Online-Banking sicher nutzen: TAN, Phishing, Haftung

Wie funktioniert Online-Banking heute technisch?

Seit einigen Jahren gilt in der EU die sogenannte starke Kundenauthentifizierung: Für den Login und jede Überweisung musst du dich mit zwei voneinander unabhängigen Faktoren ausweisen, also zum Beispiel mit Wissen (Passwort, PIN) und Besitz (dein Smartphone oder ein TAN-Generator). Diese Zwei-Faktor-Regel ist der Grund, warum ein gestohlenes Passwort allein nicht reicht, um dein Konto leerzuräumen.

Die zweite Freigabe läuft heute fast immer über ein TAN-Verfahren. TAN steht für Transaktionsnummer, einen einmaligen Code, der genau eine Aktion bestätigt. Die verbreiteten Verfahren:

pushTAN / App-Freigabe: Die Bank schickt die Überweisung an eine separate App auf deinem Smartphone, du prüfst Empfänger und Betrag und gibst per Fingerabdruck, Gesichtserkennung oder PIN frei. Bei reinen App-Banken wie N26, C24, Trade Republic oder Revolut ist die Freigabe direkt in die Banking-App eingebaut.
photoTAN / QR-TAN: Du scannst eine Grafik vom Bildschirm mit einer App oder einem Lesegerät und erhältst daraus die TAN. Die Grafik enthält verschlüsselt die Überweisungsdaten, sodass Manipulationen auffallen.
chipTAN: Du steckst deine girocard in einen Generator, der aus den Überweisungsdaten eine TAN errechnet. Das Verfahren ist offline und deshalb sehr robust, aber weniger bequem. Vor allem Sparkassen und Genossenschaftsbanken bieten es weiterhin an.

Hinzu kommt die Gerätebindung: Die Banking-App ist fest mit deinem Smartphone verknüpft. Ein neues Gerät muss über einen Aktivierungsbrief, eine Videoidentifikation oder das alte Gerät freigeschaltet werden. Genau diese Freischaltung ist das Ziel vieler Angriffe, denn wer sein Gerät bei deiner Bank registriert, kann Zahlungen in deinem Namen freigeben.

Welche Angriffe auf das Online-Banking sind heute häufig?

Die Technik ist inzwischen so gut, dass Kriminelle selten die Bank angreifen, sondern fast immer den Menschen. Sie wollen dich dazu bringen, selbst eine Freigabe zu erteilen oder ein fremdes Gerät zu registrieren. Die verbreiteten Maschen:

Phishing per E-Mail oder SMS: Eine Nachricht im Namen deiner Bank fordert dich auf, „dein TAN-Verfahren zu erneuern“, „dein Konto zu verifizieren“ oder eine „gesperrte Karte freizuschalten“. Der Link führt auf eine Kopie der Bankseite, die deine Zugangsdaten abfängt. Erkennungsmerkmale: Zeitdruck, Drohung mit Sperrung, Absenderadressen oder Links mit fremden Domains, Anrede ohne Namen.
Gefälschte Bank-Anrufe: Ein angeblicher Mitarbeiter der „Sicherheitsabteilung“ meldet verdächtige Abbuchungen und bittet dich, „zur Sicherheit“ eine Freigabe in der App zu bestätigen oder eine TAN zu nennen. Die angezeigte Rufnummer kann gefälscht sein. Echte Banken fragen am Telefon nie nach TANs, PINs oder Freigaben.
Fernwartungssoftware: Unter dem Vorwand, ein Problem zu beheben, sollst du ein Programm installieren, mit dem der Anrufer deinen Bildschirm sieht und steuert. Dann führt er Überweisungen aus, während du die Freigabe erteilst.
Betrug mit Echtzeitüberweisungen: Weil das Geld in Sekunden beim Empfänger ist und nicht zurückgeholt werden kann, drängen Täter auf Echtzeitüberweisungen – etwa bei Fake-Shops, angeblichen Notfällen von Angehörigen („Hallo Mama, neue Nummer“) oder vermeintlichen Geldanlagen.
Gefälschte App-Registrierung: Du erhältst einen Aktivierungscode oder eine Freigabeanfrage für ein Gerät, das du nicht kennst. Wer sie bestätigt, gibt Fremden dauerhaft Zugriff.

Achtung. Lies bei jeder Freigabe in der App den Text, den du bestätigst. Steht dort „Gerät hinzufügen“, „Limit ändern“ oder ein Empfänger, den du nicht kennst, brich ab – egal, was dir am Telefon gerade erzählt wird.

Zehn Regeln, um Online-Banking sicher zu nutzen

Öffne die Bankseite nur über die selbst eingetippte Adresse oder die offizielle App, nie über Links aus E-Mails, SMS oder Messenger-Nachrichten.
Gib TAN, PIN oder Freigaben niemals am Telefon, per Mail oder Chat weiter. Kein Bankmitarbeiter braucht sie.
Prüfe bei jeder Freigabe Empfänger, IBAN und Betrag in der App, bevor du bestätigst.
Lehne Freigabeanfragen ab, die du nicht selbst ausgelöst hast, und ändere danach dein Passwort.
Installiere keine Fernwartungs- oder „Sicherheits“-Software auf Zuruf, auch nicht, wenn der Anrufer deinen Namen und deine Kontonummer kennt.
Halte Smartphone, Betriebssystem und Banking-App aktuell und lade Apps nur aus den offiziellen Stores.
Nutze ein eigenes, langes Passwort fürs Banking, das du nirgends sonst verwendest, und sichere Gerät und App mit Sperrcode oder Biometrie.
Setze Limits: ein Tageslimit für Überweisungen, ein Limit für Kartenzahlungen und – wenn möglich – eine Sperre für Echtzeitüberweisungen an neue Empfänger.
Kontrolliere Umsätze regelmäßig und aktiviere Push-Benachrichtigungen für jede Buchung, damit Missbrauch sofort auffällt.
Vermeide Banking in offenen WLAN-Netzen; mobile Daten oder das heimische Netz sind sicherer.

Diese Regeln gelten für alle Banken gleichermaßen, egal ob Filialbank, Direktbank oder Neobank. Wie sich diese Bankentypen sonst unterscheiden, erklärt der Ratgeber Online-Banken und Direktbanken erklärt.

Kartenzahlung sicher: Was bei Debitkarte und Kreditkarte gilt

Für Kartenzahlungen im Netz gilt dieselbe Zwei-Faktor-Regel: Bei den meisten Online-Käufen mit Visa oder Mastercard musst du die Zahlung in der Banking-App bestätigen. Auch hier zeigt die App Händler und Betrag an – prüfe beide, bevor du freigibst. Kontaktloses Bezahlen mit Karte oder Smartphone ist im Alltag sicher, weil Beträge über einer bestimmten Grenze eine PIN erfordern und beim Bezahlen mit dem Handy Gerät und Biometrie die Freigabe übernehmen.

Ein praktischer Unterschied: Bei Kreditkarten und den meisten Debitkarten kannst du eine unberechtigte Abbuchung über die Bank reklamieren (Chargeback), bei Lastschriften hast du acht Wochen Zeit für einen Widerspruch. Bei Überweisungen – und besonders bei Echtzeitüberweisungen – ist das Geld dagegen weg, sobald es beim Empfänger ist. Welche Karte zu dir passt, liest du im Ratgeber Debitkarte, girocard oder Kreditkarte?.

Tipp. Viele Apps bieten virtuelle Einmalkarten oder das Sperren einzelner Funktionen wie Auslandszahlungen oder Bargeldabhebungen. Was du nicht brauchst, kannst du abschalten.

Was tun bei Verdacht auf Missbrauch?

Schnelligkeit zählt. Wenn du eine unbekannte Buchung siehst, versehentlich Daten auf einer gefälschten Seite eingegeben oder eine fremde Freigabe bestätigt hast, gehe in dieser Reihenfolge vor:

Karte und Zugang sperren. In den meisten Apps geht das mit einem Tipp. Alternativ ruft du den bundesweiten Sperr-Notruf 116 116 an (aus dem Ausland mit der deutschen Vorwahl), der rund um die Uhr erreichbar ist.
Bank kontaktieren. Melde den Vorfall über die offizielle Hotline oder das Kontaktformular der Bank, nicht über eine Nummer aus der verdächtigen Nachricht. Lass den Online-Zugang sperren und alle Geräte abmelden.
Passwörter ändern – fürs Banking und für das E-Mail-Konto, das damit verknüpft ist.
Anzeige erstatten. Bei der Polizei, in vielen Bundesländern auch über die Online-Wache. Die Anzeige braucht die Bank oft, um eine Erstattung zu prüfen.
Beweise sichern. Screenshots der Nachricht, der gefälschten Seite und der Buchungen helfen bei Bank und Polizei.

Wer haftet bei Missbrauch im Online-Banking?

Grundsätzlich haftet die Bank für Zahlungen, die du nicht autorisiert hast: Sie muss dir den Betrag erstatten, in der Regel unverzüglich nach deiner Meldung. Das gilt für Kartenzahlungen ebenso wie für Überweisungen, die ein Dritter mit gestohlenen Zugangsdaten ausgelöst hat. Eine Selbstbeteiligung von bis zu 50 € ist gesetzlich möglich, wenn eine verlorene oder gestohlene Karte beziehungsweise ein verlorenes Gerät vor der Sperrung missbraucht wurde.

Die wichtige Ausnahme ist grobe Fahrlässigkeit. Wer TANs am Telefon weitergibt, eine Freigabe bestätigt, ohne den Text zu lesen, oder Passwort und Karte gemeinsam aufbewahrt, kann den vollen Schaden selbst tragen. Ob im Einzelfall grobe Fahrlässigkeit vorliegt, entscheiden im Streit die Gerichte, und die Urteile fallen unterschiedlich aus. Noch schwieriger ist die Lage, wenn du die Überweisung selbst ausgeführt hast, etwa an einen Fake-Shop oder einen vermeintlichen Angehörigen: Dann ist die Zahlung autorisiert, und eine Erstattung durch die Bank ist die Ausnahme. Umso wichtiger sind die Regeln oben – sie schützen dein Geld besser als jede Haftungsregel danach.

Häufige Fragen

Wie kann ich Online-Banking sicher nutzen?

Online-Banking ist sicher, wenn du die Bankseite nur direkt oder über die offizielle App aufrufst, jede Freigabe in der App auf Empfänger und Betrag prüfst und TANs oder PINs niemals weitergibst. Halte Gerät und App aktuell, setze Limits und aktiviere Benachrichtigungen für jede Buchung. Die meisten Schäden entstehen nicht durch Technik, sondern durch Täuschung.

Woran erkenne ich Phishing?

Phishing erkennst du an Zeitdruck, Drohungen mit Kontosperrung, unpersönlicher Anrede und Links, die nicht zur echten Domain deiner Bank führen. Banken fordern dich nie per Mail, SMS oder Anruf auf, TANs einzugeben oder ein TAN-Verfahren über einen Link zu erneuern. Im Zweifel rufst du die Bank selbst über die Nummer auf ihrer Website an.

Was ist der Unterschied zwischen pushTAN und photoTAN?

Bei pushTAN schickt die Bank den Auftrag an eine App auf deinem Smartphone, wo du ihn prüfst und freigibst; bei photoTAN scannst du eine Grafik vom Bildschirm und erhältst daraus die TAN. Beide Verfahren erfüllen die Zwei-Faktor-Regel und zeigen dir die Überweisungsdaten vor der Freigabe an. Welches deine Bank anbietet, steht in deren Hilfebereich.

Ist eine Banking-App sicherer als Online-Banking im Browser?

Eine Banking-App ist in der Regel mindestens so sicher wie der Browser, weil sie fest an dein Gerät gebunden ist und keine Links verarbeitet. Entscheidend ist, dass du sie nur aus dem offiziellen Store lädst, das Gerät mit Sperrcode sicherst und Updates einspielst. Auch in der App gilt: Freigaben immer lesen, bevor du bestätigst.

Was mache ich, wenn ich auf Phishing hereingefallen bin?

Sperre sofort Karte und Zugang, am schnellsten in der App oder über den Sperr-Notruf 116 116, und melde den Vorfall deiner Bank über deren offizielle Kontaktwege. Ändere danach deine Passwörter und erstatte Anzeige bei der Polizei. Je schneller du handelst, desto größer ist die Chance, dass Zahlungen gestoppt werden.

Wer haftet, wenn Geld von meinem Konto gestohlen wird?

Für nicht autorisierte Zahlungen haftet grundsätzlich die Bank und muss den Betrag erstatten; eine Selbstbeteiligung von bis zu 50 € ist möglich, wenn Karte oder Gerät vor der Sperrung missbraucht wurden. Hast du grob fahrlässig gehandelt, etwa eine TAN am Telefon verraten, kannst du den Schaden selbst tragen. Selbst ausgeführte Überweisungen an Betrüger gelten als autorisiert und werden nur ausnahmsweise erstattet.

Online-Banking sicher nutzen: Verfahren, Betrugsmaschen und zehn Regeln