Das Push- oder App-TAN-Verfahren beinhaltet ein „hohes Gefährdungspotenzial“, schreibt die Sechste Zivilkammer des Landgerichts Heilbronn. Denn das am meisten verbreitete Authentifizierungsverfahren setzt zwar ebenfalls auf zwei Faktoren, aber im Gegensatz zu anderen dürfen sie auf nur einem Gerät stattfinden. Die Banken sehen das freilich anders.

Die aktuelle Richtlinie für Zahlungsdienstleister, PSD2, bestimmt, dass zwei Faktoren beim Onlinebanking zum Einsatz kommen müssen. An die Stelle des früher mit der Post versandten Zettels mit Zahlen trat später die SMS-TAN.

Beide Verfahren gelten heute als unsicher und werden nicht mehr eingesetzt. Heute erzeugen Apps die Transaktionsnummern dynamisch. Das beliebteste Verfahren nennt sich Push- oder App-TAN.

Woran sich die Expert:innen bei dem weit verbreiteten Verfahren stören, sind die Kommunikationswege und Geräte. Sie sollten ihrer Meinung nach getrennt sein. Das Argument: Sollte jemand das Smartphone etwa über Malware kapern, habe er Zugang zu beiden Instanzen: der Banking- und der TAN-App.

Das Gegenargument der Banken lautet: Beide Apps werden getrennt voneinander betrieben und sind mit Passwort oder biometrischen Faktoren gesichert. Fachleute der PSD2 haben sie schließlich geprüft und im Regelwerk als sicher genug eingetragen.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt, zum Erhöhen der Sicherheit zwei getrennte Geräte für die beiden Apps zu verwenden, zum Beispiel ein Tablet für das Generieren der TAN, während die Banking-App auf dem Smartphone installiert ist. Selbst wenn das Smartphone geknackt worden ist, können Unbefugte dann nicht an dein Geld.

Weiterhin rät die Behörde, darauf zu achten, immer die aktuelle Version der Apps zu verwenden. Sie stellt auch fest, dass der Einsatz eines externen TAN-Generators das sicherste Mittel für Onlinebanking darstellt.