Ob ChipTan, AppTan oder SMS-Tan - alle Systeme sollen dazu dienen, die durchgeführten Transaktionen mit Eingabe einer eigenen Transaktionsnummer (TaN) abzusichern. Seit Einführung der zweiten europäischen Zahlungsdiensterichtlinie (PSD2) zum 14. September haben sich dazu Änderungen ergeben. Die Fachzeitschrift Finanztest von Stiftung Warentest hat bei 22 Kreditinstituten getestet, welche Online-Banking-Verfahren die größte Sicherheit versprechen.

Neue EU-Zahlungsdiensterichtlinie seit 14. September 2019

Mit Inkrafttreten der zweiten Stufe der EU-Zahlungsdiensterichtline (PSD2 für Payment Services Directive2) soll unter anderem die Sicherheit im Zahlungsverkehr vereinfacht werden. Strenge technische Richtlinien sollen dabei für einen sicheren Austausch sensibler Daten zwischen Kunden und Anbietern sorgen und den Verbraucherschutz bei Online-Zahlungen erhöhen. Die Anforderungen an die Legitimation der Nutzer wurden erhöht. Die Zwei-Faktoren-Regelung, bei der der Nutzer sich nicht mehr nur durch ein einziges Merkmal identifiziert, soll Standard werden. Das hat auch Auswirkungen auf die nutzbaren Online-Banking-Verfahren.

Kein iTan-Verfahren mehr

Sie tätigen eine Überweisung per Online-Banking, erhalten - per Zufallsprinzip - von der Bank eine Information, welche Transaktionsnummer Sie aus der Ihnen vorliegenden Liste für diesen Vorgang nutzen sollen und geben die Nummer entsprechend ein: Das so bequem funktionierende iTan-Verfahren entspricht nicht mehr den EU-Sicherheitsanforderungen und wurde mit Einführung der neuen Zahlungsdiensterichtlinie eingestellt.

Diese 6 Online-Verfahren werden angeboten

Nicht für alle Varianten benötigt man ein Smartphone. Auch mit einem einfachen Handy, das nicht internetfähig ist, kann man am Online-Banking teilnehmen. Für einige Verfahren ist jedoch ein Zusatzgerät erforderlich.

Getestet wurden folgende Online-Banking-Verfahren (von Stiftung Warentest nach Sicherheit sortiert):

• Chip Tan(Sicherheit sehr hoch)
• BestSign (Sicherheit sehr hoch)
• PhotoTan (Sicherheit sehr hoch)
• QR-Tan (Sicherheit sehr hoch)
• AppTan (Sicherheit hoch)
• SMS-Tan (Sicherheit mittel)

Für ChipTan benötigen Sie einen Generator

ChipTan, auch SmartTan genannt, wird mit einem Gerät, einem sogenannten Generator, genutzt, der ein wenig einem Taschenrechner ähnelt und über einen Kartenschlitz verfügt. Nach Eingabe der Überweisungsdaten am Computer erscheint eine Grafik, die gescannt werden muss. Dabei gibt es drei verschiedene Varianten: Flickercode, farbige Grafik oder QR-Code. Die Grafiken sorgen für die Übertragung der Überweisungsdaten an den Generator, der daraus die Tan erzeugt. Das Gerät muss beim ersten Gebrauch mit dem eigenen Konto synchronisiert werden.

Auch BestSign funktioniert nur mit einem Zusatzgerät

Das Sicherheitsverfahren der Postbank erfordert ein Gerät, das mit dem eigenen PC verbunden werden muss. Das funktioniert entweder über Bluetooth oder mit einem USB-Anschluss. Per Knopfdruck werden die Überweisungsdaten, die das Gerät nach Eingabe am PC nochmals anzeigt, bestätigt. Die Sicherheit wird von Finanztest mit dem Zusatzgerät von der Postbank als sehr hoch eingestuft. Auch die Nutzung des eigenen Smartphones ist möglich, dann wird das System von Finanztest immer noch mit hoher Sicherheit bewertet. Die Tan ist bei diesem Verfahren nicht sichtbar.

Lesegerät für PhotoTan muss bei der Bank registriert werden

Wer das PhotoTan-Verfahren nutzen möchte, muss das angeschaffte Lesegerät bei seiner Bank für die eigene Nutzung registrieren lassen. Auch hier wird eine Grafik auf dem PC-Bildschirm erzeugt, die mit dem Gerät gescannt werden muss. Eine Kontrolldarstellung der Überweisungsdaten erfolgt und die Tan wird angezeigt. Alternativ zum Lesegerät kann eine entsprechende App auf dem Smartphone installiert werden, die das Einscannen der Grafik übernimmt. Bei Nutzung des Lesegeräts gilt die Sicherheit als sehr hoch, bei Verwendung des Smartphones als hoch.

QR-Tan benötigt eine App auf dem Smartphone

Eine App, die einen sogenannten QR-Code lesen kann, ist ausreichend: Mit dem Smartphone wird der nach Eingabe der Überweisungsdaten gezeigte QR-Code gescannt. Eine Transaktionsnummer wird erzeugt und es erfolgt eine nochmalige Anzeige der Überweisungsdaten zur Kontrolle.

AppTan nutzt passwortgeschützte Banken-App auf dem eigenen Smartphone

VR-SecureGo, EasyTan, Tan2go, PushTan, Sparda-SecureApp – das alles sind AppTans. Wer sich die App seiner Bank auf das Smartphone lädt und sie nach Eingabe der Überweisungsdaten startet, erhält eine Tan. Nach Überprüfung der Angaben und Eingabe der Nummer kann die Freigabe erfolgen.

SMS-Tan wird nur mit mittlerer Sicherheit bewertet

Das SMS-Tan-Verfahren (auch MobileTan oder mTan) funktioniert auch mit einem einfachen Handy, das nicht wie ein Smartphone internetfähig ist. Die eigene Mobilfunknummer muss der Bank mitgeteilt werden. Nach Eingabe der Überweisungsdaten erfolgt an diese Nummer eine Mitteilung mit Nennung der Transaktionsnummer, die für die Auslösung der Überweisung eingegeben werden muss. Wird für die Überweisung ein Smartphone benutzt, kann die Mitteilung der SMS-Tan nicht auch auf dieses Gerät erfolgen.

Passt der Generator?

Bevor Sie sich ein für das Online-Banking erforderliches Gerät zulegen, erkundigen Sie sich bei Ihrem Kreditinstitut nach den erforderlichen Nutzungsmöglichkeiten. Oft bieten Banken diese Geräte auch an. Außerdem gibt es sie im Elektronikhandel oder im Internet. Sie sind selten kostenlos zu haben.

Haftung beim Online-Banking

Die Geheimhaltung seiner eigenen Passwörter und Sicherheitsmerkmale sollte eine Selbstverständlichkeit sein. Wer seine Sorgfaltspflichten verletzt, handelt laut Finanztest grob fahrlässig. Bei grober Fahrlässigkeit entfalle damit die Haftung der Bank. Es gibt allerdings auch Kreditinstitute, die selbst bei grober Fahrlässigkeit einen entstandenen finanziellen Schaden ersetzen. Hier sind eine sofortige Meldung des Schadens und zumeist auch eine Strafanzeige bei der Polizei allerdings unerlässlich. Gemäß der gesetzlichen Regelung zur Schadensregulierung muss ein Kunde bis zum Zeitpunkt der Kontosperrung immer mit 50 Euro haften. Auch hier gibt es Banken, die auf diese Regelung verzichten. Ein Blick in die Geschäftsbedingungen oder die Nachfrage bei der eigenen Bank kann sich lohnen.