April 2020
Ein Strauß an TAN-Apps
Früher war Online-Banking papierbasiert: Die Transaktionsnummern (TAN) wurden per Brief zugestellt, mehrere Dutzend auf einem Bogen, die dann zur Validierung von Transaktionen abzutippen waren. Irgendwann folgte dann die mTAN: Aufträge wurden über per SMS zugeschickte TANs freigegeben. Das war schon ein Fortschritt: In der SMS stand auch das Zielkonto und der Betrag.
Mittlerweile bekomme ich nur noch sehr selten SMS von meinen Banken. Dafür habe ich jetzt ziemlich viele Bank-Apps, fast so viele wie Messenger-Apps. Konten habe ich bei zwei Genossenschaftsbanken, einem Fintech, einer Online-Direktbank und einer weiteren Bank. Bei jeder Bank ist die App mittlerweile entweder der primäre oder einzige TAN-Generator. Die Strategien sind dabei sehr unterschiedlich:
Die Genossenschaftsbanken haben eine einheitliche App, in der TANs von verschiedenen Instituten ankommen. Daß eine neue TAN da ist, erfahre ich per Push-Nachricht. Die App kann nur TANs, ich authentifiziere mich per Fingerabdruck. Für den Geldverkehr gibt es eine eigene App. mTAN sind für mich nicht mehr möglich.
Das Fintech N26 hat eine einzige App, in der ich mich per Fingerabdruck anmelde und Transaktionen per Klick freigebe. Meine Buchhaltungssoftware kann dieses Konto nur abrufen, wenn ich den Abruf in der App abnicke.
Die DKB hat zwei Apps: eine für TANs, eine weitere für den Geldverkehr – die ist aber auch zuständig, um den Zugriff meiner Buchhaltungssoftware zu bestätigen. SMS habe ich von der DKB noch nie bekommen. (Das ist allerdings auch das jüngste Konto.)
Einen ganzen Strauß an Möglichkeiten habe ich schließlich bei der Comdirect: Ich kann mTAN per SMS auswählen (das kostet dann 9 Cent pro TAN), lange Zeit gab es Alternative die Foto-TAN: Im Desktop wird ein QR-Code-artiges buntes Muster angezeigt, das ich mit der Smartphone-TAN-App scanne und das mir dann eine TAN ausgibt, die ich eingebe. (Die Comdirect ist zudem die einzige Bank, deren Geldverkehr-App nicht per Fingerabdruck entsperrt werden kann und immer darauf besteht, die PIN einzugeben.) Ärgerlich: Mobil ging das natürlich nicht, weil das Handy nicht seinen eigenen Bildschirm scannen kann. Mittlerweile hat sich das geändert: Das Verfahren heißt nun »photoTAN-Push« (sic!), im Unterschied zum mittelalten Verfahren »photoTAN-Grafik«. Was daran »photo« ist, erschließt sich mir nicht: In der TAN-App erscheint ein Slider, mit dem ich die Transaktion freigeben kann, die (Web-)App merkt automatisch, wenn ich das getan habe.
(Felix Neumann)
