Onlinebanking sicher nutzen

Onlinebanking sicher nutzen

Beim Onlinebanking schützt du dein Geld, wenn du die Bankseite selbst aufrufst und jede Freigabe genau prüfst. Betrüger setzen dich mit E-Mails, SMS oder Anrufen unter Druck, damit du eine Überweisung oder die Freigabe eines neuen Geräts bestätigst. Folge bei einer unerwarteten Aufforderung nicht den Anweisungen der Nachricht oder des Anrufers.

Öffne dein Banking nur über eine dir bekannte Internetadresse, ein selbst gespeichertes Lesezeichen oder die offizielle App deiner Bank. Die Polizeiliche Kriminalprävention rät, die Banking-App über die offizielle Website der Bank zu finden. Nutze keine Links aus überraschenden E-Mails oder SMS.

Prüfe vor jeder Freigabe in der Banking-App oder auf dem TAN-Gerät drei Angaben: die Auftragsart, den Betrag und den Empfänger. Eine TAN ist ein einmaliger Sicherheitscode, mit dem du einen Auftrag bestätigst. Stimmen die angezeigten Daten nicht mit deinem Vorhaben überein, brich den Vorgang ab. Gib auch keine angebliche Testüberweisung oder Sicherheitsprüfung frei. Die Bundesbank warnt vor solchen Täuschungen.

Gib PIN, TAN und Aktivierungsdaten niemals weiter. Das gilt auch, wenn sich jemand am Telefon oder in einer Nachricht als Bankmitarbeiterin oder Bankmitarbeiter ausgibt. Beende bei Druck oder einer unerwarteten Aufforderung das Gespräch oder den Nachrichtenaustausch. Bei Verdacht informierst du deine Bank sofort über eine selbst herausgesuchte Telefonnummer oder einen anderen unabhängigen Kontaktweg.

Wie die Freigabe funktioniert

Beim Onlinebanking prüft deine Bank bei bestimmten Vorgängen, ob du den Zugriff oder die Zahlung tatsächlich veranlasst hast. Dafür nutzt sie die starke Kundenauthentifizierung: Du weist deine Identität grundsätzlich mit mindestens zwei unabhängigen Merkmalen nach. § 55 Zahlungsdiensteaufsichtsgesetz verlangt sie unter anderem beim Onlinezugriff auf ein Zahlungskonto und beim Auslösen elektronischer Zahlungen. Für bestimmte Fälle gibt es Ausnahmen. Deshalb fordert die Bank nicht bei jedem Vorgang eine neue TAN an.

Zwei unterschiedliche Merkmale

Die Merkmale müssen aus verschiedenen Kategorien stammen: Wissen, etwa eine PIN oder ein Passwort; Besitz, etwa ein registriertes Smartphone, eine Bankkarte oder ein TAN-Generator; und Inhärenz, also ein körperliches Merkmal wie dein Fingerabdruck. Die Bundesbank erklärt diese drei Kategorien. Zwei Passwörter erfüllen die Anforderung nicht automatisch, weil beide zum Merkmal Wissen gehören.

Bei einer elektronischen Zahlung, die du aus der Ferne auslöst, müssen die Merkmale außerdem an den konkreten Betrag und den Empfänger gebunden sein. Prüfe daher die Angaben in der Freigabeansicht, bevor du bestätigst. Die gesetzlichen Vorgaben enthalten keine pauschale Sicherheitsbewertung von Banking-Apps. Sie verlangen grundsätzlich auch keine zwei getrennten Geräte. Entscheidend sind die verwendeten Merkmale und ihre Unabhängigkeit.

TAN-Verfahren im Überblick

Wie die Freigabe aussieht, hängt von deiner Bank ab. Häufig kommen diese Verfahren zum Einsatz:

Die Verfahrensbeschreibungen des Bankenverbands geben einen Überblick über verbreitete TAN-Verfahren. Frag deine Bank, welche Verfahren sie anbietet, was du dafür brauchst und ob Gebühren anfallen. Der BaFin-Kontenvergleich weist darauf hin, dass er Zusatzentgelte für weitere Authentifizierungsverfahren nicht vollständig erfasst.

Gerät und Zugang schützen

Halte das Betriebssystem und die Apps auf deinem Smartphone oder Computer aktuell, denn Sicherheitsupdates schließen bekannte Schwachstellen, über die Kriminelle Schadsoftware einschleusen oder Daten abgreifen können. Sichere dein Gerät außerdem mit einer Bildschirmsperre per PIN, Passwort oder biometrischem Merkmal wie Fingerabdruck oder Gesichtserkennung. Bietet deine Bank für ihre Banking-App eine zusätzliche Sperre an, aktiviere sie.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt, Mobilgeräte zu schützen und Apps nur aus vertrauenswürdigen Quellen zu installieren.

Banking-App richtig installieren

Rufe die Internetseite deiner Bank selbst auf und prüfe dort den Namen der offiziellen Banking-App. Installiere die App anschließend über den offiziellen App-Store deines Geräts und öffne keine unverlangt zugesandten Installationsdateien. Folge auch keinen überraschenden Downloadlinks oder -aufforderungen. Lass ein entsperrtes Smartphone oder einen entsperrten Computer nicht unbeaufsichtigt.

Ein vertrauenswürdiges Netz nutzen

Nutze für Bankgeschäfte möglichst dein Heimnetz oder deine mobile Datenverbindung. Die Polizeiliche Kriminalprävention empfiehlt, öffentliches WLAN beim Onlinebanking zu meiden. Das BSI rät bei öffentlichen Hotspots zu besonderer Vorsicht und verschlüsselten Verbindungen. Bist du unsicher, ob ein WLAN geschützt ist, verschiebe deine Bankgeschäfte, bis du wieder eine vertraute Verbindung nutzen kannst.

Betrugsversuche sicher abbrechen

Betrügerinnen und Betrüger kontaktieren dich per E-Mail, SMS, Telefon, Brief oder QR-Code. Sie wollen dich auf eine gefälschte Bankseite lenken oder dazu bringen, eine Zahlung und damit den Betrug selbst freizugeben. Ein professionell gestalteter Brief und eine vertraut wirkende Rufnummer sind kein Echtheitsnachweis: Rufnummern lassen sich fälschen. Die Bundesbank warnt vor gefälschten Anrufen und Briefen mit QR-Codes.

Brich den Kontakt ab, sobald jemand Druck ausübt oder unerwartet eine „Testüberweisung“, eine „Sicherheitsfreigabe“ oder eine andere Maßnahme verlangt. Jede Zahlungsfreigabe löst einen konkreten Auftrag aus. Prüfe deshalb Empfänger, Betrag und Verwendungszweck direkt in deiner Banking-App oder auf der Internetseite deiner Bank. Passt einer dieser Angaben nicht zu deinem eigenen Vorhaben, bestätige nichts.

Öffne keine Links und scanne keine QR-Codes aus der verdächtigen Nachricht. Lege bei einem Anruf auf, auch wenn die Person behauptet, von deiner Bank zu sein. Kontaktiere deine Bank anschließend nur über eine Nummer, die du selbst auf der Bankkarte, in der Banking-App oder auf der offiziellen Internetseite gefunden hast. So klärst du die Aufforderung über einen unabhängigen Kontaktweg.

Empfänger vor Überweisung prüfen

Bei der Empfängerüberprüfung vergleicht die Bank den Namen, den du eingegeben hast, mit dem Namen, der für die IBAN hinterlegt ist. Das Ergebnis erscheint im Banking, bevor du die Zahlung freigibst. Du musst dafür keinen Link aus einer Nachricht öffnen: Bei Überweisungen von Privatpersonen läuft die Prüfung automatisch mit. Du kannst sie nicht abwählen. Die Deutsche Bundesbank erläutert Ablauf und Geltungsbereich.

Für erfasste Zahlungsdienstleister im Euroraum gilt die Pflicht seit dem 9. Oktober 2025. In weiteren EU-Staaten soll sie ab dem 9. Juli 2027 gelten. Der SEPA-Raum umfasst auch Länder außerhalb der EU. Deshalb gilt der Termin vom Oktober 2025 nicht automatisch für alle SEPA-Länder.

Ein übereinstimmender Name bestätigt nur, dass Name und IBAN zusammenpassen. Er beweist weder, dass eine Rechnung echt ist, noch dass die Zahlungsforderung berechtigt oder das Unternehmen seriös ist. Prüfe daher auch Betrag und Anlass der Zahlung.

Erscheint eine Warnung wegen einer Abweichung, gib die Überweisung nicht sofort frei. Kläre die Kontodaten über einen Kontaktweg, den du bereits kennst, etwa über die offizielle Telefonnummer oder Internetseite des Empfängers.

Limits und Buchungen kontrollieren

Ein tägliches Limit begrenzt, wie viel Geld du innerhalb eines Tages über bestimmte Zahlungswege bewegen kannst. Klär mit deiner Bank, für welche Überweisungen, Kartenzahlungen oder anderen Aufträge es gilt und wie du es festlegst oder kurzfristig änderst. Wähle einen Betrag, der deine üblichen Zahlungen abdeckt, größere unberechtigte Überweisungen aber begrenzt. Die Polizeiliche Kriminalprävention empfiehlt, ein Limit mit der Bank abzustimmen und Kontobewegungen regelmäßig zu prüfen.

Prüfe Kontobewegungen und offene Aufträge in festen Abständen. So fallen unbekannte Abbuchungen, Überweisungen oder Daueraufträge schneller auf. Entdeckst du eine Buchung oder einen Auftrag, den du nicht veranlasst hast, kontaktiere deine Bank sofort über einen Kontaktweg, den du selbst aus den offiziellen Bankunterlagen oder der Bank-App herausgesucht hast.

Ein Limit begrenzt mögliche Schäden, bietet aber keinen vollständigen Schutz. Je nach Bank und Zahlungsweg gilt es unterschiedlich und erfasst nicht zwingend jede Geldbewegung. Klär deshalb beim Institut, welche Zahlungen das Limit einschließt und wer es unter welchen Bedingungen ändern kann.

Bei Betrug sofort handeln

Vermutest du Betrug, beende den Kontakt sofort. Ruf deine Bank nur über eine Nummer an, die du selbst auf der Website, auf deiner Bankkarte oder in Unterlagen findest. Hast du Zugangsdaten auf einer verdächtigen Seite eingegeben oder eine Freigabe bestätigt, warte nicht auf eine unbekannte Buchung: Lass den Onlinebanking-Zugang sperren und prüfe Kontoumsätze sowie noch offene Überweisungsaufträge.

Wurde eine Überweisung bereits ausgeführt, bitte die Bank sofort um einen Rückrufversuch. Je früher sie handelt, desto eher erreicht sie die Empfängerbank. Eine ausgeführte Überweisung lässt sich jedoch nur selten stoppen, wie die Verbraucherzentrale erläutert.

Halte Nachrichten, Rufnummern und Zahlungsdaten fest und notiere den zeitlichen Ablauf. Teile der Bank den Vorfall zusätzlich schriftlich mit und erstatte Anzeige bei der Polizei. Der Sperr-Notruf 116 116 kann ergänzend helfen. Welche Karten, Zugänge und Funktionen dort gesperrt werden, legt dein Institut fest. Kläre den Sperrweg deiner Bank möglichst schon vorher. Auch die Polizeiliche Kriminalprävention rät, Bank und Polizei schnell zu informieren.

Erstattung und Haftung trennen

Für die Erstattung ist zuerst entscheidend, ob du der konkreten Zahlung zugestimmt hast. Eine nicht autorisierte Zahlung muss die Bank nach § 675u BGB unverzüglich erstatten, spätestens bis zum Ende des folgenden Geschäftstags nach deiner Meldung. Eine Ausnahme gilt, wenn die Bank begründeten Betrugsverdacht gegen dich hat und dies der Bundesanstalt für Finanzdienstleistungsaufsicht schriftlich mitteilt.

Nach § 675w BGB muss die Bank den Zahlungsvorgang nachweisen. Eine protokollierte TAN oder erfolgreiche Authentifizierung beweist allein weder deine Zustimmung zur Zahlung noch grobe Fahrlässigkeit.

Auch wenn die Bank den Betrag zunächst erstattet, steht damit noch nicht fest, wer den Schaden am Ende trägt. Die Bank kann Ersatz verlangen, wenn sie nachweist, dass du Pflichten vorsätzlich oder grob fahrlässig verletzt hast. Beschreibe deshalb genau, welche Daten du eingegeben und welche Zahlung du bestätigt hast.

Bei selbst freigegebenen Zahlungen

Hast du eine Überweisung selbst freigegeben, bleibt zu prüfen, was du konkret bestätigt hast und unter welchen Umständen. Melde den Betrug trotzdem sofort. Eine Erstattung ist bei einer selbst bestätigten Zahlung nicht automatisch gesichert.

Sperrung, Rückrufversuch und Erstattungsanspruch sind getrennte Schritte. Eine verwendete TAN schließt einen Anspruch nicht automatisch aus.

Zahlen zu Zahlungsbetrug im EWR

Der gemeinsame Bericht von Europäischer Bankenaufsichtsbehörde (EBA) und Europäischer Zentralbank (EZB) wertet Zahlungsbetrug im Europäischen Wirtschaftsraum (EWR) für 2022 bis 2024 aus. Der Gesamtwert der gemeldeten betrügerischen Zahlungen stieg von 3,4 Milliarden Euro im Jahr 2022 auf 4,2 Milliarden Euro im Jahr 2024. Die Auswertung umfasst verschiedene Zahlungsarten wie Überweisungen und Kartenzahlungen. Sie beschreibt daher weder ausschließlich deutsches Onlinebanking noch einzelne Banken. (Bericht von EBA und EZB)

Für 2024 betrug der Wert betrügerischer Zahlungen rund 0,002 Prozent des gesamten Transaktionswerts. Die Quote vergleicht den Gesamtwert der betrügerischen Zahlungen mit dem Wert aller erfassten Zahlungen. Sie ist keine Angabe dazu, wie wahrscheinlich du persönlich Opfer eines Betrugs wirst, und sagt nichts über die Höhe eines einzelnen Schadens aus.

Bei Überweisungsbetrug trugen Nutzerinnen und Nutzer im EWR 2024 rund 85 Prozent des Verlustwerts. Auch dieser Wert fasst viele Fälle zusammen. Er entscheidet weder darüber, ob du eine einzelne Zahlung autorisiert hast, noch darüber, wer in deinem Fall für den Schaden haftet. (Bericht von EBA und EZB)

Die Zahlen zeigen den Umfang des erfassten Zahlungsbetrugs im EWR. Sie erlauben keine verlässliche Einschätzung deines persönlichen Risikos beim Onlinebanking in Deutschland und keinen belastbaren Vergleich einzelner Banken. Die Bundesregierung erklärte 2025 zudem, dass die europäische Zahlungsbetrugsstatistik Onlinebanking-Betrug nicht als eigene Kategorie ausweist. Eine Rangliste deutscher Banken lässt sich daraus nicht ableiten. (Dokumentations- und Informationssystem des Bundestages)

Für deine Sicherheit zählen deshalb vor allem die Prüfung jeder Freigabe und schnelles Handeln bei einem Betrugsverdacht.

Häufige Fragen zum Onlinebanking

Ist Banking per App unsicher?

Banking per App ist nicht grundsätzlich unsicher. Entscheidend ist, wie du dein Gerät schützt, wie deine Bank das Verfahren umsetzt und ob du jede Freigabe sorgfältig prüfst. Installiere Updates, sichere das Smartphone mit einer Bildschirmsperre und lade Banking-Apps nur aus vertrauenswürdigen Quellen herunter. Vor jeder Freigabe müssen Betrag und Empfänger zu deinem Auftrag passen. Auch das BSI empfiehlt, Apps nur aus vertrauenswürdigen Quellen zu installieren.

Brauche ich ein Smartphone?

Nein. Manche Banken bieten chipTAN mit Bankkarte und separatem TAN-Generator an. Bei photoTAN gibt es je nach Bank auch Lesegeräte. Welche Verfahren deine Bank anbietet und ob Kosten entstehen, erfährst du direkt bei ihr. Der Bankenverband erläutert verbreitete TAN-Verfahren; die konkrete Auswahl unterscheidet sich je nach Institut.

Kann ich einer Bankrufnummer trauen?

Nein, die angezeigte Nummer beweist nicht, dass der Anruf von deiner Bank kommt. Betrüger können Rufnummern fälschen. Beende einen unerwarteten Anruf und rufe deine Bank selbst über die Nummer auf ihrer Website, deiner Bankkarte oder in der Banking-App an. Die Bundesbank warnt vor solchen Anrufen.

Muss ich einen Prüfungslink öffnen?

Nein. Die Empfängerüberprüfung gleicht den eingegebenen Namen mit der IBAN ab. Sie erscheint im üblichen Ablauf, nachdem du eine Überweisung erfasst hast und bevor du sie freigibst. Dafür musst du keinen Link aus einer SMS oder E-Mail öffnen und keine Daten auf einer externen Seite eingeben. Die Bundesbank erklärt den Abgleich von Name und IBAN.

Bekomme ich Geld immer zurück?

Nein, eine Erstattung erfolgt nicht automatisch in jedem Fall. Bei einer nicht autorisierten Zahlung muss die Bank den Betrag grundsätzlich unverzüglich erstatten, spätestens bis zum Ende des folgenden Geschäftstags. Das regelt § 675u BGB. Ob du die Zahlung tatsächlich freigegeben hast und ob du für einen Schaden haftest, sind davon getrennte Fragen.

Die Bank muss nach § 675w BGB die Authentifizierung und ordnungsgemäße Aufzeichnung der Zahlung nachweisen. Eine protokollierte TAN-Nutzung beweist für sich allein nicht, dass du der konkreten Überweisung zugestimmt hast. Melde einen Verdacht sofort deiner Bank und sperre gegebenenfalls Zugang oder Karte.

Kernaussagen

• Öffne das Banking selbst über die bekannte Bankadresse, ein gespeichertes Lesezeichen oder die offizielle App. Folge keinen unerwarteten Links aus Nachrichten oder QR-Codes.
• Prüfe jede Freigabe direkt in der Banking-App oder auf dem TAN-Gerät: Stimmen Auftragsart, Betrag und Empfänger nicht, brich ab. Gib PIN, TAN und Aktivierungsdaten niemals weiter.
• Schütze Gerät und Zugang mit aktuellen Updates und einer Bildschirmsperre. Installiere Banking-Apps nur aus vertrauenswürdigen Quellen und erledige Bankgeschäfte möglichst über ein vertrautes Netz.
• Beende verdächtige Kontakte bei Druck, angeblichen Sicherheitsmaßnahmen oder Testüberweisungen. Eine angezeigte Telefonnummer beweist nicht, dass der Anruf wirklich von der Bank kommt.
• Handle bei Betrugsverdacht sofort: Verständige die Bank über einen unabhängig bekannten Kontaktweg, lass den Zugang sperren und prüfe Buchungen sowie offene Aufträge. Eine passende Empfängerüberprüfung bestätigt nur die Zuordnung von Name und IBAN, nicht die Seriosität der Forderung.

FAQ

Ist Onlinebanking per App grundsätzlich unsicher?

Nein. Die Sicherheit hängt unter anderem davon ab, wie die Bank die Freigabe umsetzt und wie gut du dein Gerät schützt. Halte Betriebssystem und Apps aktuell, nutze eine Bildschirmsperre und prüfe vor jeder Freigabe Betrag und Empfänger.

Brauche ich für Onlinebanking zwingend ein Smartphone?

Nein. Manche Banken bieten Verfahren mit einer Bankkarte und einem TAN-Generator oder mit einem speziellen Lesegerät an. Welche Verfahren verfügbar sind und ob dafür Kosten anfallen, erfährst du bei deiner Bank.

Kann ich der angezeigten Telefonnummer meiner Bank vertrauen?

Die angezeigte Nummer allein beweist nicht, dass der Anruf wirklich von deiner Bank kommt. Beende ein unerwartetes Gespräch und rufe deine Bank selbst über eine bekannte Telefonnummer an.

Muss ich für die Empfängerüberprüfung einen Link öffnen?

Nein. Die Prüfung des Namens zur IBAN erscheint vor der Freigabe im normalen Überweisungsvorgang. Eine Nachricht, die dich dafür zu einem externen Link oder zur Eingabe deiner Zugangsdaten auffordert, ist kein notwendiger Schritt.

Was soll ich tun, wenn ich meine PIN oder TAN auf einer falschen Seite eingegeben habe?

Beende den Kontakt und verständige sofort deine Bank über einen unabhängig bekannten Kontaktweg. Lass den Zugang sperren und prüfe Buchungen sowie offene Aufträge. Sichere außerdem Nachrichten und Zahlungsdaten.

Bekomme ich nach einem Betrug mein Geld immer zurück?

Nein, eine Erstattung ist nicht in jedem Fall automatisch sicher. Bei einer nicht autorisierten Zahlung gelten gesetzliche Erstattungsregeln; ob die Zahlung autorisiert war und wer den Schaden endgültig trägt, muss jedoch gesondert geprüft werden. Die protokollierte Nutzung einer PIN oder TAN allein entscheidet diese Fragen nicht.

Hilft ein Überweisungslimit gegen Betrug?

Ein Limit kann den möglichen Schaden begrenzen, verhindert Betrug aber nicht vollständig. Frag deine Bank, für welche Zahlungen das Limit gilt und wie es geändert werden kann.

Muss ich jede Onlinezahlung mit einer neuen TAN bestätigen?

Nein. Für bestimmte Onlinezugriffe und elektronische Zahlungen gelten Regeln zur starken Kundenauthentifizierung, bei der grundsätzlich zwei unabhängige Merkmale verwendet werden. Das Gesetz sieht Ausnahmen vor, deshalb erscheint nicht bei jedem Vorgang eine neue TAN-Abfrage.