Abschied vom iTAN-Verfahren
Mehr Sicherheit beim Online-Banking

Hannover, 16. August 2019 – In wenigen Wochen ändern sich im gesamten EU-Raum die Sicherheitsverfahren für das Online-Banking. Ab dem 14. September schaffen die Banken nicht nur die TAN-Liste auf Papier ab, viele legen auch die mTAN ad acta. Da auf den Websites der Banken oftmals klare Aussagen zu den künftig praktizierten Verfahren fehlen, kommt man um gezielte Informationssuche nicht herum. Das schreibt Europas größtes IT- und Techmagazin c’t in Ausgabe 18/19.

Die Zweite Europäische Zahlungsdiensterichtlinie, kurz PSD2, verpflichtet Banken und Kunden grundsätzlich zu einer starken Kundenauthentifizierung (SCA). Gemeint ist die Zwei-Faktor-Authentifizierung mit einer Erweiterung: Die beiden Faktoren müssen aus zweien der drei Kategorien Wissen (PIN oder Passwort), Besitz (Bankkarte oder Mobiltelefon) und Inhärenz (biologische Merkmale) stammen. Ab dem 14. September müssen Kunden schon beim Log-in ins Banking eine TAN eingeben oder sich per zweitem Faktor identifizieren.

Die PSD2 stellt Mindestanforderungen an die Sicherheit von TAN-Verfahren. Für das Verbot der iTAN – einer TAN-Liste auf Papier – war mitentscheidend, dass sie dem Kunden vor der Überweisungsauflösung nicht gemeinsam mit der Empfänger-IBAN und dem Betrag angezeigt wird. So eine vom ersten Faktor unabhängige Kontrollmöglichkeit ist jedoch Pflicht. c’t-Redakteur Markus Montz erklärt: „Da die umstrittene, per SMS verschickte mTAN diese Anforderungen erfüllt, bleibt sie grundsätzlich erlaubt.“ Aufgrund von Kostenargumenten nutzen trotzdem viele Banken die Chance, um sich von dem Verfahren zu trennen.

Die kommenden Änderungen sollen nicht nur die Sicherheit, steigern, sondern könnten das Banking mit einer besseren Benutzerführung sogar komfortabler machen. Überweisungen von Beträgen unter 30 Euro sollen bei vielen Banken und Sparkassen in Zukunft ohne TAN-Verfahren funktionieren. Wenn die letzte Kontostandsabfrage maximal 90 Tage zurückliegt, dann kann auch sie ohne Zwei-Faktor-Authentifizierung erfolgen. Genauso wie Überweisungen an Empfänger, die auf einer selbst erstellten IBAN-Whitelist stehen, oder an ein Zielkonto, das dem Kunden selbst gehört und bei derselben Bank geführt wird.

Ob eine Bank oder Sparkasse das mTAN Verfahren weiter anbietet und ob sie Gebrauch von den verschiedenen Ausnahmen macht, entscheidet sie letztendlich selbst. „Daher kommt man nicht umhin, sich direkt bei seinem Geldinstitut über die Änderungen zu informieren“, erklärt Montz.

Für die Redaktionen: Gerne stellen wir Ihnen die Titelstrecke kostenlos zur Rezension zur Verfügung.