2FA: nicht alle Verfahren sind gleich sicher
Seit der PSD2-Richtlinie ist Zwei-Faktor-Authentifizierung Pflicht. Login und Zahlungen brauchen also grundsätzlich zwei unabhängige Sicherheitsfaktoren. In der Praxis gibt es 2026 vor allem drei Verfahren:
- App-basierte Freigabe (PushTAN/AppTAN): Die Banking-App auf dem Smartphone bestätigt die Aktion. Sicher und bequem, solange das Smartphone selbst geschützt ist.
- chipTAN/QR-TAN-Generator: ein Hardware-Gerät, das eine TAN erzeugt. Sehr sicher, weil unabhängig vom Internet.
- SMS-TAN wird nur noch von wenigen Banken angeboten und gilt als anfällig für SIM-Swap-Angriffe.
Phishing erkennen
Phishing-Mails sehen Bankschreiben zum Verwechseln ähnlich. Drei einfache Regeln:
- Banken fragen nie per E-Mail nach TAN, Passwort oder Zugangsdaten.
- Niemals auf Links in E-Mails klicken, die zur Bank führen sollen. Stattdessen immer die Banking-Adresse selbst in den Browser tippen oder die App nutzen.
- Wenn etwas unsicher wirkt: Hotline der Bank anrufen, nicht die Nummer aus der verdächtigen E-Mail.
Smartphone als Single Point of Failure
Wer Banking-App und TAN-App auf demselben Gerät hat, legt beide Faktoren in eine Hand. Manche Banken trennen das bewusst und lassen TAN nur über ein zweites Gerät oder einen Hardware-TAN-Generator zu. Bei höherer Sicherheits-Sensibilität lohnt der Blick auf die Bank-Sub-Scores in unserem Ranking.
Haftung im Schadenfall
Wer nicht grob fahrlässig gehandelt hat (also keine TANs herausgegeben und keine Passwörter weitergegeben), haftet bei unautorisierten Buchungen mit höchstens 50 Euro Selbstbeteiligung. Voraussetzung: Schaden sofort melden, idealerweise binnen 24 Stunden nach Bemerken.
Praktische Schutz-Routine
- Banking-App nur aus offiziellen App-Stores installieren.
- Smartphone mit biometrischer Sperre und automatischer Sperrzeit unter einer Minute.
- Konto-Apps regelmäßig öffnen, um ungewollte Buchungen früh zu sehen.
- Bei verdächtigen Aktivitäten: Karte über die Hotline 116 116 sperren.
Häufige Fragen
Wie sicher ist Online-Banking 2026? +
Sehr sicher, wenn 2FA aktiv ist und du keine Zugangsdaten herausgibst. Die Banken sind durch PSD2 zu starken Sicherheitsverfahren verpflichtet.
Wer haftet bei Phishing-Schaden? +
Wenn du nicht grob fahrlässig gehandelt hast: die Bank, mit maximal 50 Euro Selbstbeteiligung. Voraussetzung ist schnelle Meldung des Schadens.
Welches 2FA-Verfahren ist am sichersten? +
chipTAN über Hardware-Generator ist am sichersten, weil unabhängig vom Internet. PushTAN ist bequemer und ebenfalls sicher, solange das Smartphone selbst gut geschützt ist.