Bye-bye iTAN-Liste: Was sind die Alternativen für Online- und Mobile-Banking?

Bankenverband: Zum Schutz der Daten im Online-und Mobile-Banking bieten Banken ihren Kunden unterschiedliche Verfahren an. Wer noch die klassische iTAN-Liste auf Papier in der Schreibtischschublade hat, muss wissen: Nach neuem EU-Recht dürfen Banken ab dem 14. September 2019 dieses Verfahren für Überweisungen vom Girokonto nicht mehr anbieten.

Sowieso werden Bankgeschäfte immer öfter mit Smartphone oder Tablet erledigt – und dafür gibt es bereits wesentlich modernere Verfahren.

Schon heute nutzt jeder zweite Bundesbürger Online-Banking. Jeder Achte tätigt seine Bankgeschäfte mobil – Tendenz steigend. Wer mit dem Handy oder von zu Hause aus Rechnungen begleichen oder Daueraufträge einrichten möchte, setzt dazu in der Regel ein PIN-TAN-Verfahren ein – also eine Persönliche Identifikationsnummer (PIN) und die Transaktionsnummer (TAN).

Für dieses Verfahren gelten neue Vorgaben nach der zweiten EU-Zahlungsdiensterichtlinie, kurz PSD2, die technischen Entwicklungen Rechnung tragen und Innovationen fördern sollen. Die altbekannten iTAN-Listen auf Papier wird es grundsätzlich nicht mehr geben.

Die neuen EU-Vorgaben für das PIN-TAN-Verfahren
Weltweit gelten PIN-TAN-Verfahren als sehr sichere Legitimationsverfahren. Dennoch gibt es immer wieder Versuche von Betrügern, PIN und TAN von Kunden „abzufischen“, um Zugriff auf das Online-Banking zu erhalten – das sogenannte Phishing.

Hierbei versuchen Kriminelle über gefälschte Websites und vermeintliche Nachrichten der Bank per E-Mail oder per SMS den Kunden dazu zu bringen, seine PIN und TAN zu offenbaren.

Mit dynamischen Verfahren wie mobileTAN und chipTAN, die einen zweiten Übertragungsweg (Mobiltelefon, TAN-Generator) nutzen, werden diese Angriffe erschwert, da die TAN – anders als bei der iTAN-Liste – dann an den Auftrag gekoppelt und zeitlich begrenzt ist. Der Kunde vergleicht hierbei die angezeigten Daten mit seinem ursprünglichen Auftrag und kann eine Manipulation erkennen.

Außerdem wichtig zu wissen: Um eine TAN zu erhalten, auch wenn Sie einfach nur auf dem Handy Ihren Kontostand checken möchten, kann es sein, dass Sie aufgrund der neuen EU-Vorgaben künftig aufgefordert werden, sich mit zwei Faktoren zu authentifizieren – zum Beispiel auch in regelmäßigen Abständen beim Log-in. Diese Faktoren kommen aus den Bereichen Wissen, Besitz oder Biometrie (zum Beispiel PIN, Smartphone und Fingerabdruck).

Beim TAN-Empfang per SMS zum Beispiel brauchen Sie dann Ihre SIM-Karte, die sowieso im Handy steckt, und für die Überweisung zusätzlich Ihre PIN. Eine andere Möglichkeit ist etwa Ihr Fingerabdruck und eine TAN-App auf dem Smartphone.

Die TAN-Verfahren im Überblick
Erteilt der Bankkunde einen Auftrag, zum Beispiel eine Überweisung, muss er vor dem endgültigen Abschluss eine TAN eingeben. Diese TAN dient als Online-Unterschrift und gilt nur für diesen einen Auftrag. Dabei gibt es für den Kunden verschiedene Verfahren, um an die TAN zu gelangen.

Alle diese Verfahren erfüllen die neuen Anforderungen der EU – es kommt also darauf an, welche davon Ihre Bank anbietet und wofür Sie sich entscheiden:

TAN per SMS – mTAN, mobile TAN oder SMS-TAN
Der TAN-Empfang per SMS wird wahlweise als mTAN, mobile TAN und auch SMS-TAN bezeichnet. Benötigt werden zwei Geräte: Computer oder Tablet und ein Smartphone/Handy mit SIM-Karte. Der Online-Banking-Kunde nutzt sein Mobiltelefon als Empfangsgerät für die TAN, die ihm per SMS mit den Auftragsdaten aufs Handy gesendet wird. Nach Abgleich der Daten muss er diese dann im Online-Banking-Portal zur Freigabe des Vorgangs eingeben.

TAN per Generator – chipTAN oder smartTAN
Auch hier nutzt der Kunde zwei getrennte Geräte, um eine TAN zu erzeugen: den Computer und ein zweites Gerät, einen sogenannten TAN-Generator – oft im Format eines kleinen Taschenrechners. Nachdem auf dem Gerät die TAN mittels Bankkarte oder optisch erzeugt wurde, muss diese im Online-Banking-Portal zur Freigabe des Vorgangs eingegeben werden.

TAN per Barcode – photoTAN
Beim photoTAN-Verfahren wird neben dem Computer oder Tablet für das Online-Banking ein Smartphone mit einer sogenannten photoTAN-App oder ein spezielles Lesegerät zur Generierung der TAN benötigt. Nach Eingabe der Überweisungsdaten muss mit der photoTAN-App oder dem Lesegerät der im Online Banking angezeigte farbige Barcode gescannt werden.

Im Display erscheinen nun die Überweisungsdaten, die nochmals überprüft werden müssen, sowie eine TAN, mit der nach Eingabe im Online-Banking der Auftrag erteilt werden kann.

App-basierte-TAN-Verfahren
Um App-basierte Verfahren anwenden zu können muss neben dem Internetportal der Bank auf Computer, Smartphone oder Tablet eine sogenannte App, eine Banking-Software zum Empfang einer TAN, genutzt werden. Zunächst müssen wie gewohnt die Überweisungsdaten eingegeben werden. Im Anschluss öffnet der Kunde die installierte App auf seinem mobilen Gerät.

Diese App zeigt nun die Daten, die nochmals überprüft werden müssen, und die TAN. Die TAN kann nun im Online-Banking zur Bestätigung eingegeben werden. Bei Nutzung einer Banking-App auf demselben Gerät wird die TAN in der Regel automatisch übernommen werden.

Und was wird aus der iTAN-Liste aus Papier?
Bei der „indizierten TAN“ ist der Kunde im Besitz einer nummerierten Papier-Liste mit TAN-Codes, die ihm durch seine Hausbank zur Verfügung gestellt wurde. Für die Auftragserteilung wird eine Nummer aus der Liste abgefragt. Die der Nummer zugehörige TAN muss dann im Online-Banking eingegeben werden.

Aufgrund der neuen EU-Vorgaben darf die iTAN ab dem 14. September 2019 im Zahlungsverkehr nicht mehr genutzt werden. Die meisten Banken geben daher bereits keine iTAN-Listen mehr aus.