Welches OnlineBankingVerfahren ist das sicherste?

welches online banking verfahren ist das sicherste: chipTAN vs App

Die Auswahl der richtigen Authentifizierungsmethode schützt Konten vor unbefugten Zugriffen und Betrugsversuchen im digitalen Zahlungsverkehr. Erfahren Sie hier, welches online banking verfahren ist das sicherste und welche Technologien den höchsten Schutz bieten.

Welches Online-Banking-Verfahren bietet den besten Schutz?

Das chipTAN-Verfahren (auch bekannt als Smart-TAN) gilt laut Expertenberichten nach wie vor als das sicherste Online-Banking-Verfahren, wenn man analysiert, was ist das sicherste tan verfahren. Der entscheidende Sicherheitsvorteil liegt in der strikten Medientrennung, da die Transaktionsnummer (TAN) auf einem separaten Hardware-Gerät ohne Internetverbindung erzeugt wird.

Als ich vor Jahren mein erstes Konto eröffnete, dachte ich, alles auf einem Bildschirm zu erledigen sei die Krönung der Bequemlichkeit. Mein Smartphone war Banking-Zentrale und TAN-Generator in einem. Bis zu dem Tag, an dem ein Bekannter durch eine Schadsoftware sein halbes Erspartes verlor. Da wurde mir schlagartig klar: Absolute Bequemlichkeit schließt absolute Sicherheit oft aus. Wer seine Finanzen im Netz schützt, muss die Kanäle trennen.

Unabhängige Prüfungen und Sicherheitsanalysen bestätigen regelmäßig, dass viele erfolgreiche Angriffe im Online-Banking auf Verfahren abzielen, bei denen keine physische Trennung der Geräte stattfindet. ^[1] Betrachtet man ein online banking verfahren im vergleich, wird dies besonders deutlich. Die klassische smsTAN etwa ist fast vollständig vom Markt verschwunden. Kriminelle nutzen vermehrt ausgeklügelte Methoden, um die Kontrolle über die Kommunikationskanäle zu erlangen.

Die Anatomie der Medientrennung: Warum chipTAN und photoTAN so sicher sind

Sicherheit im digitalen Raum basiert auf Barrieren. Wer wissen will, welches online banking verfahren ist das sicherste, stellt fest: Wenn Sie ein chipTAN-Gerät oder ein autarkes photoTAN-Lesegerät nutzen, bauen Sie eine unüberwindbare Wand für Hacker auf. Selbst wenn ein Trojaner Ihren Computer komplett unter Kontrolle hat, kann er nicht auf das kleine Plastikgerät auf Ihrem Schreibtisch zugreifen. Es ist schlicht offline.

Ein weiterer Kernmechanismus ist die sogenannte Transaktionsbindung. Der Generator liest die spezifischen Daten Ihrer Überweisung wie die Empfänger-IBAN und den genauen Betrag ein. Diese Daten werden Ihnen auf dem eigenen Display des Generators angezeigt. Die erzeugte TAN ist nur für exakt diese Transaktion gültig. Wenn ein Angreifer im Hintergrund versucht, die Kontonummer heimlich auszutauschen, sehen Sie das sofort auf der Anzeige Ihres Generators.

In meiner täglichen Praxis sehe ich oft den gleichen Fehler: Nutzer drücken aus Gewohnheit einfach auf Bestätigen. Ein fataler Fehler. Nehmen Sie sich die zwei Sekunden Zeit, um die Ziffern abzugleichen. Es schützt Ihr Geld.

Das Smartphone-Dilemma: Wie sicher ist pushTAN wirklich?

Das pushTAN-Verfahren, bei dem die TAN in einer speziellen App auf demselben Smartphone generiert wird, auf dem auch die Banking-App läuft, wirft oft Fragen zur chipTAN vs pushTAN sicherheit auf. Statistiken zur App-Nutzung zeigen, dass mittlerweile rund 70% der Bankkunden in Europa digitale Plattformen nutzen. Aber ^[2] hier schrumpft die Medientrennung auf ein Minimum zusammen.

Wird Ihr Smartphone kompromittiert, riskieren Sie den Zugriff auf beide Kanäle gleichzeitig. Die Bequemlichkeit birgt ein systemisches Risiko. Um dieses Risiko zu minimieren, sollten Sie das Banking idealerweise am PC durchführen und das Smartphone nur als Empfänger für die pushTAN nutzen. Wenn Sie dennoch alles auf einem Gerät erledigen, sichern Sie beide Apps zwingend mit unterschiedlichen, starken Passwörtern oder biometrischen Barrieren ab.

Die unterschätzte Gefahr im Hintergrund? Gefährliche Browser-Erweiterungen am Desktop-PC. Viele Nutzer installieren unbedacht Add-ons für Schnäppchen oder Produktivität. Es kommt jedoch immer wieder vor, dass legitime Erweiterungen aufgekauft oder gehackt werden, um Schadcode einzuschleusen. Diese Add-ons können den Datenverkehr im Browser manipulieren, noch bevor er verschlüsselt wird. Wer Banking am PC betreibt, sollte dafür einen sauberen Zweitbrowser ohne jegliche Erweiterungen nutzen.

Online-Banking-Verfahren im direkten Sicherheitsvergleich

Die verschiedenen TAN-Verfahren unterscheiden sich drastisch in ihrem Schutzgrad und den zugrundeliegenden Risiken.

chipTAN (Flickercode / QR-TAN) ⭐

• Bankkarte wird in einen separaten, komplett offline arbeitenden Generator gesteckt.
• Sehr hoch
• Physischer Verlust der Bankkarte zusammen mit der geheimen PIN.

photoTAN / QR-TAN (mit externem Lesegerät)

• Ein vom Internet getrenntes Speziallesegerät scannt eine Grafik vom Bildschirm ab.
• Sehr hoch
• Verlust des Lesegeräts oder gezielte Manipulation bei der Dateneingabe.

pushTAN / appTAN (per Smartphone-App)

• Die TAN wird in einer passwort- oder biometriegesicherten App auf dem Smartphone generiert.
• Hoch bis moderat
• Infektion des Smartphones mit Schadsoftware, wodurch beide Kanäle kompromittiert werden.

smsTAN / mobileTAN

• Die TAN wird als unverschlüsselte SMS an das Mobiltelefon gesendet.
• Gering
• Abfangen der SMS durch SIM-Swapping oder IMSI-Catcher. Veraltet.

Die Schadsoftware-Falle bei Thomas: Ein Weckruf zur Medientrennung

Thomas, ein 42-jähriger Handwerker aus Leipzig, nutzte jahrelang ausschließlich pushTAN auf seinem Smartphone für alle Überweisungen. Er schätzte die Schnelligkeit beim Bezahlen von Materialrechnungen direkt von der Baustelle aus und fühlte sich durch die Gesichtsbiometrie absolut sicher.

Beim Versuch, eine vermeintliche Paketbenachrichtigung zu öffnen, fing er sich jedoch unbemerkt einen Banking-Trojaner ein. Als er am nächsten Abend eine reguläre Überweisung tätigen wollte, manipulierte die Schadsoftware die Anzeige der Banking-App im Hintergrund komplett.

Das Smartphone zeigte Thomas den korrekten Rechnungsbetrag an, leitete das Geld im Hintergrund aber auf ein ausländisches Betrügerkonto um. Da die TAN-Generierung auf demselben infizierten Gerät stattfand, bemerkte Thomas den Betrug beim Freigeben der Transaktion überhaupt nicht.

Erst durch den Blick auf den echten Kontoauszug Tage später fiel der Verlust auf. Seit diesem Vorfall nutzt Thomas für sein Geschäftskonto nur noch ein separates photoTAN-Lesegerät und weigert sich strikt, TAN-Apps auf seinem alltäglichen Smartphone zu installieren.

Die hier bereitgestellten Informationen dienen ausschließlich der allgemeinen Aufklärung und allgemeinen Orientierung zur IT-Sicherheit im Online-Banking. Sie stellen keine individuelle Sicherheitsberatung oder rechtsverbindliche Empfehlung dar. Die konkreten Sicherheitsmerkmale und technischen Ausgestaltungen können je nach Bankinstitut variieren. Wenden Sie sich bei spezifischen Fragen zur Kontosicherheit oder im Verdachtsfall eines Betrugs immer direkt an den Kundenservice oder den Sicherheitsbeauftragten Ihrer Bank.