TAN-Verfahren im Onlinebanking

Wenn du im Onlinebanking einen Auftrag abschickst, bestätigst du ihn mit einer TAN (Transaktionsnummer) oder gibst ihn in einer App frei. Je nach Bank läuft die Freigabe per SMS oder App; manche Banken setzen dafür einen Scan oder einen TAN-Generator mit Bankkarte ein. Die Bank legt fest, welche Verfahren und Geräte sie anbietet.

Für Onlinezahlungen verlangt das Gesetz grundsätzlich eine starke Kundenauthentifizierung. Dabei prüft die Bank mindestens zwei unabhängige Merkmale, etwa eine PIN und ein registriertes Gerät. Bei Überweisungen muss die Freigabe an den Betrag und den Empfänger gebunden sein. Der Name des Verfahrens sagt allein nicht aus, welches Verfahren sicherer oder günstiger ist.

So funktionieren TAN-Verfahren

Die Namen sagen nicht immer genau voraus, wie ein Verfahren funktioniert. „photoTAN“ kann zum Beispiel eine App-Freigabe oder die Nutzung eines separaten Lesegeräts bezeichnen. Bei der ING zeigt der beschriebene photoTAN-Generator Betrag und Empfänger-IBAN an, bevor er die TAN erzeugt. Das sind Angaben zu diesem konkreten Produkt, keine allgemeingültigen Merkmale jeder photoTAN.

Gesetzliche Regeln für TAN-Freigaben

Das Zahlungsdiensteaufsichtsgesetz (ZAG) beschreibt starke Kundenauthentifizierung als Prüfung mit mindestens zwei unabhängigen Merkmalen aus drei Gruppen. Wissen umfasst zum Beispiel eine PIN; zum Besitz zählt ein registriertes Smartphone oder ein TAN-Generator. Die dritte Gruppe, Inhärenz, umfasst körperliche Merkmale wie einen Fingerabdruck.

Bei einer elektronischen Fernzahlung muss die Bestätigung an den konkreten Betrag und Zahlungsempfänger gebunden sein. Die EU-Regeln verlangen, dass dir diese Angaben angezeigt werden und eine Änderung von Betrag oder Empfänger die Freigabe ungültig macht. Kontrolliere daher vor jeder Bestätigung die angezeigten Zahlungsdaten. Eine Anfrage, die du nicht selbst ausgelöst hast, solltest du ablehnen.

Das Gesetz schreibt keine bestimmte TAN-Technik vor. Du darfst auch dasselbe Smartphone fürs Banking und für die Freigabe nutzen. Die Bank muss aber dafür sorgen, dass die Authentifizierungsmerkmale unabhängig bleiben und das Gerät sicher ist, wenn du es für mehrere Zwecke nutzt.

Du musst außerdem nicht bei jeder Anmeldung und jedem Vorgang eine TAN eingeben. Die Regeln erlauben begrenzte Ausnahmen. Bei bestimmten Kontoinformationsdiensten ist spätestens alle 90 Tage eine erneute starke Authentifizierung nötig. Diese Frist gilt nicht für jeden Onlinebanking-Login.

Sicherheit hängt vom Ablauf ab

Mit einem separaten Generator bleibt das Freigabegerät vom internetfähigen Gerät fürs Banking getrennt. Bei einer App-Freigabe übernimmt dagegen dasselbe Smartphone beide Aufgaben. Die Verbraucherzentrale empfiehlt SMS-TAN nur eingeschränkt und bewertet Generatorverfahren wie chipTAN oder photoTAN als sicherer. Sie weist auch darauf hin, dass ein separates Gerät bei App-Verfahren die Sicherheit erhöhen kann.

Daraus lässt sich keine allgemeingültige Rangfolge für alle Bankangebote ableiten. Auch die technische Umsetzung, die angezeigten Auftragsdaten und die Nutzung deiner Geräte spielen eine Rolle. Prüfe deshalb bei einer Überweisung den Betrag und den Empfänger direkt bei der Freigabe. Wenn die App oder der Generator andere Angaben zeigt als dein Auftrag, brich die Freigabe ab und kontaktiere deine Bank über einen bekannten Kontaktweg.

Prüfe, ob das Verfahren ein zweites Gerät oder eine Bankkarte voraussetzt und ob eine bestimmte App-Version nötig ist. Diese Anforderungen zählen bei der Wahl im Alltag oft mehr als der Produktname. Wer kein Smartphone nutzen möchte, braucht eine angebotene Alternative mit Generator. Wer ein Smartphone verwendet, sollte wissen, ob Banking und Freigabe auf demselben Gerät stattfinden dürfen und wie die Bank den Ablauf absichert.

Verfügbarkeit hängt von der Bank ab

Bankangebote ändern sich, und „noch nutzbar“ bedeutet nicht immer „neu aktivierbar“. Laut Deutscher Bank werden dort seit dem 25. August 2025 nur noch BestSign-Verfahren neu eingerichtet. Bereits aktivierte photoTAN-Verfahren können laut Bank weiter genutzt werden; neue oder zusätzliche Aktivierungen sind demnach nicht mehr möglich.

Sparkasse.de beschreibt pushTAN und chipTAN als Verfahren im dort dargestellten Angebot und weist darauf hin, dass smsTAN eingestellt wird. Die konkrete Auswahl hängt von der jeweiligen Sparkasse ab. Die Deutsche Skatbank nennt VR SecureGo plus und Smart-TAN-Varianten; für bestimmte ältere Smart-TAN-Varianten gibt sie den 31. Dezember 2026 als Einstellungsdatum an. Diese Frist gilt nur für die dort bezeichneten Varianten.

Wenn du ein Verfahren neu einrichten oder wechseln willst, prüfe deshalb die aktuelle Seite deiner Bank und die Bedingungen deines Kontos. Frage gezielt nach, ob das Verfahren für Neukunden verfügbar ist, ob du es selbst aktivieren kannst und welche Alternative gilt, falls dein Smartphone oder Generator ausfällt.

Kosten vorab prüfen

Die Kosten für TAN-Verfahren unterscheiden sich je nach Bank. Einen verlässlichen Pauschalpreis für alle Banken gibt es nicht. Laut BaFin zeigt ihr Kontenvergleich, ob mindestens ein Authentisierungsverfahren ohne zusätzliches Entgelt verfügbar ist. Kosten für weitere Verfahren nennt der Vergleich nicht. Auch Sparkasse.de verweist für konkrete Preise auf die jeweilige Sparkasse.

Prüfe daher das Preis- und Leistungsverzeichnis deiner Bank für dein Kontomodell. Achte dabei auf mögliche Kosten für einen Generator, eine Ersatzkarte oder ein zusätzliches Verfahren. Der Name einer TAN-Methode sagt nicht, ob sie bei deiner Bank kostenlos ist.