2FA: nicht alle Verfahren sind gleich sicher
Seit der PSD2-Richtlinie ist Zwei-Faktor-Authentifizierung Pflicht. Das heißt: jede Banking-Aktion braucht zwei unabhängige Sicherheitsfaktoren. In der Praxis gibt es 2026 vor allem drei Verfahren:
- App-basierte Freigabe (PushTAN/AppTAN) – Banking-App auf dem Smartphone bestätigt die Aktion. Sicher und bequem, solange das Smartphone selbst geschützt ist.
- chipTAN/QR-TAN-Generator – Hardware-Gerät, das ein TAN erzeugt. Sehr sicher, weil unabhängig vom Internet.
- SMS-TAN – nur noch in Ausnahmen erlaubt, gilt als anfällig für SIM-Swap-Angriffe.
Phishing erkennen
Phishing-Mails sehen Bankschreiben zum Verwechseln ähnlich. Drei einfache Regeln:
- Banken fragen nie per E-Mail nach TAN, Passwort oder Zugangsdaten.
- Niemals auf Links in E-Mails klicken, die zur Bank führen sollen. Stattdessen immer die Banking-Adresse selbst in den Browser tippen oder die App nutzen.
- Wenn etwas unsicher wirkt: Hotline der Bank anrufen, nicht die Nummer aus der verdächtigen E-Mail.
Smartphone als Single Point of Failure
Wer Banking-App und TAN-App auf demselben Gerät hat, baut sich potenziell ein Risiko. Manche Banken trennen das bewusst und lassen TAN nur über ein zweites Gerät oder einen Hardware-TAN-Generator zu. Bei höherer Sicherheits-Sensibilität lohnt der Blick auf die Bank-Sub-Scores in unserem Ranking.
Haftung im Schadenfall
Wer nicht grob fahrlässig gehandelt hat – also keine TANs herausgegeben, keine Passwörter weitergegeben –, haftet bei unautorisierten Buchungen mit höchstens 50 Euro Selbstbeteiligung. Voraussetzung: Schaden sofort melden, idealerweise binnen 24 Stunden nach Bemerken.
Praktische Schutz-Routine
- Banking-App nur aus offiziellen App-Stores installieren.
- Smartphone mit biometrischer Sperre und automatischer Sperrzeit unter einer Minute.
- Konto-Apps regelmäßig öffnen, um ungewollte Buchungen früh zu sehen.
- Bei verdächtigen Aktivitäten: Karte über die Hotline 116 116 sperren.
Häufige Fragen
Wie sicher ist Online-Banking 2026? +
Sehr sicher, wenn 2FA aktiv ist und du keine Zugangsdaten herausgibst. Die Banken sind durch PSD2 zu starken Sicherheitsverfahren verpflichtet.
Wer haftet bei Phishing-Schaden? +
Wenn du nicht grob fahrlässig gehandelt hast: die Bank, mit maximal 50 Euro Selbstbeteiligung. Voraussetzung ist schnelle Meldung des Schadens.
Welches 2FA-Verfahren ist am sichersten? +
chipTAN über Hardware-Generator ist am sichersten, weil unabhängig vom Internet. PushTAN ist bequemer und ebenfalls sicher, solange das Smartphone selbst gut geschützt ist.