Suchen
eTAN, iTAN, mTAN: Welche denn nun?
Hintergrundartikel
Die verschiedenen TAN-Verfahren sind unterschiedlich sicher gegenüber Angriffen wie zum Beispiel Phishing. Alle TAN-Verfahren lassen sich in zwei Kategorien einteilen: die Kategorie der statischen TAN-Verfahren und die der dynamischen TAN-Verfahren.
Eine statische TAN liegt Ihnen als Kunde bereits vor, zum Beipiel auf einer TAN-Liste. Das heißt, statische TANs besitzen Sie bereits bevor Sie eine Überweisung (auch Transaktion genannt) durchführen. Eine dynamische TAN wird erst generiert, wenn Sie eine Überweisung beauftragen. Sie erhalten eine solche TAN also erst, wenn Sie sie wirklich benötigen.
Die dynamischen TAN-Verfahren weisen bessere Sicherheitsmerkmale auf. Um eine TAN jedoch dynamisch zu erstellen, wird spezielle Hardware benötigt. Diese verursacht im Vergleich mit den statischen TAN-Varianten zusätzliche Kosten.
Die statischen TAN-Verfahren
Zu den statischen TAN-Verfahren zählen die klassischen sowie die indizierten TANs. Beim klassischen TAN-Verfahren bekommen Sie als Bankkunde eine TAN-Liste zugeschickt. Diese Liste sollten Sie sorgfältig aufbewahren. Eine TAN benutzen Sie, um zum Beispiel eine Überweisungen zu bestätigen. Sie können jede TAN genau einmal verwenden. Sie müssen den Überblick behalten, welche TAN Sie bereits benutzt haben. Sie können dazu die jeweils benutzte TAN durchstreichen. Rechtzeitig bevor Sie alle TANs der Liste verbraucht haben, müssen Sie bei Ihrer Bank eine neue TAN-Liste beantragen, wenn die Bank Ihnen keine neue TAN-Liste automatisch zuschickt.
Die indizierte TAN (iTAN) ist eine Erweiterung der klassischen TAN bei der die TANs auf der Liste durchnummeriert sind. Dadurch kann die Bank Sie auffordern, eine bestimmte TAN einzugeben. Betrügern wird es somit erschwert Schaden anzurichten. Es nützt ihnen nichts, wenn sie zum Beispiel durch einen Phishing-Angriff eine TAN ergaunern, da die Bank bei der nächsten Überweisung nach einer ganz anderen TAN fragen wird. Bei diesem Verfahren müssen Sie nicht festhalten, welche TAN Sie bereits verwendet haben, da von der Bank jede TAN genau einmal abgefragt wird.
Für die iTAN gibt es ebenfalls eine um weitere Sicherheitsmerkmale erweitere Variante: das iTANplus-Verfahren. Hier wird die zu bestätigende Überweisung in Form eines Bildes angezeigt. Die Überweisungsdaten sind weiterhin als Zahlen sichtbar, obwohl sie technisch in einem Bild dargestellt werden. Im Bildhintergrund befindet sich zusätzlich das Geburtsdatum des Kunden. Das Datum ist in aller Regel nur Ihnen und Ihrer Bank bekannt. Ein Angreifer müsste sehr schnell und sehr gut raten oder Sie ganz gezielt ausspioniert haben, um einen Betrug während des Bestätigungsvorgangs durchzuführen.
Mit Hilfe des Datums kann zusätzlich überprüft werden, ob Sie diese Überweisung ausführen. Sämtliche Daten auf dem Bild dienen Ihnen zur Kontrolle. Sie sollten diese Daten sorgfältig überprüfen: Stimmen Kontonummer und Bankleitzahl? Stimmt Ihr Geburtsdatum? Stimmt der Betrag? Diese Überprüfung ist nicht nur von Nutzen, um eigene Tippfehler zu identifizieren. Einige auf dem heimischen Computer eingeschleuste Schadsoftware ist darauf ausgerichtet, die eingegebenen Überweisungsdaten zu manipulieren. Überprüfen Sie beim iTANplus-Verfahren die Angaben nicht genau, bestätigen Sie unter Umständen mit Ihrer TAN eine Überweisung, die Sie so nicht tätigen wollten.
Zur weiteren Steigerung der Sicherheit senden viele Banken dem Kunden nach der TAN-Eingabe eine Bestätigungsnummer (BEN) zu. Pro TAN gibt es genau eine BEN. Die angezeigte BEN sollten Sie als Kunde mit der BEN hinter der von Ihnen eingegebene TAN auf Ihrer TAN-Liste vergleichen. Dieser zusätzliche Sicherheitsvorteil gegenüber der klassischen TAN dient dem frühzeitigen Erkennen möglicher Phishing-Angriffe. Sobald Sie bemerken, dass die BEN nicht übereinstimmen, können Sie umgehend Ihre Bank anrufen und eventuell einen Betrugsfall rechtzeitig vereiteln.
Die dynamischen TAN-Verfahren
Bei den TAN-Verfahren mobile TAN (mTAN), sm@rt-TAN-Generator, BW-Bank-TAN-Generator (eTAN) oder Sm@rtTAN-Plus-Generator kommen weitere Sicherheitsaspekte zum Einsatz. Gemeinsam haben sie, dass die TAN erst im Rahmen des Bestätigungsvorgangs einer Überweisung dynamisch erstellt wird.
Der Ablauf ist grundsätzlich folgender: Sie füllen ein Onlineformular für die Überweisung aus und erhalten im Anschluss eine Bestätigungsseite mit den Details zur geplanten Überweisung. Zur Bestätigung geben Sie hier die dynamisch generierte TAN ein. Erst nach Eingabe der richtigen TAN wird die Überweisung ausgeführt. Die dynamisch generierte TAN ist dabei zeitlich an den Überweisungsvorgang gekoppelt.
Diese zeitliche Kopplung erschwert es Betrügern, gestohlene TANs einzusetzen. Denn diese sind nur für einen sehr kurzen Zeitraum, das heißt ein paar Minuten nach Erstellung, gültig. Das bedeutet aber auch, dass Sie als Kunde für jede Überweisung kurzfristig eine dynamische TAN von Ihrer Bank erhalten müssen. Dies erfolgt mit Hilfe von zusätzlichen Geräten, wodurch sich die oben genannten Verfahren unterscheiden.
Beim mTAN-Verfahren benötigen Sie als Kunde ein Mobiltelefon. Die TAN wird von der Bank via SMS an Ihr Handy gesendet. Der sm@rt-TAN-Generator nutzt Ihre Maestro-Karte und ein entsprechendes Kartenlesegerät. Aus den Sicherheitsinformationen der Karte werden TANs in einer bestimmten Reihenfolge erstellt. Die Sicherheitsinformationen Ihrer Karte sind auch Ihrer Bank bekannt, wodurch Ihre Bank die von Ihnen eingegebene TAN überprüfen kann. Ähnlich funktioniert der BW-Bank-TAN-Generator oder Sm@rtTAN-Plus-Generator. Diese werden ebenfalls durch ein zusätzliches Gerät realisiert. Die TANs werden dort mit Hilfe eines geheimen Schlüssels durch ein sehr kompliziertes Verfahren generiert.
Bei der mTAN sowie dem BW-Bank-TAN-Generator bzw. Sm@rtTAN-Plus-Generator sind die erstellten TANs nur für einen kurzen Zeitraum und nur für eine Bestätigung auf das Empfängerkonto für den angegebenen Betrag zu einer bestimmten Uhrzeit gültig.
Fazit
Die folgende Tabelle fasst alle vorgestellten TAN-Verfahren zusammen:
| TAN-Verfahren | Auslieferung zum Bankkunden* | Zusätzliche Hardware | Zusätzliche Sicherheitsaspekte |
|---|---|---|---|
| TAN | statisch | nein | 0 |
| iTAN | statisch | nein | 1:Indizierung |
| iTAN/BEN | statisch | nein | 2:Indizierung,Bestätigungsnummer |
| iTANplus | statisch | nein | 2:Indizierung,Geburtsdatum im Bildhintergrund |
| iTANplus/BEN | statisch | nein | 3:Indizierung,Geburtsdatum im Bildhintergrund, Bestätigungsnummer |
| sm@rt-TAN | dynamisch | ja | 2:dynamische Erstellung,Besitz der Maestro-Karte und Wissen der Karten-PIN (2-Faktor-Authentifizierung) |
| eTAN | dynamisch | ja | 3:dynamische Erstellung,kurze Gültigkeit,Bindung an genau eine Transaktion |
| Sm@rtTAN-Plus | dynamisch | ja | 3:dynamische Erstellung,kurze Gültigkeit,Bindung an genau eine Transaktion |
| mTAN | dynamisch | (ja)** | 4:dynamische Erstellung,kurze Gültigkeit,Bindung an genau eine Transaktion,Besitz des Mobiltelefons (ggf. Wissen der PIN) |
*Die dynamische TAN-Erstellung gilt als sicherer, verursacht aber durch benötigte Hardware zusätzliche Kosten.
**Das Mobiltelefon ist oftmals beim Kunden vorhanden.
Vergleich relevanter TAN-Verfahren
Sicherheitsexperten stufen die klassische TAN mittlerweise als unsicher ein. Betrüger haben mit diesem Verfahren viel Erfahung sammeln können und Angriffe entwickelt, um solche TANs zu entwenden. Bankkunden müssen sehr viel beachten, wenn sie die klassische TAN sicher einsetzen wollen. Von daher wird der Einsatz der klassischen TAN für das Online-Banking nicht mehr empfohlen.
Die iTAN-Verfahren gelten als deutlich sicherer im Vergleich zum klassischen TAN-Verfahren. Einige Betrugsfälle haben aber gezeigt, dass auch die iTAN-Verfahren nicht unverwundbar sind.
Wenn Sie die iTAN-Verfahren in Kombination mit einer PIN sorgfältig anwenden, haben Betrüger wenig Chancen. Das PIN/TAN-Verfahren gilt in der Praxis bei richtiger Anwendung als sicher.
Am sichersten gelten bisher die dynamischen TAN-Verfahren.
