welches TAN-Verfahren nutzen?

[csteinen]

Hallo, die Banken bieten verschiedenene TAN:Verfahen für ihre Kunden an. Ich habe jeztt einen Nummerblock auf Papier per Post erhalten, aber es gibt auch Mobiltan und Fototan. Welches Verfahren ist am besten?

[nmh · Accepted solution]

Hallo zurück,

vielen Dank für die gute Frage.

comdirect bietet derzeit drei TAN-Verfahren an.

Ich persönlich nutze am liebsten das iTAN-Verfahren mit einer Liste auf Papier. Das System wählt eine TAN davon aus und sagt mir, welche ich eingeben soll. Man ist weder auf technische Zusatzgeräte (liegen schwer in der Jackentasche) noch auf eine Mobilfunkverbindung angewiesen, und es geht extrem schnell. Meiner Meinung nach ist das iTAN-Verfahren auch am sichersten, denn wer keinen Zugriff auf das Papier hat, kann es auch nicht mißbrauchen.

Dennoch wird die iTAN von den Banken als unbefriedigend empfunden. Hauptrisiko ist, daß eine TAN jederzeit generiert werden kann (durch Ablesen vom Papier), auch wenn nicht die Bank, sondern ein Betrüger die Abfrage ausgelöst hat. Zum Beispiel über eine irreführende E-Mail oder Phishing-Website. Nach informeller Auskunft von comdirect-Mitarbeitern gibt es leider noch immer genügend Kunden, die in so einem Fall frank und frei eine iTAN eingeben, obwohl die Aufforderung nicht von comdirect kam. Das könnte mir freilich niemals passieren (siehe hier, hehehe).

Aus diesem Grund soll ab Ende 2018 auch bei comdirect die gute alte Papier-Liste abgeschafft werden (siehe hier). Ich weine schon heute jede Nacht bittere Tränen und kann nicht mehr schlafen.

Die beiden anderen Verfahren haben aus Sicht der Bank den Vorteil, daß der Kunde nur dann eine TAN erhält, wenn die Bank das will, wenn also tatsächlich ein Auftrag bestätigt werden soll. Für beide Verfahren werden aber technische Zusatzgeräte benötigt, die vorhanden und funktionsfähig (Batterie leer?) sein müssen.

mTAN (mobil-TAN) bedeutet, daß die Bank Dir eine TAN per SMS auf das Mobiltelefon schickt. Das funktioniert, solange es eine Mobilfunkverbindung gibt. In meinem Büro in München (Stadtmitte) in einem Gebäude aus Metall ist das durchaus nicht immer der Fall - ich muß dann das Fenster öffnen! Und hier in der Community liest man regelmäßig Geschichten über technische Störungen beim SMS-Versand - man gebe mal "SMS" in die Suchfunktion ein. Schönen Dank auch, wenn derweil die Börse abstürzt.

Hinzu kommt, daß es Bösewichten bereits gelungen ist, sich SIM-Karten fremder Nutzer zu erschleichen. Beispielsweise weil die kraaaaassen Typen in den Telefonläden (ehrbarer Beruf!) nicht immer sooooo genau nach dem Ausweis gefragt haben. Damit habe ich dann Zugriff auf fremde mTANs.

Bleibt als letzte Möglichkeit das PhotoTAN-Verfahren. Dafür werde ich mich wohl entscheiden, wenn es mein Papier nicht mehr gibt. Comdirect blendet dann auf dem Bildschirm ein buntes Punktemuster ein (sog. 2D-Barcode), der mit einem Decoder gescannt werden muß. Decoder ist entweder ein Smartphone mit entsprechender App oder ein Lesegerät, das comdirect gegen Gebühr zur Verfügung stellt.

Als jemand, der bisher ohne Smartphone ausgekommen ist (kein Witz), benötige ich also das Lesegerät. Ungefähr so groß wie eine Streichholzschachtel, beult es dennoch meine Taschen unschön aus. Und ich tendiere dazu, sowas immer irgendwo liegen zu lassen. Wenn nicht, ist garantiert die Batterie leer (Smartphone oder Lesegerät), wenn ich es dringend brauche.*

Aus technischer Sicht haben die elektronischen TANs (Lesegerät oder Handy) auch den Vorteil, daß neben der eigentlichen TAN auch die Auftragdaten nochmal angezeigt werden (z.B. Zielkontonummer oder WKN des Wertpapiers, das ich kaufen will). Diese Daten sind in der SMS bzw. in dem Barcode verschlüsselt. Dadurch kann verhindert werden, daß ein Bösewicht einen Auftrag zu seinen Gunsten verfälscht.

Sowohl die Mobil-TAN als auch die Photo-TAN wurden allerdings in der Vergangenheit schon "gehackt"...

Immerhin geht das Generieren der TAN mit dem Lesegerät ebenfalls sehr, sehr schnell. Und eine Mobilfunkverbindung braucht man nicht. Freundlicherweise hat comdirect mir aus Kulanz zwei TAN-Lesegeräte geschenkt - eines fürs Büro, eines für daheim. Ich habe schon damit gearbeitet und komme zurecht. Trotzdem werde ich bei Abschaffung der Papier-Liste einige Kerzen anzünden. Aus Trauer.

Ich hoffe, diese Informationen sind hilfreich für Dich (bitte klicken!), und wünsche Dir noch ein schönes Wochenende.

Viele Grüße aus einem sonnig-warmen München

nmh

______________________

*) Fun Fact: Ich besitze ein altmodisches Klapphandy. Den Akku muß ich einmal pro Halbjahr laden, genügt dann wieder für 6 Monate. Aber kann halt keine Apps.

[ehemaliger Nutzer]

Ich habe bislang iTan genutzt und sehe da auch keinerlei Nachteile, wenn man verantwortungsvoll mit der TAN-Liste umgeht.

Das Foto-TAN Verfahren habe ich mir hier kürzlich zugelegt Das funktioniert sehr gut und sollte sicher sein. Man kann auch eine Smartphone-App nutzen, was ich aus Sicherheitsgründen nicht mache (siehe unten) oder den TAN-Generator. Der TAN-Generator ist ein handliches Gerät mit richtigen Knöpfen zum Bedienen (leider heutzutage keine Selbstverständlichkeit) und auch kein Wegwerfgerät, da man die Batterien austauschen kann.

mTAN (sowie mobiles Banking) nutze ich nicht, da mir das definitiv zu unsicher ist. Der Herstellersupport für Mobiltelefone hinsichtlich Betriebssystem und Sicherheitsupdates ist zeitlich sehr begrenzt. Wenn man sich also nicht permanent ein neues Handy zulegt, sollte man da vorsichtig sein. Ich nutze beispielsweise ein älteres Samsung mit Android 4.4.2 ... Updates gibt es nicht mehr.

[inliner]

Ich bin da anderer Meinung.

Ich gehe sehr verantwortungsvoll mit meinen E-Mail-Accs und meinem Hany um und nutze schon seit langem mTan und möchte es nicht mehr missen.

[Smurf]

Überlegt halt mal. Der TAN-Generator ist mit Abstand das sicherste:

1. Ein Betrüger müsste zunächst Euer OnlineBanking hacken

2. Dann müsste er rausfinden, wie die Comdirect codiert und wie er das darstellen kann, dass die von ihm gewünschten Empfängerdaten "eingespielt" werden.

(halte ich für unmöglich)

3. Müsstet Ihr insoweit pennen, damit Ihr vor der Freigabe nicht merkt, dass das, was der Generator anzeigt, nicht mit dem übereinstimmt, dass Ihr eingegeben habt.

(hängt von Euch selber ab)

Ich kenne den TAN-Generator so, dass man seine Bankkarte einführen muss (ach so, die braucht der Gauner ja auch noch). Klar ist das nervig, dass man vorm PC im Obergeschoß sitzt und merkt, dass die Karte im Geldbeutel steckt, der im Erdgeschoß auf dem Tisch liegt...

Trotzdem ist das Verfahren das eindeutig sicherste.