Neues TAN-Verfahren

Vor Kurzem habe ich ein Schreiben meiner Bank erhalten, dass das bisherige TAN-Verfahren abgelöst wird. Bisher hat man immer eine Liste mit 100 TAN-Nummern zugeschickt bekommen. Ich fand das Verfahren eigentlich immer ganz praktisch.

Nun bieten sie zwei neue Möglichkeiten an. Zum einen soll man die TANs zukünftig per SMS erhalten können. Wahrscheinlich bekommt man dann bei jeder Online-Überweisung eine extra TAN zugeschickt. Die andere Möglichkeit wäre, dass man die TANs per Email zugeschickt bekommt. Ehrlich gesagt, finde ich das aber nicht wirklich sicherer als den Versand per Post. Was meint ihr?

SMS kommen manchmal nciht an. Ebenso wie auch mails, die schnell im Spam-Ordner landen können. Das Internet ist so schon sehr unsicher und ich muss sagen, dass ich wichtige Daten nicht gerne bzw. überhaupt nicht per mail versende. Da ich mein Handy aber auch nur benutze, wenn ein Notfall ist, habe ich es nicht immer geladen und kann dann kaum eine SMS empfangen. Außerdem ist es auch schon vorgekommen, dass ich eine SMS erst Tage nach dem versenden bekommen habe.

Ich bin eigentlich mit der Art des Onlinebankings und den Tannummern per Post zufrieden. Da man ja immer gesagt bekommt, welche Tan man brauchen soll und ich die Liste ja vor mir habe und ich weiß, dass kein anderer sie hat, finde ich das ziemlich sicher. Vor allem kann man sofort die Sparkassengeschäfte machen und muss nicht auf eine mail oder SMS warten.

Ich muss dir Recht geben, sicherer ist der Versand per E-Mail oder SMS sicherlich nicht. Möglicherweise ist er einfacher, wenn man nicht immer den Zettel suchen muss. Dies allerdings nur, wenn man nur sehr selten Überweisungen tätigen muss. Tut man dies mehrmals am Tag, wäre Ich über das Verfahren verärgert. Ich selbst war mit dem alten TAN-Verfahren auch zufrieden und Ich habe bei unserer Bank auch noch von keiner Umstellung gehört. Trotzdem finde Ich, dass der Versand per SMS (auf keinen Fall per E-Mail) eine sinnvolle Alternative ist, vor allem wenn man sich nicht zu Hause befindet.

Meine Bank löst das iTan-Verfahren (indiezierte TAN) komplett durch das mTAN-Verfahren ab (mobile TAN). Alternativ gibt es noch die Möglichkeit, das Chip-TAN-Verfahren zu nutzen.

Das heisst, nachdem ich alle Eingaben gemacht habe, fordere ich eine mTAN an und bekomme sie auf mein Handy als SMS. Diese TAN ist dann nur wenige Minuten gültig und auch nur für die soeben eingegeben Daten, jede Änderung, z.B. beim Betrag, führt dazu, dass die mTan ungültig wird. Der Sicherheitsvorteil liegt darin, dass die SMS nur an die hinterlegte Handynummer gesendet wird,

Beim Chip-Tan-Verfahren ist es ähnlich, nur benötigt man dazu eine Bankkarte mit Chip und einen Tan-Generator. Dieser generiert anhand eines Strichcodes auf dem Bildschirm, an welchen man das Leseteil des Generators halten muss, sowie der eingesteckten Bankkarte (also eigentlich mit dem Chip) eine einmalig gültige TAN, die auch nur für die eingegebenen Daten gelten und nach einigen Minuten oder einer Änderung sofort ungültig wird.

Vorteil bei beiden Varianten ist, dass es die TAN vorher nicht gibt und sie wirklich ausschliesslich für eine Transaktion generiert wird. Es kann also niemand etwas mit TAN-Listen anfangen, die ihm zufällig in die Hände fallen.

Vorher war mir das TAN bzw. iTAN-Verfahren aber auch sicher genug, da niemand an meine TAN-LIste kommt.

Die Befürchtung, dass auch meine Bank langsam auf zwei andere TAN-Verfahren umsteigt, hege ich derzeit auch. Man kann sich schon jetzt auf deren Website über die beiden Methoden informieren und sich dafür anmelden. Ich weigere mich einfach noch und bevorzuge ganz schlicht und einfach die jetzige Methode.

Es wird das ChipTAN-Verfahren geben, bei dem der PC zusammen mit einem TAN-Generator arbeitet. Diesen Generator kann man sich für 10 Euro in der Filiale kaufen, was ich persönlich fast schon ein Unding finde. Die TAN-Listen waren immerhin umsonst. Bei diesem Generator wird die EC-Karte in den Generator geschoben und man muss den Generator dann an eine animierte Grafik am PC halten. Dabei werden die Daten übertragen, die für die Transaktion benötigt werden. Bei einer erfolgreichen Datenübertragung werden dann noch einmal alle Daten angezeigt, die für den Auftrag notwendig sind und erst dann wird eine TAN generiert. Wenn die Daten nach Abgleichung stimmen, wird die auf dem Generator erzeugte TAN am PC eingegeben und der Auftrag wird ausgeführt. Ehrlich gesagt wirkt diese Methode ziemlich umständlich und aufwendig auf mich, auch wenn es vielleicht eine Gewohnheitssache ist.

Die andere Möglichkeit, eine TAN zu erhalten, ist per SMS. Dazu wird natürlich eine Handynummer benötigt. 5 SMS im Monat sind kostenfrei, pro weitere SMS wird eine Gebühr von 9 Cent fällig. In der SMS sind noch einmal die für den Auftrag notwendige Daten vermerkt als auch eine einmal gültige TAN.

Auch, wenn die letzte Methode dann eher etwas für mich wäre, käme ich wahrscheinlich mit 5 SMS im Monat gar nicht hin und mein Handy habe ich auch nicht immer in der Nähe meines Rechners. Ich verlege zwar oft meine TAN-Liste und das Papier stört mich nicht, aber ich habe etwas in der Hand und muss mich nicht nur auf die Technik verlassen. Ich hoffe sehr, dass meine Bank noch weiterhin die TAN-Liste als Papier herausschickt und mich nicht zwingt, eine der oben erklärten Optionen auszuwählen.

Seitdem ich mein Konto habe, bin ich nur das SMS-TAN-Verfahren gewohnt und ich muss sagen, dass ich damit auch sehr gut zurecht komme. Bis jetzt sind die TANs immer angekommen und, da ich ein iPhone habe, werden die TANs auch direkt nach dem Klick auf den "Weiter"-Button empfangen und übersichtlich angezeigt. Ich finde das SMS-TAN-Verfahren sogar besser, als das mit Liste, was meine Mutter noch verwendet. Email würde ich nicht nehmen, da das doch sehr unsicher ist, wenn jemand das Passwort der Emailadresse hat, kann er ungesehen einfach deine TANs nutzen. Wenn du dein Handy verlierst, weißt du sofort, dass das SMS-Tan-Verfahren für dich nicht mehr sicher ist und kannst das Handy sofort für den Empfang von SMS-TANs blocken.

Ich halte die neuen Services für eine sehr gute Idee, weil sie das Online-Banking deutlich flexibler machen; schließlich ist man nicht immer auf eine Liste angewiesen. Das kann sinnvoll sein, wenn man ein Mensch mit weniger gut ausgeprägtem Ordnungssinn ist, aber auch dann, wenn man über mehrere Tage hinweg nicht zu Hause ist und von unterwegs aus eine Überweisung tätigen möchte. Auch das Argument, dass man bei einer Überweisung durch diese Verfahren länger warten müsste, verstehe ich nicht so ganz. Gut, eine der Versand einer SMS dauert möglicherweise einige Sekunden, aber ich denke schon, dass man darauf achten wird, dass das Zuschicken der neuen Nummer schnell von statten geht. Wenn man dazu neigt, das Handy im ungeladenen Zustand mit sich herumzutragen, ist das natürlich ungünstig, dann muss man im schlimmsten Fall eben bis zu Hause warten, was man aber bei der ursprünglichen Listen-Methode sowieso hätte tun müssen; als wirklichen Nachteil sehe ich das auch nicht.

Was die Sicherheit betrifft, so habe ich da eigentlich wenig Bedenken. Es ist äußerst unwahrscheinlich, dass jemand mein Handy oder meine SIM-Karte klaut und zusätzlich noch meine PIN für das Bankkonto kennt, wenn ich diese nicht auf dem Handy abgespeichert habe, was ich aus Sicherheitsgründen nie machen würde. Selbst wenn ich, weil ich noch nicht gemerkt habe, dass mir das Handy abhanden gekommen ist, noch eine TAN an dieses verlorene Handy schicken würde, könnte der neue Besitzer nichts damit anfangen, weil er die PIN nicht kennt.

Ähnlich sehe ich das mit der E-Mail-Liste. Es ist äußerst unwahrscheinlich, dass jemand mein Passwort bei meinem E-Mail-Anbieter knackt und gleichzeitig im Besitz meiner PIN-Nummer ist. Nur die TAN-Nummern nutzen in der Regel relativ wenig, schließlich kann man nicht beliebig oft andere PINs ausprobieren, nach einer gewissen Anzahl von Fehlversuchen wird das Konto gesperrt. Um das Risiko weiter zu minimieren, belasse ich meine E-Mails nicht auf dem Server, sondern lade sie per Thunderbird auf meinen Computer; und zwar in regelmäßigen Zeitabständen. Wer mein E-Mail-Passwort knacken sollte, trifft also in der Regel nur auf einen leeren Posteingang. Natürlich, all diese Vorkehrungen nutzen mir relativ wenig, wenn sich ein Hacker mein gesamtes System vorgenommen hat, aber dann hätte ich sowieso Schwierigkeiten mit der Sicherheit; egal bei welchem Verfahren.

Letztlich sollte man auch bedenken, dass diese Methoden ein weiterer Schritt sind, das Online-Banking völlig barrierefrei zu machen. Wenn ich diese TAN-Listen bekomme, brauche ich immer irgendjemanden, der sie mir vorliest, damit ich sie eintippen und später verwenden kann. Bis ich jemanden gefunden habe, der mir 100 Nummern vorliest, dauert es eine Weile. Die Alternative besteht bei mir im Scannen der Liste, was auch relativ gut funktioniert, aber kleine Übertragungsfehler lassen sich nie ganz vermeiden, sodass ich nicht alle Nummern verwenden kann. Diese Services kommen also auch sehschwachen Menschen deutlich entgegen und deshalb werde ich sie demnächst auch nutzen.

Es wird das ChipTAN-Verfahren geben, bei dem der PC zusammen mit einem TAN-Generator arbeitet. Diesen Generator kann man sich für 10 Euro in der Filiale kaufen, was ich persönlich fast schon ein Unding finde. Die TAN-Listen waren immerhin umsonst. Bei diesem Generator wird die EC-Karte in den Generator geschoben und man muss den Generator dann an eine animierte Grafik am PC halten. Dabei werden die Daten übertragen, die für die Transaktion benötigt werden. Bei einer erfolgreichen Datenübertragung werden dann noch einmal alle Daten angezeigt, die für den Auftrag notwendig sind und erst dann wird eine TAN generiert.

Naja so ein Gerät kostet halt nun einmal Geld, ein Blatt Papier dagegen ist spottbillig. Und nicht jeder Kunde braucht alle 2 Monate eine neue Tanliste. Die Kosten dürften sich also bei der herkömmlichen Methode arg in Grenzen halten. Und du kannst den Generator ja für jedes Konto bei der Bank benutzen. Meine Freundnin und ich steigen jetzt aufgrund schlechter Erfahrung mit dem alten System auch auf das Chip-Tan-Verfahren um und wir haben nur ein Gerät gekauft, weil wir es für beide Konten nutzen können und somit sind es schon nur noch 5 Euro.

Der große Vorteil ist aber in meinen Augen, dass vor Abschluss der Überweisung nochmal alles geprüft werden muss und die Tan nur in Zusammenhang mit der Karte generiert werden kann. Ohne Karte kann da also keine Überweisung mehr in Auftrag gegeben werden. Das ging ja bei der herkömmlichen Verfahren schon. Und Tans können abgegriffen werden, wenn man einmal in seinem Onlinebanking nicht aufpasst und umgeleitet wurde und da hatte man dann eben bisher Pech, da dann die Überweisung ausgeführt werden konnte. Das wird jetzt damit ja deutlich erschwert.

Und bisher ist es ja zumindest bei den Sparkassen so, dass dieses Verfahren freiwillig ist. Man wird zwar angeschrieben und darauf hingewiesen, dass es die Möglichkeit gibt, aber es ist noch keine Pflicht. Und somit kann man ja, wenn es einem reicht, das alte Verfahren weiter nutzen.

Ich nutze bereits seit knapp drei Jahren das TAN-Verfahren per SMS. Ich muss sagen, dass ich zunächst auch sehr skeptisch war. Ich hatte die Befürchtung, dass eine SMS mal nicht ankommt, oder ich sie erst Stunden später bekomme. In diesen drei Jahren kam das aber nicht ein einziges Mal vor. Ich bin wirklich super zufrieden mit diesem Verfahren und kann das nur empfehlen.

Ich weiß, dass es mit dem "alten" Verfahren, bei dem man einen Zettel mit ganz vielen TAN-Nummern zugeschickt bekommen hat, häufiger Probleme gab. Insbesondere in letzter Zeit ist es verstärkt zu Betrügereien im Internet gekommen. Dies ist durch das neue Verfahren nicht mehr möglich, bzw. nicht in der Art, wie es bisher angewendet wurde. Da müssen sich die Betrüger erst mal etwas Neues einfallen lassen.

Nun bieten sie zwei neue Möglichkeiten an. Zum einen soll man die TANs zukünftig per SMS erhalten können. Wahrscheinlich bekommt man dann bei jeder Online-Überweisung eine extra TAN zugeschickt. Die andere Möglichkeit wäre, dass man die TANs per Email zugeschickt bekommt. Ehrlich gesagt, finde ich das aber nicht wirklich sicherer als den Versand per Post. Was meint ihr?

Ich selber nutze auch das Onlinebanking und hatte anfangs auch diese Listen mit den TANs, aber meine Bank (Sparkasse) wollte von diesen Listen komplett weg und bot mir dann auch das TAN Verfahren mit dem Handy an. Anfangs war ich sehr skeptisch, denn was passiert, wenn ich mein Handy mal verloren bringe oder so?

Die Sparkasse erklärte mir, das man sich ja sowieso mit der Kontonummer und dem Passwort auf der Website einloggen muss, bevor man eine Überweisung tätigen kann und diese ja nicht auf dem Handy vermerkt sind. Die TANs würden lediglich zum Abschluß einer Überweisung per SMS aufs Handy geleitet und da steht dann auch nur die Kontonummer des Empfängers und die dazugehörige TAN für die Überweisung notiert.

Mittlerweile nutze ich dieses Verfahren schon knapp ein Jahr und bin sogar froh, das ich gewechselt habe, denn wie oft hatte ich meine Listen verlegt und immer grad dann, wenn ich sie brauchte. Mit dem TAN Verfahren übers Handy hab ich noch nie Probleme gehabt und kann es auch nur weiterempfehlen.