Schutz vor Betrug: Tipps für sicheres Onlinebanking
Onlinebanking ist immer wieder den Angriffen von Kriminellen ausgesetzt. Daher ist die Wahl eines möglichst sicheren TAN-Verfahrens sehr wichtig. Wir erklären und bewerten die gängigen Methoden.
Das Wichtigste in Kürze:
- Banken und Sparkassen legen selbst fest, welches TAN-Verfahren sie verwenden.
- Ein wichtiger Schutzfaktor sind Sie selbst.
- Machen Sie sich als Kundin oder Kunde mit dem konkreten Verfahren Ihrer Bank oder Sparkasse vertraut.
Warum ist das TAN-Verfahren beim Onlinebanking so wichtig?
Beim Onlinebanking können Sie einen Zahlungsvorgang nicht einfach unterschreiben, wie das z.B. bei einem Überweisungsträger geht. Mit der Unterschrift überprüft das Kreditinstitut, ob tatsächlich der Kontoinhaber eine Überweisung auslöst oder es sich um einen Betrüger handelt.
Beim Onlinebanking soll das TAN-Verfahren neben Benutzerkennung und Passwort für Sicherheit sorgen. Da Onlinebanking immer wieder Angriffen von Kriminellen ausgesetzt ist, ist die Wahl eines sicheren Verfahrens äußerst wichtig. Entscheidend ist, dass niemand die TAN auf dem Weg von der Bank an Sie und zurück auslesen und missbrauchen kann.
Was ist eine TAN?
Transaktionsnummern (TAN) sind Einmalpassworte, die in der Regel aus sechs Ziffern bestehen. Sie werden dazu genutzt, einen Auftrag an die Bank, zum Beispiel eine Überweisung, online zu genehmigen – ersetzen also die Unterschrift.
Die europäische Zahlungsdienste-Richtlinie war der Anlass, dass Banken und Sparkassen seit 14. September 2019 neue TAN-Verfahren eingeführt haben. Wichtige Änderungen gab es außerdem bei Kartenzahlungen im Internet und beim Einloggen ins Onlinebanking.
Im Rahmen der Umsetzung der europäischen zweiten Zahlungsdiensterichtlinie (Payment Services Directive2, PSD2), die seit dem 14. September 2019 verschärfte Sicherheitsmaßnahmen beim Onlinebanking und Onlineshopping forderte, ist eine sogenannte Zwei-Faktor-Authentifizierung vorgesehen: Der Kunde muss beim Anmeldevorgang nachweisen, dass er derjenige ist, für den er sich ausgibt – und das mittels zweier unabhängiger Faktoren aus den folgenden Bereichen:
- Wissen, zum Beispiel ein Passwort
- Inhärenz, zum Beispiel ein Fingerabdruck oder
- Besitz,, zum Beispiel ein Smartphon, dessen Besitz durch die Eingabe einer TAN nachgewiesen wird, die zuvor per SMS an das Gerät geschickt wurde.
Was gilt beim Online-Shopping mit einer Bankkarte, wie einer Kreditkarte?
Die strengeren Sicherheitsbestimmungen für das Bezahlen per Kreditkarte im Internet greifen spätestens seit 15. März 2021. Seitdem reicht es beim Bezahlen in Onlineshops mit Visa, Mastercard & Co. nicht mehr aus, lediglich die Prüfziffer von der Rückseite der Karte einzugeben.
Ziel ist es, Händler und Konsumenten stärker vor Kartenbetrug zu schützen. Ohne zusätzliches Sicherheitsverfahren – wie zum Beispiel eine an das Mobiltelefon geschickte Transaktionsnummer (TAN) – soll es Kartenzahlungen auch an der virtuellen Kasse nicht mehr geben. Das gilt für Onlinehändler oder andere Webseitenbetreiber, bei denen Sie mit Karte zahlen können.
Die Verfahren im Überblick
mTAN – die SMS aufs Handy
Kurzbeschreibung: Für jede Überweisung, die Sie tätigen möchte, wird eine TAN angefordert. Beim mTAN-Verfahren erhalten Sie diese als SMS auf Ihr Handy, um sie dann für den Banking-Vorgang einzusetzen.
Bewertung: Das Handy kann gestohlen und die TAN abgefangen werden. Das zuständige Bundesamt BSI warnt, dass das Abfangen von SMS Kriminellen mit entsprechendem Vorwissen gelingen kann.
Push-TAN / AppTAN: App auf dem Handy
Kurzbeschreibung: Auch hier wird für jede Überweisung, die Sie tätigen möchten, die TAN angefordert. Im Unterschied zur mTAN nutzen Sie hier eine spezielle App, in der die TAN generiert wird.
Bewertung: Das zuständige Bundesamt BSI sagt, dass die Sicherheit des TAN-Verfahrens erhöht werden kann, wenn zwei unterschiedliche Geräte für Banking und TAN-Generierung eingesetzt werden.
Es ist eine Diskussion entbrannt, wie TAN-Generierungen zu bewerten sind, die zwar mit verschiedenen Apps, aber auf einem Gerät durchgeführt werden. Anlass bot ein Urteil des Landgerichts Heilbronn vom 16. Mai 2023 (Az: Bm 6 O 10/23, 6 O 10/23).
Chip-TAN – das Lesegerät für zu Hause
Kurzbeschreibung: Beim Chip-TAN-Verfahren kommt ein TAN-Generator in Kombination mit dem Chip auf der Bankkarte zum Einsatz. Früher ermittelte der Generator durch das Auslesen eines flackernden Feldes auf dem Schirm die jeweils erforderliche TAN. Moderne TAN-Generatoren lesen QR-Codes oder Farbmatrix-Codes mit einer eingebauten Kamera aus.
Bewertung: Da der Generator selbst nicht mit dem Internet verbunden ist, kann er aus der Ferne nicht angegriffen werden.
Photo-TAN
Kurzbeschreibung: Für das Photo-TAN-Verfahren sind zwei voneinander getrennte Geräte notwendig. Entweder liest man die auf dem Bildschirm erscheinende Grafik mit einem Generator aus oder nutzt das Smartphone mit einer entsprechenden App.
Bewertung: Grundsätzlich gilt: Je mehr Geräte beteiligt sind, desto sicherer ist der Vorgang. Aber das Bundesamt für Sicherheit in der Informationstechnik (BSI) weist darauf hin, dass eine Sicherheitslücke das Smartphone des Kunden sein könnte, wenn es nicht regelmäßig mit den Aktualisierungen der Apps versorgt wird.
Fazit: Bei modernen Verfahren wird jede TAN aus den Überweisungsdaten entwickelt. Dadurch sind die Codes nur für bestimmte Vorgänge und zeitlich begrenzt nutzbar.
Kleinstüberweisungen ohne TAN
Bei Transfers von Beträgen bis zu 30 Euro bieten einige Banken ihren Kunden beim Online-Banking eine Überweisung ohne TAN an. Ein Verzicht auf die zweifache Kundenauthentifizierung (Zugangsdaten plus TAN) hat nach unserer Ansicht zur Folge, dass die Bank bei Transaktionen ohne TAN-Eingabe allein für mögliche Schäden haftet und von Ihnen keinen Ersatz verlangen kann.
Tipps für mehr Sicherheit beim Onlinebanking
- Starkes Passwort verwenden: Erstellen Sie ein sicheres Passwort für Ihren Banking-Zugang und nutzen Sie es nirgendwo anders.
- Zugangsdaten sicher aufbewahren: Speichern Sie Ihre Zugangsdaten an einem geschützten Ort und teilen Sie sie niemals per Textnachricht oder am Telefon.
- Öffentliches WLAN vermeiden: Nutzen Sie Online-Banking nicht in öffentlichen WLANs – es sei denn, Sie verwenden einen VPN-Tunnel.
- Verlust des Smartphones melden: Falls Sie Ihr Smartphone verlieren, informieren Sie sofort Ihre Bank, wenn Sie deren Banking-Apps nutzen.
- Online-Banking nur über Lesezeichen aufrufen: Öffnen Sie Ihr Online-Banking manuell oder über ein gespeichertes Lesezeichen, um gefälschte Webseiten zu vermeiden. Klicken Sie nie auf Links, die angeblich zu Ihrer Bank führen.
- Auf Fehlermeldungen achten: Seien Sie misstrauisch, wenn direkt nach der Freigabe eines Bankauftrags eine Fehlermeldung erscheint – im Zweifel kontaktieren Sie Ihre Bank.
- Keine vertraulichen Daten weitergeben: Ihre Bank wird Sie niemals per E-Mail oder Telefon nach Ihrem Passwort fragen. Prüfen Sie verdächtige Anfragen über offizielle Kontaktwege.
- Verfügungslimit festlegen: Vereinbaren Sie mit Ihrer Bank ein Höchstlimit für Überweisungen, um Schäden bei Betrugsfällen zu begrenzen.
- Software aktuell halten: Nutzen Sie nur Geräte mit aktueller Software aus vertrauenswürdigen Quellen. Veraltete Software ohne Sicherheitsupdates kann ein Sicherheitsrisiko darstellen.
- Zwei Geräte verwenden: Nutzen Sie für die TAN-Generierung und den Kontozugriff zwei verschiedene Geräte.
- Vorsicht bei Videoidentifizierung: Lassen Sie sich nur mit Ihrem Personalausweis identifizieren, wenn der Zweck klar ist. Nehmen Sie niemals an angeblichen Testläufen gegen Bezahlung teil.
