Onlinebanking: Millionen Kunden müssen handeln
wir./ct. WIESBADEN / HANNOVER. In wenigen Wochen ändern sich im gesamten EU-Raum die Sicherheitsverfahren für das Online-Banking. Ab dem 14. September schaffen die Banken nicht nur die TAN-Liste auf Papier ab, viele legen auch die mTAN ad acta. Da auf den Websites der Banken oftmals klare Aussagen zu den künftig praktizierten Verfahren fehlen, kommt man um gezielte Informationssuche nicht herum. Das schreibt Europas größtes IT- und Techmagazin c’t in Ausgabe 18/2019 vom 17. August 2019.
Die Zweite Europäische Zahlungsdiensterichtlinie, kurz PSD2, verpflichtet Banken und Kunden grundsätzlich zu einer starken Kundenauthentifizierung (SCA). Gemeint ist die Zwei-Faktor-Authentifizierung mit einer Erweiterung: Die beiden Faktoren müssen aus zweien der drei Kategorien Wissen (PIN oder Passwort), Besitz (Bankkarte oder Mobiltelefon) und Inhärenz (biologische Merkmale) stammen. Ab dem 14. September müssen Kunden schon beim Log-in ins Banking eine TAN eingeben oder sich per zweitem Faktor identifizieren.
Die PSD2 stellt Mindestanforderungen an die Sicherheit von TAN-Verfahren. Für das Verbot der iTAN – einer TAN-Liste auf Papier – war mitentscheidend, dass sie dem Kunden vor der Überweisungsauflösung nicht gemeinsam mit der Empfänger-IBAN und dem Betrag angezeigt wird. So eine vom ersten Faktor unabhängige Kontrollmöglichkeit ist jedoch Pflicht. c’t-Redakteur Markus Montz erklärt: „Da die umstrittene, per SMS verschickte mTAN diese Anforderungen erfüllt, bleibt sie grundsätzlich erlaubt.“ Aufgrund von Kostenargumenten nutzen trotzdem viele Banken die Chance, um sich von dem Verfahren zu trennen.
Die kommenden Änderungen sollen nicht nur die Sicherheit, steigern, sondern könnten das Banking mit einer besseren Benutzerführung sogar komfortabler machen. Überweisungen von Beträgen unter 30 Euro sollen bei vielen Banken und Sparkassen in Zukunft ohne TAN-Verfahren funktionieren. Wenn die letzte Kontostandsabfrage maximal 90 Tage zurückliegt, dann kann auch sie ohne Zwei-Faktor-Authentifizierung erfolgen. Genauso wie Überweisungen an Empfänger, die auf einer selbst erstellten IBAN-Whitelist stehen, oder an ein Zielkonto, das dem Kunden selbst gehört und bei derselben Bank geführt wird.
Ob eine Bank oder Sparkasse das mTAN Verfahren weiter anbietet und ob sie Gebrauch von den verschiedenen Ausnahmen macht, entscheidet sie letztendlich selbst. „Daher kommt man nicht umhin, sich direkt bei seinem Geldinstitut über die Änderungen zu informieren“, erklärt Montz.
Foto: Peter Gaß. Wenn Sie Näheres über die urheberrechtlich geschützten Fotos wissen möchten, wenden Sie sich an die Redaktion dieser Website. Die Kontaktdaten können Sie dem Impressum entnehmen.
Cover-Abbildung c’t: Heise
Text: Heise, Pressemitteilung vom 16. August 2019
Namentlich gekennzeichnete Beiträge werden von den Autoren selbst verantwortet. Diese Beiträge geben die Meinung, Wertung, Darstellung des jeweiligen Autors wider. Ein solcher Beitrag gibt nicht unbedingt die Meinung der Redaktion bzw. des Herausgebers wider.