TAN-Verfahren erklärt

Wer online eine Überweisung tätigt, kennt den Moment: Man hat Betrag und Empfänger eingegeben, drückt auf „Überweisen“, und plötzlich verlangt die Bank noch eine zusätzliche Bestätigung. Mal per App, mal per kleinem Gerät mit Chipkarte, mal per Foto-Scan auf dem Bildschirm. Diese Bestätigung nennt man TAN, und die Verfahren dahinter tragen Namen wie pushTAN, chipTAN oder photoTAN.

Für viele ältere Nutzer bleibt unklar, was sich hinter diesen Begriffen verbirgt und warum es überhaupt so viele davon gibt. Dieser Beitrag erklärt in Ruhe, was eine TAN ist, wie die wichtigsten Verfahren funktionieren und worauf Sie beim Bestätigen einer Transaktion besonders achten sollten. Grundlegendes zum Thema finden Sie auch in unserem Beitrag Was ist Online-Banking?

Warum braucht es beim Online-Banking eine zweite Bestätigung?

Beim Online-Banking loggen Sie sich zunächst mit Ihrem Zugang ein, meist mit einer Kontonummer oder einem selbst gewählten Anmeldenamen und einem Passwort. Damit sehen Sie Ihre Konten, Umsätze und Bestände. Für bestimmte Aktionen reicht dieser Zugang der Bank aber nicht aus. Eine Überweisung auslösen, ein neues Gerät für das Banking freischalten oder eine Einzugsermächtigung ändern - das sind Vorgänge, bei denen tatsächlich Geld bewegt wird oder sicherheitsrelevante Einstellungen geändert werden.

Damit hier niemand Fremdes einfach handeln kann, selbst wenn er irgendwie an Ihr Passwort gelangt wäre, verlangt die Bank eine zweite, unabhängige Bestätigung. Diese zusätzliche Absicherung ist Teil der sogenannten starken Kundenauthentifizierung, bei der mehrere Faktoren wie Wissen, Besitz oder biometrische Merkmale zusammenspielen können. Das Passwort allein zählt dabei als „Wissen“. Die TAN kommt meist über ein Gerät, das nur Sie besitzen, etwa Ihr Smartphone oder einen TAN-Generator. Damit müssten Betrüger gleich zwei unabhängige Hürden überwinden, nicht nur eine.

In der Praxis merken Sie davon meist wenig. Sie loggen sich ein, wählen eine Überweisung aus, und erst kurz vor dem endgültigen Absenden fordert die Bank die TAN an. Genau dieser Moment ist der wichtigste Punkt im ganzen Vorgang, dazu gleich mehr.

Was ist eine TAN eigentlich?

TAN steht für Transaktionsnummer. Man kann sie sich wie eine zweite Unterschrift vorstellen. Erst kommt der Zugang zum Online-Banking, quasi der Eintritt ins Haus. Dann kommt die TAN als Bestätigung für eine bestimmte Aktion, vergleichbar mit einer zusätzlichen Unterschrift unter einen Auftrag.

Wichtig ist dabei: Eine TAN ist nicht dasselbe wie Ihr Passwort. Das Passwort öffnet die Tür zu Ihrem Online-Banking generell. Die TAN gilt dagegen jeweils nur für einen einzigen Vorgang und meist nur für wenige Minuten. Danach verfällt sie. Selbst wenn jemand eine bereits verwendete TAN abfangen würde, könnte er damit nichts mehr anfangen.

Warum gibt es so viele verschiedene TAN-Verfahren?

Die Vielzahl an Namen wirkt auf den ersten Blick verwirrend. Der Grund dafür liegt in der technischen Entwicklung der letzten Jahre. Früher erhielten Kunden oft eine TAN-Liste auf Papier, später kam die TAN per SMS aufs Handy. Beide Wege gelten heute als weniger sicher oder werden von vielen Banken gar nicht mehr angeboten.

An ihre Stelle sind Verfahren getreten, die entweder eine spezielle App nutzen, ein kleines separates Gerät oder eine Kombination aus beidem. Jede Bank entscheidet dabei selbst, welche Verfahren sie anbietet, und nennt sie manchmal noch mit einem eigenen Markennamen wie SecureGo plus oder BestSign. Dahinter steckt aber fast immer eines von wenigen Grundprinzipien, die im Folgenden erklärt werden.

Die wichtigsten TAN-Verfahren im Überblick

Vier Verfahren begegnen Ihnen in der Praxis am häufigsten. Sie unterscheiden sich vor allem darin, ob die TAN auf demselben Smartphone erscheint, mit dem Sie auch Ihr Banking bedienen, oder auf einem getrennten Gerät.

Die Stiftung Warentest empfiehlt in ihren Bewertungen vor allem chipTAN und photoTAN, weil hier die Bestätigung unabhängig vom Smartphone erfolgen kann, auf dem auch die Banking-App läuft. Mehr zum Unterschied zwischen App-Verfahren und getrennten Geräten lesen Sie in unserem Beitrag pushTAN oder chipTAN - was passt zu mir?

pushTAN oder AppTAN einfach erklärt

Beim pushTAN-Verfahren, manchmal auch AppTAN genannt, installieren Sie eine zusätzliche, passwortgeschützte App auf Ihrem Smartphone. Lösen Sie eine Überweisung aus, schickt Ihre Bank eine Anfrage an diese App. Dort sehen Sie noch einmal Betrag und Empfänger und bestätigen den Vorgang mit einem Fingerabdruck, einer PIN oder Gesichtserkennung. Die App erzeugt daraufhin die TAN und überträgt sie automatisch.

Der große Vorteil liegt in der Bequemlichkeit. Alles passiert auf dem Smartphone, das die meisten Menschen ohnehin ständig griffbereit haben. Kein zusätzliches Gerät, kein Scannen, keine Chipkarte. Der Nachteil: Banking-App und TAN-App laufen häufig auf demselben Gerät. Geht dieses Gerät verloren oder wird es mit Schadsoftware infiziert, sind theoretisch beide Bausteine betroffen. Deshalb ist es bei pushTAN besonders wichtig, das Smartphone selbst gut abzusichern, etwa mit einer sicheren Displaysperre und aktuellen Updates.

chipTAN einfach erklärt

Beim chipTAN-Verfahren nutzen Sie ein kleines, separates Lesegeät, in das Sie Ihre Bankkarte stecken. Am Bildschirm des Online-Bankings erscheint entweder ein flackerndes Muster oder, bei der neueren Variante chipTAN QR, ein Quadrat mit kleinen Punkten. Das Lesegeät erfasst dieses Muster über kleine Sensoren oder eine eingebaute Kamera und errechnet daraus eine TAN, die Sie dann von Hand in Ihr Online-Banking übertragen.

Der Vorteil dieses Verfahrens liegt genau in seiner Umständlichkeit: Das Lesegeät ist niemals mit dem Internet verbunden und hat nichts mit dem Computer oder Smartphone zu tun, auf dem Sie das Banking bedienen. Ein Angreifer, der Ihren Computer manipuliert, kommt an dieses Gerät nicht heran. Dafür braucht es etwas Geübung am Anfang, und das Lesegeät muss stets griffbereit liegen. Wer lieber ein Gerät getrennt vom Smartphone nutzen möchte, ist mit chipTAN gut beraten.

photoTAN einfach erklärt

photoTAN funktioniert ähnlich wie chipTAN, allerdings mit einem bunten Grafikcode statt eines schwarz-weißen Musters. Auf dem Bildschirm Ihres Online-Bankings erscheint ein kleines, farbiges Quadrat. Dieses scannen Sie entweder mit einer speziellen App auf dem Smartphone oder mit einem eigenen kleinen Lesegeät. Aus dem Farbmuster wird anschließend die TAN errechnet und angezeigt.

photoTAN bietet also zwei Wege: entweder komfortabel per App auf dem Smartphone, oder getrennt über ein separates Lesegeät, wenn Ihnen das lieber ist. Wer sich unsicher ist, welche Variante besser passt, kann sich das wie eine Wahl zwischen Bequemlichkeit und zusätzlicher Trennung vorstellen. Beide Wege gelten als sicher, solange das jeweilige Gerät gut geschützt ist.

SMS-TAN - warum sie heute seltener wird

Bei der SMS-TAN, manchmal auch mTAN genannt, schickt die Bank die TAN als Textnachricht auf eine hinterlegte Handynummer. Frueher war dieses Verfahren weit verbreitet, weil es keine zusätzliche App und kein separates Gerät benötigte.

Mittlerweile stufen viele Banken und Verbraucherzentralen die SMS-TAN als weniger sicher ein. Der Grund liegt in einer Betrugsmasche namens SIM-Swapping, bei der Kriminelle versuchen, die Handynummer eines Opfers auf eine eigene SIM-Karte umleiten zu lassen. Gelingt das, landen auch die TAN-SMS beim Betrüger. Aus diesem Grund haben zahlreiche Banken das SMS-TAN-Verfahren inzwischen abgeschaltet oder bieten es nur noch für bestehende Kunden an, die es bereits nutzen. Fragen Sie im Zweifel direkt bei Ihrer Bank nach, welche Verfahren aktuell angeboten werden.

Der wichtigste Sicherheitsmoment: Daten prüfen

Ganz gleich, welches Verfahren Ihre Bank anbietet: Der entscheidende Moment ist immer derselbe. Bevor Sie eine TAN eingeben oder eine Anfrage in der App bestätigen, zeigt Ihnen die Bank noch einmal die Details des Auftrags. Betrag, Empfänger, IBAN. Genau hier entscheidet sich, ob alles seine Richtigkeit hat.

Schadprogramme oder betrügerische Webseiten versuchen manchmal, im Hintergrund einen anderen Auftrag unterzuschieben, als Sie eigentlich gestartet haben. Auf dem Bildschirm sieht dann alles normal aus, doch die tatsächlich zur Bestätigung angezeigten Daten in der TAN-App oder auf dem Lesegeät weichen ab. Wer diesen Bildschirm nur schnell wegklickt, übersieht genau diese Abweichung.

Mehr zum sicheren Umgang mit Ihrem Online-Banking insgesamt finden Sie in unserem Beitrag Online-Banking sicher nutzen.

Häufige Betrugsmaschen rund um TANs

Kriminelle wissen, dass die TAN die letzte Hürde vor einer Überweisung ist. Deshalb versuchen sie immer wieder, genau an dieser Stelle anzusetzen, meist über Anrufe, E-Mails oder gefälschte Internetseiten.

Ein gängiges Beispiel: Am Telefon meldet sich jemand, der angeblich von Ihrer Bank kommt. Er spricht ruhig und professionell, nennt vielleicht sogar Ihren Namen und behauptet, es gäbe eine verdächtige Buchung auf Ihrem Konto. Zur „Sicherheitsprüfung“ solle man ihm nun eine TAN durchgeben, die man gleich per App oder SMS erhalte. Das ist ein klares Warnzeichen. Eine echte Bank fragt niemals telefonisch nach einer TAN, damit ein Mitarbeiter angeblich etwas prüfen kann.

Auch gefälschte E-Mails oder Kurznachrichten, die zu einer nachgebauten Banking-Seite führen, gehören zu den bekannten Maschen. Dort wird zunächst nach den Anmeldedaten gefragt und anschließend nach einer TAN, angeblich um ein neues Gerät zu bestätigen oder ein Sicherheitsupdate durchzuführen. Wie Sie solche Nachrichten erkennen, erklären wir ausführlich in unseren Beiträgen Phishing erkennen und Betrugsanrufe erkennen.

Häufig gestellte Fragen