Onlinebanking – Regeln im Zahlungsverkehr
Zur Umsetzung der EU-Richtlinie über Zahlungsdienste (kurz PSD 2) mussten alle Banken und Sparkassen ihre Allgemeinen Geschäftsbedingungen für das Onlinebanking und für Kartenzahlungen im Netz ändern. Alle Institute waren außerdem verpflichtet, ihre Kunden darüber zu informieren, zum Beispiel durch Änderungsmitteilungen oder Hinweise auf den Kontoauszügen.
Pflicht zur starken Kundenauthentifizierung (Zwei-Faktor-Authentifizierung)
Seit dem 14.09.2019 müssen Bankkunden jede Online-Überweisung oder jede im Internet getätigte Kreditkartenzahlung grundsätzlich mit einer starken Kundenauthentifizierung freigeben. Das bedeutet, dass für jeden Zahlungsauftrag und für jeden Log-In ins Internetbanking mindestens zwei voneinander unabhängige Sicherheitsmerkmale, sogenannte 'Faktoren' zum Einsatz kommen müssen.
Es gibt drei mögliche Faktoren:
„Sein“ – körperliche, „biometrische“ Merkmale wie zum Beispiel Fingerabdruck-, Augeniris- oder Gesichtserkennung.
„Wissen“ – zum Beispiel die ausschließlich dem Kunden bekannte PIN (persönliche Identifikationsnummer) oder ein Passwort,
„Besitz“ – etwas, das nur der Kunde besitzt und das nicht kopiert werden kann, wie zum Beispiel ein Smartphone oder ein Tan-Generator (Transaktionsnummer).
Abschaffung der iTAN-Listen auf Papier und des SMS-Tan-Verfahrens
Bei Onlineüberweisungen ist die Zwei-Faktor-Authentifizierung schon seit längerem Pflicht. Die Verwendung der alten iTAN-Listen auf Papier gilt bereits seit dem Jahr 2019 nicht mehr als ausreichend sicher und ist deshalb nicht mehr zulässig.
Zulässig sind nur noch TAN-Verfahren, bei denen für jede Transaktion jeweils eine TAN neu generiert wird. Aus Sicherheits- und Kostengründen wird jedoch auch das SMS-Tan-Verfahren für Onlineüberweisungen bis Ende des Jahres 2022 abgeschafft.
Überblick: Sichere TAN-Verfahren zur Authentifizierung seit 14.09.2019
| TAN-Verfahren | Sicherheit |
| ChipTan (oder Smart-Tan) mit Tan-Generator (Lesegerät) | Sehr hoch |
| BestSign (mit Zusatzgerät) | Sehr hoch (mit Zusatzgerät von Postbank); Hoch (mit Postbank-App auf Smartphone) |
| PhotoTan (mit Lesegerät) | Sehr hoch (mit Lesegerät); Hoch (mit PhotoTan-App auf Smartphone) |
| QR-Tan (oder QR-Tan+) | Sehr hoch (mit QR-Tan-App auf Smartphone) |
| App-Tan (oder VR-SecureGo, EasyTan, Tan2go, PushTan, SpardaSecureApp) | Hoch (mit PushTan-App auf Smartphone) |
| SMS-Tan (oder MobileTan, mTan) | Mittel (per SMS über das Handy), wird bis Ende 2022 abgeschafft |
Weitere Erläuterungen zu den unterschiedlichen Sicherheitsverfahren gibt die Stiftung Warentest.
Achtung: Wer diese TAN-Verfahren bislang noch nicht genutzt hat, muss sich hierzu neu anmelden bzw. bei seiner Bank registrieren lassen! Die ggf. benötigten Zusatzgeräte bzw. Tan-Generatoren erhält man bei seiner Bank oder bei Elektronikhändlern. Sie sind selten gratis und kosten in der Regel zwischen 9 und 160 Euro. Grundsätzlich sollte man beim Online-Banking auch weitere Sicherheitstipps beachten.
Online-Shopping mit Kreditkarte
Bei Kreditkartenzahlungen im Internet müssen ebenfalls zwei Faktoren freigegeben werden. Vor dem 15. März 2021 reichte oft nur die Kreditkartennummer nebst Gültigkeitsdatum und Prüfziffer. Seither benötigen Kundinnen und Kunden zur Freigabe der Zahlung einen weiteren Faktor, eine zusätzliche Identifizierung z.B. über das schon länger bekannte und inzwischen in einer neuen Version vorliegende 3D-Secure-Sicherheitsverfahren. Erst über eine Banking-App auf dem Smartphone/Tablet oder per SMS-basierter TAN wird der Auftrag ausgelöst. Die genaue Umsetzung kann aber von Bank zu Bank unterschiedlich sein.
Im Einzelfall kann dies bedeuten, dass ohne mobiles Endgerät (Smartphone/Tablet) zukünftig eine Kartenzahlung im Internet nicht mehr möglich ist. Von dieser Neuerung wurden vor allem Kunden der Sparkassen überrascht. Wo es tatsächlich keine Alternative gibt, bleibt betroffenen Online-Shoppern nur die Möglichkeit, die Kreditkarte über einen anderen Anbieter zu beziehen, der die Identifizierung ohne Smartphone ermöglicht. Dies wird aber meist mit zusätzlichen Kosten verbunden sein.
Bei der Zahlung im Supermarkt, an der Ladenkasse, im Restaurant oder an der Tankstelle, also im stationären Bereich, ändert sich nichts. Denn schon heute werden die Sicherheitsanforderungen durch Karte und PIN oder Unterschrift erfüllt.
Ausnahmeregeln zur Kundenauthentifizierung
Der Aufwand für die neue Sicherheit beim Bezahlen ist nicht unbeachtlich. Daher gibt es vereinzelte, gesetzlich zugelassene Ausnahmen, etwa bei der Bezahlung kleiner Summen unter 30 Euro oder bei wiederkehrenden Beträgen.
