TAN Verfahren Vergleich - Welche Bank bietet welches Verfahren?

Aufträge im online Banking, wie zum Beispiel eine Überweisung oder die Einrichtung eines Dauerauftrages, müssen durch den Kunden autorisiert werden. Dies geschieht in der Regel über eine TAN (Transaktionsnummer), bei der es sich um ein Einmalpasswort in Form einer Zahlen- und oder Buchstabenfolge handelt. Früher boten Banken ihren Kunden für diesen Zweck TAN-Listen an, die aufgrund von Sicherheitsbedenken jedoch abgeschafft wurden. 

In diesem Artikel erklären wir die geläufigen TAN bzw. Freigabe-Verfahren und gehen ebenfalls auf die Sicherheit und Anwenderfreundlichkeit der nachfolgend genannten Verfahren ein:

• mobileTAN (SMS-TAN) 
• PushTan / AppTAN
• PhotoTAN / QRTAN
• ChipTan (und andere Verfahren mit TAN Generator)
• HBCI / FinTS

Zuerst zeigen wir jedoch je nach Bank, welche TAN-Verfahren angeboten werden und ob es Besonderheiten bei der Auftragsfreigabe oder der Sicherheit gibt.

Banken in Deutschland und ihre TAN-Verfahren

Alle TAN- bzw. Freigabe Verfahren im Vergleich

Um Aufträge im online bzw. mobile Banking zu genehmigen, muss man diese mit einem Einmalpasswort, also einer TAN (Transaktionsnummer) bestätigen. Für die Erstellung der TAN gibt es verschiedene Möglichkeiten. Früher waren TAN-Listen weit verbreitet, bei der eine gewisse Anzahl an Transaktionsnummern auf einem Zettel aufgedruckt waren. 

Die TAN-Liste in Papierform wurde aufgrund einiger Schwächen in der Sicherheit abgeschafft. Seit 2019 wird sie in Deutschland nicht mehr angeboten. Bei modernen TAN-Verfahren gelten Sicherheitsmerkmale, die bei den alten TAN-Listen nicht gegeben waren:

1. Jede TAN ist nur zeitlich begrenzt gültig
2. Die TAN ist an einen bestimmten Auftrag gebunden
3. (Zum Teil Gerätetrennung bei Banking und TAN-Erzeugung)

Möchte man einen Auftrag im online Banking freigeben, so erstellt man sich mit dem gewählten TAN-Verfahren eine TAN. Diese TAN ist dann zeitlich begrenzt und nur für den jeweiligen Auftrag, wie zum Beispiel die Einrichtung eines Dauerauftrages, gültig. Außerdem wird bei der TAN Erzeugung der Auftrag (z.B. Überweisung von 50€ auf IBAN so und so) angezeigt. Derartige Sicherheitsmerkmale ermöglicht eine TAN von einer bereits vorab ausgedruckten TAN-Liste nicht.

Folgende TAN-Verfahren werden aktuell von deutschen Banken angeboten:

mTAN, mobileTAN bzw. SMS-TAN

Beim mTAN-Verfahren (auch SMS-TAN oder mobileTAN genannt) erhält man zur Freigabe eines Auftrags eine TAN mittels SMS auf sein Handy geschickt. Dieses Verfahren ist bequem, unkompliziert und auch unterwegs nutzbar. Man muss keinen extra TAN-Generator erwerben, sondern benötigt nur sein Mobiltelefon.

mobile TAN war über Jahre hinweg eines der beliebtesten Freigabe Verfahren. Allerdings hat dieses Verfahren einige Nachteile:

• Nur nutzbar mit Mobilfunkverbindung
• Eine SMS kann nicht mit einem Passwort gesichert werden (eine TAN-App dagegen schon)
• Eine TAN SMS kann (theoretisch) von Dritten abgefangen werden
• Viele Banken haben Gebühren für den Versand der TAN-SMS eingeführt

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt bereist seit längerem vor mTAN, da sich SMS abfangen lassen. Bisher ist diese Gefahr jedoch eher theoretischer Natur. Es sind keine Fälle bekannt, bei dem Dritte tatsächlich eine per SMS verschickte TAN abgefangen und eine nicht vom Kunden autorisierte Überweisung getätigt haben. Es gab allerdings Betrugsfälle durch unrechtmäßig bestellte Sim-Karten und die Nutzung dieser zur Tan-Erzeugung.

Für eine in den letzten Jahren stark nachlassende Nutzung des mTAN-Verfahrens haben vermutlich nicht die Sicherheitsbedenken, sondern eher die Banken selbst gesorgt. In vielen Fällen werden inzwischen Kosten je TAN-SMS erhoben, die man sich bei den meisten anderen Verfahren sparen kann. In 2021 schaffen viele Banken (z.B. ING, HypoVereinsbank) das mTAN-Verfahren ab und bitten Kunden auf ein anders Freigabe-Verfahren umzusteigen. Die ING begründet diesen Schritt damit, dass sich ca. 90% der Neukunden sowieso für ein anderes TAN-Verfahren ausgesprochen haben (Quelle hier).

Wir empfehlen ebenfalls sich gegen mTAn zu entscheiden und lieber pushTAN bzw. AppTAN zu nutzen. Gegen mTAN sprechen die Kosten und die hohe Wahrscheinlichkeit, dass die Bank das Verfahren sowieso bald einstellt. Außerdem hat man bei pushTAN einen mindestens ähnlichen Komfort und trotzdem eine noch höhere Sicherheit.

PushTAN und AppTAN

PushTAN und AppTAN sind je nach Definition zwei unterschiedliche Verfahren, die wir hier dennoch zusammen fassen wollen. Beide Verfahren haben sehr viele Gemeinsamkeiten und nur einen Unterschied.

Bei pushTAN bzw. AppTan wird eine App der Bank für die Freigabe des Auftrags benötigt. Diese App kann auf einem Smartphone oder Tablet installiert werden. Möchte man einen Auftrag freigeben, so muss man sich in die App einloggen (Passwort, Gesichtserkennung oder Fingerprint). Anschließend wird die für die Freigabe benötigte TAN in der App angezeigt. Zum Teil wird diese auch direkt als Push-Nachricht auf das Smartphone geschickt.

Bei AppTAN wird dagegen keine TAN angezeigt. Nach dem Einloggen in die App kann man den gewünschten Auftrag direkt freigeben (wieder über ein Passwort, Gesichtserkennung oder Fingerprint). Die Unterschiede der beiden Verfahren liegen somit nur darin, dass bei pushTAN die erzuegte TAN angezeigt und manuell in die Banking App bzw. ins online Banking übertragen werden muss und bei AppTAN Aufträge direkt freigegeben werden können.

Bei einigen Banken ist die App für das mobile Banking gleichzeitig die TAN-App. Dies ist zum Beispiel bei der Postbank der Fall. Nutzt man online Banking mittels Browser, wird die App nur zur TAN-losen Freigabe der Aufträge genutzt. Die Banking App ist jedoch recht gut gemacht, dass man auch über diese seine Bankgeschäfte tätigen kann. Aufträge werden anschließend ohne manuelle Eingabe einer TAN, sondern per Gesichtserkennung oder Fingerprint freigegeben.

Die geläufige Abgrenzung zwischen pushTAN und AppTAN verwischt allerdings bei den Banken. Ein "echtes" pushTAN wird zum Beispiel von der DKB angeboten. Über die DKB tan2go App lassen sich TANs erzeugen, die noch manuell ins Online Banking übertragen werden müssen. Die Norisbank bezeichnet ihr Verfahren dagegen als photoTAN push, obwohl man die Aufträge direkt über die App freigeben kann. Eine TAN wird bei der Norisbank nicht angezeigt.

Das obige Bild und das mit dem Norisbank Logo sind Aufnahmen vom online Banking der Norisbank bzw. der TAN-App. Möchte man eine Überweisung tätigen, kann man bei der Bank auswählen über welches Sicherheitsverfahren man den Auftrag freigeben möchte. Wie bei einigen anderen Banken auch, können alle Freigabe-Verfahren parallel genutzt werden. Entscheidet man sich für pushTAN oder photoTAN, muss man die TAN App der Norisbank öffnen.

Wie ebenfalls bei den meisten anderen Banken und Sparkassen üblich, wird nur eine einzige App für photoTAN und pushTAN bzw. AppTAN benötigt.

Vor- und Nachteile von pushTAN bzw. AppTAN

• Keine Kosten (Ausnahme bei einigen Sparkassen und Volksbanken)
• Die App kann ohne Mobilfunkverbindung genutzt werden (Internet (WLAN) reicht)
• Hohe Sicherheit durch Verschlüsselung und Passwortschutz
• Gerätetrennung (Banking am PC oder Banking App und Freigabe über TANApp auf dem Smartphone)
• Schnelle und unkomplizierte TAN-Erzeugung bzw. direkte Freigabe der Aufträge aus der App heraus

 In Sachen Bequemlichkeit steht pushTAN bzw. AppTAN dem SMS-TAN-Verfahren in nichts nach. Zum Teil sind die App-basierten TAN-verfahren sogar noch komfortabler, da man keine TAN mehr manuell übertragen muss. Ein weiterer Vorteil sind die fehlenden Kosten. Bei mTAN erheben die meisten Banken und Sparkassen inzwischen Gebühren je SMS.

Nicht zu vernachlässigen ist außerdem die höhere Sicherheit im Vergleich mit mTAN. Bankkunden sollten sich daher gegen mobileTAN und für pushTAN oder eines der folgenden Sicherheitsverfahren entscheiden.

pushTAN und AppTAN nur ohne Jailbreak oder Rooting

Die App-basierten TAN-Verfahren funktionieren in der Regel nur, wenn das Betriebssystem des genutzten Smartphones oder Tablet nicht verändert wurde. Vom Gerätehersteller aufgespielte Updates sind natürlich kein Problem.

Problematisch sind eigenmächtige Änderungen, die bei Tablets und Smartphones mit dem Betriebssystem Android besonders beliebt sind. Durch ein Rooting oder Jailbreak erlangen Nutzer z.B. erweitere Zugriffsrechte oder schalten Funktionen frei, die vom Hersteller eigentlich gesperrt waren. Durch solche Veränderungen am System werden zum Teil jedoch Sicherheitslücken geöffnet, die das Gerät anfällig für Schadsoftware und Angriffe von Dritten machen.

Eine an sich sichere TAN-App kann durch ein verändertes Betriebssystem angreifbar werden. Außerdem können die Banken ihre Apps nur an die vom Hersteller freigegeben Betriebssystemen anpassen. Wird eine Veränderung am Betriebssystem des Geräts festgestellt, so lässt sich die TAN-App in der Regel nicht installieren bzw. nicht auf diesem Gerät benutzen. Zum Teil finden sich wiederum Hilfen im Internet, wie man dieses Problem umgehen kann.

Wer pushTAN bzw. AppTAN nutzen möchte, sollte dies allerdings tunlichst nur auf einem Gerät mit originalen Betriebssystem machen. Kommt es zu einem Schadensfall und wird festgestellt, dass die App auf einem Gerät mit z.B. Jailbreak benutzt wurde, wird vermutlich keine Bank den entstandenen Schaden ersetzen (müssen).

photoTAN und QRTAN

Bei photoTAN bzw. QRTAN wird zur Erstellung einer TAN bzw. zur direkten Freigabe eines Auftrags eine Grafik oder ein QRCode gescannt. Die Grafik wird direkt nach dem erstellen des Auftrags (z.B. Überweisung) angezeigt. Zum Auslesen der Grafik bzw. des QR-Codes wird entweder eine App der jeweiligen Bank oder ein separates Lesegerät genutzt. 

Tätigt man im online Banking eine Überweisung würde nach der Eingabe der Überweisungsdaten eine Graphik erscheinen. Hat man die photoTAN App seiner Bank auf seinem Smartphone installiert, muss man sich in diese Einloggen und die Grafik auslesen (Smartphone so halten, als wenn man ein Foto von der Grafik machen möchte). Konnte das Bild korrekt erfasst werden, wird eine TAN auf dem Display des Smartphones angezeigt. Diese muss anschließend im Online Banking zur Freigabe des Auftrages eingegeben werden. 

PhotoTAN kann nicht fürs mobile Banking genutzt werden. Führt man seine Bankgeschäfte über eine App auf seinem Smartphone aus, kann man mit diesem unmöglich eine Grafik auf dem eigenen Display scannen. Für diesen Fall unterstützen die meisten TAN-Apps der Banken nicht nur photoTAN, sondern ebenfalls pushTAN.

Im Vergleich mit pushTAN ist photoTAN etwas umständlicher. Ein Vorteil ist jedoch, dass eine photoTAN-App auch ohne Internet genutzt werden kann. Für pushTAN benötigt man dagegen ein Smartphone mit Internetverbindung und für mTAN ein Telefon mit Mobilfunkverbindung.

photoTAN mit seperaten Lesegerät

Alternativ zum Smartphone kann man ein extra Lesegerät fürs Auslesen der Grafiken nutzen. Solche Geräte kosten in der Regel einmalig um die 30€ und können bei der eigenen Bank oder einem Partnershop bestellt werden. Wer kein Smartphone hat oder verwenden möchte, hat somit dennoch die Möglichkeit photoTAN zu nutzen. Bei einigen Banken ist man an ein spezielles Lesegerät gebunden und kann kein fremdes Gerät verwenden. In der Regel ist man jedoch bei der Wahl seines Lesegeräts frei, wenn das Gerät bestimmte technische Anforderungen erfüllt. Welches Lesegerät man benötigt, sollte man bei seiner Bank nachlesen. Wir haben die passenden Übersichtsseiten der einzelnen Banken in der Tabelle weiter oben verlinkt.

Das seperate Lesegerät bietet einen weiteren Sicherheitsvorteil, da es nie mit dem Internet verbunden ist und somit gehackt werden kann. Der Vorteil ist allerdings nur theoretischer Natur, da die App-basierten TAN-verfahren ebenfalls als sehr sicher und nur in der Theorie überwindbar gelten. Nicht von der Hand zu weisen ist allerdings der Vorteil, dass man ein Smartphone eher verlieren oder verlegen kann als ein Lesegerät, das man an einen festen Platz in seiner Schreibtischschublade verwahrt.

Vor- und Nachteile von photoTAN bzw. QRTAN

• Keine Kosten bzw. nur einmalige Kosten für ein Lesegerät
• Lesegerät und selbst die photoTAN App benötigen kein Internet / Mobilfunkverbindung
• Man muss nicht zwingend ein Smartphone haben
• "Umständlicher" in der Handhabung als pushTAN / AppTAN
• Nicht für mobile Banking geeignet (die Apps unterstützen daher zusätzlich AppTAN)
• Sehr sicheres TAN-Verfahren

ChipTAN (manuell, optisch und QR)

Für ChipTAN benötigt man einen ChipTAN Generator. Außerdem ist eine Bankkarte mit Chip erforderlich. Möchte man einen Auftrag freigeben und hat sich für das ChipTAN-Verfahren entschieden, muss man zuerst seine ec-Karte in den TAN-Generator stecken. Anschließend muss die beim online Banking angezeigte Grafik mit dem Gerät gescannt werden. Im Display des Generators erscheint anschließend eine TAN, die für die Freigabe des Auftrags genutzt werden kann.

Wird eine Art wackelnden Strichcode eingelesen, spricht man von ChipTAN optisch und handelt es sich bei der angezeigten Grafik um einen QR-Code wird das Verfahren als ChipTAN-QR bezeichnet. Ganz ohne dem Auslesen einer Grafik kommt ChipTAN manuell aus. 

Durch die Nutzung eines nicht mit dem Internet verbundenen Gerätes und der eigenen Bankkarte, erreicht man ein sehr hohes Maß an Sicherheit. Dafür ist das TAN-Verfahren etwas umständlicher als z.B. pushTAN. Außerdem ist es nicht für mobile Banking nutzbar.

Neben ChipTAN gibt es noch andere auf einem TAN-Generator basierende Verfahren. Die bekanntesten dieser Verfahren sind photoTAN bzw. QRTAN, die sich allerdings nicht nur mit einem extra TAN-Generator, sondern ebenfalls per App auf dem Smartphone nutzen lassen. Einige weitere Systeme wurden inzwischen wieder eingestellt. Die meisten Banken haben sich auf die hier vorgestellten TAN-Verfahren festgelegt, auch wenn sie diese zum Teil anders bezeichnen.

Vor- und Nachteile von ChipTAN

• Sehr hohe Sicherheit durch Gerätetrennung und Einbindung der eigenen Bankkarte
• Keine Folgekosten (nur einmalige Anschaffung des TAN-Generators)
• Etwas unbequemer als pushTAN und nicht mobil einsetzbar
• Es wird kein Smartphone oder eine Mobilfunk- bzw. Internetverbindung benötigt

HBCI bzw. FinTS

HBCI (Home Banking Computer Interface) bzw. die Weiterentwicklung FinTS (Financial Transaction Services) ist kein klassisches TAN-Verfahren, sondern ein Sicherheitsverfahren für Bankgeschäfte. HBCI bzw. FinTS gilt als das sicherste Transaktions-Verfahren und wird hauptsächlich von Firmen genutzt. Um das Sicherheitsverfahren nutzen zu können, benötigt man neben einer Chipkarte der Bank einen speziellen Kartenleser und eine Zahlungsverkehrssoftware. 

FinTS hat den großen Nachteil, dass es sehr unflexibel ist. Privatkunden, die ihre Bankgeschäfte stets am gleichen PC ausführen, können über die Nutzung von HBCI bzw. FinTS nachdenken. Unserer Meinung nach reichen die weiteren vorgestellten TAN-Verfahren jedoch völlig aus, um Bankgeschäfte sicher online tätigen zu können. 

Vor- und Nachteile von ChipTAN

• Höchste Sicherheit beim online Banking
• Nur mit spezieller Software und Chipkarte nutzbar
• Höhere Anschaffungskosten als bei den vorgestellten TAN-Verfahren

Lohnt sich die Anschaffung von HBCI bzw. welches TAN-Verfahren ist zu empfehlen?

Unserer Meinung nach lohnt sich die Anschaffung und Nutzung von HBCI nur noch für Unternehmen oder vermögende Personen, die ihre Bankgeschäfte immer nur vom gleichen Rechner aus tätigen wollen. Früher, als Kunden nur die Auswahl zwischen einer TAN-Liste und HBCI hatten, war die Wahl des deutlich sicheren HBCI-Verfahrens eine verständliche Entscheidung. 

Durch die Entwicklung von ChipTAN, photoTAN und pushTAN existieren jedoch Alternativen, die ebenfalls ein sehr hohes Maß an Sicherheit bieten. Diese Verfahren sind günstiger in der Anschaffung bzw. generell kostenlos und deutlich flexibler. Kommt es zu Betrugsfällen, liegt dies in der Regel nicht an der Unsicherheit der TAN-verfahren, sondern daran, dass Betroffene auf eine Maße Krimineller hereingefallen sind.

Fällt man zum Beispiel auf den Anruf eines angeblichen Bankmitarbeiters herein, der um eine Testüberweisung auf das Konto XY bittet, schützt kein HBCI bzw. FinTS.

Was sind die häufigsten Ursachen für Betrug beim Online-Banking?

Die häufigsten Ursachen für Betrug beim Online-Banking sind Phishing, Malware und Social Engineering.

Phishing ist eine Methode, bei der Betrüger versuchen, vertrauliche Informationen wie Passwörter oder Kreditkartendaten durch gefälschte E-Mails oder Webseiten zu erhalten.

Malware ist Schadsoftware, die auf einen Computer heruntergeladen wird, ohne dass der Benutzer es bemerkt. Sie kann Informationen wie Passwörter oder Kreditkartendaten stehlen oder die Kontrolle über den Computer übernehmen.

Social Engineering bezieht sich auf Techniken, die darauf abzielen, Menschen dazu zu bringen, vertrauliche Informationen preiszugeben. Dies kann durch gefälschte Telefonanrufe, E-Mails oder Nachrichten in sozialen Medien geschehen.

Wie kann man sich vor diesen Arten von Betrug schützen?

Um sich vor diesen Arten von Betrug zu schützen, empfehle ich folgendes:

• Seien Sie vorsichtig bei E-Mails oder Nachrichten, die Sie bitten, persönliche oder finanzielle Informationen preiszugeben.
• Installieren Sie auf Ihrem Computer und Smartphone eine Firewall und Antivirus-Software und halten Sie diese immer auf dem neuesten Stand.
• Verwenden Sie starke und einzigartige Passwörter für alle Ihre Online-Konten und ändern Sie diese regelmäßig.
• Verwenden Sie die zwei-Faktor-Authentifizierung, wenn dies von Ihrem Online-Banking-Anbieter unterstützt wird.
• Seien Sie misstrauisch gegenüber Anrufen oder Nachrichten von Unbekannten, die Sie bitten, persönliche oder finanzielle Informationen preiszugeben.

Aktuelle Betrugsfälle beim Online-Banking entstehen nicht durch mangelnden Sicherheit bei den TAN-Verfahren, sondern durch sorglosen Umgang der Nutzer. Wenn ein PC gehackt wurde, hat der Angreifer mehr Informationen (eventuell Kontodaten und sogar Zugang zum Online-Banking) über den Verbraucher, allerdings kann weiterhin nur dieser Überweisungen mittels seines gewählten TAN-Verfahrens freigeben. Die Hacker haben (normalerweise) keinen Zugriff auf das Smartphone oder den TAN-Generator des Kunden.

Damit aber Hacker überhaupt nicht Zugriff auf den eigenen Rechner erhalten, hält man sich am besten an die o. g. Punkte.