat einen Schlitz für Deine Giro-Karte. Sobald Du eine TAN angefordert hast, wird die Karte eingesteckt und die TAN generiert. Da Du drei verschiedene Elemente miteinander verknüpfst und der TAN-Generator nicht ans Internet angeschlossen ist, gilt das Verfahren als sicher.
Das Lesegerät erhältst Du entweder von der Bank (oft kostenpflichtig) oder Du kaufst es. Im Anschluss wird es einmalig mit Deinem Konto verknüpft.
Photo-TAN
- Andere Bezeichnung: QR-TAN
- Du brauchst: Ein Smartphone oder ein Lesegerät, zusätzlich noch ein Endgerät fürs Online-Banking
Die Photo-TAN und die QR-TAN funktionieren beide nach ähnlichem Prinzip, auch wenn sie nicht genau dasselbe sind. Bei der Photo-TAN nutzt Du ein Lesegerät oder eine App auf Deinem Smartphone. Nachdem Du eine Überweisung eingestellt hast, erscheint eine Grafik auf dem Bildschirm des Computers. Diese scannst Du mit dem Lesegerät oder der Handykamera ein. Bei der QR-TAN wird mit dem Smartphone ein QR-Code gescannt. Da Du zwei verschiedene Geräte nutzt, gilt das Verfahren als sicher.
Nicht mehr nutzbar: TAN-Listen und iTAN
Im digitalen Zeitalter ändern sich die Dinge oft rasant. Viele erinnern sich bestimmt nicht einmal mehr an die TAN-Listen, die genutzt wurden, als das Online-Banking noch in den Kinderschuhen steckte. Hier konnten Nutzer einfach eine beliebige TAN aus einer gedruckten Liste auswählen. Besserung versprach das iTAN-Verfahren, bei dem Kundinnen und Kunden zumindest eine bestimmte TAN aus der Liste für die Transaktion nutzen mussten. Doch die iTAN ist Geschichte: Im Zuge der PSD2-Richtlinie wurde das Verfahren eingestellt.
Zwei-Faktor-Authentifizierung
Auch in Zukunft werden TAN-Verfahren die Vorgaben einer Zwei-Faktor-Authentifizierung erfüllen müssen. Das Prinzip dahinter ist einfach: Bei jedem TAN-Verfahren müssen mindestens zwei von drei Sicherheitsfaktoren erfüllt werden. Diese sind:
- Sein: Ein körperliches Merkmal, beispielsweise der Fingerabdruck
- Wissen: Ein Passwort oder eine PIN
- Besitz: Ein Gegenstand des Kontobesitzers, beispielweise das Smartphone oder der TAN-Generator
Kosten der unterschiedlichen TAN-Verfahren
Was soll das alles kosten? Die Frage ist nicht mit einer kurzen Antwort abgetan. Es hängt von der Bank und dem Verfahren ab. So stellen manche Banken beispielsweise den Kundinnen und Kunden kostenlos einen TAN-Generator zur Verfügung. Andere verlangen dafür eine Gebühr von zehn bis 20 Euro. Den Generator kannst Du auch in anderen Shops kaufen. Allerdings muss er mit dem TAN-Verfahren kompatibel sein, das Deine Bank nutzt.
Die Banking-Apps hingegen sind meist kostenlos. Werden Push-TANs erzeugt, kostet Dich das auch meistens nichts.
Auch beim Login brauchst Du oft eine TAN
Um die Sicherheit zu erhöhen, verlangen viele Banken inzwischen auch beim Login ins Online-Banking eine TAN-Eingabe. Das läuft über Deine üblich genutzte Methode. Um es nicht ganz so umständlich zu machen, ist das oft nur alle drei Monate der Fall oder wenn Du Deine Umsätze über einen größeren Zeitraum abrufst.
Häufig gestellte Fragen
Nicht unbedingt. Zwar ist das Mobiltelefon ein beliebtes Gerät für die TAN-Abfrage, aber Du kannst auch ein Lesegerät nutzen. Achte auch darauf, dass Du Dein Smartphone bestenfalls nicht fürs Online-Banking und für die TAN-Generierung gleichzeitig verwendest, da es das Betrügern leichter macht.
Generell gelten App-TAN, Chip-TAN und Photo-TAN als gleichwertig sicher. Grundsätzlich gilt aber: Ein großer Gefahrenfaktor ist der Nutzer selbst. Sorge immer dafür, dass Deine Geräte und Softwares aktuell sind und ändere Deine Zugangsdaten regelmäßig.
Nein, die TAN-Listen wurden spätestens mit der Umsetzung der PSD2-Richtlinie abgeschafft. Mittlerweile hat jede Bank mindestens ein anderes Verfahren im Angebot.
Jede TAN gilt nur für die Transaktion, die Du gerade durchführst. Meist sind sie zeitlich begrenzt gültig, oft nur wenige Minuten. Wartest Du zu lange zwischen der Anfrage und Eingabe, kann die TAN auch ungültig werden. Dann musst Du wieder eine neue anfordern.
Eine TAN ist eine meist sechsstellige Nummer. Sie wird zufällig generiert.
Wenn Deine Bank mehrere Verfahren anbietet, kannst Du die Methode auch wechseln. Das ist im Normalfall im Account möglich.
Laut Stiftung Warentest bieten alle Banken aktuelle und sichere Banking-Verfahren an. Die genannten TAN-Verfahren entsprechen dem neuesten Stand der Technik – auch wenn es für Kundinnen und Kunden oft mit Aufwand verbunden ist, weil sie beispielsweise Apps herunterladen oder sich ein weiteres Passwort merken müssen. Dass manchmal TAN-Verfahren abgeschafft und durch neue ersetzt werden, kann für Kundinnen und Kunden ebenfalls nervig sein. Doch gerade bei Bankgeschäften sollte man diesen Aufwand nicht scheuen.
Du als Kundin oder Kunde hast ebenso die Verantwortung, Dein Konto so sicher wie möglich zu machen. Denn jedes noch so ausgeklügelte Verfahren hat Sicherheitslücken, wenn Nutzerinnen und Nutzer einige wichtige Vorkehrungen nicht beachten.
Hier einige Tipps:
- Apps aktuell halten: Nutzt Du Apps für Dein TAN-Verfahren, solltest Du diese immer auf dem neuesten Stand halten. Lade die Apps immer im Google-Play-Store oder Apple-Store oder direkt bei der Bank herunter.
- Passwörter gut wählen und ändern: Verwende ein sicheres und einzigartiges Passwort und ändere dieses regelmäßig. Lass die Zugangsdaten nicht offen herumliegen. Sollte es Alternativen wie einen Fingerabdruck geben, nutz lieber den.
- Achtung vor Viren: Schütze Deinen Laptop, PC und Handy mit einer aktuellen Virensoftware.
- Kanaltrennung: Hast Du eine TAN-App, solltest Du diese auch nur dafür nutzen, die TAN abzurufen. Die Überweisung selbst tätigst Du am besten auf einem anderen Gerät.
- Bank-Seite selbst aufrufen: Ruf die Website Deiner Bank immer direkt im Browser auf, indem Du die Adresse eintippst. Vor allem solltest Du keine Links in Mails anklicken. Diese könnten von Betrügern geschickt worden sein. Bei der sogenannten Phishing-Methode gelangst Du über einen vermeintlichen Link der Bank auf eine Seite, die Deine Zugangsdaten abgreift.