TAN-Verfahren erklärt Sicher Online-Banking

TAN-Verfahren einfach erklärt: So schützt du dein Konto

Ein TAN-Verfahren ist der zweite Schutzschild deines Online-Bankings – nach Passwort oder PIN kommt die Transaktionsnummer ins Spiel, bevor Überweisungen wirklich ausgeführt werden. Welches Verfahren für dich am sichersten ist und wie du es bei deiner Bank einrichtest, erfährst du hier kompakt und verständlich.

Rechner: Wie viel Absicherung brauchst du?

Was ist ein TAN-Verfahren? Das Wichtigste zur Transaktionsnummer

TAN steht für Transaktionsnummer – ein einmaliger numerischer oder alphanumerischer Code, den du bei jeder Überweisung oder Kontoänderung im Online-Banking eingibst. Der entscheidende Unterschied zu einem gewöhnlichen Passwort: Eine TAN ist genau einmal gültig, läuft nach kurzer Zeit ab und ist an eine konkrete Transaktion gebunden. Selbst wenn Angreifer:innen die TAN abfangen, können sie damit keine andere Überweisung auslösen – das macht das System widerstandsfähig gegen viele klassische Angriffsmuster.

TAN-Verfahren sind kein freiwilliges Extra, sondern seit 2019 in der gesamten EU gesetzlich vorgeschrieben. Die EU-Zahlungsdiensterichtlinie PSD2 verlangt eine sogenannte Starke Kundenauthentifizierung (Strong Customer Authentication, SCA): Mindestens zwei voneinander unabhängige Faktoren müssen eine Transaktion absichern – klassischerweise etwas, das du weißt (PIN oder Passwort), und etwas, das du besitzt (Smartphone mit App oder TAN-Generator). TAN-Verfahren erfüllen genau diesen zweiten Faktor und machen Online-Banking damit zur Zwei-Faktor-Authentifizierung (2FA).

Für alle, die ihr Geld online verwalten, ist sicheres Online-Banking besonders relevant: Wer regelmäßig Gehalt oder Mieteinnahmen erwartet, monatlich Rechnungen zahlt oder größere Anschaffungen überweist, sollte sein Konto bestmöglich absichern. Denn ein einziger Phishing-Angriff kann das Ersparte empfindlich treffen. Das richtige TAN-Verfahren ist dabei die einfachste und wirksamste Verteidigungslinie – egal ob beim tan verfahren sparkasse, tan verfahren commerzbank, tan verfahren targobank, tan verfahren comdirect oder tan verfahren deutsche bank.

Wichtig zu verstehen: TAN-Verfahren ersetzen nicht das Passwort, sondern ergänzen es. Wer also sein Banking-Passwort schwach wählt oder mehrfach verwendet, setzt das Gesamtsystem aufs Spiel. TAN-Verfahren und ein starkes, einzigartiges Passwort gehören gemeinsam zum sicheren Online-Banking-Alltag.

Die gängigen TAN-Verfahren im Vergleich: chipTAN, pushTAN, photoTAN und SMS-TAN

chipTAN (auch SmartTAN oder TAN-Generator) gilt unter Sicherheitsexpert:innen als eines der robustesten Verfahren überhaupt. Dabei steckst du deine EC-Karte in ein kleines, eigenständiges Hardware-Gerät – den TAN-Generator – das du von deiner Bank günstig erwerben oder leihen kannst. Der Generator ist offline, also nicht mit dem Internet verbunden, und erzeugt die TAN aus den Transaktionsdaten. Beim Komfort-Verfahren chipTAN-comfort werden Betrag und Empfänger-IBAN direkt auf dem kleinen Display des Geräts angezeigt – du kannst also sofort sehen, ob jemand die Daten auf dem PC manipuliert hat.

pushTAN ist heute der Standard bei den meisten deutschen Banken – darunter Sparkasse, Commerzbank und Comdirect. Die TAN erscheint als Push-Benachrichtigung in der offiziellen Banking-App auf deinem Smartphone. Du bestätigst die Transaktion direkt in der App, nachdem du Betrag und Empfängerkonto geprüft hast. Die Sicherheit hängt allerdings entscheidend davon ab, ob die Banking-App und die TAN-App auf getrennten Geräten laufen – dazu später mehr.

photoTAN und QR-TAN funktionieren über eine Kamera: Auf deinem PC-Bildschirm erscheint ein bunter Matrix-Code oder QR-Code, den du mit der Banking-App auf dem Smartphone abscannst. Die App entschlüsselt den Code und zeigt dir Betrag sowie Empfänger zur Bestätigung an – dann generiert sie die TAN. Deutsche Bank und Commerzbank setzen unter anderem auf dieses Verfahren. Es ist bequem und sicher, solange Smartphone und PC nicht beide kompromittiert sind.

SMS-TAN (mTAN) war lange der einfachste Weg: Die Bank schickt dir eine TAN per SMS aufs Handy. Klingt praktisch – ist aber inzwischen das schwächste der genannten Verfahren. Das BSI stuft mTAN als veraltet ein, weil sogenannte SIM-Swapping-Angriffe (Betrüger:innen übernehmen deine Mobilfunknummer) und Schwachstellen im Signalisierungsnetz (SS7-Angriffe) es möglich machen, SMS abzufangen, ohne physischen Zugang zum Gerät zu haben. Wer noch SMS-TAN nutzt, sollte so bald wie möglich auf ein moderneres Verfahren wechseln.

Welches TAN-Verfahren empfiehlt das BSI – und warum?

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt ausdrücklich transaktionsgebundene Verfahren, bei denen der Betrag und die Empfänger-IBAN direkt im TAN-Generator oder in einer separaten App angezeigt werden – vor der TAN-Generierung, nicht danach. Der Grund ist simpel: Nur wenn du die Transaktionsdaten auf einem Gerät siehst, das unabhängig vom möglicherweise infizierten PC arbeitet, kannst du Manipulationen erkennen. Ein Trojaner auf dem Computer kann theoretisch die Überweisungsdaten im Browser austauschen – wenn chipTAN-comfort aber unabhängig die echte IBAN anzeigt, fällt die Fälschung sofort auf.

Die klare Empfehlung des BSI lautet daher: chipTAN-comfort bietet das höchste Sicherheitsniveau für Privatpersonen, weil das Gerät vollständig offline arbeitet und die Transaktionsdaten selbst anzeigt. An zweiter Stelle steht pushTAN mit zwei Geräten – also Banking-App auf dem Laptop oder einem Gerät, und TAN-Bestätigung auf einem separaten Smartphone. Läuft beides auf demselben Gerät, sinkt das Sicherheitsniveau erheblich, weil ein einziger Schädling auf dem Smartphone den gesamten Prozess kompromittieren könnte.

photoTAN und QR-TAN sind ebenfalls sicher, sofern das Smartphone frei von Schadsoftware ist. Sie gelten als guter Mittelweg zwischen Komfort und Sicherheit. SMS-TAN hingegen erfüllt zwar formal die PSD2-Anforderungen, gilt aber unter Sicherheitsforscher:innen und beim BSI als strukturell anfällig – insbesondere wegen der bekannten Schwachstellen im globalen Mobilfunksignalisierungsnetz. Für alle, die ihre Finanzen schützen möchten, ist ein Wechsel weg von mTAN keine Frage des Komforts, sondern des Risikobewusstseins.

Ein häufig unterschätzter Punkt: Auch das Gerät selbst muss sicher sein. Kein TAN-Verfahren schützt vor einem Smartphone mit veralteter Software, nicht eingespielten Sicherheitsupdates oder aus dubiosen Quellen installierten Apps. Betriebssystem und Banking-App aktuell zu halten ist deshalb genauso wichtig wie die Wahl des Verfahrens selbst.

TAN-Verfahren bei Banken konkret einrichten

Die gute Nachricht: Die meisten Banken haben die Einrichtung von TAN-Verfahren in den letzten Jahren stark vereinfacht. Bei der Sparkasse lädst du die offizielle S-pushTAN-App aus dem App Store oder Google Play herunter. Anschließend forderst du bei deiner Sparkassenfiliale oder per Post einen Freischaltbrief an, der einen Aktivierungscode enthält. Diesen Code scannst du in der App – die Verknüpfung mit deinem Konto ist damit abgeschlossen. Alternativ bietet die Sparkasse auch chipTAN an, falls du ein Gerät besitzt oder kaufen möchtest; chipTAN-comfort zeigt dann Betrag und IBAN direkt auf dem TAN-Generator an.

Bei der Commerzbank ist photoTAN das bevorzugte Verfahren. Nach dem Download der photoTAN-App registrierst du dich im Online-Banking-Portal unter den Sicherheitseinstellungen. Beim Einrichten zeigt der Browser einen bunten Matrix-Code, den du mit der App abscannst – das verknüpft App und Konto sicher miteinander. Für jede Transaktion läuft es dann genauso: Code auf dem Bildschirm scannen, Daten in der App prüfen, bestätigen, TAN verwenden.

Die Comdirect (inzwischen Teil der Commerzbank-Gruppe) integriert das pushTAN-Verfahren direkt in die Banking-App – ein separater Download ist nicht nötig. Nach der Installation aktivierst du das TAN-Verfahren mit einem Freischaltcode, der dir per Post zugeschickt wird. Gib diesen Code in der App ein, und du bist startklar. Beim Einrichten empfiehlt Comdirect, Banking-App und TAN auf demselben Gerät zu nutzen – informiere dich aber über die Sicherheitshinweise zur Gerätetrennung, wenn du maximale Sicherheit möchtest.

Die Deutsche Bank bietet im Self-Service-Portal die Wahl zwischen photoTAN und chipTAN. Für alle, die keinen TAN-Generator besitzen, empfiehlt sich der Start mit photoTAN: App herunterladen, im Portal unter „Sicherheitsmedien" registrieren und den angezeigten QR-Code scannen. Wer langfristig maximale Sicherheit möchte, kann einen TAN-Generator nachbestellen – er ist in der Regel für einen einmaligen kleinen Betrag erhältlich und funktioniert ohne Smartphone oder Internetverbindung.

Häufige Fehler und Sicherheitsfallen –

Der mit Abstand häufigste Fehler: Banking-App und TAN-Verfahren laufen auf demselben Smartphone. Technisch ist das möglich und von den meisten Banken erlaubt – aber sicherheitstechnisch ist es riskant. Ein einziger Trojaner oder eine bösartige App auf dem Gerät kann sowohl die Anmeldung als auch die TAN-Bestätigung kontrollieren. Das BSI rät deshalb ausdrücklich dazu, Überweisungen am PC oder Laptop durchzuführen und die TAN auf dem Smartphone zu bestätigen – also zwei getrennte Geräte zu nutzen. Wer kein zweites Gerät hat, sollte zumindest darauf achten, dass das Smartphone stets aktuell und frei von unbekannten Apps ist.

Phishing ist die häufigste Angriffsmethode auf Online-Banking – auch bei Privatpersonen. Betrüger:innen erstellen täuschend echte Kopien von Banking-Webseiten und versenden Links dazu per E-Mail oder SMS. Wer dort seine PIN und anschließend eine TAN eingibt, übergibt den Täter:innen direkten Kontozugang. Die Regel ist einfach: Klicke niemals auf Banking-Links aus E-Mails oder SMS. Rufe die Adresse deiner Bank immer manuell im Browser ein oder nutze die offizielle App. Prüfe außerdem die URL in der Adressleiste – ein fehlendes „https" oder eine abweichende Domain sind klare Warnsignale.

Ein weiteres, erschreckend häufiges Szenario ist der sogenannte Vishing-Angriff (Voice Phishing): Jemand ruft an, gibt sich als Bankmitarbeiter:in aus und behauptet, aus Sicherheitsgründen eine TAN zu benötigen. Merke dir: Keine Bank fragt jemals telefonisch nach einer TAN, PIN oder deinem Passwort. Beende solche Gespräche sofort und melde sie deiner Bank. Gerade Menschen, die noch wenig Erfahrung mit Online-Banking haben, sind für diese Maschen besonders anfällig.

Und was, wenn dein Smartphone verloren geht oder gestohlen wird? Handele sofort: Sperrre das TAN-Verfahren über das Online-Banking-Portal (falls noch von einem anderen Gerät erreichbar) oder ruf die 24-Stunden-Hotline deiner Bank an. Die meisten deutschen Banken haben rund um die Uhr erreichbare Sperr-Hotlines. Alternativ funktioniert der zentrale Sperr-Notruf 116 116 für Karten und digitale Zahlungsmittel in Deutschland.

TAN-Verfahren und PSD2: Was steckt gesetzlich dahinter?

Die EU-Zahlungsdiensterichtlinie PSD2 (Payment Services Directive 2) ist seit September 2019 vollständig in Kraft und verpflichtet alle Banken in der Europäischen Union zur Starken Kundenauthentifizierung (SCA). Das bedeutet: Bei jeder Transaktion müssen mindestens zwei von drei unabhängigen Faktoren kombiniert werden – Wissen (z. B. PIN oder Passwort), Besitz (z. B. Smartphone oder TAN-Generator) und Biometrie (z. B. Fingerabdruck oder Gesichtserkennung). TAN-Verfahren erfüllen den Faktor „Besitz" und sind damit das Herzstück der gesetzlich vorgeschriebenen Sicherheitsarchitektur im Online-Banking.

In Deutschland wurde PSD2 im Zahlungsdiensteaufsichtsgesetz (ZAG) umgesetzt. Banken sind verpflichtet, SCA-konforme Verfahren anzubieten und nicht-konforme Methoden abzuschaffen. Deshalb haben alle deutschen Banken die alten iTAN-Listen – nummerierte Papier-TANs, aus denen du eine bestimmte Nummer eingeben musstest – bereits vor einigen Jahren abgeschafft. iTAN erfüllt die PSD2-Anforderung der Transaktionsbindung nicht, weil die TAN nicht an einen konkreten Betrag oder eine IBAN gekoppelt war.

Besonders wichtig für alle Kontoinhaber ist die Haftungsfrage: Wer eine TAN leichtfertig oder grob fahrlässig weitergibt – etwa durch Eingabe auf einer offensichtlichen Phishing-Seite oder durch Nennung am Telefon – kann im Schadensfall von der Bank in Mithaftung genommen werden. Das Bürgerliche Gesetzbuch und das ZAG sehen bei grober Fahrlässigkeit eine Beteiligung des Kontoinhabers am Schaden vor. Es lohnt sich also nicht nur aus Sicherheits-, sondern auch aus rechtlichen Gründen, die Spielregeln des TAN-Verfahrens genau zu kennen und einzuhalten.

Für die Zukunft ist zu beobachten, dass die Branche zunehmend auf FIDO2-basierte Authentifizierung und biometrische Verfahren setzt, die TAN-Codes langfristig ergänzen oder ersetzen könnten. Für den Alltag 2026 sind aber die beschriebenen TAN-Verfahren nach wie vor der Standard – und das BSI bewertet moderne Varianten wie chipTAN-comfort und pushTAN mit getrennten Geräten als ausreichend sicher für den privaten Bankverkehr.

Finanzielle Absicherung: Sicheres Banking ist nur der Anfang

Ein gut gewähltes TAN-Verfahren schützt dein Konto zuverlässig – aber es ist nur ein Baustein deiner finanziellen Absicherung. Wer regelmäßig Miete überweist, Gehalt erhält, zum Mindestlohn von 13,90 € (2026) arbeitet und vielleicht schon erste Ersparnisse anlegt, sollte sein gesamtes Finanzsetup im Blick haben. Dazu gehören das richtige Konto, ein realistischer Haushaltsplan, das Wissen über steuerliche Freibeträge – und die passende Absicherung für den Fall, dass etwas schiefläuft.

Eine oft unterschätzte Absicherung ist die Berufsunfähigkeitsversicherung (BU): Wer sie früh abschließt, profitiert in der Regel von günstigeren Beiträgen als nach dem Berufseinstieg, weil Gesundheitszustand und Alter bei der Prämienberechnung eine zentrale Rolle spielen. Auch das Thema Haftpflichtversicherung und die Frage, ob du ausreichend versichert bist, lohnen eine genaue Prüfung.

Häufige Fragen